Reglas avanzadas de firewall (IPTables)

IPTables es el potente firewall integrado de Linux. Aunque ya hemos visto los conceptos básicos, ofrece funciones avanzadas para un control preciso.

En esta lección aprenderá a usar reglas complejas, filtrado con seguimiento de estado y traducción de direcciones de red (NAT) para proteger y gestionar realmente la red de su servidor.

IPTables organiza las reglas en tablas, cada una con una finalidad específica. Dentro de las tablas se encuentran las cadenas, que son listas de reglas evaluadas en orden.

• Tabla filter: La tabla predeterminada, utilizada para filtrar (bloquear o permitir) paquetes. Contiene las cadenas INPUT, OUTPUT y FORWARD.
• Tabla nat: Se utiliza para la traducción de direcciones de red (NAT). Contiene las cadenas PREROUTING, POSTROUTING y OUTPUT.
• También existen otras tablas, como mangle y raw, para la modificación especializada de paquetes.

Un firewall con seguimiento de estado realiza un seguimiento del estado de las conexiones de red. En lugar de comprobar cada paquete individualmente, recuerda si un paquete pertenece a una conexión existente y establecida.

Estados de conexión principales:

• NEW: El primer paquete de una conexión nueva.
• ESTABLISHED: Paquetes que pertenecen a una conexión existente y activa.
• RELATED: Paquetes que inician una conexión nueva relacionada con otra existente (por ejemplo, una transferencia de datos FTP).

Las reglas con seguimiento de estado simplifican enormemente la gestión del firewall. Puede permitir todo el tráfico perteneciente a conexiones establecidas, de modo que solo necesita definir reglas para iniciar conexiones NEW.

Esta regla permite todos los paquetes entrantes que forman parte de una conexión ya establecida o relacionada:

IPTables permite combinar varios módulos de coincidencia y opciones para crear reglas muy específicas. Esto ayuda a ajustar con precisión el acceso a distintos servicios y desde distintos orígenes.

Ejemplo: Permitir SSH (puerto 22) desde una subred específica (192.168.1.0/24) únicamente para conexiones nuevas.

La traducción de direcciones de red (NAT) modifica la información de direccionamiento de red en la cabecera IP de los paquetes mientras están en tránsito. Es fundamental para:

• Permitir que varios dispositivos de una red privada compartan una única dirección IP pública (por ejemplo, los routers domésticos).
• Redirigir puertos, enviando solicitudes externas a servidores internos.

Hay dos tipos principales: NAT de origen (SNAT) y NAT de destino (DNAT).

La traducción de direcciones de origen (SNAT) cambia la dirección IP de origen de los paquetes. Se utiliza habitualmente cuando los servidores internos necesitan acceder a Internet a través de un servidor de puerta de enlace con una IP pública.

El enmascaramiento es una forma específica de SNAT en la que la dirección IP de la interfaz saliente se utiliza automáticamente como IP de origen, lo que resulta útil con direcciones IP dinámicas.

Ejemplo: Permitir que la red interna 192.168.0.0/24 acceda a Internet a través de eth0.

Destination NAT (DNAT) cambia la dirección IP de destino de los paquetes. Es ideal para el reenvío de puertos, que permite exponer en Internet, mediante la IP pública del servidor de puerta de enlace, un servicio que se ejecuta en un servidor interno.

Ejemplo: reenviar las solicitudes web entrantes (puerto 80) de eth0 a un servidor web interno en 192.168.1.100.

IPTables puede ayudarle a protegerse contra ataques comunes, como los intentos de inicio de sesión por fuerza bruta (por ejemplo, mediante SSH), limitando la velocidad a la que se aceptan nuevas conexiones desde una IP de origen.

El módulo limit permite especificar una frecuencia y un límite de ráfaga. Recuerde descartar las conexiones posteriores una vez alcanzado el límite.

Ejemplo: limitar las conexiones SSH nuevas a 3 por minuto, con una ráfaga inicial de 3 conexiones, y descartar las demás.

Considere un servidor que actúa como puerta de enlace. Tiene una interfaz pública eth0 y una interfaz interna eth1 (conectada a 192.168.1.0/24).

¿Qué comando de IPTables permitiría acceder desde Internet a un servidor web interno en 192.168.1.50 mediante el puerto 80?

¡Enhorabuena! Ha explorado conceptos avanzados de IPTables:

• Firewall con seguimiento de estado mediante los estados ESTABLISHED, RELATED y NEW.
• Creación de reglas complejas combinando varios criterios de coincidencia.
• Implementación de Network Address Translation (NAT) para el tráfico saliente (SNAT/Masquerade) y entrante (DNAT/Port Forwarding).
• Uso del módulo limit para ofrecer una protección básica contra ataques.

Estas habilidades son fundamentales para crear entornos de servidores Linux sólidos y seguros. Recuerde guardar las reglas de IPTables después de realizar cambios, ya que no son persistentes de forma predeterminada.