iptables para novatos, curiosos, interesados (2da Parte)

Cuando DesdeLinux solo tenía pocos meses de vida escribí un tutorial extremadamente simple de entender sobre iptables: iptables para novatos, curiosos, interesados (1ra parte) . Haciendo uso de metáforas como comparar nuestro ordenador con nuestra casa, nuestro firewall con la puerta de la casa, así como otros ejemplos expliqué de forma amena, sin tantos tecnicismos ni conceptos complicados qué es un firewall, qué es iptables y cómo empezar a usarlo y configurarlo. Esta es la continuación, la 2da parte del anterior tutorial de iptables 🙂

Sucede que hace pocos días usando un AP (Access Point) Linksys puse una Wifi en casa de mi novia, aunque la localidad no es de las más conocedoras en cuanto a tecnología, o sea, no es que haya muchos peligros de cracking, siempre es buena idea tener una excelente seguridad tanto en la Wifi como en los ordenadores.

La seguridad de la Wifi no la comentaré acá, pues no es el objetivo del post, me centraré en la configuración de iptables que actualmente uso en mi laptop.

Lo siguientes comandos son ejecutados en una terminal, necesitan ser ejecutados con privilegios de administrador, yo antepondré sudo a cada comando, ustedes pueden hacerlo igual o evitar usar sudo ejecutando los comandos directamente como root

En el anterior post había explicado que es necesario en un firewall primero denegar todo tráfico entrante, para ello:

sudo iptables -P INPUT DROP

Luego debemos permitir que nuestro propio ordenador tenga permiso para entrar datos:

sudo iptables -A INPUT -i lo -j ACCEPT

Así como también aceptar paquetes de peticiones que se originen en nuestro ordenador:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Para una mejor comprensión de estas líneas, recomiendo leer la primera mitad del anterior artículo: iptables para novatos, curiosos, interesados (1ra parte)

Hasta aquí nuestro ordenador puede navegar sin problemas a internet, pero nadie de ningún otro entorno (LAN, internet, Wifi, etc) podrá acceder de ninguna forma a nuestro ordenador. Vamos a empezar ya a configurar iptables según nuestras necesidades.

Usando ulogd para sacar los logs de iptables a otro archivo:

Por defecto los logs de iptables van en el log del kernel, del sistema, o algo así … en Arch por defecto, ahora mismo ni siquiera recuerdo dónde van, es por ello que yo uso ulogd para que los logs de iptables estén en otro archivo.

sudo iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

Dando acceso a mi servidor privado:

Yo no uso VirtualBox ni nada similar para virtualizar, yo tengo mi servidor privado virtualizado con Qemu+KVM el cual debe poder conectarse a mi laptop como tal, con las reglas de iptables que acabo de especificar arriba no podrá, es por eso que tengo obligatoriamente que darle permiso a la IP de mi servidor virtual para que pueda acceder a mi laptop:

sudo iptables -A INPUT -i virbr0 -p tcp -s 192.168.122.88 -j ACCEPT

Vamos a detallar esta línea, es importante que ustedes entiendan qué significa cada parámetro, pues se van a repetir mucho de ahora en adelante:

-A INPUT : Estoy diciendo que voy a declarar una regla para tráfico entrante

-i virbr0 : Declaro que la interfaz por la cual aceptaré el tráfico no es etho (LAN) ni wlan0 (Wifi), digo específicamente que es mi interfaz virbr0, o sea, la interfaz de red virtual (interna) mediante la cual se comunica mi laptop con mi servidor virtual (y viceversa)

-p tcp : Especifico el protocolo, los más usados son UDP y TCP, aquí en realidad bastaba con no poner esto pero… es una costumbre especificar el tipo de protocolo a aceptar

-s 192.168.122.88 : La source, fuente de los paquetes. O sea, la regla se refiere a paquetes que provengan específicamente desde la IP 192.168.122.88

-j ACCEPT : Ya aquí digo lo que quiero hacer con los paquetes que coincidan con lo antes dicho, en este caso aceptar.

