Desarrollando políticas con IPTables

Consultar las reglas en una tabla especifica:
iptables -S <NombreTabla>
Ejemplo:
iptables -S INPUT

Consultar todas las tablas
iptables -S

iptables -nvL <NombreTabla>


Borrar todas las tablas:
iptables -F
Borrar todas las tablas NAT
iptables -F -t nat

Por defecto todas tablas están en permisivo, si se quiere bloquear a que no puedan hacer ping al servidor seria:
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Para bloquear que los usuarios no puedan hacer ping hacia afuera de la red, bloqueamos en la tabla FORWARD
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP

Si queremos modificar alguna política, primero debemos verificar el numero de la politica a modificar:

iptables -nvL INPUT --line-numbers

            

Para modificar una política especifica utilizamos el parametro -R e ingresamos el numero de política después de la tabla:

iptables -R <NmTabla> <#NumPolitica> <Resto de la política>
iptables -R INPUT 2 INPUT -p tcp --dport 23 -j DROP

Para eliminar una política respectiva

iptables -D <NmTabla> <#NumPolitica>

iptables -D INPUT 2

Establecer las políticas por defecto DENEGAR TODO

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

Notara que cuando aplicamos DROP a la tabla FORWARD, el trafico que pasa por el red cae y el usuario pierde conectividad entre ambos equipos.

Ahora permitimos que el usuario pueda navegar hacia el servidor Web de afuera.

iptables -A FORWARD -i <NmTarjInter> -o <NmTarjExt> -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i <NmTarjExt> -o <NmTarjInter> -p tcp --sport 80 -j ACCEPT

Para permitir que el usuario pueda hacer ping al servidor Web.

iptables -A FORWARD -p icmp --icmp-type echo-request -j ACCEPT

Para permitir que el usuario pueda hacer ping a su puerta de enlace

iptables -A FORWARD -p icmp --icmp-type echo-request -j ACCEPT