Servidor Naylamp, un firewall/proxy implementado por un novato en Linux (2).

Continuando con la descripción de los pasos a seguir para la implementación del servidor Proxy/Firewall, paso a describir el archivo de configuración para el firewall, utilizando iptables.

Se crea un nuevo archivo, en la ruta /etc

nano /etc/fw.proxy

Donde se indicaran los pasos para habilitar:
1. Se limpian las reglas que existan previamente:

iptables -F
iptables -X
iptables -Z
iptables -t nat -F

2. Estableciendo politicas por defecto:

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT

3.Dejo acceso desde la maquina local:

iptables -A INPUT -i lo -j ACCEPT

4.Impedir que se haga ping a este servidor:

iptables -A INPUT -p icmp -s 192.168.8.0/24 -j DROP
iptables -A INPUT -p icmp -s 192.168.9.0/24 -j DROP

5.Permitir el acceso desde la red local:
iptables -A INPUT -p icmp -s 192.168.8.0/24 -j DROP
iptables -A INPUT -s 192.168.8.0/24 -I eth0 -j ACCEPT
6.Aceptar trafico por el puerto 80
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p tcp --dport 80 -j ACCEPT
7.Aceptar trafico de direcciones seguras tipo https:// (puerto 443)
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p tcp --dport 443 -j ACCEPT
8.Aceptar que se consulten los DNS
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p tcp --dport 53 -j ACCEPT
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p udp --dport 53 -j ACCEPT
9.Aceptar trafico por puertos 25 y 110
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -p tcp --dport 110 -j ACCEPT
10.El gerente quiere acceder a su camara web por el messenger:
PUERTOS_PUBLICOS="1024:65535"
IP_GERENTE="192.168.8.14"

iptables -A INPUT -s $IP_GERENTE -p tcp --dport PUERTOS_PUBLICOS -j ACCEPT
iptables -A OUTPUT -s $IP_GERENTE -p tcp --dport PUERTOS_PUBLICOS -j ACCEPT
iptables -A FORWARD -s $IP_GERENTE -p tcp --dport PUERTOS_PUBLICOS -j ACCEPT
iptables -A FORWARD -s $IP_GERENTE -p udp --dport PUERTOS_PUBLICOS -j ACCEPT
11.El resto de puertos se bloquean.
iptables -A FORWARD -s 192.168.8.0/24 -i eth0 -j DROP
12. Para el proxy transparente

iptables -t nat -A PREROUTING -i eth0 -s 192.168.8.0/24 -d ! 192.168.8.0/24 -p tcp --dport 80 -j REDIRECT --to-port 3128

13.Enmascaramiento de red local:

iptables -t nat -A POSTROUTING -s 192.168.8.0/24 -o eth1 -j MASQUERADE

14.Permitir que las otras maquinas salgan por el proxy

echo 1 > /proc/sys/net/ipv4/ip_forward

15. Cerramos los puertos conocidos

iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 1:1024 -j DROP
iptables -A INPUT -s 0.0.0.0/0 -p udp --dport 1:1024 -j DROP

16. Y guardamos el archivo.
17. Lo ejecutamos con esta sentencia:

/etc/fw.proxy

Monitoreo de Acceso a internet por Squid

Si quieren saber a que páginas acceden sus usuarios ejecuten este comando:

tail -f /var/log/squid/access.log

Como Bloquear Messenger por Squid

Me había percatado que una computadora que no debía acceder a internet, no podía navegar pero en cambio accedía alegremente al MSN Messenger, y por ende los responsables usuarios de dicha PC (que son varios) chateaban a su gusto. Me dí a buscar en internet la solución y esta fue la que me funcionó:

Primero con nano (que es un editor de texto lo razonablemente más parecido al notepad que encontré) abrí el archivo squid.conf que se encuentra en la siguiente ruta:

/etc/squid/squid.conf

Me ubique al final del archivo y escribi las siguientes lineas:

acl msn dst messenger.msn.com messenger.hotmail.com
acl usersnomsn src 192.168.80.23/32 192.168.78.23/32
#Negado de acceso a MSN
http_access deny usersnomsn msn
miss_access deny usersnomsn msn

Luego conchudamente fui a la maquina y delante de los exasperados usuarios probé ingresar a mi cuenta de messenger sin éxito. Tarea cumplida. Al menos un dedo roto de Squid. Ya lo estoy domando.

Introducción a Linux: CentOS y Squid

Hace semanas llegaron a mi oficina dos hombres, el departamento de sistemas de una conocida empresa a instalar y configurar un servidor linux, el CentOS que traía a Squid un proxy.


Demás está decir que yo un pobre usuario de Windows no conocía a semejantes nombres. Linux si, pero fue hace años...y de Squid no sabía que existía. Desde ese momento me he trabado en serios problemas para configurarlos y hacerlos trabajar como yo quiero.