1.1. Retroalimentación

Cualquier apoyo o crítica a este documento serán bienvenidos. ¡POR FAVOR, RUEGO ME COMUNIQUEN CUALQUIER INEXACTITUD QUE VEAN EN ÉL! No soy un experto, y puedo cometer errores. Si encuentra algún fallo, por favor, hágamelo saber. Intentaré responder a todos los correos electrónicos, pero soy una persona muy ocupada, así que no se enfade si no lo hago.

Mi dirección de correo electrónico es mark@grennan.com

1.2. Descargo de Responsabilidad

NO ME HAGO RESPONSABLE POR NINGÚN DAÑO PRODUCIDO POR ACCIONES DERIVADAS DE ESTE DOCUMENTO. Este documento pretende ser una introducción a los cortafuegos y los servidores proxy. No soy, ni lo pretendo ser, un experto en seguridad. Simplemente soy un tipo que ha leído mucho y al que le gustan los computadores más que al resto de la gente. Por favor, escribo esto esto para ayudar a la gente a entender más sobre este tema, y no estoy preparado para hacer depender mi vida de la exactitud de lo que hay aquí.

1.3. Propiedad Intelectual

A menos que se especifique lo contrario, los documentos Cómo de Linux son propiedad intelectual de sus respectivos autores. Estos documentos Cómo de Linux se pueden reproducir y distribuir total o parcialmente en cualquier medio, ya sea físico o electrónico, siempre y cuando aparezca la marca de propiedad intelectual en todas las copias. La redistribución comercial está permitida y, de hecho, se recomienda. No obstante, al autor le gustaría que se le notificara cualquier distribución de este tipo.

Todas las traducciones, trabajos derivados o trabajos de recopilación que incorporen cualquier documento Cómo de Linux deben llevar la marca de propiedad intelectual, es decir, no se puede producir ningún trabajo derivado de un Como y añadirle restricciones adicionales a su distribución. Se podrán establecer excepciones a estas normativas bajo ciertas condiciones. Por favor, contacte con el coordinador de Cómos de Linux.

En resumen, deseamos promover la difusión de esta información por todos los canales posibles, pero nos gustaría mantener la propiedad intelectual de los Cómos. Por ello, rogamos se nos comunique cualquier intención de redistribución de los Cómos.

Si tiene alguna duda, por favor no dude en ponerse en contacto conmigo. (Véase arriba)

1.4. Las Razones por las que escribí esto

Hace varios años, mientras trabajaba para el estado de Oklahoma como «Administrador de Internet», me pidieron que «pusiera al Estado en Internet», sin presupuesto alguno. (Nota: En aquella época no había tal puesto de trabajo; simplemente era una persona que lo hacía todo). La mejor manera de conseguirlo era utilizar todos los "software" gratuitos y los "hardwares" que pudiera. Para ello contaba tan sólo con Linux y con algunos equipos 486 obsoletos.

Los cortafuegos comerciales tienen precios excesivos y la documentación que explica cómo funcionan se considera de alto secreto. Por lo tanto, crear un cortafuegos propio era una tarea casi imposible.

En el siguiente encargo, me pedían instalar un cortafuegos. Linux acababa de introducir un código de cortafuegos. De nuevo, sin presupuesto, empecé a diseñar un cortafuegos con Linux. Seis meses más tarde el cortafuegos ya estaba instalado y comencé a actualizar este documento.

1.5. Lecturas de Interés

• The The Linux Networking Overview HOWTO

• The Ethernet HOWTO

• IPchains Firewalling made Easy!

• Linux Network Address Translation

• The Net-3 HOWTO

• The NET-PPP HOWTO

• The easiest way to create Virtual Tunnels over TCP/IP networks

[ otras URLS ]

2.1. Políticas de Cortafuegos

No crea que lo único que necesita es una máquina de cortafuegos. Establezca las políticas primero.

Los cortafuegos se utilizan con dos objetivos:

1. para denegar el acceso a los piratas y gusanos

2. para permitir el acceso a empleados, niños, etc.

Cuando empecé a trabajar con los cortafuegos, me llamó la atención ver que la empresa estaba más interesada en espiar a sus empleados que en denegar a su red el acceso a los piratas.

Al menos en el estado de Oklahoma, los empresarios tienen derecho a hacer llamadas telefónicas y acceder a Internet siempre y cuando se informa de ello a los empleados.

