Unix/Linux

El kernel Linux incluye el subsistema Netfilter, que es usado para manipular o decidir el destino del tráfico de red entre o a través de su red. Todas las soluciones firewall Linux modernas utilizan este sistema para el filtrado de paquetes.

El sistema de filtrado de paquetes del núcleo resulta de poca ayuda a los administradores si no se tiene una interfaz de usuario para gestionarlo. Éste es el proposito de Iptables. Cuando un paquete llega a su servidor, éste es gestionado por el subsistema Netfilter para aceptarlo, manipularlo o rechazarlo basándose en las reglas suministradas a éste via iptables. Así, iptables es todo lo que necesita para manejar su cortafuegos si está familiarizado con él, pero existen muchos interfaces de usuario disponibles para simplificar esta tarea., por ejemplo Firestarter

Aclaramos que en versiones anteriores al kernal 2.4.* se llamaba ipchain, pero a partir de esta versión se cambió a Iptables, mucho mas potente.

Iptables está basado en el uso de TABLAS dentro de las tablas, CADENAS, formadas por agrupación de REGLAS, parámetros que relativizan las reglas y finalmente una ACCION, que es la encargada de decir qué destino tiene el paquete.

Describimos los elementos y luego vemos un sencillo script básico.

FILTER (filtrado)Permite generar las reglas de filtrado o sea, que paquetes aceptar, cuales rechazar o cuales omitir.Es la tabla por defecto. Las cadenas serán: INPUT OUTPUT y FORWARD.

NAT (Network Address Translation) Desde esta tabla es posible el enmascaramiento de IP, se usa para redireccionar puertos o cambiar las :IPs de origen y destino a través de interface de red. Las cadenas serán :PREROUTING y POSTROUTING

MANGLE (Modificado de paquetes)Permite la modificación de paquetes como ToS (Type of Service), TTL (Time to live)o mark, marcar el paquete.

RAW Esta tabla se usa para configurar principalmente excepciones en el seguimiento de paquetes en combinación con la acción o target NOTRACK. Trabaja sobre la cadena PREROUTING Y OUTPUT y su única acción es Notrack. Puede evitar que iptables haga un seguimiento de los paquetes.

Describimos los elementos y luego vemos un sencillo script básico.

OUTPUT

FORWARD

PREROUTING

POSTROUTING

OUTPUT

PREROUTING

OUTPUT

A partir de aquí, dividiremos las opciones en algunos grupos

Como hacíamos referencia mas arriba, dentro de las tablas hay cadenas a su vez vez formadas por agrupaciones de reglas. Es importante ver que, cada tabla tiene cadena por defecto, que no se pueden eliminar.

A las CADENAS por defecto podemos unir cadenas creadas por nosotros mismos para un mejor funcionamiento del filtrado o el enrutamiento.

El comando IPTABLES tiene a su vez parámetros y comandos que permitirán definir el comportamiento de una o varias reglas. Esto es, agregar una regla, modificar una regla existente, eliminar el nombre de una cadena

Describimos algunos de los comandos mas comunes.

Todas las reglas en iptables tienen definida su condición por los parámetros, que constituyen su parte primordial.

Algunos de estos parámetros son:

Y finalmente, las ACCIONES que estarán siempre al final de cada regla que determinará que hacer con los paquetes afectados. Si no se especifica ninguna acción, se ejecutará la opción por defecto que cada cadena tiene asignada. Las acciones serïan:




ACCEPT--->    Paquete aceptado.



REJECT--->    Paquete rechazado. Se envía notificación a través del protocolo ICMP.



DROP--->    Paquete rechazado. Sin notificación



MASQUERADE--->Enmascaramiento de la dirección IP origen de forma dinámica.Esta acción es sólo válida en la tabla NAT en la cadena postrouting.



DNAT--->    Enmascaramiento de la dirección destino, muy conveniente para re-enrutado de paquetes.



SNAT--->    enmascaramiento de la IP origen de forma similar a masquerade, pero con IP fija.






Ya tenemos los componetes esenciales para formar las reglas que determinarán la aceptación o denegación de entrada y salida de paquetes de nuestra máquina, tanto a través de Internet,como de nuestra propia red doméstica.



Ahora veremos cómo se construyen las reglas y como hacer un script de shell en el que se van aplicando aquellas reglas que necesitemos.






MUY IMPORTANTE. Cuidado con el orden en el cual disponemos las reglas.

IPTABLES LEE DE MANERA SECUENCIAL LAS CADENAS DE REGLAS.

