Iptables Introduccion Comandos Basicos Ejemplos.

Presentación del tema: "Iptables Introduccion Comandos Basicos Ejemplos."— Transcripción de la presentación:

1 Iptables Introduccion Comandos Basicos Ejemplos

2 Iptables Que es un Firewall?
Básicamente podríamos decir que un Firewall es un dispositivo, ya sea por hardware o por software, que actúa de intermediario entre varias redes (al menos 2), dependiendo del tipo de configuración que posea, es que dejara pasar, salir o entrar determinado trafico. Es un elemento de seguridad importante, ya que con el mismo podremos especificar todo el trafico que deseemos denegar o permitir, y de esta manera tener un mejor control sobre lo que ingresa o sale de nuestra red.

3 Que es Netfilter e Iptables?
Netfilter es un Framework disponible en el núcleo linux, su principal función es el manejo de los paquetes ip, pudiendo manipular los mismos. Además bajo este nombre también se encuentra el proyecto que provee de herramientas libres para Firewalls basados en Linux, y aquí es donde aparece Iptables, una de las herramientas mas importantes, la misma permite filtrar paquetes, hacer NAT (Network Address Translation) y mantener registros (Logs), es una herramienta muy potenete. Anteriormente hasta el kernel 2.4, se encontraban las herramientas ipfwadm e ipchains, las cuales filtraban los paquetes y realizaban NAT, pero con la aparicion de Netfilter se comenzó a realizar packet filtering (filtrado de paquetes), connection tracking (seguimiento de conexiones) y Network Address Translation (NAT o traducción de direcciones de red), mejorando notablemente el desempeño del firewall.

4 Politicas de un Firewall:
Iptables Politicas de un Firewall: Denegar Todo Aceptar Todo

5 Iptables Trabaja a nivel de capa 3 de OSI
Pose tablas que se dividen en filter,nat,mangle,raw

6 Iptables Nat: Esta tabla es la responsable de configurar las reglas de reescritura de direcciones o de puertos de los paquetes. El primer paquete en cualquier conexión pasa a través de esta tabla; los veredictos determinan como van a reescribirse todos los paquetes de esa conexión

7 Iptables Filter: Esta tabla es la responsable del filtrado (es decir, de bloquear o permitir que un paquete continúe su camino). Todos los paquetes pasan a través de la tabla de filtros.

8 Iptables Mangle : Esta tabla es la responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio. Todos los paquetes pasan por esta tabla. Debido a que está diseñada para efectos avanzados, contiene todas las cadenas predefinidas posibles

9 Iptables Cadenas Input: Todo lo que entra. Output: Todo lo que sale
Forward: Todo lo que pasa, pero tiene como direccion otro destino. Prerouting: Lo que se va a realizar antes de enviar el paquete. Postrouting: Lo que se va a realizar inmediatamente después de enviar el paquete.

10 Iptables .

11 .

12 Iptables Opciones Generales: -t : tabla a utilizar, por defecto filter
-j : al final , dado que especifica objetivo -p: indica protocolo -s: ip origen -d: ip destino --dport: puerto destino --sport: puerto origen

13 Iptables Listar Reglas: Iptables -L (solo lista filter con cadenas)
Iptables -t filter -L Iptables -t filter -L –line-numbers (lista con numeros)

14 Iptables Borrar Reglas: Iptables -F (borra solo filter)
Iptables -t nat -F ( solo borra nat) Iptables -t mangle -F (solo borra mangle)

15 Iptables Agregando una regla basica:
Iptables -A INPUT -p icmp -j DROP (no deja pasar ICMP) Iptables -D INPUT -p icmp -d DROP (borra la regla anterior)

16 Iptables -R INPUT 1 -p icmp -J ACCEPT
Reemplazando: Iptables -R INPUT 1 -p icmp -J ACCEPT Otro: Iptables -t nat -A POSTROUTING -i eth0 -s /24 -j MASQUERADE (original) Iptables -t nat -R POSTROUTING 1 -i eth1 -s /24 -j MASQUERADA (reemplazo)

17 Iptables Logs : -A INPUT -p tcp -m limit --limit 3/min -j LOG --log-prefix "FIREWALL: " --log-level 6 -A INPUT -p udp -m limit --limit 3/min -j LOG --log-prefix "FIREWALL: " --log-level 6

18 Iptables Guardando reglas: /etc/sysconfig/iptables O Iptables-save
Al reiniciar el servicio carga el archivo de arriba Carga las regas del archivo reglas Iptables restore < reglas