El Gran Hermano no es el gobierno. Gran Hermano = Gran Negocio.

No me malinterpreten. La gente debe trabajar, y no dedicarse a jugar durante las horas de trabajo. En mi opinión, se está dejando a un lado cada vez más la ética del trabajo. No obstante, también he observado que son los mismos encargados los primeros que no cumplen las normas. He visto trabajadores por hora que han sido reprendidos por utilizar Internet para buscar el recorrido del autobus del trabajo a casa, mientras que los mismos directores durante horas de trabajo se dedicaban a buscar buenos restaurantes y salas de fiesta para llevar a sus futuros clientes.

Mi error antes este tipo de abusos es publicar un acceso a cortafuegos en una página web para que todo el mundo lo pueda leer.

La cuestión de la seguridad puede ser escalofriante. Si es usted un administrador de cortafuegos, cúbrase las espaldas.

2.2. Tipos de Cortafuegos

Hay dos tipos de cortafuegos.

1. Cortafuegos de filtrado - que evitará el acceso no autorizado a determinados paquetes de la red.

2. Sevidores Proxies (a veces llamados cortafuegos) - encargados de establecer las conexiones a la red.

3.1. Arquitectura conmutada

Si usa un servicio conmutado como una línea ISDN, se podría usar una tercera tarjeta de red que permita disponer de una red perimétrica (DMZ). Esto proporciona un control absoluto sobre los servicios de Internet, manteniéndolos separados de la red regular.

               ______________
  _/\__/\_     |             |          ____________ 
 |        |    | Sistema de  |  (LAN)  | Estacion/  |
/ Internet \---| Cortafuegos |--(HUB)--| estaciones |
\_  _  _  _/   |_____________|         | de trabajo |
  \/ \/ \/           |                 |____________|
                    (DMZ) 
                    (HUB)

3.2. Arquitectura de encaminador único

En el encaminador existe la posibilidad de establecer algunas reglas estrictas para el filtro, siempre y cuando haya un encaminador o un módem de cable entre usted e Internet y usted sea el propietario del encaminador. Si el propietario del encaminador es su ISP y, en este caso, no tiene los controles que necesita, puede pedir a su ISP que agregue los filtros.

               ____________          _____________         
  _/\__/\_    |Encaminador|         |            |         
 |        |   |   o       |  (DMZ)  | Sistema    |  (LAN)
/ Internet \--|Cablemódem |--(HUB)--| Cortafuegos|--(HUB)
\_  _  _  _/  |___________|    |    |____________|    |  
  \/ \/ \/                     |                      |
                            (Servidor)         _______+____
                            (Externo)          |Estacion/  |
                                               |Estaciones |
                                               |de Trabajo |
                                               |___________|

3.3. Cortafuegos con servidor proxy

Si tiene que controlar por dónde se mueven los usuarios de su red, la cual es pequeña, puede integrar un servidor proxy en su cortafuegos. Algunas veces, los ISP lo hacen para confeccionar una lista de interés de sus usuarios con el fin de revenderlas a agencias de marketing.

                 _____________ 
  _/\__/\_      | Sistema     |          _______________
 |        |     | Proxy/      |  (LAN)  | Estación/ones | 
/ Internet \----| Cortafuegos |--(HUB)--|  de trabajo   |
\_  _  _  _/    |_____________|         |_______________| 
 \/ \/ \/

Si lo prefiere, puede integrar el servidor proxy en su LAN, en cuyo caso, el cortafuegos debe poseer unas órdenes que hagan posible que el servidor proxy sólo se conecte a Internet para aquellos servicios que ofrece. De esta manera, los usuarios sólo podrán acceder a Internet a través del proxy.

                 _____________ 
  _/\__/\_      |             |          ________________ 
 |        |     | Cortafuegos |  (LAN)  | Estacion/ones  | 
/ Internet \----|  Sistema    |--(HUB)--| de trabajo     | 
\_  _  _  _/    |_____________|    |    |________________| 
  \/ \/ \/                         |
                                   |      __________
                                   |     | Servidor |
                                   |+----| Proxy    | 
                                         |__________|

3.4. Configuración redundante de Internet

Si va a ejecutar un servicio como YAHOO o, tal vez, SlashDot, puede que desee compilar un programa multimódulo en su sistema empleando encaminadores redundantes y cortafuegos. ( Vea el Cómo de Alta Disponibilidad.)

