![\"\"](\"https:\/\/blog.hostinger.io\/co-tutoriales\/wp-content\/uploads\/sites\/40\/2022\/12\/Linux-cheat-sheet-ES-1024x283.png\")
<\/a><\/figure>¿Qué necesitas?<\/h2>
Antes de comenzar con el tutorial de Iptables, necesitará lo siguiente:<\/p>
- \n
- Una máquina local con el cliente SSH instalado (revisa el tutorial sobre cómo usar el cliente de putty ssh<\/a>)<\/li>\n\n\n\n
- Servidores<\/a> corriendo Ubuntu 22.04 o superior<\/li>\n<\/ul>
Si desesa obtener más información sobre los comandos SSH y SSH, sigue este tutorial.<\/p>
\n\n\n\n
¡Importante!<\/strong> Para los usuarios de RHEL \/ CentOS hay un servicio denominado firewallD que ya está instalado en estos sistemas operativos. Si desea utilizar Iptables, primero debes desactivarlo.<\/p><\/div>\n\n\n\n<\/p>
Fundamentos de Iptables<\/h2>
Todos los datos se envían en forma de paquetes a través de Internet. El kernel de Linux proporciona una interfaz que filtra los paquetes de tráfico entrante y saliente usando tablas de filtros de paquetes. Iptables es una aplicación de línea de comandos y un firewall de Linux que puedes configurar, mantener e inspeccionar estas tablas. <\/p>
Pueden definirse varias tablas. Cada tabla puede contener múltiples cadenas. Una cadena no es más que un conjunto de reglas. Cada regla define qué hacer con el paquete si coincide con ese paquete. Cuando el paquete es emparejado, se le da un TARGET<\/strong>. Un objetivo puede ser otra cadena que coincida con o uno de los siguientes valores especiales:<\/p>
- \n
- ACCEPT<\/strong>: Significa que el paquete podrá pasar.<\/li>\n\n\n\n
- DROP<\/strong>: Significa que no se permitirá que el paquete pase.<\/li>\n\n\n\n
- RETURN<\/strong>: Significa omitir la cadena actual y volver a la siguiente regla de la cadena en la que fue llamado.<\/li>\n<\/ul>
Para el alcance de este tutorial de iptables, vamos a trabajar con una de las tablas por defecto llamada filtro (filter). La tabla de filtros tiene tres cadenas (conjuntos de reglas).<\/p>
- \n
- INPUT<\/strong> – Esta cadena se utiliza para controlar los paquetes entrantes al servidor. Puede bloquear \/ permitir conexiones basadas en puerto, protocolo o dirección IP de origen.<\/li>\n\n\n\n
- FORWARD<\/strong> – Esta cadena se utiliza para filtrar los paquetes que entran al servidor pero que deben ser reenviados en otro lugar.<\/li>\n\n\n\n
- OUTPUT<\/strong> – Esta cadena se utiliza para filtrar los paquetes que salen del servidor.<\/li>\n<\/ul>
Paso 1 – Instalación de Iptables Firewall de Linux<\/h2>
1. Instalación de Iptables<\/h3>
Iptables viene preinstalado en casi todas las distribuciones de Linux. Pero si no lo tienes instalado en el sistema Ubuntu \/ Debian, usa:<\/p>
sudo apt-get update\nsudo apt-get install iptables\n<\/pre>
2. Comprobación del estado actual de los iptables<\/h3>
Con este comando, puede comprobar el estado de su configuración actual de Iptables. Aquí se utiliza la opción -L<\/b> para listar todas las reglas y la opción -v<\/b> es para una lista más tediosa. Tenga en cuenta que estas opciones distinguen entre mayúsculas y minúsculas<\/b>.<\/p>
\t\nsudo iptables -L -v<\/pre>
Ejemplo:<\/p>
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)\npkts bytes target prot opt in out source destination \n \nChain FORWARD (policy ACCEPT 0 packets, 0 bytes)\npkts bytes target prot opt in out source destination \n \nChain OUTPUT (policy ACCEPT 0 packets, 0 bytes)\npkts bytes target prot opt in out source destination<\/pre>