O sea y a modo de resumen, voy a aceptar paquetes que provengan desde la IP 192.168.122.88, pero en caso de que deseen entrar paquetes que vengan desde esa IP PERO! entran desde una interfaz que no sea virbr0, o sea, digamos que intentan entrar paquetes desde la IP 192.168.122.88 pero son de un ordenador en nuestra red Wifi, si ese es el caso, los paquetes serán rechazados. ¿por qué? Porque claramente especificamos que sí, aceptamos paquetes desde 192.168.122.88 sí, pero y solo pero, también tienen que entrar desde la interfaz virbr0 (interfaz de red interna, virtual), si los paquetes provienen desde otra interfaz (LAN, RAS, Wifi, etc) entonces no serán aceptados. Especificando la interfaz como pueden apreciar podemos restringir aún más, podemos tener un mejor control sobre lo que entra (o no entra) en nuestro ordenador.

Aceptando ping desde cualquier IP de la Wifi de casa:

Desde algún otro ordenador que se conecte a la Wifi, si intenta hacer ping a mi laptop deseo permitirlo. ¿motivo? La idea también es que en próximas semanas enlazar la PC de la casa de al lado a la red, así compartir información sería menos compleja, más fluida, cuando yo empiece a hacer pruebas para enlazar la desktop a la Wifi, necesitaré hacer ping a mi laptop para comprobar la conectividad, si mi laptop no me devuelve el ping puedo pensar que el AP está fallando, o que hubo algún error al acceder a la Wifi, es por ello que deseo permitir el ping.

sudo iptables -A INPUT -i wlo1 -p icmp -s 192.168.1.0/24 -d 192.168.1.51 -j ACCEPT

-A INPUT : Lo mismo que antes, hago referencia a tráfico entrante

-i wlo1 : Similar a antes. En el caso anterior especifiqué la interfaz virtual, en este caso especifico otra interfaz, la de mi wifi: wlo1

-p icmp : Protocolo icmp, icmp = ping. O sea, no estoy permitiendo SSH ni nada similar, permito solamente ping (icmp)

-s 192.168.1.0/24 : La fuente de los paquetes, o sea, siempre que los paquetes vengan desde una IP 192.168.1.? serán aceptados

-d 192.168.1.51 : IP de destino, o sea, mi IP.

-j ACCEPT : Indico qué hacer con los paquetes que coincidan con lo anterior, aceptar.

O sea y para explicar esto de forma corrida, acepto que me hagan ping (protocolo icmp) cuyo destino sea específicamente mi IP, siempre y cuando vengan desde alguna IP como 192.168.1.__ pero además, no pueden provenir desde cualquier interfaz de red, tienen que entrar específicamente desde mi interfaz de red de Wifi (wlo1)

Aceptar SSH solo para una IP:

A veces necesito conectarme por SSH desde mi smartphone para controlar la laptop, es por ello que debo permitir el acceso SSH a mi laptop desde las IPs de mi Wifi, para ello:

sudo iptables -A INPUT -i wlo1 -p tcp -s 192.168.1.0/24 -d 192.168.1.51 --dport 22 -j ACCEPT

De esta línea lo único diferente o que merece destacarse es: –dport 22 (puerto de SSH que uso)

O sea, acepto intentos de conexión a mi laptop por el puerto 22, siempre que estos vengan desde alguna IP de mi wifi, tienen también que tener como destino específico mi IP y además venir por la interfaz wlo1, o sea, la de mi wifi (no la de la lan, etc)

Permitiendo que vean un sitio web suyo:

No es mi caso, pero si alguno de ustedes tiene un sitio web hosteado y no desean denegarle el acceso a nadie, o sea, que todos desde cualquier parte puedan acceder a ese sitio web, es mucho más simple de lo que pueden pensar:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

O sea, aquí están permitiendo todo tráfico entrante (tcp) por el puerto 80. Como ven, no especifico desde qué IPs o red sí permito el acceso, al no especificar un rango de IP a permitir, iptables asume que deseo permitirle el acceso a todos los rangos de IPs existentes, o sea, a todo el mundo 🙂

Otras combinaciones:

Tengo otras muchas reglas como son por ejemplo, aceptar ping para IPs de la LAN de mi casa (para esta es básicamente la misma línea anterior, cambiando los rangos de IPs), que es más de lo mismo que recién les expliqué arriba… en mi laptop como tal no uso cosas realmente complejas, eso de limitar las conexiones, anti DDoS, eso lo dejo para los servidores, en mi laptop no lo necesito 🙂

En fin, hasta aquí el artículo.

