iptables para novatos, curiosos, interesados
Siempre he pensado que la seguridad nunca está de más, y nunca es suficiente (por eso ya elav me tilda de maniático obsesivo y psicótico de la seguridad…), por eso aún cuando uso GNU/Linux, no descuido la seguridad de mi sistema, mis passwords (generados aleatoriamente con pwgen), etc..
Además, aún cuando los sistemas tipo Unix son sin dudas muy seguros, se recomienda sin dudas usar un Firewall, configurarlo como es debido, para estar lo mejor protegidos posible 
Aquí les explicaré sin muchos líos, enredos o detalles complejos cómo conocer lo básico de iptables.
Pero … ¿qué demonios es iptables?
iptables es la parte del kernel Linux (un módulo) que se ocupa de filtrar paquetes. Esto dicho de otra forma, significa que iptables es la parte del kernel cuyo trabajo es saber qué información/datos/paquete quieres que entre a tu ordenador, y cuáles no (y hace más cosas, pero centrémosnos en esto por el momento jeje).
Explicaré esto de otra forma
Muchos en sus distros usan firewalls, Firestarter o Firehol, pero estos firewalls en realidad ‘por detrás’ (en el background) usan iptables, entonces … ¿por qué no usar directamente iptables?
Y eso es lo que explicaré de forma breve aquí
¿Hasta aquí queda alguna duda? 
Para trabajar con iptables es necesario tener permisos administrativos, por lo que acá usaré sudo (pero si entras como root, no hay necesidad).
Para que nuestro ordenador sea realmente seguro, tenemos que solo permitir lo que nosotros queramos. Vean su ordenador como si fuera su propia casa, en su casa ustedes por defecto NO dejan que nadie entre, solo pueden entrar determinadas personas específicas que ustedes hayan aprobado antes no? Con los firewalls sucede igual, por defecto nadie puede entrar a nuestro ordenador, solo podrán entrar quienes nosotros deseemos
Para lograr esto que explico, aquí los pasos:
1. Abran una terminal, en ella pongan lo siguiente y presionen [Enter]:
sudo iptables -P INPUT DROP
Esto bastará para que nadie, absolutamente nadie pueda entrar a su ordenador… y, este “nadie” los incluye a ustedes mismos
Nadie es bastante general, absoluto de hecho, ni ustedes mismos podrán navegar por internet ni nada, es por eso que debemos en esa terminal poner lo siguiente y presionar [Enter]:
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
… no entiendo una mierda, ¿qué hacen ahora esas dos líneas raritas? …
Simple
La primera línea lo que dice es que el propio ordenador (-i lo … por cierto, lo = localhost) puede hacer lo que le plazca. Algo obvio, que puede parecer hasta absurdo… pero créanme, es tan importante como el aire jaja.
La segunda línea la explicaré usando el ejemplo/comparación/metáfora que usé antes, me refiero a comparar al ordenador con la casa Por ejemplo, supongamos que vivimos con más personas en nuestra casa (madre, padre, hermanos, novia, etc). Si alguna de estas personas sale de casa, ¿es obvio/lógico que dejaremos que entre una vez regrese no?
Precisamente eso es lo que hace esa segunda línea. Todas las conexiones que nosotros iniciemos (que salgan desde nuestro ordenador), cuando por esa conexión quiera entrar algún dato, iptables dejará que ese dato entre. Poniendo un ejemplo más para explicarlo, si usando nuestro navegador intentamos navegar por internet, sin estas 2 reglas no podremos, pues sí… el navegador se conectará a internet, pero cuando intente bajar datos (.html, .gif, etc) hacia nuestro ordenador para mostrárnoslo, no podrá pues iptables le negará la entrada de paquetes (datos), mientras que con estas reglas, como nosotros iniciamos la conexión desde dentro (desde nuestro ordenador) y esa misma conexión es la que intenta entrar datos, sí se le permitirá el acceso.
Con esto listo, ya tenemos declarado que nadie puede acceder a ningún servicio de nuestro ordenador, nadie excepto el propio ordenador (127.0.0.1) y además, excepto conexiones que se inicien en el propio ordenador.
Ahora, explicaré un detalle más de forma rápida, pues la 2da parte de este tutorial explicará y abarcará más sobre esto jeje, no quiero adelantar mucho
Sucede que por ejemplo, tienen un sitio web publicado en su ordenador, y desean que ese sitio web todos lo puedan ver, como antes declaramos que todo por defecto es NO permitido, excepto no se indique lo contrario, nadie podrá ver nuestro sitio web. Ahora haremos que cualquiera pueda ver el o los sitios webs que tengamos en nuestro ordenador, para ello ponemos:
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
Esto es muy simple de explicar
Con esa línea estamos declarando que acepte o permita (-j ACCEPT) todo tráfico al puerto 80 (–dport 80) que sea TCP (-p tcp), y que además sea tráfico entrante (-A INPUT). Puse puerto 80, porque ese es el puerto del host web, o sea … cuando un navegador intenta abrir un sitio de X ordenador, siempre mira por defecto en ese puerto.