Esta es la salida del comando anterior. Aquí, las tres cadenas se establecen en la política ACCEPT<\/b> predeterminada. Actualmente no hay reglas para ninguna de las cadenas.<\/p>
Para hacer más práctico este tutorial de Iptables, modificaremos la cadena INPUT<\/b> para filtrar el tráfico entrante.<\/p>
Paso 2 – Definición de reglas de cadena<\/h2>
Definir una regla significa añadirla a la lista (cadena). Aquí está el comando Iptables formateado con opciones regulares. No tenemos que especificar todos ellos.<\/p>
sudo iptables -A -i -p -s --dport -j<\/pre>
Aquí -A<\/b> significa añadir. La cadena se refiere a la cadena en la que queremos añadir nuestras reglas. Interface<\/strong> es la interfaz de red en la que se desea filtrar el tráfico. Protocol<\/strong> se refiere al protocolo de la red de los paquetes que desea filtrar. También puede especificar el puerto, no el del puerto en el que desea filtrar el tráfico.<\/p>
Para obtener información más detallada sobre el comando Iptables y sus opciones, puede consultar la página principal de Iptables<\/a>.<\/p>
1. Habilitar el tráfico en localhost<\/h3>
Queremos que todas las comunicaciones entre aplicaciones y bases de datos en el servidor continúen como de costumbre.<\/p>
sudo iptables -A INPUT -i lo -j ACCEPT<\/pre>
Ejemplo:<\/p>
Chain INPUT (policy ACCEPT 7 packets, 488 bytes)\npkts bytes target prot opt in out source destination \n0 0 ACCEPT all -- lo any anywhere anywhere<\/pre>
-A<\/b> se utiliza una opción para añadir la regla a la cadena INPUT<\/b>, aceptar todas las conexiones en la interfaz lo<\/b>. lo significa la interfaz de loopback. Se utiliza para todas las comunicaciones en el localhost, como las comunicaciones entre una base de datos y una aplicación web en la misma máquina.<\/p>
2. Habilitación de conexiones en el puerto HTTP, SSH y SSL<\/h3>
Si queremos que nuestras conexiones regulares HTTP (puerto 80), https (puerto 443), ssh (puerto 22) continúen como de costumbre. Introduce los siguientes comandos para habilitarlos. En los comandos siguientes, hemos especificado el protocolo con la opción -p<\/b> y el puerto correspondiente para cada protocolo con la opción -dport (puerto de destino).<\/p>
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT\nsudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT\nsudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT<\/pre>
Ahora se aceptarán todas las conexiones de protocolo TCP<\/a> con puertos especificados.<\/p>
3. Filtrado de paquetes basados en la fuente<\/h3>
Si desea aceptar o rechazar paquetes basados en la dirección IP de origen o en el intervalo de direcciones IP, puede especificarlo con la opción -s<\/b>. Por ejemplo, para aceptar paquetes desde la dirección 192.168.1.3 –<\/p>
sudo iptables -A INPUT -s 192.168.1.3 -j ACCEPT<\/pre>
Puede eliminar paquetes de una dirección IP con un comando similar con la opción DROP<\/b>.<\/p>
sudo iptables -A INPUT -s 192.168.1.3 -j DROP<\/pre>
Si desea eliminar paquetes de un rango de direcciones IP, debe utilizar el módulo Iprange<\/b> con la opción -m<\/b> y especificar el intervalo de direcciones IP con -src-range.<\/b><\/p>
sudo iptables -A INPUT -m iprange --src-range 192.168.1.100-192.168.1.200 -j DROP<\/pre>
4. Eliminar el resto del tráfico<\/h3>
Nota: Es importante eliminar el resto del tráfico después de definir las reglas, ya que impide el acceso no autorizado a un servidor desde otros puertos abiertos.<\/p>