Como pueden ver, trabajar con iptables no es tan complejo ni mucho menos, una vez te armas un script en el cual escribes tus reglas es muy simple luego modificarlo, agregar o quitar reglas a tu firewall.

No me considero un experto en el tema ni mucho menos, no obstante cualquier duda que puedan tener la comentan acá, intentaré ayudarles en todo cuanto pueda.

Saludos

Comparte para difundir

Si te ha gustado nuestro contenido ahora puedes ayudar a difundirlo en las redes sociales de manera sencilla usando los siguientes botones:

Envía
Pinea
Print

31 comentarios

  1.   risketo dijo

    Buenisimo, muy bien explicado, genial.
    Me encantan este tipo de post.

    1.    KZKG^Gaara dijo

      Muchas gracias a tí por comentar 🙂

      Este post era una deuda que tenía desde hace mucho, es placentero y agradable al final poder saldarla ^_^

      Saludos

      1.    FIXOCONN dijo

        una pregunta estas en Cuba?
        … sucede que hace pocos días usando un AP (Access Point) Linksys puse una Wifi en casa de mi novia

        1.    KZKG^Gaara dijo

          Sí claro, nací y vivo en Cuba. ¿por qué la pregunta?

        2.    Sam Burgos dijo

          @FIXOCONN: Hola amigo y perdona el offtopic de la pregunta, pero como defines que aparezca Cinnamon como entorno de escritorio en el user-agent? Yo uso Mint 13 con Cinnamon, pero de ninguna manera logro que me aparezca el logo de Cinnamon en mi user-agent cada vez que comento en este sitio

          Serías tan amable de pasarme tus datos de user agent si no es mucha molestia? Me gustaría saber ese dato para colocarlo yo también =)

          Te dejo una página para que puedas revisarlo y darme la información. Gracias y admins, perdonen el “trolleo” (si se le puede llamar asi) de mi parte con esta información -> http://user-agent-string.info/

          1.    KZKG^Gaara dijo

            Agrega “Cinnamon” (sin las comillas) a cualquier parte del UserAgent, te debe salir entonces el logo en próximos comentarios 🙂

  2.   Bruno Cascio dijo

    Muy bueno el post! muy claro 😀

    1.    KZKG^Gaara dijo

      Gracias por leernos y gracias por tu comentario 🙂

  3.   vale dijo

    Gracias!, de verdad me sirve de mucho!

  4.   Oscar Granada dijo

    Hola, primero que todo muchas felicitaciones por el blog, me parece genial.
    Algo que tal vez sea bueno mencionar es que la opción de log con ULOG no funciona en los sistemas operativos que tengan ulogd2, para este caso la regla debería ser:
    sudo iptables -A INPUT -p tcp -m tcp –tcp-flags FIN,SYN,RST,ACK SYN -j NFLOG

    1.    KZKG^Gaara dijo

      Antes que todo, muchas gracias por lo que dices del blog 🙂

      Yo en Arch tengo ulogd v2.0.2-2 instalado, y me funciona sin problemas la línea que puse (tuve que ponerle un loglevel=1 en /etc/ulogd.conf, pero me saca los logs hacia otro archivo sin problemas.

      ¿Tú usando ulogd v2 o superior la línea que dejé te funciona mal?

      Saludos y gracias por comentar.

  5.   Citux dijo

    Siempre estuve esperando la segunda parte, recuerdo cuando leí la primera (fue mi iniciación en los cortafuegos). Gracias @KZKG^Gaara, saludos 🙂

    1.    KZKG^Gaara dijo

      Gracias por leerme 😀
      Y jeje sí, lo dicho… esta post era una deuda que tenía hace tiempo ^_^

  6.   Jose Luis Gonzalez dijo

    Saludos. Muy bueno el post. Estoy tratando de configurar las reglas de iptables para redireccionar el trafico de squid a dansguardian y aun no logro el objetivo. Agradecería algo de ayuda al respecto.

