Consulta Iptables

[Renato Covarrubias Romero]

El lun, 17-12-2007 a las 15:18 -0300, Sebastian Antunez Noguera
escribió:
> Estimados, debo configurar un firewall con Fedora Core 7 usando IPTABLES, en
> el mismo server debo dar acceso a Internet a 15 usuarios, y el server de
> Firewall debe tener el server de correo, web y DNS o sea todo en una mismo
> server, ya que la empresa es pequeña no encontraron necesario invertir en un
> equipo para web y correo en DMZ, si que todo debe ser en el mismo server de
> firewall.
> 
> El Script de IPTABLES que tengo es el siguiente:
> 
> ## FLUSH de reglas
> iptables -F
> iptables -X
> iptables -Z
> iptables -t nat -F
> 
> #Politica por defecto
> iptables -P INPUT ACCEPT
> iptables -P OUTPUT ACCEPT
> iptables -P FORWARD ACCEPT
> iptables -t nat -P PREROUTING ACCEPT
> iptables -t nat -P POSTROUTING ACCEPT

Cambia las politicas. (a REJECT)
Cierra todo, y abre solo lo que necesitan/quieren.

> 
> #Politica de Locahost
> iptables -A INPUT -i lo -j ACCEPT
> 
> # Port 25 - 53 - 80 y 110
> iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 25 -j ACCEPT
> iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 53 -j ACCEPT
> iptables -A INPUT -s 0.0.0.0/0 -p udp --dport 53 -j ACCEPT
> iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j ACCEPT
> iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 110 -j ACCEPT


puedes borrar "-s 0.0.0.0/0". Si no está significa eso.

> 
> #Salida de usuarios LAN
> 
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p tcp --dport 25 -j ACCEPT
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p tcp --dport 53 -j ACCEPT
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p udp --dport 53 -j ACCEPT
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p tcp --dport 80 -j ACCEPT
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p tcp --dport 110 -j ACCEPT
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -p tcp --dport 443 -j ACCEPT
> 
> # Denegación
> iptables -A FORWARD -s 192.168.10.0/24 -i eth1 -j DROP

Está de más si cambias la politica por defecto.

> 
> #BIT DE FORWARDING
> iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
> 
> #Forward de Paquetes
> echo 1 > /proc/sys/net/ipv4/ip_forward

Mejor cambia la linea net.ipv4.ip_forward de 0 a 1 en /etc/sysctl.conf

> # Cerrado de Ports
> iptables -A INPUT -s 0.0.0.0/0 -i eth0 -p tcp -dport 1:1024 -j DROP
> iptables -A INPUT -s 0.0.0.0/0 -i eth0 -p udp -dport 1:1024 -j DROP

Mejor cambiar las políticas.... que te quedan desde el 1025 al 65535
abiertos.

Saludos

-- 
Renato Covarrubias Romero       -       counter.li.org  #399677
rcovarru [at] alumnos.inf.utfsm.cl      http://rnt.bla.cl
Estudiante Ingenieria Civil Informatica, Casa Central, UTFSM.