redes

UNIDAD DIDACTICA 12
CONFIGURACIÓN DE IPTABLES EN
GNU/LINUX
Eduard Lara

1

IPTABLES
La comanda IPTABLES
se utiliza en linux para la
configuración de un
firewall.
IPTABLES permite
realizar la programación
de servicios NAT y Listas
de Acceso

2

1. INTRODUCCIÓN
El comando iptables se utiliza en linux para la
configuración de un firewall.
La comanda iptables permite filtrari/o modificar
algunos campos de los paquetes a medida que atraviesan
diferentes etapas (o chains) del nivel IP de la máquina
linux. Estas etapas son PREROUTING, FORWARD,
POSTROUTING, INPUT y OUTPUT.
Cuando el paquete atraviesa una de estas etapas, el
nivel IP consulta unas tablas donde la comanda iptables
permite añadir las reglas de procesado. Estas tablas son
mangle, filter y nat.

31. ETAPAS QUE SIGUE UN PAQUETE
DENTRO EN LAS RUTINAS TCP/IP
Esquema de las etapas que sigue un paquete desde que
se recibe de la red o se genera en un proceso local, hasta
que se transmite o se recibe por un proceso local.

En la figura se
muestra las tablas
que hay en cada
etapa y el orden en
el que se consultan.

4

1. ETAPAS QUE SIGUE UN PAQUETE
DENTRO EN LAS RUTINAS TCP/IPCamino del routing
POSTROUTING

FORWARDING

PREROUTING

Proceso local

INPUT

PREROUTING

Proceso local

OUTPUT

POSTROUTING

Llamada al firewall

Llamada localhost desde el firewall
INPUT

OUTPUT

Proceso Local
5

1. TABLAS DE LAS IPTABLES
La tabla mangle permite añadir reglas que cambian
algunos campos de los paquetes, como TTL o TOS.
La tabla nat permite añadirreglas que cambian las
direcciones IP de los paquetes. Los tipos de reglas son:
SNAT para cambiar la dirección fuente y DNAT para
cambiar la dirección destino.
La tabla filter permite añadir reglas de filtrado. Los
tipos de reglas son: DROP para rechazar un paquete y
ACCEPT para aceptarlo.

6

2. CREACIÓN DE REGLAS CON
EL COMANDA IPTABLES
El formato genérico del comando iptables es:iptables [-t ] -j
Si no se indica la tabla, se considera que la regla se
aplica a la tabla filter.
La expresión (o match) identifica cuales son los
paquetes a los que hay que aplicar la regla.
El tipo de regla (o target) identifica que es lo que se
debe de hacer con los paquetes (DROP, ACCEPT, SNAT o
DNAT).
7

2. COMANDOS DE LAS IPTABLES
-A : añade una regla a una tabla de la etapa. Por ejemplo: iptables –A INPUT ...
-D : borra la regla de una taula de la
etapa . Las reglas se enumeran a partir de 1.
Por ejemplo: iptables –t –D
-I ...: inserta una regla en la línea indicada.
Por ejemplo: iptables –I INPUT 1 –-dport 80 –j ACCEPT
-L : lista las reglas de una tabla de .
Admite la opción –n para que no intente traducir las
direcciones numéricas a nombres, -vporque sea más
“verbose” y --line para mostrar el número de regla.
Por ejemplo, iptables –t --line –nvL .
8

2. COMANDOS DE LAS IPTABLES
-P : especifica el tipo de regla por defecto de
una taula de (análogo a la comanda que rechaza
todos los paquetes que hay al final de una lista de acceso
en un router Cisco). Si esta comanda no se ejecuta, la
regla por defecto es ACCEPT.
Por ejemplo,para que la regla por defecto en la tabla
filter de la etapa INPUT sea descartarlo todo
ejecutaríamos: iptables –P INPUT DROP.

9

3. EXPRESIONES GENERICAS
- p : identifica el protocolo
Para identificar los protocolos se puede utilizar el número
de protocolo o el nombre (fichero /etc/protocols), asi
como: icmp, udp, tcp, ip, etc
Se puede utilizar el nombre ALL para identificar todos losprotocolos (valor por defecto si no se utiliza -p)
Se puede invertir la expresión con el operador !
Ejemplos:
-p ! tcp
Indica cualquier protocolo excepto TCP.
iptables –A INPUT –p tcp ...
Añadirá a la tabla filter de
la etapa INPUT una regla que se aplicará a todos los
paquetes TCP.
10

3. EXPRESIONES GENERICAS
-s : Identifica todos los paquetes con
. Se puede añadir una máscara...