IPTABLES es el firewall incluido a nivel de kernel en las distribuciones Linux, es muy potente (una vez comprendido su funcionamiento), muy útil y flexible. Este post se ha hecho sobre un CentOS 6 (clon de Red Hat), prácticamente todo se debería poder aplicar a cualquier distribución.

Mucho cuidado con los — y los -, wordpress hace conversiones, el largo son en realidad 2 cortos. En los ejemplos no existe esa conversión.

El funcionamiento básico de iptables es el siguiente:

1. Existen chains (cadenas) de reglas. Basicamente 3: INPUT, OUTPUT y FORWARD.
2. Las reglas dentro de una cadena se evaluan por orden. Es aquí donde hay multitud de opciones de filtrado.
3. Cuando una regla se evalua de forma positiva, es dirigida a un TARGET. Puede ser aceptada, denegada, eliminada, logada u otras muchas consas más (ver man iptables TARGET EXTENSIONS).

Podemos listar las reglas actuales con:

La relación de puertos y servicios se puede ver en:

iptables trabaja con el concepto cadenas (chains), 3 tipos:

• INPUT, tráfico entrante.
• OUTPUT, tráfico saliente.
• FORWARD, tráfico a través de la máquina.

Sintaxis IPTABLES  (muy resumido, para más detalles ver man):

tabletype=>

• filter, filtrado de paquetes (por defecto)
• nat, configuración NAT o enmascaramiento

<COMMAND>=>

• -A, –append chain rule-specification, añadir una regla al final de la cadeana
• -D –delete chain [rulenum|rule-specification] , elimina una regla. Si se especifica mediante rulenum, la primera regla es 1.
• -I, –insert chain [rulenum] rule-specification, inserta una regla antes de la numrule (por defecto 1, la primera)
• -R, –replace chain rulenum rule-specification, reemplaza una regla en una chain (numrule=1 es la primera)
• -L, –list [chain], listado reglas
• -F, –flush [chain], flush de reglas en chains actuales (las borra todas)

<rule-specification>=>

• [!] -s –source address[/mask], origen del paquete, puede ser una ip con o sin máscara o el nombre de un host
• [!] -d –destination address[/mask], destino del paquete, puede ser una ip con o sin máscara o el nombre de un host(ojo que el nombre solo se resuelve una sola vez antes de enviar las reglas al kernel).
• [!] -p –protocol, protocolo usado en la cominicación: tcp, udp, udplite, icmp, esp, ah, sctp o all
• [!] –source-port,–sport port[:port], puerto o rango de puertos de origen de la comunicación
• [!] –destination-port,–dport port[:port], puerto o rango de puertos de destino de la comunicación
• [!] -i –in-interface name, nombre del interfaz de entrada de la comunicación. Por defecto todos los interfaces.
• [!] -o –out-interface name, nombre del interfaz de salida de la comunicación. Por defecto todos los interfaces.

Si se antepone una !, esto quiere decir que estamos negando la condicion.

<MATCH_EXTENSION>, puede especificarse con -m o –match

• state, permite filtrar por estado de conexion. Opciones:
  • [!] –state estado, se pueden especificar varios estados separados por ,. Los estados pueden ser:
    • INVALID, paquete no identificado.
    • NEW, nueva conexión
    • ESTABLISHED, conexión existente.
    • RELATED, relativa a otra conexión.

Ejemplo, aceptar todas las conexiones relativas o establecidas(es mejor aplicar filtrado solo a conexiones NEW):

Source

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

• comment, aplicar comentarios a una regla. Opciones:
  • –comment comentario

Ejemplo:

Source

iptables -A INPUT -m state --state ESTABLISHED,RELATED -m comment --comment "Permitir conexiones existentes" -j ACCEPT

• mac, aplicar filtrado por MAC, no es aplicable para el chain OUTPUT. Opciones:
  • [!] –mac-source address, el formato de MAC es XX:XX:XX:XX:XX:XX

Ejemplo:

Source

iptables -A INPUT -p TCP --dport 80 -m mac --mac-source FE:54:00:FC:4F:CC -j ACCEPT

• limit, aplicación de limites promedios y ráfagas. Opciones:
  • –limit rate[/second|/minute|/hour|/day], especifica una frecuencia media por unidad de tiempo.
  • –limit-burst number, especifica una cantidad de peticiones a las que no se aplicará el limit. Una vez superado se ceñirá a la especimicación de limit.

Ejemplo, aceptar una media de 1 conexión por segundo con ráfagas de 2:

Source

iptables -A INPUT -m state --state NEW -p tcp --dport 25 -m limit --limit 1/second --limit-burst 2 -j ACCEPT

<TARGET>=>

• DROP, eliminar paquete sin informar al remitente
• REJECT, eliminar paquete informado error al remitente por defecto port-unreachable. El error informado se puede definir con: –reject-with [icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable, icmp-proto-unreachable, icmp-net-prohibited, icmp-host-prohibited, icmp-admin-prohibited]
• ACCEPT, paquete aceptado
• LOG, es un TARGET EXTENSIONS. Escribe algo en el log, podemos configurar el prefijo con –log-prefix «texto_prefijo». Por defecto escribe en /var/log/messages

Ejemplo para permitir icmp, puerto 22, aceptar puerto 80 por una MAC específica, denegar todas las conexiones puerto 80 y logar, limitar tráfico puerto 22 y logar, permitir conexiones salientes puerto 22, eliminar demás conexiones salientes y permitir comunicación a través de la máquina:

Los comentarios ayudan mucho a identificar el cometido de cada una de las reglas:

Ahora desde fuera de la máquina podemos intentar (4 veces en menos de 2 segundos) un:

Y veremos en el log /var/log/messages:

Aplicación de reglas de forma automática

Si tenemos activado en el arranque el servicio iptables:

Para que las reglas sean permanentes se han de incluir en el fichero:

Contenido ejemplo:

Su edición manual no es recomendada se debería usar system-config-firewall, o directamente no usarlo nunca y de esa forma no sobreescribe nuestras reglas.

Lo que se puede hacer es realizar todos los cambios en iptables como hemos visto arriba y luego directamente hacer:

Esto actualizará el fichero:

Con las reglas que teníamos en memoria hasta ahora, nos asegurarnos que el servicio de iptables esté con arranque automático para que se apliquen las reglas en el siguiente arranque.

Hay que tener en cuenta que las utilidades system-config-firewall-tui y system-config-firewall sobreescriben todas estas configuraciones, yo prefiero no usarlas.