Ver Mensaje Individual
  #7 (permalink)  
Antiguo 25/12/2010, 18:22
Avatar de Smolky
Smolky
 
Fecha de Ingreso: mayo-2006
Ubicación: Cartagena
Mensajes: 177
Antigüedad: 18 años, 6 meses
Puntos: 14
Respuesta: IPTables :: Filtrado para un servidor web

Hola. Perdonad que de el follón de nuevo pero hay una cosa que os gustaría preguntar relacionado con el mismo tema

Ahora mismo, el script de filtrado lo tengo como sigue:
Código:
#!/bin/bash
# Vaciamos las reglas. Incluyendo reglas de usuario, estadísticas
# y de traducción de direcciones
iptables -F
iptables -X
iptables -Z
iptables -t nat -F


# Cortafuegos
# Políticas por defecto. Aceptamos sólo el tráfico
# de salida.
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -P INPUT DROP


# Permiso solcitudes para el servidor
iptables -t filter -I INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT


# Seguridad
# No respondo a solicitud de ping fuera de mi red
iptables -A INPUT -p ICMP --icmp-type echo-request \! -s 192.168.2.0/24 -j DROP


# No IP Spoofing. Deniego paquetes internos con direcciones que 
# no pertenezcan a mi red, ni paquetes que quieran entrar
iptables -A INPUT -j DROP -i eth0 \! -s 192.168.1.0/24
Además, tengo otro script que permite desactivar el cortafuegos que hace lo siguiente:
Código:
#!/bin/bash
# Vaciamos las reglas. Incluyendo reglas de usuario, estadísticas
# y de traducción de direcciones
iptables -F
iptables -X
iptables -Z
iptables -t nat -F


# Cortafuegos
# Aceptamos sólo el tráfico
# de salida.
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P INPUT ACCEPT

El caso es que he notado que abrir una conexión nueva, ésta se demora bastante cuando tengo activado el cortafuegos (alrededor de 10 segundos) y no lo hace cuando lo tengo desactivado por el otro script.

¿Sabéis eso a qué se debe?



Gracias de nuevo
__________________
No hay cuerda desafinada sino músico progresivo