iptables-essentials — Iptables Esenciales: Reglas y Comandos Comunes de Cortafuegos. | Kitploit

- [rp_filter y Seguridad Linux LPIC-3](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Configuración de rp_filter del kernel de Linux (Filtrado de ruta inversa)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [Filtrado de ruta inversa](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _Habilitar el registro de paquetes con direcciones IP malformadas._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

- [Deshabilitar el enrutamiento de origen](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [¿Qué son las redirecciones ICMP y deberían bloquearse?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _Deshabilitar los paquetes con enrutamiento de origen (paquetes con la opción de Ruta de origen estricta (SSR) o Enrutamiento de origen flexible (LSR) establecida)._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

- [¿Qué son las redirecciones ICMP y deberían bloquearse?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [El sistema operativo Red Hat Enterprise Linux debe ignorar los mensajes de redirección ICMP (Protocolo de mensajes de control de Internet) de la versión 4 del Protocolo de Internet (IPv4).](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _Active las protecciones contra inundaciones SYN (protección contra ataques de denegación de servicio (DOS))._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

- [¿Para qué sirve la difusión ICMP?](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [El sistema no debe responder a ICMPv4 enviado a una dirección de difusión.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

> _Habilite el enrutamiento IP. Necesario si su firewall protege una red, incluyendo NAT._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

#### Eliminar todas las reglas, borrar todas las cadenas y aceptar todo```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

#### Permitir todo el SSH entrante```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir SSH saliente```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir todo el HTTP entrante```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir todo el tráfico HTTP y HTTPS entrante```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir MySQL a una interfaz de red específica```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir PostgreSQL a una interfaz de red específica```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir todo el SMTP entrante```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir todo IMAPS entrante```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Permitir todo el POP3S entrante```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Bloquear Todo el Tráfico Saliente hacia las Redes de Facebook

Obtener AS de Facebook:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

#### Registrar y descartar paquetes con un número limitado de entradas de registro```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### Balanceo de carga con `random*` o `nth*````bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

#### Restringiendo el Número de Conexiones con `limit` y `iplimit*````bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

#### Mantener una Lista de Conexiones Recientes para Cotejar```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

#### Reglas basadas en tiempo con `time*````bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

#### Protección contra el escaneo de puertos```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

#### Protección contra Syn-flood```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

#### Bloquear Paquetes con Banderas TCP Falsas```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

## Ejemplos de configuración avanzada

### Manejo de paquetes en Python usando el objetivo NFQUEUE

  > _Este objetivo pasa el paquete al espacio de usuario utilizando el manejador nfnetlink_queue. El paquete se coloca en la cola identificada por su número de cola de 16 bits. El espacio de usuario puede inspeccionar y modificar el paquete si lo desea. El espacio de usuario debe entonces descartar o reinyectar el paquete en el kernel._

#### ACEPTAR todos los paquetes de una fuente específica en (filter:INPUT) y DESCARTAR todo lo demás

  > _Esta regla reenvía todos los paquetes filter:INPUT a la cola 1 con el objetivo NFQUEUE._```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

#### Escribe tu propio script de port knocking para asegurar el acceso SSH

  > _DROP todas las solicitudes SSH y envía solicitudes de puerto secreto al espacio de usuario con NFQUEUE target._```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

iptables-essentials

Más Populares

Iptables Essentials: Reglas y comandos comunes de firewall

☑️ POR HACER

Tabla de Contenidos

Herramientas para ayudarte a configurar Iptables

Manuales/Howtos/Tutoriales

Configuración útil de Kernel Settings (sysctl)

rp_filter

send_redirects

accept_redirects

icmp_echo_ignore_broadcasts

¿Cómo funciona?

Reglas de Iptables

Guardar reglas

Basado en Debian```bash

Enumere todas las reglas iptables activas con verbose```bash

Mostrar todas las reglas de iptables activas```bash

Imprimir todas las especificaciones de reglas en la cadena INPUT```bash

Para mostrar las reglas de cadena INPUT o OUTPUT con líneas numéricas y detallado```bash

Eliminar regla por especificación```bash

Vaciar todas las cadenas```bash

Insertar reglas de firewall```bash

Permitir conexiones entrantes establecidas y relacionadas```bash

Interno a Externo```bash

Bloquear una dirección IP```bash

Bloquear conexiones a una interfaz de red```bash

Permitir SSH entrante desde una dirección IP o subred específica```bash

Permitir Rsync entrante desde una dirección IP o subred específica```bash

Permitir todo el HTTPS entrante```bash

Permitir MySQL desde una dirección IP o subred específica```bash

PostgreSQL desde una dirección IP o subred específica```bash

Bloquear correo SMTP saliente```bash

Permitir todo IMAP entrante```bash

Permitir todo el POP3 entrante```bash

Descartar dirección de red privada en interfaz pública```bash

Rechazar o Aceptar Tráfico desde Dirección MAC```bash

Especificando múltiples puertos con `multiport````bash

Coincidencia contra una string* en la Carga de Datos de un Paquete```bash

Coincidencia de paquetes basada en valores TTL```bash

Protección contra fuerza bruta SSH```bash

Mitigando inundaciones SYN con SYNPROXY```bash

Paquetes XMAS```bash

Bloquear valores MSS poco comunes```bash

Bloquear paquetes de subredes privadas (Spoofing)```bash

Coincidencia contra una `string*` en la Carga de Datos de un Paquete```bash