foro.systemadmin.es

Podríamos construir entre todos un buen script para iptables, funcional y seguro, y de paso debatir las distintas soluciones, que de eso se trata. Que cada uno aporte lo que considere oportuno. Partimos de una configuración básica de un simple servidor de ficheros.

/etc/iptables.conf

#!/bin/sh

# FLUSH de reglas
iptables -F
iptables -X
iptables -Z
iptables -t nat -F

# politica por defecto a DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# permitir conexiones entrantes y salientes locales a la propia maquina (localhost)
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# control de servicios: definir conexiones permitidas

# Servicio SSH administracion
# red segura secnet
secnet=192.168.3.0
iptables -A INPUT -s $secnet -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -d $secnet -p tcp --sport 22 -j ACCEPT

# Servicios SAMBA
# red local smbnet
smbnet=192.168.2.0

# servicio de nombres NetBIOS (tcp y udp)
iptables -A INPUT -s $smbnet -p tcp --dport 137 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p tcp --sport 137 -j ACCEPT

iptables -A INPUT -s $smbnet -p udp --dport 137 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p udp --sport 137 -j ACCEPT

# servicio de datagramas NetBIOS
iptables -A INPUT -s $smbnet -p udp --dport 138 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p udp --sport 138 -j ACCEPT

# servicio de sesiones NetBios
iptables -A INPUT -s $smbnet -p tcp --dport 139 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p tcp --sport 139 -j ACCEPT

# si NetBios esta deshabilitado
iptables -A INPUT -s $smbnet -p tcp --dport 445 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p tcp --sport 445 -j ACCEPT

iptables -A INPUT -s $smbnet -p udp --dport 445 -j ACCEPT
iptables -A OUTPUT -d $smbnet -p udp --sport 445 -j ACCEPT

Buena idea lo de las chains...

Otra idea es poner al inicio una regla que acepte todos los paquetes de una conexión establecida, aunque tengo mis dudas acerca de posibles riesgos de seguridad...

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

o bien

iptables -A INPUT -s $smbnet -p tcp --dport 137 -m state --state RELATED,ESTABLISHED -j ACCEPT

No, son buenas prácticas de programación...

Que gran verdad .

Hace tiempo programé un watchdog que ejecutaba antes de cambiar las iptables si pasados n segundos no había hecho touch a un fichero de desactivación procedia a reponer las iptables anteriores o siempre se puede hacer un flush.

En ocasiones es más útil que hacer reboot ya que no siempre es posible o recomendable