Firewalls para Linux

El software libre también ofrece varias opciones en materia de seguridad; por ejemplo, en el tema de firewalls. En esta ocasión se describe la configuración de IPChains, así como sus funcionalidades básicas como el bloqueo de soluciones externas a la red.

Para cualquier organización, lo más importante son sus activos de información. Se trata de bancos de datos que manejan cuentas de usuarios relacionados con la facturación e incluso, en el hogar se guardan documentos personales valiosos, fechas importantes o tareas escolares, por citar algunos ejemplos.
Por ello es indispensable mantenerse protegido, y esto también aplica al mundo de los servidores. Por esta razón, la protección puede realizarse mediante los denominados firewalls o muros de fuego, que básicamente son «filtros» en los que si los datos cumplen ciertas características y parámetros, serán aprobados y transmitidos (la definición y descripción de un firewall es por demás extensa, invitamos a nuestros lectores a documentarse más sobre este tema, al final del presente artículo indicamos unas ligas que puede visitar para tal fin).
Es obvio que existen un sin fin de alternativas, algunas de ellas basadas en el hardware, y otras en el software. Muchas de ellas son comerciales y otras libres, y de estas últimas hablaremos con detalle en el presente artículo.
La configuración
En Linux existe una potente herramienta denominada IPCHAINS que nos permite controlar los paquetes que pasan por nuestra red (hacia y/o desde), lo cual incrementa nuestra seguridad, incluso realizar una vigilancia de nuestros equipos.
A continuación mostramos una pequeña configuración de un firewall implantada mediante IPChains.
Antes de continuar especifiquemos nuestro escenario.
— Se tiene un servidor con IP 123.123.123.123
— Se desea acceso desde y hacia otro servidor con IP 234.234.234.234
— Se negará el acceso al servidor de paquetes provenientes de la red 148.240.0.0
— Se negará el acceso al servidor de paquetes provenientes del servidor 210.181.240.55
— Se permitirá el acceso al servicio Web del servidor
— Se permitirá el acceso al servicio de FTP del servidor
IP=`/sbin/ifconfig eth0| grep \\’inet addr\\’| awk \\’ {print $2} \\’| sed -e «s/addr\://»`
servidor1=»123.123.123.123″
servidor2=»234.234.234.234″
TODAS=»0.0.0.0/0″
PUERTOS_ALTOS=»1024:65535″
PUERTOS_BAJOS=»0:1023″
PUERTOS=»0:65535″
/sbin/ipchains -P input DENY
/sbin/ipchains -P output DENY
/sbin/ipchains -P forward DENY
/sbin/ipchains -F input
/sbin/ipchains -F output
/sbin/ipchains -F forward
/sbin/ipchains -A input -j DENY -s 148.240.0.0/255.255.0.0 -d $IP
/sbin/ipchains -A input -j DENY -s 210.181.240.55 -d $IP
/sbin/ipchains -A input -j ACCEPT -s 127.0.0.1 -d 127.0.0.1
/sbin/ipchains -A output -j ACCEPT -s 127.0.0.1 -d 127.0.0.1
/sbin/ipchains -A input -j ACCEPT -p tcp -s $TODAS $PUERTOS_ALTOS -d $IP 20
/sbin/ipchains -A input -j ACCEPT -p udp -s $TODAS $PUERTOS_ALTOS -d $IP 20
/sbin/ipchains -A input -j ACCEPT -p tcp -s $TODAS $PUERTOS_ALTOS -d $IP 21
/sbin/ipchains -A input -j ACCEPT -p udp -s $TODAS $PUERTOS_ALTOS -d $IP 21
/sbin/ipchains -A input -j ACCEPT -p tcp -s $TODAS $PUERTOS_ALTOS -d $IP 80
/sbin/ipchains -A input -j ACCEPT -p udp -s $TODAS $PUERTOS_ALTOS -d $IP 80
Bloquear aplicaciones específicas
De manera similar, además de proporcionar una mayor seguridad al servidor, podemos también realizar bloqueos o filtrado optimizando el ancho de banda disponible, esto por ejemplo bloqueando el acceso hacia o desde ciertos sitios o servicios; por ejemplo si
queremos denegar el servicio de ICQ podemos poner lo siguiente:
/sbin/ipchains -A input -b –sport 5190:5193 -j DENY
/sbin/ipchains -A output -b –dport 5190:5193 -j DENY
/sbin/ipchains -A output -b –dport 9898 -j DENY
/sbin/ipchains -A input -b -s login.oscar.aol.com -j DENY
/sbin/ipchains -A input -b -s login.icq.com -j DENY
Como se puede ver las opciones son muchas, es necesario conocer lo que se desea realizar, para realizar la implantación de una cadena efectiva que realice lo buscado.
Para obtener más información, sugiero las siguientes ligas
— http://www.netfilter.org/ipchains/spanish/HOWTO.html
Howto de IPCHAINS en español.
— http://www.xtech.com.ar/articulos/ipchains/html/
Manual de IPCHAINS