    1.    KZKG^Gaara dijo

      iptables para eso? No que se hace directamente con ACLs en Squid?

  7.   nameless dijo

    “Tengo otras muchas reglas como..”
    A esto llamo yo paranoia,chico
    Un poco más y colocas un a jauría de Rotwailer’s en cada puerto abierto en tu modem/router 🙂

    1.    KZKG^Gaara dijo

      HAHAHAHAHAHAHAHAHA me muero de la risa con lo de los rottwailers jajajaja

  8.   Ivan dijo

    Saludos amigo, sucede que necesito ayuda para configurar IPTables de manera que deniegue el acceso solo para el puerto 80 cuando yo tipee la dirección en el navegador de mis nameservers personalizados, es decir cuando por ejemplo escriba ns1.midominio.com y ns2.midominio.com (los cuales son mis nameservers) IPtables deniegue el acceso al puerto 80 de manera que el navegador intente cargar la página pero luego de un tiempo expire y nunca cargue, sucede que ya he intentado con comandos como este:

    iptables -A INPUT -d ns1.midomini.com -p tcp –dport 80 -j DROP
    iptables -A INPUT -d ns2.midomini.com -p tcp –dport 80 -j DROP

    Pero lo unico que hace es denegar la entrada al puerto 80 en todos mis dominios (ya que están compartiendo la misma IP al ser Virtual Host), yo quiero que solo sea en la url de mis nameservers y la IP a la que apuntan mis nameservers, es decir que IP tables deniegue el acceso al puerto 80 en:

    ns1.midomini.com (Apuntando A) —> 102.887.23.33
    ns2.midomini.com (Apuntando A) —> 102.887.23.34

    y las IPs a las que apuntan los nameservers

    102.887.23.33
    102.887.23.34

    Un ejemplo de una empresa que tiene este sistema es: Dreamhost
    Sus nameservers: ns1.dreamhost.com y ns2.dreamhost.com y las IPs a las que apuntan no responden al ser tipeadas en la barra de direcciones del navegador

    Muchas gracias de antemano por la atención prestada, me gustaria mucho que me echaras una mano con esto de verdad que la necesito y urgente !!

    Buen Dia !!

    1.    KZKG^Gaara dijo

      Hola Iván,

      Contáctame por email (kzkggaara[at]desdelinux[dot]net) para hablarlo con más calma y explicarte mejor, mañana sin falta te respondo (hoy estoy de pasada)

      Lo que deseas hacer es simple, no sé por qué las líneas que me comentas no te funcionan, deberían, pero hay que revisar logs y otras cosas que por aquí serían demasiado extensas.

      Saludos y espero tu email

  9.   neysonv dijo

    teoricamente con iptables podria evitar que me envien peticiones de desconexion desde programas como aircrack. estoy en lo correcto??? bueno ya hare pruebas pero si me dices que si me harias muy feliz XDDD

    1.    KZKG^Gaara dijo

      En teoría me parece que sí, ahora, no sé cómo se podría hacer, nunca lo he hecho … pero repito, en teoría, creo que sí se podría.

  10.   Alex dijo

    Luego de aplicar las reglas de iptables me es imposible acceder a carpetas compartidas de windows en la red local. ¿Qué regla debería aplicar para solucionarlo?
    Gracias.

    1.    KZKG^Gaara dijo

      ¿Qué reglas de iptables aplicaste?
      Esta es la 2da parte de “iptables para novatos”, ¿leíste la primera? Pregunto esto para saber si aplicaste las reglas que estaban en el post anterior

      1.    Alex dijo

        Sí, he leído ambas partes. Para el script me base en otra entrada que publicaste acerca de iniciar reglas con systemd.

