Firewall y contabilidad de paquetes Introducción 11.. TTaarreeaass Muchas redes privadas no están conectadas directamente con Internet por razones de seguridad. La máquina enrutadora que hace de barrera entre la red pública y la red privada se llama firewall. Firewall es como si fuera un componente de un carro que protege al pasajero del fuego y de una posible explosión del motor. \index{Linuxconf!firewall} Esa analogia viene del hecho de que _I_n_t_e_r_n_e_t es un lugar "caliente", y en ciertas oportunidades muy caliente. Es una buena idea limitar el impacto de _I_n_t_e_r_n_e_t en su red privada. 22.. FFiillttrraaddoo ddee ppaaqquueetteess El filtrado de paquetes hace que su computador acepte o descarte paquetes IP, basado en el siguiente criterio: \index{Linuxconf!firewall!filtrado de paquetes} · Origen · Destino · Interfaz de recibimiento Origen y destino son evaluados por: · Número IP · Número del puerto · Protocolo 33.. RReeggllaass bbiiddiirreecccciioonnaalleess \index{Linuxconf!firewall!reglas} Las reglas que usted está haciendo son bidireccionales. En una pantalla, usted evalúa los paquetes que vienen del origen para un destino y viceversa. Es por eso que usted puede especificar la interfaz dos veces. 44.. RReeggllaass ddee bbllooqquueeoo Usted puede controlar los paquetes que su máquina acepta cuando llegan. Las reglas de bloqueo lo dejan descartar paquetes en el momento de su llegada. 55.. RReeggllaass ddee rreeeennvvííoo Usted puede controlar los paquetes que están para salir de su máquina. Usted puede descartar paquetes en el momento de su salida. Muchos firewalls pueden ser implementados utilizando reglas de bloqueo. Un caso especial de las reglas de reenvío son las reglas de enmascaramiento, que son administradas en la misma pantalla (usa opciones sencillas). 66.. AAccttiivvaarr llaass rreeggllaass gglloobbaall oo sseelleeccttiivvaammeennttee Usted puede desactivar permanentemente una o todas las reglas sin excluirlas. Eso es útil para una primera prueba de las capacidades de un firewall y para establecer políticas "mutables". Cada regla tiene una opción para activarla. En una pantalla es posible activar/desactivar todas las reglas de bloqueo y todas las de reenvío de una sola vez. 77.. CCuuaannddoo ttooddoo ssaallee mmaall El firewall en _L_i_n_u_x puede ser fatal. Una mala configuración puede derribar la máquina. Un comando que puede salvarle la piel es: netconf --resetfw Este comando desactiva todas las reglas de firewall. Éste no afecta a la configuración, sólo a las reglas vigentes. Un netconf --update reactivará las reglas. Puede ser queusted necesite emplear estos dos comandos para revisar si un mal funcionamiento de su red tiene como causa o no las reglas de firewall. 88.. LLaa llóóggiiccaa ddeell ffiirreewwaallll ccoonn eell LLiinnuuxxccoonnff El firewall en_L_i_n_u_x es altamente flexible y puede llegar a ser muy complicado. El _L_i_n_u_x_c_o_n_f propone una lógica que simplifica la composición de las reglas de firewall. A pesar de que esa lógica ayuda a crear y mantener un firewall básico, algunas configuraciones no pueden ser creadas con el Linuxconf. Presentamos a continuación la lógica empleada: 88..11.. LLóóggiiccaa ppoossiittiivvaa Cuando usted activa uno de los 3 sistemas de firewall (entrada, reenvío, salida), el _L_i_n_u_x_c_o_n_f definirá la política estándar para _b_l_o_q_u_e_a_r. Todas las reglas que usted coloque son brechas en el firewall. Si usted no coloca ninguna regla, su máquina quedará aislada, y puede que responda o no. 88..22.. UUnnaa ssoolluucciióónn pprreeffaabbrriiccaaddaa ddee ffiirreewwaallll He aquí un ejemplo para una red sencilla. A lo sumo, usted tiene una eth0 apuntando para la red local. Ninguna persona de fuera debe acceder esa red. La eth1 apunta para un enrutador en Internet. 88..22..11.. RReeggllaass ddee bbllooqquueeoo:: aacceeppttaannddoo ttooddooss llooss ppaaqquueetteess IICCMMPP Protocolo ICMP -----------De----------------- Máquina o red 0.0.0.0 Máscara Faja de puertos Otros puertos Interfaz eth1 -----------Para--------------- Máquina o red eth1 Máscara Faja de puertos Otros puertos Interfaz Any 88..22..22.. RReeggllaass ddee bbllooqquueeoo:: aacceeppttaannddoo ssóólloo ppaaqquueetteess DDNNSS Protocolo udp -----------De----------------- Máquina o red 0.0.0.0 Máscara 0.0.0.0 Faja de puertos Otros puertos Interfaz eth1 -----------Para----------------- Máquina o red eth1 Máscara Faja de puertos Otros puertos Interfaz Any 99.. EEssttaaddoo ddeell ssooppoorrttee aall ffiirreewwaallll eenn LLiinnuuxxccoonnff El firewall es un tópico caliente hoy en día y también es un arte que se considera aún como oscuro. El _L_i_n_u_x_c_o_n_f está intentando volverlo un poco más accesible. El autor espera recibir comentarios referentes a este tópico.