Cortafuegos: Qué son, tipos, configuración y arquitectura con Iptables en Linux

Un cortafuegos es una aplicación o dispositivo diseñado para bloquear comunicaciones no autorizadas, permitiendo al mismo tiempo las que sí lo están. La configuración se realiza en base a un conjunto de normas y reglas. Mediante este mecanismo de defensa podemos mantener la seguridad de alto nivel en una red o en una máquina.

Características fundamentales de los cortafuegos

• Filtrado de paquetes de red en función de la inspección de direcciones de red: MAC, IP o puerto origen y destino.
• Filtrado por aplicación.
• Las distintas reglas de filtrado se aplican sobre el tráfico de salida o de entrada en una determinada interfaz de red.
• Registro o logs de filtrado de paquetes.

Iptables en sistemas GNU/Linux

En sistemas GNU/Linux, Iptables es una de las herramientas de cortafuegos más empleadas. Es una aplicación que contiene una serie de cadenas de reglas de filtrado en 3 tablas.

Filter table (Tabla de filtros)

Esta tabla es la responsable del filtrado.

• INPUT chain (ENTRADA)
• OUTPUT chain (SALIDA)
• FORWARD chain (REDIRECCIÓN)

Nat table (Tabla de traducción de direcciones de red)

Esta tabla es la responsable de configurar la reglas de traducción de direcciones o de puertos de los paquetes.

• PREROUTING chain (PRERUTEO)
• POSTROUTING chain (POSRUTEO)
• INPUT
• OUTPUT

Mangle table (Tabla de manipulación)

Esta tabla es la responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio. Todos los paquetes pasan por esta tabla. Está diseñada para efectos avanzados, y contiene todas las cadenas predefinidas anteriormente.

Archivos LOG

Ejemplo de regla para registrar el tráfico de la cadena FORWARD:

iptables –A FORWARD –j LOG --log-prefix ‘IPTABLESFORWARD’

Tipos de cortafuegos

Una clasificación por la ubicación del firewall:

• Firewalls basados en servidores: consta de una aplicación de firewall que se instala y ejecuta en un sistema operativo de red (NOS), que normalmente ofrece otra serie de servicios como enrutamiento, Proxy, DNS, DHCP, etc.
• Firewalls dedicados: son equipos que tienen instalada una aplicación específica de cortafuegos y, por tanto, trabajan de forma autónoma como cortafuegos.
• Firewalls integrados: se integran en un dispositivo hardware para ofrecer la funcionalidad de firewall. Como ejemplos encontramos switches o routers que integran funciones de cortafuegos.
• Firewalls personales: se instalan en los distintos equipos de la red de forma que los proteja individualmente de amenazas externas. Por ejemplo, en un equipo doméstico el cortafuegos preinstalado en sistemas Windows.

Arquitecturas de cortafuegos más implementadas

• Screening router: como frontera entre la red privada y la red pública se encuentra un router que realiza tareas de filtrado.
• Dual Homed-Host: como frontera se dispone un equipo servidor que realizará tareas de filtrado y enrutamiento mediante al menos 2 tarjetas de red, esto permitirá una mayor flexibilidad en la configuración e instalación de aplicaciones de seguridad.
• Screened Host: combina un router como equipo fronterizo exterior y un servidor proxy que filtrará y permitirá añadir reglas de filtrado en las aplicaciones más empleadas. Veremos el uso y configuración de servidores proxy en un apartado posterior.
• Screened-subnet: mediante la creación de una subred intermedia, denominada DMZ o zona desmilitarizada, entre la red externa y la red privada interna, permitirá tener 2 niveles de seguridad, uno algo menor en el cortafuegos más externo y uno de mayor nivel de seguridad en el cortafuegos de acceso a la red interna.