Ahora … qué hacer cuando se sabe qué reglas poner, pero cuando reiniciamos el ordenador vemos que los cambios no se guardaron? … bueno, para eso ya hice otro tutorial hoy mismo:
Como iniciar reglas de iptables automaticamente
Ahí lo explico detalladamente
Y aquí termina el 1er tutorial sobre iptables para novatos, curiosos e interesados 
… no se preocupen, no será el último jeje, el próximo tratará de esto mismo, pero reglas más específicas, detallando todo un poco más y aumentando en la seguridad. No deseo extender este mucho más, pues en realidad es necesario que las bases (esto que leyeron acá al inicio) lo entiendan a la perfección
Saludos y… venga, las dudas las aclaro, siempre que sepa la respuesta LOL!! (no soy ni de lejos un experto en esto jajaja)
COMENTARIOS PARA EL AUTOR
KZKG^Gaara: Usuario de GNU/Linux y administrador de red desde hace algunos años. Intento mantenerme en el lado oscuro de la fuerza, pues es donde está lo divertido de la vida. Administrador y fundador de todo esto que ven, pero uno más dentro de la familia.
Muy bueno! Una pregunta nomás? Tenés idea de cuáles son las configuraciones por defecto que trae? La pregunta es de paranoico que soy nomás
.
Muchas gracias.
Por defecto, bueno por defecto acepta todo. O sea, servicio que pongas en tu ordenador… servicio que será público para el resto
¿entiendes?
Entonces… cuando no quieres que X sitio web lo vea Y amigo tuyo, o una determinada IP, ahí entra el firewall, htaccess, o algún método para denegar el acceso.
Saludos,
Hermano, Excelente!!!! Ahora voy a leer el primero…
Gracias por tu ayuda…
Disla
Gracias por el tutorial, me viene muy bien.
Lo único que quisiera saber o asegurarme es si con estas instrucciones no tendré problemas alguno para realizar transferencias p2p, descargar archivos o realizar videollamadas, por ejemplo. Por lo que leí no, no debería haber problemas, pero prefiero asegurarme antes de introducir las líneas.
Gracias desde ya.
Saludos.
No deberías tener problemas, no obstante esta es una configuración bastante básica, en el próximo tutorial explicaré de forma más amplia cómo agregar reglas propias, dependiendo de la necesidad de cada cual, etc
Pero repito, no deberías tener problemas, si los tienes solo reinicia el ordenador y listo, como si nunca hubieras configurado iptables
Y, perdón por hacer otra petición, pero ya que estamos en el tema de firewall, es posible que expliques cómo aplicar estas mismas órdenes en interfaces gráficas de cortafuegos como gufw o firestarter.
De antemano, gracias.
Saludos.
Explicaré Firestarter, gufw solo lo he visto y no lo he usado como tal, tal vez lo explique brevemente o tal vez elav mismo lo haga
Luego cuando me den ganas de sentirme hacker lo leeré, siempre quise aprender sobre seguridad
Excelente tutorial, me parece bien explicado y mientras sea paso a paso mejor, como dirian por ahi, for dummies.
Saludos.
hahahaha gracias
Estupendo.
Clarisimamente esplicado.
Habra que leerlo y releerlo hasta que los conocimientos esten asentaditos y luego seguir con los siguientes tutos.
Gracias por el articulo.
Gracias
Lo he intentado explicar como hubiera deseado que me lo explicaran a mí por primera vez, LOL!!
Saludos
Muy bueno, estoy probando y funciona correctamente,lo que corresponde a iniciar las reglas automáticamente al inicio lo voy a dejar para cuando publiques la segunda parte, hasta ese momento tendré un poco mas de trabajo digitando los comandos cada vez que reinicie la PC, gracias amigo por el tuto y por lo rápido que lo publicaste.
gracias por la recomendación y las explicaciones.
Pueden ver lo que se aplica con iptables con:
sudo iptables -L
Exacto
Yo le agrego la n en realidad:
iptables -nLGracias por el tutorial, quedo en espera de la segunda parte saludos.
cuando saldra la segunda parte
Tengo un proxy con squid en la Máquina1, ésta dará navegación a internet a otras máquinas de esa la lan 192.168.137.0/24, y está escuchando por 192.168.137.22:3128 (abro el puerto 3128 para cualquiera con firestarter), desde la Máquina1 si pongo en firefox que use el proxy 192.168.137.22:3128 funciona. Si desde otra pc con ip 192.168.137.10 por ejemplo, la Máquina2, coloco que use el proxy 192.168.137.22:3128 no funciona, salvo si en la Máquina1 coloco en firestarter compratir internet con la lan, ahi si funciona el proxy, el flujo de datos es atraves del proxy, pero si en la Máquina2 sacan el uso de proxy y apuntan bien la puerta de enlace podran navegar libremente.
A qué se debe ésto?
Con iptables cuáles serían las reglas?