Iptables

[Miguel Oyarzo O.]

Juan Andres Ramirez escribió:
> Hola listeros:
>      Veamos algo mal tengo en el orden de las reglas iptables porque
> al tratar de bloquear una ip publica no pasa nada:
> 
> ## ESTABLECEMOS POLITICA POR DEFECTO
> iptables -P INPUT ACCEPT
> iptables -P OUTPUT ACCEPT
> iptables -P FORWARD ACCEPT
> 
> #DEJAMOS LIBRES LAS CONECCIONES LOCALES
> iptables -A INPUT -i lo -j ACCEPT
> 
> #TENEMOS ACCESO A LA RED DESDE LA INTERFACE bond0
> iptables -A INPUT -s 192.168.100.0/24 -i bond0 -j ACCEPT

> #ACCESO A WEB
> iptables -A FORWARD -s 192.168.100.0/24 -i bond0 -p tcp --dport 80 -j ACCEPT
> # ACCESOS A HTTPS
> iptables -A FORWARD -s 192.168.100.0/24 -i bond0 -p tcp --dport 443 -j ACCEPT
> 
> # Aceptamos que consulten los DNS
> iptables -A FORWARD -s 192.168.100.0/24 -i bond0 -p tcp --dport 53 -j ACCEPT
> iptables -A FORWARD -s 192.168.100.0/24 -i bond0 -p udp --dport 53 -j ACCEPT

Todas las lineas FORWARD ACCEPT hasta aqui son inutiles dado que tu 
politica FORWARD es ACCEPT

  > #CERRAMOS EL RESTO DE LOS PUERTOS
> iptables -A FORWARD -s 192.168.100.0/24 -i bond0 -j DROP

No deberia existir esta linea

> Esto no esta funcionando...no bloquea la ip que le especifico,
> 
> #Bloqueo a direccion ip cualquiera
> iptables -A FORWARD -s 200.29.182.140 -j REJECT

Deberias pensar en -d 200.29.182.140 REJECT mejor,
pero como antes estas autorizando toda la red para usar WEB (http, https 
y dns), esta linea no tiene efecto alguno en esas puertas.


> Probe tambien con:
> iptables -A FORWARD -s 200.29.182.140 -p TCP --dport 80 -j REJECT

Esta malo, estas confundiendo el sentido de los paquetes.
-s quiere decir SOURCE (que venie de). Debes usar -d (con destino a)

> Ahora si cambio la linea : iptables -A FORWARD -s 192.168.100.0/24 -i
> bond0 -p tcp --dport 80 -j ACCEPT  por REJECT, efectivamente bloquea
> la navegacion por web.
> Cualquier tips lo agradeceria.

Cierra tu politica forward y abre lo que requieras. Al final del script 
debes poner una regla para los paquetes relativos, sino no funcionará al 
cerrar la potica.

Sugerencia:
Deberias reescribir el script respetando el orden de precedencias de 
iptables. Tu ejemplo es ilogico y producira efectos inesperados.
(con la mitad de las lineas lograras lo que deseas)


Saludos,

=====================================
Miguel A. Oyarzo O.
Ingeniería en Redes y Comunicaciones
Linux User: # 483188 - counter.li.org
Austro Internet S.A. & INALAMBRICA S.A.
Teléfono: [+05661] 710030
Punta Arenas - Chile
=====================================