¿Quién no tiene un amigo/a que decide gastarse una pasta en comprarse un moderno pc para que le funcione el messenger en windows vista y deja tirando su fiel ordenador relegándolo a una esquina o peor aún a la basura? Pues bien, vamos a demostrar como podemos ver vídeos en youtube,chatear, escuchar música, navegar por internet y tener una suite ofimática entre otras cosas sin que te cueste un euro y de forma totalmente legal sin que te cueste un euro, gracias al viejo pc de el amigo.



Amd duron 800, 396 de Ram, 40 gigas de disco duro, tarjeta de vídeo matrox (del año 95 xD) una sound blaster de la misma época. Recopilando piezas historicas en casa, le añadimos un disco duro de 10 gigas, un lector de cd y todo aquello que os dignéis a ceder a la causa.



Lo primero de todo es montarlo no voy a tocar ese tema porque ya existen un montón de manuales en la red de como se monta un pc. Lo segundo revisar que encienda y comprobar que el hardware funciona correctamente y lo tercero comprobar con sorpresa que para variar lleva instalado un windows xp sp2, que milagrosamente funciona dentro de lo que cabe correctamente. Imaginaros si le añadimos antivirus, anti espías, anti-troyanos, anti...., el office, los codecs y un largo etc... Podríamos tener nietos mientras enciende.
Bien hasta aquí la primera parte :-) Con unas fotillos.

Autor: Peratu
Web personal: http://www.carrosses.com

En este sencillo tutorial explicaré cómo proteger de una manera sencilla nuestro servidor usando IPTables.

El flush de reglas quitará todas las reglas existentes y nos dejará el IPTables limpio, como si estuviera desactivado.

iptables -F
iptables -X
iptables -Z
iptables -t nat -F

Estableceré la política por defecto permitiendo todo menos la entrada de paquetes.

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT

Ahora empezaré a dar permisos a diferentes máquinas para que administren el servidor.

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s 192.168.1.33 -j ACCEPT

Ahora empezaremos a permitir el acceso a los diferentes servicios de nuestro servidor.

Voy a explicar cada caso por separado

1. Servidor Web

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

2. Servidor de Correo

El servidor de correo usa el puerto 25 para el envío de correos y los puertos 143 y 993 para la recepción del correo via IMAP e IMAPS (imap seguro) respectivamente.

iptables -A INPUT -p tcp --sport 25 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -A INPUT -p tcp --dport 993 -j ACCEPT

3. Shell remota SSH

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

4. Servidor DNS

iptables -A INPUT -p udp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT

Y para terminar voy a permitir la respuesta a los ping que hago desde el servidor.

iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT

Tal vez haya alguien que no entienda porqué hay reglas que incluyen lo de ESTABLISHED,RELATED. Bien, voy a tratar de explicarlo a mi manera, aunque tal vez no sea la correcta.

Empezaré por los ping que es un poco más sencillo de explicar. Yo no quiero que hagan ping a mi servidor, pero sí quiero poder hacerlos yo. Bien, yo puedo hacerlos porque la política de OUTPUT es ACCEPT por defecto. El problema es que cada petición de ping recibe una respuesta y, en las reglas de IPTables debo permitir entrar esa respuesta, porque sinó no puedo saber si ha funcionado el ping que esté haciendo. La cuestión es que yo quiero dejar entrar los paquetes icmp (los del ping) pero sólo cuando haya sido yo quien haya hecho el ping. Pues bien, para especificar exactamente eso en IPTables se usan los estados ESTABLISHED,RELATED. Dejo entrar los paquetes icmp sólo cuando provengan de una conexión ya establecida.

Para el DNS es lo mismo. Haces una consulta a un servidor DNS y éste te responde. El problema es que la respuesta no entra por el puerto 53, aunque el puerto de origen (--sport) sí que es el 53. Por eso permito la entrada de paquetes cuyo puerto de origen sea el 53, pero siempre y cuando haya sido yo el que haya hecho la consulta al servidor DNS. Es decir, que ese paquete venga de una conexión ya establecida.

Y en el caso del servidor de correo creo que es exactamente igual que en el DNS.