Administración avanzada de GNU/Linux (PDF) - SW Computación

ª FUOC • XP04/90785/00019
Software libre
donde chain es input, output o forward, y target el destino que se le
va a dar al paquete que se corresponda con la regla. La opción -A
añade la regla a las existentes. Con esto hay que tener cuidado, ya
que el orden importa. Hay que colocar las menos restrictivas al
principio, puesto que, si primero ponemos una regla que elimine
los paquetes, aunque haya otra regla, ésta no será tenida en cuenta.
La opción -j permite decidir qué haremos con los paquetes, típicamente
accept (’aceptar’), reject (’rechazar’), o drop (simplemente
’perderlo’). Es importante la diferencia entre reject y drop. Con el
primero, rechazamos el paquete y normalmente informamos al
emisario de que hemos rechazado el intento de conexión (normalmente
por un paquete de tipo ICMP). Con el segundo (drop), simplemente
perdemos el paquete como si nunca hubiese existido y no
enviamos ningún tipo de respuesta. Otro target utilizado es log,
para enviar el paquete al sistema de log. Normalmente en este
caso hay dos reglas, una con el log y otra igual con accept, drop y
reject, para permitir enviar al log la información de paquetes aceptados,
rechazados o perdidos.
Al poner la regla, también puede usarse la opción -I (insertar) para
indicar una posición, por ejemplo:
iptables -I INPUT 3 -s 10.0.0.0/8 -j ACCEPT
ANOTACIONES
que nos dice que se coloque la regla en la cadena input en tercera
posición; y se van a aceptar paquetes (-j) que provengan (con fuente,
o source, -s) de la subred 10.0.0.0 con netmask 255.0.0.0. Con -D
de forma parecida podemos borrar bien un número de regla, bien
la regla exacta, como se especifica a continuación, bien borrando la
primera regla de la cadena o la regla que mencionamos:
iptables -D INPUT 1
iptables -D INPUT -s 10.0.0.0/8 -j ACCEPT
También hay reglas que permiten definir una “política” por defecto
de los paquetes (opción -P); se va ha hacer con todos los paquetes lo
mismo. Por ejemplo, se suele decir que se pierdan todos los paquetes
por defecto, y se habilitan luego los que interesan, y muchas veces
372