Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
también se evita que haya forwarding de paquetes si no es necesario
(si no actuamos de router), esto podría ponerse como:
iptables -P INPUT DENY
iptables -P OUTPUT REJECT
iptables -P FORWARD REJECT
Todo lo cual establece unas políticas por defecto que consisten en denegar
la entrada de paquetes, no permitir salir y no reenviar paquetes.
Ahora se podrán añadir las reglas que conciernen a los paquetes que
deseemos utilizar, diciendo qué protocolos, puertos y orígenes o destinos
queremos permitir o evitar. Esto puede ser difícil, ya que tenemos
que conocer todos los puertos y protocolos que utilice nuestro software
o servicios. Otra táctica sería dejar sólo activos aquellos servicios que
sean imprescindibles y habilitar con el firewall el acceso de los servicios
a las máquinas deseadas.
Algunos ejemplos de estas reglas de la tabla Filter podrían ser:
1) iptables -A INPUT -s 10.0.0.0/8 -d 192.168.1.2 -j DROP
2) iptables -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset
3) iptables -I INPUT -p tcp --dport 113 -s 10.0.0.0/8 -j ACCEPT
Donde:
1) Perdemos los paquetes que vengan de 10.x.x.x con destino a
192.168.1.2.
2) Rechazamos los paquetes tcp con destino al puerto 113, emitiendo
una respuesta de tipo tcp-reset.
3) Los mismos paquetes que en 2) pero que provengan de 10.x.x.x
serán aceptados.
Respecto a los nombres de protocolos y puertos, el sistema iptables
utiliza la información proporcionada por los ficheros /etc/services y
/etc/protocols, pudiéndose especificar la información (de puerto y
ANOTACIONES
373