El documento explica cómo configurar un firewall en Linux utilizando la herramienta Iptables. Iptables permite establecer reglas que filtran los paquetes entrantes y salientes según protocolo, puerto, dirección IP y más. El documento guía al lector a través de los pasos para configurar un firewall básico que permita el tráfico local y de DNS, pero rechace otras conexiones entrantes.

1. FIREWALL FILTRADO IP

2. IPTABLES Es la herramienta que nos permite configurar las reglas del sistema de filtrado de paquetes del kernel de Linux, desde su versión 2.4 (en 2.2 era ipchains). Con esta herramienta, podremos crearnos un firewall adaptado a nuestras necesidades.

3. IPTABLES PAQUETES IPTABLES REGLAS ACCIONES REGLA-1 REGLA-2 REGLA-N CONTINUA ACEPTAR ELIMINAR RECHAZAR ACCIONES BASICAS

4. REGLAS Se aplican reglas, especificando cada una de ellas unas determinadas características que debe cumplir un paquete. Para cada regla se especifica una acción o “ target” . Cuando se recibe o se envía un paquete, las reglas se recorren en orden, hasta que las condiciones que pide una de ellas se cumplen , se realiza acción que le haya sido especificada.

5. IPTABLES TABLAS FILTER NAT MANGLE PAQUETES QUE SE REFIEREN A NUESTRO EQUIPO INPUT OUTPUT FORWARD CHAINS Paquetes recibidos Paquetes enviados(generados) Paquetes enrutados por nuestro equipo

6. CHAINS INPUT OUTPUT FORWARD CHAINS TARGETS ACCEPT DROP REJECT POLITICA POR DEFECTO

7. CONSIDERACIONES Permitir realizar conexiones TCP hacia afuera (realizar peticiones) NO permitir conexiones TCP desde fuera Permitir el tráfico de paquetes TCP en ambas direcciones. (que no establezcan conexiones) Prohibir el tráfico UDP desde afuera de nuestra máquina (solo DNS UDP 53) NO aplicar restricciones a la red local .(para usar SSH por ej.)

8. SINTAXIS BASICA iptables # CHAIN -opcion -j ACCION iptables # INPUT -A -j ACCEPT Con –A se agrega una regla que acepta todos los paquetes que llegan al host.Generalmente esta es la politica por defecto.-

9. SINTAXIS BASICA iptables # CHAIN -opcion -j ACCION -A -L -I -D AGREGA LISTA INSERTA ELIMINA INPUT OUTPUT FORWARD CREADAS -F FLUSH

10. SINTAXIS BASICA iptables # CHAIN -opcion -j ACCION DROP REJECT ACCEPT ELIMINA RECHAZA ELIMINA EXISTEN MAS ACCIONES,COMO LOG,MIRROR ETC.

11. AFINANDO.... -p Protocolo al que pertenece el paquete. -s dirección de origen del -d dirección destino -i Especificación del interfaz por el que se recibe el paquete. -o Interfaz por el que se va a enviar el paquete.

12. REJECT icmp-net-unreachable icmp-host-unreachable icmp-port-unreachable icmp-proto-unreachable icmp-net-prohibited icmp-host-prohibited .

13. AHORA A LA PRACTICA ARMANDO UN FIREWALL CON IPTABLES

14. PASO UNO Permitir culaquier trafico desde la direccion de loopback local(lo): iptables -A INPUT -i lo -j ACCEPT

15. PASO DOS Permitiremos todo el tráfico que provenga de nuestro interfaz de red interna . iptables -A INPUT -i eth0 -j ACCEPT

16. PASO TRES Los paquetes que intentan establecer una conexión se reconocen por las flags SYN y ACK y FIN iptables -A INPUT -p tcp --syn -j REJECT --reject-with icmp-port-unreachable No permitir paquetes TCP del exterior que intenten establecer una conexión

17. PASO CUATRO Permitir recibir las respuestas DNS . Las respuestas provienen del puerto 53,y son paquetes UDP. ¿Lo piensan? iptables -A INPUT -p udp --source-port 53 -j ACCEPT

18. No permitir el resto del trafico UDP.- PASO CINCO iptables -A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable

19. VERIFICAR: PASO SEIS iptables -L -v Chain INPUT (policy ACCEPT 3444 packets, 1549K bytes) pkts bytes target prot opt in out source destination 11312 3413K ACCEPT all -- lo any anywhere anywhere 0 0 ACCEPT all -- eth0 any anywhere anywhere 0 0 REJECT tcp -- any any anywhere anywhere tcp flags:SYN,RST,ACK/SYN reject-with icmp-port-unreachable 0 0 ACCEPT udp -- any any anywhere anywhere udp spt:domain 0 0 REJECT udp -- any any anywhere anywhere reject-with icmp-port-unreachable

20. CONFIGURACION PERSISTENTE La politica por defecto de las “chain” INPUT es ACCEPT iptables-save –c > “nombre archivo” iptables-restore –c < “nombre archivo” Se debe colocar en las scripts de inicalizacion del sistema

21. TAREA Investigue acerca de FIREWALL+PROXY