0

Estoy intentando implementar una política restrictiva usando iptables de la siguiente manera:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

El objetivo es dar acceso solamente al servidor web, pero no me está funcionando. Además, alguna ayuda adicional respecto al orden de las reglas es bienvenida.

2

1 respuesta 1

2

Hola en primer lugar deberias limpiar las politicas actuales con un flush en las tablas

iptables -F # con esto se borran reglas
iptables -X # con esto se borran cadenas
iptables -Z # con esto se ponen esticas a cero

luego aplicar las politicas por defectos en este caso destinadas a drop

iptables -P INPUT DROP   
iptables -P FORWARD DROP 
iptables -P OUTPUT DROP

Ahora las reglas que consideres necesarias. para el caso de internet en el equipo bastaria con (agrego el multiport con los otros puertos ya que tambien supongo queireas http y https de lo contrario solo con --dport 80 seria suficiente)

iptables -A INPUT -p tcp -m multiport --dports 80,443,8080 -j ACCEPT
iptables -A OUTPUT-p tcp -m multiport --dports 80,443,8080 -j ACCEPT

si bien esto deberia funcionar estarais dejando tu equipoo expuesto completamente ya que se permiten todas las entradas por lo que en luagr de esto seria conveniente utilizar estados y solamente permitir las conecciones entrantes que esten vinculadas o relacionadas a una que previamente iniciamos desde el equipo, par aeso en lugar de lo anterior utilizariamos

     iptables -A OUTPUT -p tcp -m multiport --dports 80,443,8080 -j ACCEPT
     iptables -A INPUT  -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
2
  • Acabo de darme cuenta que el equipo en el el que aplicas es el servidor, lo había entendido como que era un cliente, en este caso las reglas de estado que te comenté no serían válidas ya que la conexión se inicia desde afuera, por lo que si bien se pueden modificar para cumplir no lo veo necesario, simplemente utiliza las reglas anteriores que no involucran estados
    – Mat
    Commented el 18 ago. 2019 a las 22:28
  • tu respuesta es correcta. yo le agregaría reglas MASQUERADE, forwarding (NAT), DNS y todo permitido para lo
    – acgbox
    Commented el 30 nov. 2021 a las 13:33

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.