2

Tengo una configuración de iptables en una máquina Linux, la cual quiero que actúe de firewall para la red local.

¿Qué tengo que configurar en las máquinas de la red local?

  • La red interna que estoy usando (para las máquinas): 192.168.100.0/24
  • Entre el router y el firewall: 192.168.26.0/24

La máquina donde tengo la configuración es Proxmox. Tiene varias interfaces de red, una de ellas está conectada un router, por lo que la idea es tenerla como puerta de enlace:

  • enp0s3 (192.168.100.8)
  • enp0s8 (192.168.26.148)
  • enp0s9 (sin asignar)
  • vmbr0 (192.168.100.2)

Las que estoy usando para interna es enp0s8 e interna enp0s3.

La red en la que estoy haciendo las pruebas consta de dos máquinas Proxmox y una Debian, el firewall que trato de poner en funcionamiento y un router.

Me gustaría que estas pudieran tener acceso a internet pero con las restricciones ya incluidas en la configuración del firewall.

He activado el reenvío de paquetes en la máquina que hará de firewall. La IP de gateway de la red la tengo apuntando a la máquina que hará de firewall. El gestor de firewall que uso es directamente iptables.

6
  • 1
    Esta es una pregunta demasiado amplia. ¿Qué distribución Linux usas? ¿Vas a usar esa máquina como puerta de enlace del resto de equipos de la red? ¿Tendrá conexión directa a Internet o pasará a través de un nuevo router para salir a Internet?
    – franmost
    Commented el 3 jun. 2019 a las 9:36
  • 1
    Bienvenido a la comunidad. Por favor, recuerda aportar toda la información necesaria para poder ayudarte. Como te ha apuntado @franmost tu pregunta es demasiado amplia para poder responderse sin aportar mayor información. Te recomendaría que compartieras un pequeño esquema de la red o algo que nos haga una idea de lo que tienes y de lo que deseas conseguir. Commented el 3 jun. 2019 a las 9:39
  • Perdón por la amplitud de la pregunta, ya he tratado de incluir un par de datos más
    – 0asir
    Commented el 3 jun. 2019 a las 9:45
  • Creo que lo que me vendria mejor ahora mismo es hacer una doble nat
    – 0asir
    Commented el 3 jun. 2019 a las 11:59
  • Por favor no usar los comentarios para charlas extendidas. 0asir edita tu pregunta (usa el boton editar) y agrega toda la informacion que te fueron pediendo en la misma. Luego borren todos los comentarios que ya no sirvan.
    – gbianchi
    Commented el 3 jun. 2019 a las 16:52

1 respuesta 1

2

El problema que sufres es que las máquinas de la red interna usan un direccionamiento IP (192.168.100.0/24) al que el router de Internet no es capaz de llegar por desconocer a través de qué equipo puede acceder a dicha red.

El tráfico generado por tu red interna atraviesa el firewall, éste lo envía al router de Internet, pero cuando el router de Internet trata de enviar un paquete de vuelta se pierde por no conocer la manera de enviarlo (o lo filtra o trata de hacerlo volver de nuevo a Internet, por ser su ruta por defecto).

Existen dos formas de solucionar el problema:

  • Enseñarle al router cómo llegar a la red interna mediante una ruta estática o protocolos dinámicos como RIP u OSPF.
  • Hacer que el firewall haga NAT para representar con su propia IP a los equipos de la red interna ante el router.

Ruta estática

La solución más sencilla es agregar una ruta estática en el router indicándole que para llegar a 192.168.100.0/24 debe enviar los paquetes a la IP del firewall, 192.168.26.148.

Este procedimiento cambia con cada modelo de router, por lo que no puedo hacer una explicación detallada de los pasos necesarios para completar esta solución.

Doble NAT

Para que el firewall represente con su IP a los equipos de su red interna basta con usar la siguiente instrucción en el firewall:

iptables -t nat -A POSTROUTING -o enp0s8 -j MASQUERADE

A partir de ahora todos los paquetes que salgan por la interfaz enp0s8 (la que comunica el firewall con el router) harán uso de la IP de dicha interfaz (NAT), por lo que a efectos prácticos el router ve todo el tráfico de la red interna proviniendo del firewall, al que sí sabe cómo enviar los paquetes de vuelta (y éste, siguiendo sus tablas de NAT, sabrá devolver dicho paquete al origen inicial).

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.