Firewall e Iptables: Guia Completo

Firewall

Um firewall pode ser definido como um sistema ou conjunto de sistemas que reforçam a política de segurança na comunicação entre uma rede privada e a internet. Para que ele seja eficaz, é necessário que todo o tráfego entre a rede local e a internet passe por ele. Além disso, o próprio firewall deve estar imune à penetração por qualquer usuário.

Sendo assim, o firewall pode ser visto como um fator limitante à exposição da rede.

Firewall Filtro de Pacotes é um conjunto de regras que analisam e filtram pacotes enviados por redes distintas de comunicação. Um filtro de pacotes pode elevar o nível de segurança de uma rede ao fazer a filtragem nas camadas 3 e 4 do protocolo TCP/IP, ou seja, nos cabeçalhos do IP e dos protocolos da camada de transporte utilizados.

Firewall NAT possui o objetivo de manipular a rota padrão de pacotes que atravessam o kernel do host firewall, aplicando a tradução de endereçamento. Pode realizar o trabalho de um proxy de forma simples e eficiente, independente de um IP fixo ou dinâmico.

Firewall de Estado (Stateful Firewall): na verdade, o firewall baseado em estado é uma evolução do filtro de pacotes, pois possui uma tabela de estado que é associada à tabela de regras, o que auxilia na tomada de decisões. Neste firewall, as conexões são monitoradas a todo instante e um pacote só pode passar pelo firewall se fizer parte da tabela de estados.

IPTABLES

#Para LIMPAR as REGRAS
iptables -F

#Habilitando para fazer ROTEAMENTO
echo 1 > /proc/sys/net/ipv4/ip_forward

#Ignorando PING
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

#Criando regras para BLOQUEAR tudo
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#LIBERANDO
iptables -P INPUT -j ACCEPT
iptables -P OUTPUT -j ACCEPT
iptables -P FORWARD -j ACCEPT

#INPUT
#Linha importante para que o firewall perceba que o protocolo necessita de ida e volta.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 23 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 22 -j DROP

Obs.: Repete no OUTPUT