Mediante la utilización de técnicas de circuito cíclico DNS para dar acceso a varios servidores web desde una URL y varios ISP, es posible crear un servicio de funcionamiento óptimo del 100% con encaminadores y cortafuegos que usan técnicas de alta disponibilidad.

  _/\__/\_                                      _/\__/\_ 
 |        |                                    |        | 
/  ISP #1  \______                 (WAN)______/  Socios  \
\_  _  _  _/      |                (HUB)      \_  _  _  _/ 
  \/ \/ \/        |                ___|____     \/ \/ \/ 
                __|____           |_______ |          ______
  _/\__/\_     |______ |         |Sistemas||         |Est.  |
 |        |   |Enca-  ||  (DMZ)  |Corta-  ||  (LAN)  |Trab./| 
/  ISP #2  \--|minador||--(HUB)--| fuegos ||--(HUB)--|Serv. | 
\_  _  _  _/  |________|     |   |________|      |  |______| 
  \/ \/ \/                   |         |         |    ______ 
         |              (Servidor) (Servidor)    |   |      | 
 ------  |              (Externo) (Compartido)   +---|Proxy | 
|Est.  | |                                           |______| 
|Trab./|-+
|Serv. |
|VPN   |
|______|

Es muy fácil que la red se le vaya de las manos. Verifique cada conexión. Todo lo que necesita es un usuario con su módem para comprometer su LAN.

4.1. Requerimientos del hardware

Los cortafuegos filtrados no requieren de un hardware muy sofisticado. Son poco más que simples encaminadores.

Todo lo que necesita es:

1. un 486-DX66 con 32 megas de memoria RAM

2. un disco 250m (se recomienda uno de 500)

3. conexiones a la red (tarjetas LAN, puertos serie, ¿inalámbricos?)

4. monitor y teclador

Algunos sistemas que usan una consola con puerto serie pueden, incluso, prescindir del monitor y del teclado.

Si necesita un servidor proxy que soporte mucho tráfico, debería conseguir el sistema más completo que pueda permitirse. Esto se debe a que cada vez que un usuario se conecta al sistema, éste creará otro proceso.Si tuviese 50 o más usuarios fijos, estimo que necesitará:

1. un Pentium II con 64 megas de memoria

2. un disco duro con dos gigas para almacenar todas las operaciones de registro

3. dos conexiones a la red

4. un monitor y un teclado

5.1. Selección del Núcleo

Para crear un cortafuegos de filtrado no es necesario ningún software especial. Linux lo hará. En el momento de escribir este Cómo, estoy usando RedHat 6.1.

La construcción en Linux del cortafuegos ha cambiado varias veces. Si está utilizando un núcleo antiguo de Linux (1.0.x o anterior) hágase con una nueva copia. Los más antiguos usaban ipfwadm de http://www.xos.nl/linux/ipfwadm/ que ya no está admitido.

Si está usando 2.2.13 o superior, estará usando ipchaining, que aparecía en http://www.rustcorp.com/linux/ipchains/

Si está utilizando el núcleo más reciente 2.4, hay una nueva utilidad de cortafuegos con más características. Pronto escribiré sobre ello.

5.2. Selección de un servidor proxy

Si desea establecer un servidor proxy, necesitará uno de estos dos paquetes:

1. Squid

2. El TIS Firewall Toolkit (FWTK)

3. SOCKS

Squid es un gran paquete y trabaja con la característica de Proxy Transparente de Linux. Le indicaré cómo instalar este servidor.

En el momento de redactar este Cómo, se han fusionado Network Associates y Trusted Information System's (TIS). Así que manténgase atento a los sitios web para ver más información sobre Tool Kit puede aún ser descargado desdehttp://www.tis.com/research/software/

Trusted Information System saca a la luz una colección de programas diseñados para facilitar la creación de cortafuegos. Con este toolkit, usted instala un demonio para el servicio (WWW, telnet ect.) que esté usando en cada momento.

6.1. Compilación del núcleo

Comience con una instalación mínima de su distribución Linux. Cuantos menos programas cargue, menos agujeros, puertas traseras o fallos introducirán problemas de seguridad en su servidor.

Use un núcleo estable. Yo uso el núcleo 2.2.13 en mi sistema, por lo que esta documentación se basa en la instalación en ese núcleo.

Necesitará recompilar el núcleo Linux con las opciones apropiadas. Si usted no ha recompilado antes su núcleo, lea el Cómo Núcleo, el Cómo Ethernet, y el Cómo NET-2.