19 Iptables Algunos ejemplos de filtrado mas usados:
Por protocolo (TCP, UDP, ICMP) Por Puerto (tanto de origen como destino) Por dirección (tanto de origen como destino) Por interfaz Por estado de conexión

20 Iptables Por protocolo: iptables -A INPUT -p TCP -j ACCEPT
iptables -A INPUT -p UDP -j DROP iptables -A INPUT -p ICMP -j DROP iptables -A OUTPUT -p all -j DROP iptables -A FORWARD -p ! TCP -j DROP

21 Iptables Por Puerto: iptables -A OUTPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport ! 22 -j DROP iptables -t nat -A PREROUTING -i br0 -p tcp --dport j DNAT --to-destination :80 iptables -t nat -A PREROUTING -i br0 -p tcp --dport j DNAT --to-destination :22

22 iptables -A FORWARD -d www.google.com.ar -j DROP
Por dirección: iptables -A FORWARD -d -j DROP

23 Iptables Por dirección:
iptables -A FORWARD -d -j DROP iptables -A FORWARD -s d j DROP aquí tenemos otro ejemplo, en este caso se le esta denegando todo el trafico proveniente de con destino

24 localhost, -i para INPUT)
Iptables Por Interfaz: iptables -A INPUT -i lo -p icmp -j DROP (aca estoy denegando el ping a la interfaz localhost, -i para INPUT) iptables -A OUTPUT -o eth0 -p icmp -j DROP (igual que arriba pero -o para OUTPUT)

25 Iptables Por estado: Las opciones para filtrar las conexiones por estado son: INVALID: una dirección desconocida. ESTABLISHED: conexión ya establecida. NEW: conexión que recién se esta creando. RELATED: asocia una conexión a otra existente.

26 Iptables iptables -A FORWARD -m state --state NEW -s p tcp --dport 1:24 -j DROP (se deniegan las conexiones nuevas para los puertos del 1 al 24) iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT aceptan conexiones relacionadas y establecidas)

27 Iptables Estableciendo políticas: iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT Se establecen políticas ACCEPT para las tablas filter y nat.

28 localhost, -i para INPUT)
Iptables Por Interfaz: iptables -A INPUT -i lo -p icmp -j DROP (aca estoy denegando el ping a la interfaz localhost, -i para INPUT) iptables -A OUTPUT -o eth0 -p icmp -j DROP (igual que arriba pero -o para OUTPUT)

29 localhost, -i para INPUT)
Iptables Por Interfaz: iptables -A INPUT -i lo -p icmp -j DROP (aca estoy denegando el ping a la interfaz localhost, -i para INPUT) iptables -A OUTPUT -o eth0 -p icmp -j DROP (igual que arriba pero -o para OUTPUT)

30 Iptables Samba: Iptabes -A INPUT -m state –state new -m udp -p udp –dport 137 -j ACCEPT Iptabes -A INPUT -m state –state new -m udp -p udp –dport 138 -j ACCEPT Iptabes -A INPUT -m state –state new -m tcp -p tcp –dport 139 -j ACCEPT Iptabes -A INPUT -m state –state new -m tcp -p tcp –dport 445 -j ACCEPT

31 Iptables Rsyslog: Iptabes -A INPUT -m state –state new -m tcp -p tcp -s –dport 514 -j ACCEPT DNS -A INPUT -m state state –state new -m tcp -p tcp –dport 53 -j ACCEPT -A INPUT -m state state –state new -m udp -p udp –dport 53 -j ACCEPT

32 Iptabes -A INPUT -m state –state new -m tcp -p tcp –dport 21 -j ACCEPT
Iptables FTP: Iptabes -A INPUT -m state –state new -m tcp -p tcp –dport 21 -j ACCEPT

33 Iptables NFS: Iptabes -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT -A INPUT -m –state new -m tcp -p tcp –dport j ACCEPT -A INPUT -m –state new -m tcp -p tcp –dport 111 -j ACCEPT -A INPUT -m –state new -m udp -p udp –dport 111 -j ACCEPT

34 Iptables Muchos clientes a un equipo:
-A FORWARD -i eth0 -o eth1 -m state -state ESTABLISHED,RELATED -j ACCEPT -A FORWARD -i eth1 -o eth0 -j ACCEPT -A FORWARD -j LOG -t nat -A POSTROUTING -o eth0 -j MASQUERADE O -t nat -A POSTROUTING -o eth0 -s j MASQUERADE

35 Bibliografía http://netfilter.org/documentation/
Fedrico Nan