Configurar el firewall de IPTables en CentOS 6

• Introducción
• Prerrequisitos
• Paso 1: determine los servicios y puertos utilizados en su servidor
• Paso 2: configurar las reglas de iptables
• Paso 3: guarda las configuraciones
• Soluciones para el bloqueo accidental

Introducción

Un firewall es un tipo de herramienta de seguridad de red que controla el tráfico de red entrante y saliente de acuerdo con su conjunto de reglas predefinido. Podemos usar un firewall junto con otras medidas de seguridad para proteger nuestros servidores de las intrigas y ataques de los hackers.

El diseño de un firewall puede ser hardware dedicado o un programa de software que se ejecuta en nuestra máquina. En CentOS 6, el programa de firewall predeterminado es iptables.

En este artículo, le mostraré cómo configurar un firewall básico de iptables basado en la aplicación Vultr "WordPress en CentOS 6 x64", que bloqueará todo el tráfico excepto los servicios web, SSH, NTP, DNS y ping. Sin embargo, esta es solo una configuración preliminar que satisface las necesidades comunes de seguridad. Necesitaría una configuración de iptables más sofisticada si tiene más requisitos.

Nota :

Si agrega una dirección IPv6 a su servidor, también debe configurar el servicio ip6tables. La configuración de ip6tables está fuera del alcance de este artículo.

A diferencia de CentOS 6, iptables ya no es el programa de firewall predeterminado en CentOS 7, y ha sido reemplazado por un programa llamado firewalld. Si está planeando usar CentOS 7, deberá configurar su firewall usando firewalld.

Prerrequisitos

Implemente recientemente una instancia de servidor con la aplicación Vultr "WordPress en CentOS 6 x64", luego inicie sesión como root.

Paso 1: determine los servicios y puertos utilizados en su servidor

Supongo que este servidor solo alojará un blog de WordPress y no se usará como enrutador ni proporcionará otros servicios (por ejemplo, correo, FTP, IRC, etc.).

Aquí, necesitamos los siguientes servicios:

• HTTP (TCP en el puerto 80)
• HTTPS (TCP en el puerto 443)
• SSH (TCP en el puerto 22 de forma predeterminada, se puede cambiar por motivos de seguridad)
• NTP (UDP en el puerto 123)
• DNS (TCP y UDP en el puerto 53)
• ping (ICMP)

Todos los demás puertos innecesarios serán bloqueados.

Paso 2: configurar las reglas de iptables

Iptables controla el tráfico con una lista de reglas. Cuando se envían paquetes de red a nuestro servidor, iptables los inspeccionará utilizando cada regla en secuencia y tomará las medidas correspondientes. Si se cumple una regla, se ignorarán las otras reglas. Si no se cumplen las reglas, iptables utilizará la política predeterminada.

Todo el tráfico se puede clasificar como ENTRADA, SALIDA y ADELANTE.

• El tráfico de ENTRADA puede ser normal o malicioso, debe permitirse de forma selectiva.
• El tráfico de SALIDA normalmente se considera seguro y debe permitirse.
• El tráfico ADELANTE es inútil y debe bloquearse.

Ahora, configuremos las reglas de iptables de acuerdo con nuestras necesidades. Todos los siguientes comandos deben ingresarse desde su terminal SSH como root.

Verifique las reglas existentes:

iptables -L -n

Vaciar todas las reglas existentes:

iptables -F; iptables -X; iptables -Z

Dado que los cambios en la configuración de iptables entrarán en vigencia de inmediato, si configura mal las reglas de iptables, es posible que se bloquee su servidor. Puede evitar bloqueos accidentales con el siguiente comando. Recuerde reemplazar [Your-IP-Address]con su propia dirección IP pública o rango de direcciones IP (por ejemplo, 201.55.119.43 o 201.55.119.0/24).

iptables -A INPUT -s [Your-IP-Address] -p tcp --dport 22 -j ACCEPT

Permita todo el tráfico loopback (lo) y suelte todo el tráfico a 127.0.0.0/8 que no sea lo:

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -d 127.0.0.0/8 -j REJECT

Bloquear algunos ataques comunes:

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

Acepte todas las conexiones entrantes establecidas:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Permitir tráfico entrante HTTP y HTTPS:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Permitir conexiones SSH:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Permitir conexiones NTP:

iptables -A INPUT -p udp --dport 123 -j ACCEPT

Permitir consultas DNS:

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT

Permitir ping:

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Por último, establezca las políticas predeterminadas:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

Paso 3: guarda las configuraciones

Cada uno de los cambios que realizamos anteriormente ha tenido efecto, pero no son permanentes. Si no los guardamos en el disco duro, se perderán una vez que se reinicie el sistema.

Guarde la configuración de iptables con el siguiente comando:

service iptables save

Nuestros cambios se guardarán en el archivo /etc/sysconfig/iptables. Puede revisar o modificar las reglas editando ese archivo.

Soluciones para el bloqueo accidental

Si está bloqueado fuera de su servidor debido a un error de configuración, aún puede recuperar su acceso con algunas soluciones.

• Si aún no ha guardado sus modificaciones en las reglas de iptables, puede reiniciar su servidor desde la interfaz del sitio web de Vultr, luego sus cambios se eliminarán.
• Si ha guardado sus cambios, puede iniciar sesión en su servidor a través de la consola desde la interfaz del sitio web de Vultr e ingresar iptables -Fpara eliminar todas las reglas de iptables. Luego puede configurar las reglas nuevamente.