        #!/bin/bash
        # — UTF 8 —

        # Binario de iptables
        iptables=”/usr/bin/iptables”

        echo “”

        ## Limpiar tablas ##
        $iptables -F
        $iptables -X
        $iptables -Z
        #echo ” – Hecho FLUS a iptables” && echo””

        ## Estableciendo logs con ULOGD ##
        $iptables -A INPUT -p tcp -m tcp –tcp-flags FIN,SYN,RST,ACK SYN -j ULOG

        ## Definir política DROP por defecto ##
        $iptables -P INPUT DROP
        $iptables -P FORWARD DROP
        #echo ” – Definida política DROP por default” && echo””

        ## Permitir todo a localhost ##
        $iptables -A INPUT -i lo -j ACCEPT
        $iptables -A OUTPUT -o lo -j ACCEPT
        #echo ” – Permitido todo para localhost” && echo””

        ## Permitir entrar paquetes de conexiones que yo inicie ##
        $iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
        #echo ” – Permitidos paquetes de conexiones iniciadas por mi” && echo””

        echo ” ##############################”
        echo ” ## IPTABLES CONFIGURADO OK! ##”
        echo ” ##############################”

        He leído en internet que para samba debería tener las siguientes reglas en el script :

        $iptables -A INPUT -p tcp –dport 139 -j ACCEPT
        $iptables -A INPUT -p tcp –dport 445 -j ACCEPT
        $iptables -A INPUT -p udp –sport 137 -j ACCEPT
        $iptables -A INPUT -p udp –dport 137 -j ACCEPT
        $iptables -A INPUT -p udp –dport 138 -j ACCEPT

        Sin embargo ni con ellas puedo ver grupos de trabajo windows. :S

      2.    Alex dijo

        Problema solucionado. Modifique los parámetros workgroup y hosts allow del archivo de configuración de samba.

  11.   otkmanz dijo

    Excelente artículo, simplemente genial!!!!
    Acabo de leerlo y me encanta tanto de la forma en que lo explicas como el realmente útil uso que tiene iptables, me gustaría aprender realmente a usarlo con mayor profundidad.
    Un saludo y excelente artículo, espero que publiques más sobre Iptables! ^^

  12.   LEO dijo

    estimados;

    tengo un proxy con iptables y unas de mis redes no puede hacer ping a www.google.cl por tal motivo tengo los puertos blokeados y e intentando mil formas de habrir los puertos y no pasa nada. Si no puedo hacer ping no puedo conectar el outlook

  13.   Borja dijo

    Enhorabuena por el post! Muy bueno. Per tengo una duda. En ocasiones la dirección ip que se te asigna en la red puede cambiar (si es cierto que podríamos asignar una IP a nuestra MAC Addres), pero hay posibilidad con Iptables de permitir accesos a nuestro servidor vía SSH por MAC Address?

    Espero haberme explicado bien.

    Un saludo y muchas gracias!

  14.   Fernando Martin Gan dijo

    Hola sabes que tenia un servidor linux configurado y despues de poner estos comandos me bloqueo todo y perdi acceso, pude recuperar casi todo pero me faltan 2 cosas . * ya no puedo acceder desde un navegador de la red por el cname “server” si por ip, 10.10.10.5 y por otro lado no veo los recursos compartidos desde el explorer de windows en la red , antes ponia \\server y veia todos los recursos compartidos. espero me puedas ayudar, se que es una bobada pero no lo estoy pudiendo resolver , gracias

  15.   tau dijo

    Cito textualmente :

    Protocolo icmp, icmp = ping. O sea, no estoy permitiendo SSH ni nada similar, permito solamente ping (icmp)

    ICMP y PING no son lo mismo. El ping es una parte del protocolo ICMP, pero no lo es todo. El protocolo ICMP ( Internet Control Message Protocol ), tiene muchas más utilidades algunas de ellas con ciertos peligros. Y tu estás aceptando todo el tráfico ICMP. Tendrías que restringir solo a ping.

    Saludos !

  16.   ozkr dijo

    tengo qe hacer una practica pero no comprendo mucho sobre iptables me podrian ayudar por favor….
    gracias!!!!!!!

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

*

*

  1. Responsable de los datos: Miguel Ángel Gatón
  2. Finalidad de los datos: Controlar el SPAM, gestión de comentarios.
  3. Legitimación: Tu consentimiento
  4. Comunicación de los datos: No se comunicarán los datos a terceros salvo por obligación legal.
  5. Almacenamiento de los datos: Base de datos alojada en Occentus Networks (UE)
  6. Derechos: En cualquier momento puedes limitar, recuperar y borrar tu información.