UNIVERSIDAD TÉCNICA PARTICULAR DE LOJA

La Universidad Católica de Loja

TITULACIÓN: ELECTRÓNICA Y TELECOMUNICACIONES

PRACTICA #1: FIREWALLS NETFILTER CON IPTABLES

PERIODO ACADÉMICO: PE1 - 2018
COMPONENTE: SEGURIDAD DE REDES
SECCIÓN: ELECTRÓNICA Y TELECOMUNICACIONES
PARALELO: A
ALUMNO: David Luzón
OBJETIVO GENERAL Comprender el funcionamiento de Firewalls
Realizar la configuración de reglas de firewalls en Linux con IPTABLES
OBJETIVOS ESPECÍFICOS
Comprender la manera que funcionan los firewalls

1. Marco Teórico
Firewall: Un cortafuegos (firewall) es una parte de un sistema o una red que está
diseñada para bloquear el acceso no autorizado, permitiendo al mismo tiempo
comunicaciones autorizadas.
Se trata de un dispositivo o conjunto de dispositivos configurados para permitir,
limitar, cifrar o descifrar el tráfico entre los diferentes ámbitos sobre la base de un
conjunto de normas y otros criterios.
Los cortafuegos pueden ser implementados en hardware o software, o en una
combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que
los usuarios de Internet no autorizados tengan acceso a redes privadas conectadas
a Internet, especialmente intranets. Todos los mensajes que entren o salgan de la
intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea
aquellos que no cumplen los criterios de seguridad especificados. También es
frecuente conectar el cortafuegos a una tercera red, llamada zona desmilitarizada o
DMZ, en la que se ubican los servidores de la organización que deben permanecer
accesibles desde la red exterior.

Iptables: El cortafuegos utilizado para gestionar las conexiones en Linux es

iptables. Las posibilidades de iptables son prácticamente infinitas y un administrador
que quiera sacarle el máximo provecho, puede realizar configuraciones
extremadamente complejas. Para simplificar, diremos que básicamente, iptables
permite crear reglas que analizarán los paquetes de datos que entran, salen o pasan
por nuestra máquina, y en función de las condiciones que establezcamos,
tomaremos una decisión que normalmente será permitir o denegar que dicho
paquete siga su curso.
 Tipo de paquete de datos:
Tipo INPUT: paquetes que llegan a nuestra máquina
Tipo OUTPUT: paquetes que salen de nuestra máquina
Tipo FORWARD: paquetes que pasan por nuestra máquina
 Interfaz por la que entran (-i = input) o salen (-o = output) los paquetes
eth0, eth1, wlan0, ppp0, ...
 IP origen de los paquetes (-s = source)
IP concreta, ej: 10.0.1.3
Rango de red, ej: 10.0.1.0/8
 IP destino de los paquetes (-d = destination)
IP concreta, ej: 10.0.1.3
Rango de red, ej: 10.0.1.0/8
 Protocolo de los paquetes (-p = protocol)
Tcp, udp, icmp...
 Hacer NAT (modificar IP origen y destino para conectar nuestra red a otra red o
a Internet) y...
Filtrar antes de enrutar: PREROUTING
Filtrar después de enrutar: POSTROUTING
2. Desarrollo
a. Iniciamos una máquina virtual de Linux. Y verificamos la instalación de
iptables y la versión mediante el comando: iptables -V.

b. Comprobamos las reglas cargadas en el firewall de Linux mediante el

comando sudo iptables -L -n -V. Donde -L muestra las reglas, -v muestra
información detallada y -n muestra las direcciones IP sin DNS. Adjuntar
captura de pantalla de resultado del comando.
c. Con el comando anterior deben aparecer las tablas vacías. Ahora
averiguamos la dirección del dominio www.google.com mediante el
comando host -t a www.google.com.ec. Adjuntar el resultado mediante
una captura de pantalla.

d. Usando un navegador ingresamos al dominio www.google.com.

