reglas del firewall

[Miguel Oyarzo]

At 10:34 09-01-2006, you wrote:
>Hola, como les comente en mi anterior mensaje, estoy tratando de
>implementar un proxy transparente y un firewall, en principio al
>implementar solo el proxy transparente (SQUID+iptables), de la forma:
>
>asumiendo que la eth0 es la LAN y eth1 es la salida ainternet
>
># redirecciona squid
>iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQUERADE
>
>iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT
>--to-port 3128
>
># habilitar forwarding
>echo 1 > /proc/sys/net/ipv4/ip_forward
>
>hasta ahi todo ok (funcionan mis reglas y restricciones)
>
>pero cuando quiero incrementar reglas de control al firewall
>(basicamente empezar a bloquear y permitir accesos), todo deja de
>funcionar,el script que utilizo es el siguiente:
>
>## FLUSH de reglas
>iptables -F
>iptables -X
>iptables -Z
>iptables -t nat -F
>
>## Establecemos politica por defecto: DROP!!!
>iptables -P INPUT DROP
>iptables -P OUTPUT DROP
>iptables -P FORWARD DROP
>
># redirecciona squid
>iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQUERADE
>
>iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT
>--to-port 3128
>
># habilitar forwarding
>echo 1 > /proc/sys/net/ipv4/ip_forward
>
># Dejo pasar los paquetes ICMP  hacia y desde el firewall.
>iptables -A INPUT -i eth0 -p ICMP -j ACCEPT
>iptables -A OUTPUT -o eth0 -p ICMP -j ACCEPT
>iptables -A INPUT -i eth1 -p ICMP -j ACCEPT
>iptables -A OUTPUT -o eth1 -p ICMP -j ACCEPT
>
>#reglas de redireccion
>iptables -A FORWARD -s 192.168.0.0/24 -p tcp --dport 80 -j ACCEPT
>iptables -A FORWARD -d 192.168.0.0/24 -p tcp --dport 80 -j ACCEPT
>
>iptables -A FORWARD -s 192.168.0.0/24 -p ICMP -j ACCEPT
>iptables -A FORWARD -d 192.168.0.0/24 -p ICMP -j ACCEPT
>
>Como todo dejo de funcionar tratae de implemetar reglas para dejar
>pasar navegacion y ping (en ambos sentidos pr que la politica por
>defecto es drop) pero ni aun con eso funciona
>
>
>Me podrian ayudar a resilver mi problema, ya que despues de esto debo
>empezar a bloquear el msn y a permitir accesos remotos, pero no puedo
>avanzar mientras esto no funcione bein.
>
>saludos y gracias adelntadas 

1) agregale  -o ethx o  -i ethx  a las cadenas que corresponda

2) La puerta 53 (DNS) esta bloqueda en FORWADR y OUTPUT, ni tus clentes
  en la LAN ni tu proxy (proceso local) podrán resolver los dominios asi. 

3) Me asalta la duda... por que usas MASQUERADE si sales a la red por una eth1 ?
que cosa te conecta a Internet? Pienso que deberias usar SNAT (pero depende de lo qye tengas en la wan).


Slaudos

Miguel Oyarzo
INALAMBRICA
Punta Arenas