Principal » Foro » Discusiones técnicas generales » Otros temas

Problema IPTables

Publicado: 6 Marzo, 2009 - 14:24 Problema IPTables

Buenas :) Soy nuevo en la comunidad, y estoy tratando de meter un poco de seguridad a la oficina. Estoy haciendo un script de iptables pero me da algun que otro problema. Tan solo me da acceso a la web si pongo el estado como ESTABLISHED | RELATED (lo cual podria entender), pero solo me lo permite si lo añado al principio... Me explico. Esto funciona:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Permitimos el acceso a la web, tanto de entrada como de salida
iptables -A INPUT -i eth2 -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -o eth2 -p tcp --dport 80 -j ACCEPT

Y esto no:

#iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Permitimos el acceso a la web, tanto de entrada como de salida
iptables -A INPUT -i eth2 -p tcp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o eth2 -p tcp --dport 80 -j ACCEPT

eth0 es la tarjeta con acceso a LAN y eth2 sirve internet. Adjunto todo el script, para todos los consejos que me podais dar. Gracias y perdonar por la pobre explicación, pero mi nivel es bastante precario :D

El script completo:

#!/bin/sh -x

#Flush de reglas
iptables -F INPUT
iptables -F OUTPUT
iptables -F
iptables -F -t nat
iptables -F -t mangle

#Borramos cualquier cadena definida anteriorimente
iptables -X
iptables -X -t nat
iptables -X -t mangle

#Script para configura iptables
#Establecemos política por defecto
#Solo dejamos entrar y salir lo solicitado
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
#iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Permitimos el acceso de localhost (Para trabajar en modo local)
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Acceso a la maquina desde la LAN
iptables -A INPUT -i eth0 -j ACCEPT

#Permitimos el acceso a la web, tanto de entrada como de salida
iptables -A INPUT -i eth2 -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -o eth2 -p tcp --dport 80 -j ACCEPT

#Permitimos el acceso al puerto seguro https
#iptables -A INPUT -p tcp --sport 443 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT

#permitimos DNS
iptables -t nat -A PREROUTING -i eth0 -p UDP --dport 53 -j DNAT --to 192.168.1.25:53

iptables -A INPUT -i eth2_IFACE -p UDP --sport 53 -j ACCEPT
iptables -A OUTPUT -o eth2 -p UDP --dport 53 -j ACCEPT
iptables -A INPUT -p TCP --sport 53 -j ACCEPT
iptables -A OUTPUT -p TCP --dport 53 -j ACCEPT

#Permitimos el acceso a SSH de entrada a nuestro PC y de salida a todos.
iptables -A INPUT -p tcp --sport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT

#permitimos hacer ping
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT

#permitimos acceso a LDAP
iptables -A INPUT -p tcp --sport 389 -j ACCEPT
iptables -A INPUT -p udp --sport 389 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 389 -j ACCEPT

#permitimos samba
iptables -A INPUT -p tcp --sport 139 -j ACCEPT
iptables -A INPUT -p tcp --sport 445 -j ACCEPT
iptables -A INPUT -p udp --sport 137 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 139 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 445 -j ACCEPT
iptables -A OUTPUT -p udp --dport 137 -j ACCEPT

Gracias a todos :)

Publicado: 7 Marzo, 2009 - 01:40 Re: Problema IPTables #1

que intentas conseguir? si te funciona de esa forma porque no lo dejas de esa forma? que inconveniente le ves?

Publicado: 11 Marzo, 2009 - 18:55 Re: Problema IPTables #2

si quieres hacer eso que mencionas lo mas razonable es hacerlo en orden
como te conectas
de tu casa a un servidor web externo lo que saldra del firewall sera un output y lo que te mande de este servidor sera input
lo correcto sera

iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -d cualquiera --dport 80 -j ACCEPT
se supone que solicitaste con eso conexion
y ahora ya la tienes entonce te responde el servidor externo con un bit ACK el cual sera una entrada a tu maquina
# como no alvergas un servidor web no es necesario habilitar el new
iptables -A INPUT -m state --state ESTABLISHED,RELATED -s cualquiera -d mi_maquina --dport 80 -j ACCEPT