Deberemos poder acceder a la misma.
 e. Ahora bloquearemos el tráfico saliente al dominio de Google mediante, el
siguiente comando: sudo iptables -A OUTPUT -d dirección_obtenida -j
DROP.
f. Verificamos las reglas mediante el comando sudo iptables -L -n -V. Debe
estará creada la regla en la tabla de OUTPUT, la restricción de salida a
Google.com

g. Usando el navegador de internet ingresamos al dominio

www.google.com. ¿Qué sucede?. Procedemos a ingresar al dominio
www.utpl.edu.ec. ¿Qué sucede en este caso?. Explique.

Al dominio www.google.com no se podrá ingresar debido que se encuentra

bloqueado el acceso a este dominio por iptables.
h. Ahora borraremos la regla ingresada al firewall, mediante los comandos.
Primero listamos las reglas salida mediante: sudo iptables -L -n --line-
number. Verificamos que la regla ingresada tiene el número 1. Borramos
es regla mediante el comando : sudo iptables -D OUTPUT 1.
 i. Verificamos que se haya borrado esa regla.
j. Ingresamos al navegador e ingresamos nuevamente a www.google.com.
¿Qué sucede ahora? Explique.
Ahora si se tiene acceso a www.google.com debido a que se ha quitado el bloqueo
a este dominio.
k. Ahora vamos a bloquear el acceso al dominio www.facebook.com.
Verificamos que podemos acceder a este dominio mediante un
navegador.

l. Agregamos la regla al firewall para bloquear este dominio. Mediante el

siguiente comando: iptables -A OUTPUT -p tcp -d www.facebook.com -j
DROP.
m. Verificamos que se haya bloqueado el tráfico a ese dominio. Mediante un
navegador.

Investigación complementaria:
1. Investigue como podemos evitar con Iptables que su PC responda a
peticiones del comando ping. ¿Cuál es la regla que debemos ingresar?
Existe en el sistema un archivo que permite definir si tenemos habilitado la
respuesta al ping o no, este es:
/proc/sys/net/ipv4/icmp_echo_ignore_all
Si ese archivo contiene un 0 (cero), entonces todo aquel que nos haga un ping
obtendrá una respuesta siempre que nuestro ordenador esté online,en cambio, si le
ponemos un 1 (uno) entonces no importa si nuestra PC está conectada o no,
aparentará no estarlo. Con el siguiente comando editaremos ese archivo:
sudo nano /proc/sys/net/ipv4/icmp_echo_ignore_all
Cambiamos el 0 por un 1 y guardamos [1].
2. Investigue como podemos bloquear con Iptables que alguien solo pueda
acceder a la página www.utpl.edu.ec. ¿Cuál es la regla que debemos
ingresar?. Realice una comprobación en su maquina virtual.
Para ingresar exclusivamente a un solo dominio, en este caso a www.utpl.edu.ec y
a ninguna otra se debe escribir lo siguiente:
iptables -A OUTPUT -d https://www.utpl.edu.ec -j ACCEPT
iptables -A OUTPUT -p tcp -dport 80 -j DROP #
la segunda línea puede ser reemplazada por otra más exigente, la cual se muestra
a continuación [2]:
iptables -A OUTPUT -p all -j DROP
Conclusiones:
 Iptables es capaz de aún, estando encendido nuestro ordenador, modificarlo
como si estuviera apagado con la finalidad de que nadie pueda realizar “ping”
a nuestro pc.
 Iptables posee la autoridad para permitir el acceso o denegar que los
paquetes lleven su curso.
 Sea el tipo de firewall que sea, generalmente es un conjunto de reglas donde
examina el origen y destino de los paquetes del protocolo tcp/ip.
 Iptables enmascara el trafico de la red local hacia el exterior.

Bibliografía
[1] usemoslinux, «Proteger tu ordenador contra ping».
[2] «20 ejemplos de iptables para SysAdmins novatos», 20 ejemplos de iptables
para SysAdmins novatos,. [En línea]. Disponible en:
https://elbauldelprogramador.com/20-ejemplosde-iptables-para-sysadmins/.