Aquí tiene la configuración relativa a la red en la que trabajo. He marcado algunas líneas con ?. Si usted usa esta aplicación, actívela también.

Yo uso "make menuconfig" para editar la configuración de mi núcleo.

<*> Packet socket
[ ] Kernel/User netlink socket
[*] Network firewalls
[ ] Socket Filtering
<*> Unix domain sockets
[*] TCP/IP networking
[ ] IP: multicasting
[*] IP: advanced router
[ ] IP: kernel level autoconfiguration
[*] IP: firewalling
[?] IP: always defragment (required for masquerading)
[?] IP: transparent proxy support
[?] IP: masquerading
--- Protocol-specific masquerading support 
    will be built as modules.
[?] IP: ICMP masquerading
--- Protocol-specific masquerading support 
    will be built as modules.
[ ] IP: masquerading special modules support
[*] IP: optimize as router not host
< > IP: tunneling
< > IP: GRE tunnels over IP
[?] IP: aliasing support
[*] IP: TCP syncookie support (not enabled per default)
--- (it is safe to leave these untouched)
< > IP: Reverse ARP
[*] IP: Allow large windows (not recommended 
    if <16Mb of memory)
< > The IPv6 protocol (EXPERIMENTAL)
---
< > The IPX protocol
< > Appletalk DDP
< > CCITT X.25 Packet Layer (EXPERIMENTAL)
< > LAPB Data Link Driver (EXPERIMENTAL)
[ ] Bridging (EXPERIMENTAL)
[ ] 802.2 LLC (EXPERIMENTAL)
< > Acorn Econet/AUN protocols (EXPERIMENTAL)
< > WAN router
[ ] Fast switching (read help!)
[ ] Forwarding between high speed interfaces
[ ] PU is too slow to handle full bandwidth
QoS and/or fair queueing  --->

Después de realizar la configuración que usted necesita, deberá recompilar, reinstalar el núcleo y reiniciar.

Use la orden:

make dep; make clean; make bzlilo; make modules; make modules_install;init 6 para llevarlo a cabo en un solo paso

6.2. Configuración de dos tarjetas de red

Si su ordenador dispone de dos tarjetas de red, necesitará añadir una línea adicional a su fichero /etc/lilo.conf para describir el IRQ y la dirección de ambas tarjetas. La línea adicional será similar a ésta:

append="ether=12,0x300,eth0 ether=15,0x340,eth1"

6.3. Configuración de las Direcciones de Red

Ahora comienza la parte divertida de la instalación. No entraré en detalles sobre cómo instalar una LAN, para ello, lea el Cómo de redes en Linux.

Nuestro objetivo es disponer de dos conexiones a red para su sistema de filtro cortafuegos. Uno en el lado de Internet (el lado inseguro) y el otro en el LAN (el lado seguro).

De todas formas, tendrá que tomar decisiones.

1. ¿Usará un número de dirección IP real, o se inventará alguno para su LAN?

2. ¿Su ISP asignará la dirección IP dinámicamente, o usará direcciones IP fijos?

Puesto que lo que usted quiere es que desde Internet no se pueda acceder a su red privada, no deberá utilizar "direcciones reales", simplemente invéntese direcciones para su LAN privada. Esto no es muy recomendable, porque si los datos salen de su LAN, podrían terminar en el puerto de otro sistema.

Existe un rango de números de dirección para Internet destinado a redes privadas. Este rango es 192.168.1.xxx, el mismo que usaremos en nuestros ejemplos.

Para ello necesitará usar la máscara IP. Con este proceso, el cortafuegos enviará paquetes y los traducirá a una dirección IP "REAL " " para navegar por Internet.

Usando una dirección IP sin ruta, su red será más segura. Los encaminadores de Internet no pasarán paquetes con estas direcciones.

Llegado este punto puede resultar aconsejable que lea el Cómo de IP Masquerade.

          24.94.1.123  ____________   192.168.1.1 
   _/\__/\_        \ |             | /         _______________ 
  |        |        \| Sistema     |/         | Estación/ones | 
 / Internet \--------| Cortafuegos |----------| de Trabajo    | 
 \_  _  _  _/        |_____________|          |_______________| 
   \/ \/ \/

Deberá tener una dirección IP "real" para asignarle su tarjeta IP de red. Esta dirección le podrá ser asignada permanentemente. (Una dirección IP fija) o se le podrá asignar un tiempo de conexión a la red por el proceso PPP.