Es decir, comienza por la primera y verifica que se cumpla la condición y
la ejecuta sin verificar las siguientes.

Por consiguiente, si la primera regla en la tabla filter de la cadena
input es rechazar cualquier paquete,las siguientes reglas no serán verificadas,

y se rechazará cualquier paquete. 

La estructura o el esqueleto de una regla basicamente sería:

iptables --> -t -->tabla -->tipo_operación -->cadena -->regla_con_parámetros -->Acción

Explicamos por pasos agregando debajo valores reales:

Ahora quitando espacios:

iptables -t filter -A INPUT -p tcp -dport 23 -j DROP

¿Qué nos dice esta cadena de reglas?

Que en la tabla filter, la cadena input filtra los paquetes con protocolo tcp que entran por el puerto 23 (puerto asignado a telnet) y éstos son rechazados (DROP) sin ninguna notificación.

Algunas consideraciones. De acuerdo con lo hemos comentado antes, podríamos escribir lo mismo de otra forma,por ej. quitando "-t filter", ya que es la tabla por defecto, además podemos cambiar el número de puerto por"telnet" que en realidad es su puerto asignado. Queda:

iptables -A INPUT -p tcp -dport telnet -j DROP

Si por el contrario, quisiéramos aceptar estos paquetes:

iptables -A INPUT -p tcp -dport telnet -j ACCEPT

O aceptamos tráfico http:

iptables -A INPUT -p tcp -dport http -j ACCEPT

donde también podemos especificar el interfaz de entrada (-i etho)

iptables -A INPUT -i eth0 -p tcp -dport http -j ACCEPT

también:

iptables -A INPUT -p tcp -dport 80 -j ACCEPT

Aplicando los conceptos anteriores:

sudo iptables -L 

se listan las actuales reglas en iptables. Si acabas de instalar un servidor, aun no tendrás normas, así que deberías ver:

Chain INPUT (policy ACCEPT) target     prot opt source               destination  Chain FORWARD (policy ACCEPT) target     prot opt source               destination  Chain OUTPUT (policy ACCEPT) target     prot opt source               destination 

Logs 

Los registros del firewall son esenciales para reconocer ataques, corregir problemas en las reglas de su firewall, y observar actividades inusuales en su red. Debe incluir reglas de registro en su firewall para poder activarlos, y las reglas de registro deben aparecer antes de cualquier otra regla final aplicable (una regla con un objetivo que decide el destino del paquete, como ACCEPT, DROP o REJECT). Por ejemplo,

sudo iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j LOG --log-prefix "NEW_HTTP_CONN: "


Una petición al puerto 80 desde la máquina local, por tanto, podría generar un registro en dmesg con el siguiente aspecto:

[4304885.870000] NEW_HTTP_CONN: IN=lo OUT= MAC=00:00:00:00:00:00:00:00:00:00:00:00:08:00 src=127.0.0.1 DST=127.0.0.1 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=58288 DF PROTO=TCP SPT=53981 DPT=80 WINDOW=32767 RES=0x00 SYN URGP=0


El registro anterior también aparecerá en /var/log/messages, /var/log/syslog y /var/log/kern.log. Este comportamiento se puede cambiar editando apropiadamente el archivo /etc/syslog.conf, o instalando y configurando ulogd y utilizando el objetivo ULOG en lugar del LOG. El demonio ulogd es un servidor en espacio de usuario, que escucha las instrucciones de registro que provienen del núcleo y que sean específicamente para firewalls, y puede registrar cualquier archivo que desee, o incluso a una base de datos PostgreSQL o MySQL. Se puede simplificar la interpretación del significado de los registros del firewall usando una herramienta de análisis de registros como fwanalog, fwlogwatch o lire.

 

El mecanismo principal de impresión y de servicios de impresión en Ubuntu es el Sistema de Impresión Común de UNIX (Common UNIX Printing System, CUPS). Este sistema de impresión es una capa de impresión libre y portable que se ha convertido en el nuevo estándar de impresión en la mayoría de las distribuciones de GNU/Linux.

CUPS gestiona los trabajos y tareas de impresión, y proporciona impresión de red utilizando el Protocolo estándar de Impresión en Internet (IPP), que dispone de soporte para una gran gama de impresoras, desde matriciales hasta láser. CUPS también soporta PostScript Printer Description (PPD) y autodetección de impresoras de red, y dispone de una sencilla herramienta basada en web para la configuración y administración.

