Configuración de un cortafuegos básico

Para una buena configuración de un cortafuegos básico, queremos que primeramente descarte los paquetes que no tienen asignada ninguna regla. Estos serían los pasos:

1. Eliminar las reglas existentes:

# iptables -F

2. Eliminar todos los paquetes por defecto en todas las direcciones:

# iptables -P INPUT DROP

# iptables –P OUTPUT DROP # iptables –P FORWARD DROP

3. Permitir la entrada y salida de la interfaz loopback:

# iptables –A INPUT -i lo -j ACCEPT

# iptables –A OUTPUT -o lo -j ACCEPT

4. Añadir los permisos de entrada y salida de aquellas conexiones ya establecidas:

# iptables –A INPUT -m state -–state ESTABLISHED,RELATED -j ACCEPT # iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Con estas reglas básicas empezaremos a añadir reglas que necesitaremos para nuestros permisos. Por ejemplo, podremos realizar las siguientes reglas:

1. Permitir la resolución DNS:

# iptables -A OUTPUT -o eth0 -p udp -d 192.168.1.50 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT

# iptables -A INPUT -i eth0 -p udp -s 192.168.1.50 --sport 53 -m state - -state ESTABLISHED -j ACCEPT

2. Permitir la actualización o instalación desde los repositorios de paquetes de Debian:

# iptables -A OUTPUT -d ftp.es.debian.org -m state --state NEW -p tcp – dport http -o eth0 -j ACCEPT

# iptables -A OUTPUT -d security.debian.org -m state --state NEW -p tcp --dport http -o eth0 -j ACCEPT

# iptables -A OUTPUT -d volatile.debian.org -m state --state NEW -p tcp --dport http -o eth0 -j ACCEPT

3. Permitir la conexión SSH en la ip 192.168.1.2

# iptables -A INPUT -p tcp -s 192.168.1.2 --dport 22 -m state --state NEW –j ACCEPT

4. Permitir la conexión con el servidor NTP

# iptables -A OUTPUT -o eth0 -p udp -d 91.189.94.4 --dport 123 -m state –state NEW,ESTABLISHED -j ACCEPT

# iptables -A INPUT -i eth0 -p udp -s 91.189.94.4 --sport 123 -m state - -state ESTABLISHED -j ACCEPT

Siempre podremos ver la configuración del cortafuegos con el comando # iptables – L. Una vez terminado la configuración nos interesaría guardar dicha configuración en un archivo y ejecutar dicho archivo al inicio del sistema. Si no hacemos esto, al reiniciar

...