sudo iptables -A INPUT -j DROP<\/pre>
Este comando descarta todo el tráfico entrante distinto de los puertos mencionados en los comandos anteriores. Puede comprobar su conjunto de reglas ahora con:<\/p>
sudo iptables -L -v<\/pre>
5. Eliminación de reglas<\/h3>
Si desea eliminar todas las reglas y comenzar con una pizarra limpia, puede utilizar el comando flush.<\/p>
\t\nsudo iptables -F<\/pre>
Este comando borra todas las reglas actuales. Si deseas eliminar una regla específica, puede hacerlo con la opción -D<\/b>. En primer lugar, liste todas las reglas con números introduciendo el comando siguiente:<\/p>
sudo iptables -L --line-numbers<\/pre>
A continuación, obtendrá una lista de reglas con números.<\/p>
Chain INPUT (policy ACCEPT)\nnum target prot opt source destination \n1 ACCEPT all -- 192.168.0.4 anywhere \n2 ACCEPT tcp -- anywhere anywhere tcp dpt:https\n3 ACCEPT tcp -- anywhere anywhere tcp dpt:http\n4 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh<\/pre>
Para eliminar una regla, especifique el número en la lista y la cadena de la regla. En nuestro caso, la cadena INPUT<\/b> y el número 3<\/b>.<\/p>
sudo iptables -D INPUT 3<\/pre>
Paso 3 – Cambios persistentes<\/h3>
Las reglas de Iptables que hemos creado se guardan en la memoria. Eso significa que tenemos que redefinirlos en el reinicio. Para que estos cambios sean persistentes después del reinicio, utilice el siguiente comando en los sistemas Ubuntu \/ Debian:<\/p>
sudo \/sbin\/iptables-save<\/pre>
Este comando guarda las reglas actuales en el archivo de configuración del sistema que se utiliza para reconfigurar las tablas en el momento del reinicio. Debe ejecutar este comando cada vez que realice cambios en las reglas. Para desactivar este cortafuegos, simplemente limpie todas las reglas y haga que los cambios sean persistentes.<\/p>
sudo iptables -F\nsudo \/sbin\/iptables-save<\/pre>
Conclusión<\/h3>
En este tutorial de Iptables, hemos utilizado el firewall de Iptables Linux para permitir solamente tráfico en puertos específicos. También nos hemos asegurado de que nuestras reglas se guardarán después del reinicio. Este firewall de Linux eliminará los paquetes no deseados, pero hay una advertencia aquí que Iptables puede gobernar solo el tráfico de ipv4. Si tu casilla de servidor virtual VPS<\/a> ha habilitado la red ipv6, debe establecer diferentes reglas para ese tráfico con ip6tables.<\/p>
Te recomendamos leer nuestro post sobre qué es un VPS<\/a>. <\/p>
![\"\"](\"https:\/\/blog.hostinger.io\/co-tutoriales\/wp-content\/uploads\/sites\/40\/2023\/02\/ES-VPS-hosting_in-text-banner-1024x300.png\")
<\/a><\/figure>\n","protected":false},"excerpt":{"rendered":"Iptables es el firewall de Linux que se utiliza para supervisar el tráfico entrante y saliente a un servidor y filtrarlo basado en reglas definidas por el usuario para evitar que cualquier persona acceda al sistema. Utilizando Iptables puede definir reglas que sólo permitirán tráfico selectivo en su servidor. En este tutorial de Iptables, aprenderás […]<\/p>\n
- FORWARD<\/strong> – Esta cadena se utiliza para filtrar los paquetes que entran al servidor pero que deben ser reenviados en otro lugar.<\/li>\n\n\n\n
- DROP<\/strong>: Significa que no se permitirá que el paquete pase.<\/li>\n\n\n\n
- Servidores<\/a> corriendo Ubuntu 22.04 o superior<\/li>\n<\/ul>