Instalación

Para instalar CUPS en tu equipo Ubuntu, simplemente usa sudo con la orden apt-get y proporciona como primer parámtro el nombre de los paquetes a instalar. Una instalación completa de CUPS tiene muchas dependencias de paquetes, pero pueden especificarse todas ellas en la misma línea de órdenes. Introduce lo siguiente en la línea de órdenes de una terminal para instalar CUPS:

sudo apt-get install cupsys cupsys-client 

Tras autenticarte con su contraseña de usuario, los paquetes se descargarán y se instalarán sin errores. Tras finalizar la instalación, el servidor CUPS se iniciará automáticamente. Con el propósito de ayudar a la resolución de posibles problemas, puedes acceder a los errores del servidor CUPS consultando el archivo de registro de errores en: /var/log/cups/error_log. Si el registro de errores no mostrara información suficiente para resolver los problemas encontrados, se podría incrementar el detalle del registro de CUPS cambiando la directiva LogLevel en el archivo de configuración (como se indicó antes) del valor predeterminado «info» al valor «debug», o incluso «debug2», lo que registrará todo. Si haces este cambio, recuerda volverlo a su valor original una vez hayas resuelto tu problema, para evitar que el archivo de registro crezca demasiado.

Configuración

El comportamiento del servidor CUPS se configura a través de las directivas contenidas en el archivo /etc/cups/cupsd.conf. El archivo de configuración de CUPS tiene la misma sintaxis que el archivo principal de configuración del servidor HTTP Apache, por lo que los usuarios acostumbrados a editar el archivo de configuración de Apache se sentirán como en su casa cuando editen el archivo de configuración de CUPS. Se presentarán aquí algunos ejemplos de opciones que puedes desear cambiar inicialmente.

Antes de editar un fichero de configuración debes hacer una copia del archivo original y protegerla contra escritura, así tendrás la configuración original como referencia, y podrás reusarla si fuera necesario.

Haz una copia del archivo /etc/cups/cupsd.conf con el siguiente comando:

sudo cp /etc/cups/cupsd.conf /etc/cups/cupsd.conf.original  

y protégelo contra escritura

sudo chmod a-w /etc/cups/cupsd.conf.original 

• ServerAdmin: Para configurar la dirección de correo del administrador designado en el servidor CUPS simplemente edita el fichero de configuración /etc/cups/cupsd.conf con tu editor de textos preferido y modifica la línea ServerAdmin como sea conveniente. Por ejemplo, si tu eres el Administrador del servidor CUPS, y tu dirección de correo es ' Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla ', entonces deberás modificar la línea ServerAdmin con algo como esto:

ServerAdmin 
  Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla
  

Para más ejemplos de directivas de configuración en el archivo de configuración del servidor CUPS, consulta la página de manual asociada introduciendo el siguiente comando en un terminal:

man cupsd.conf 

Una vez hayas realizado cambios en el archivo de configuración /etc/cups/cupsd.conf, necesitarás reiniciar el servidor CUPS tecleando la siguiente orden en la línea de órdenes de una terminal:

sudo /etc/init.d/cupsys restart 

Otras opciones de configuración para el servidor CUPS se encuentran en el archivo /etc/cups/cups.d/ports.conf:

• Listen: De forma predeterminada, en Ubuntu la instalación del servidor CUPS escucha sólo por la interfaz loopback en la dirección IP 127.0.0.1. Para hacer que el servidor CUPS escuche en la dirección IP del verdadero adaptador de red, debes especificar un nombre de host, una dirección IP, o bien, un par dirección IP/puerto, y para ello debes añadir una directiva Listen. Por ejemplo, si tu servidor CUPS reside en una red local con la dirección IP 192.168.10.250 y deseas que sea accesible para los demás sistemas de esta subred, debes editar el archivo /etc/cups/cups.d/ports.conf y añadir una directiva Listen, de esta forma:

     Listen 127.0.0.1:631 # existing loopback Listen      Listen /var/run/cups/cups.sock # existing socket Listen      Listen 192.168.10.250:631 # Listen on the LAN interface, Port 631 (IPP) 

En el ejemplo anterior, debes comentar o borrar la referencia a la dirección de loopback (127.0.0.1) si no deseas que cupsd escuche por esa interfaz, sino sólo por la interfaz Ethernet de la red local (LAN). Para activar la escucha por todas las interfases de red en las que se haya establecido un nombre de host, incluyendo el loopback, deberás crear una entrada listen para el nombre de host socrates así:

     Listen·socrates:631··#·Escuchando en todos los interfaces para la máquina·'socrates' 

o omitiendo la directiva Listen y usando Port en su lugar, como en:

     Port 631 # Escuchando en el puerto 631 en todos los interfaces