FIREWALL DE CENTOS

 QUE ES UN FIREWALL!

Es un hardware especifico con un sistema operativo o una IOS que filtra el tráfico TCP-UDP-ICMP-IP... y decide si un paquete pasa, se modifica, se convierte o se descarta. para que un firewall entre redes funcione como tal debe tener al menos dos tarjetas  de red. 

TOPOLOGIA CLÁSICA DE UN FIREWALL

 

ESQUEMA TIPICO DE FIREWALL PARA PROTEGER UNA RED LOCAL CONECTADA A INTERNET A TRAVES DE UN ROUTER, EL FIREWALL DEBE COLOCARSE ENTRE EL ROUTER   (CON UN UNICO CABLE)   Y LA RED LOCAL  (CONECTADO AL SWITCH O AL HUB DE LA LAN).

Netfiler es un firewall basado en host para los sistemas operativos linux (centOS, Redhat, Fedora), esta incluido como parte de la distribución de linux y se activa por defecto.Este  firewall es controlado por el programa llamado "iptables".Netfilter tendra lugar en el nivel del núcleo, antes de que un programa  puede  incluso procesar los datos de los paquetes de red.

un firewall de iptables esta integrado con el kernel, es parte del  S.O,  ¿como se pone en marcha?

 realmente lo que se hace es aplicar reglas, para ello se ejecuta el comando "iptables" , con el que añadimos,borramos, o creamos reglas, por ello un firewall de iptables no es si no un simple script de shell en el que se van ejecutando las reglas de firewall.

 Los ficheros de configuración por defecto  son : /etc/sysconfig/ipables.

ACTIVAR FIREWALL:

chkconfig iptables on
service iptables start
# restart the firewall
service iptables restart
# stop the firewall
service iptables stop

 CADENAS DEL FIREWALL:

 INPUT:   (CADENA DE ENTRADA), se utiliza para los paquetes dirigidos hacia el sistema, se usa para abrir o cerrar puertos de entrada y las direcciones IP/ subred, ""paquetes que llegan a nuestra máquina"".

OUTPUT:  (CADENA DE SALIDA), se utiliza cuando los paquetes  se generan desde el sistema,utilice estos puertos de salida  de apertura o cierre y las direcciones IP /subredes ""paquetes que salen de nuestra máquina"".

FORWARD:  (CADENA DE REDIRECCIÓN), se utiliza cuando se envian los paquetes a través de otra interface, usar esta cadena para enviar  y recibir tráfico de red local a internet ( cuando le vas a dar salida a la red tu server debe tener al menos 2 nicks, una apuntando hacia la red interna y la otra hacia el exterior de tu red) , permite al administrador controlar donde se enviaran los paquetes dentro de una LAN ""paquetes que pasan por nuestra máquina"".

 

RH-Firewall-1-INPUT: esta es una cadena de usuario personalizado, es utilizado por el INPUT, OUTPUT y las cadenas FORWARD.

SIGNIFICADOS DE DESTINO:

- EL OBJETIVO ACCEPT SIGNIFICA PERMITIR PAQUETE.

- EL OBJETIVO REJECT SIGNIFICA DESCARTAR EL PAQUETE Y ENVIAR UN MENSAJE DE ERROR AL HOST REMOTO.

- EL OBJETIVO DROP SIGNIFICA DESCARTAR EL PAQUETE Y NO ENVIAR UN MENSAJE DE ERROR AL HOST REMOTO O EL ENVIO DE ACOGIDA.

MODIFICACIONES NECESARIAS EN EL FIREWALL:

SERVICIO IPTABLES:  Se puede utilizar directamente el comando "iptables" ::

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT
service iptables save

O añadiendo una configuración en el archivo  /etc/sysconfig/iptables:

-A INPUT -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT -A INPUT -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT

Y reinicie el servicio iptables:

service iptables restart

NOTA: LA HERRAMIENTA "IPTRAF" DEPURA Y COMPRUEBA EL FUNCIONAMIENTO  DE IPTABLES, CON IPTRAF PODEMOS COMPROBAR SI LAS CONEXIONES TCP/IP SE LLEGAN A ESTABLECER O NO.