Elija el número IP interno. Por ejemplo, 192.168.1.1 a la tarjeta LAN. Esta será su dirección IP de puerta de enlace. De la misma forma, se podrá asignar a los demás computadores de la red protegida (LAN) un número del rango 192.168.1.xxx. (192.168.1.2 hasta 192.168.1.254)

Yo uso RedHat Linux para configurar la red y añado un fichero ifcfg-eth1 en el directorio /etc/sysconfig/network-scripts. También podrá encontrar un fichero ifcfg-ppp0 o ifcfg-tr0 en este directorio. Estos ficheros 'ifcfg-' se usan en RedHat para configurar y desactivar los dispositivos de red al reiniciar el equipo, y se ejecutan después de la conexión. Se nombran después del tipo de conexión.

Aquí mostramos el fichero ifcfg-eth1 (segunda tarjeta ehternet) como ejemplo;

DEVICE=eth1 
IPADDR=192.168.1.1 
NETMASK=255.255.255.0 
NETWORK=192.168.1.0 
BROADCAST=192.168.1.255 
GATEWAY=24.94.1.123 
ONBOOT=yes

Si usa una conexión conmutada, necesitará ver los ficheros ifcfg-ppp0 y chat-ppp0, que controlan su conexión PPP.

El fichero ifcfg debe tener un aspecto parecido al siguiente:

    DEVICE="ppp0"           
    ONBOOT="yes"
    USERCTL="no"
    MODEMPORT="/dev/modem"      
    LINESPEED="115200"          
    PERSIST="yes"   
    DEFABORT="yes"  
    DEBUG="yes"     
    INITSTRING="ATZ"
    DEFROUTE="yes"  
    HARDFLOWCTL="yes"           
    ESCAPECHARS="no"
    PPPOPTIONS=""   
    PAPNAME="LoginID"           
    REMIP=""        
    NETMASK=""      
    IPADDR=""       
    MRU=""          
    MTU=""          
    DISCONNECTTIMEOUT=""        
    RETRYTIMEOUT="5"
    BOOTPROTO="none"

6.4. Comprobación de su red

Empiece usando las órdenes ifconfig y route. Si usted tiene dos tarjetas de red, ifconfig deberá presentar un aspecto similar a éste:

# ifconfig
lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:3924  Metric:1
          RX packets:1620 errors:0 dropped:0 overruns:0
          TX packets:1620 errors:0 dropped:0 overruns:0
          collisions:0 txqueuelan:0

eth0      Link encap:10Mbps Ethernet  HWaddr 00:00:09:85:AC:55
          inet addr:24.94.1.123 Bcast:24.94.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1000 errors:0 dropped:0 overruns:0
          TX packets:1100 errors:0 dropped:0 overruns:0
          collisions:0 txqueuelan:0
          Interrupt:12 Base address:0x310

eth1      Link encap:10Mbps Ethernet  HWaddr 00:00:09:80:1E:D7
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1110 errors:0 dropped:0 overruns:0
          TX packets:1111 errors:0 dropped:0 overruns:0
          collisions:0 txqueuelan:0
          Interrupt:15 Base address:0x350

y su tabla de encaminado similar a:

# route -n
Kernel routing table
Destination     Gateway         Genmask         Flags MSS    Window Use Iface
24.94.1.0       *               255.255.255.0   U     1500   0       15 eth0
192.168.1.0     *               255.255.255.0   U     1500   0        0 eth1
127.0.0.0       *               255.0.0.0       U     3584   0        2 lo
default         24.94.1.123     *               UG    1500   0       72 eth0

Nota: 24.94.1.0 se encuentra en lado de Internet del cortafuegos y 192.168.1.0 en el lado de la red privada (LAN).

Asegúrese de que todos los computadores de su LAN puedan conectar con la dirección interna de su sistema cortafuegos. (192.168.1.1 en este ejemplo) Si no conectan, vuelva al Cómo de Redes en Linux y trabaje en la red un poco más.

Luego, desde el cortafuegos, trate de conectar con Internet. Yo uso www.internic.net com página de prueba. Si no funciona, inténtelo con un servidor de su ISP. Si aún así no funciona, es que alguna parte de su conexión a Internet es errónea. Desde el cortafuegos, debería poder conectarse a cualquier direcció de Internet. Trate de revisar la configuración de su puerta de enlace por defecto. Si usted usa una conexión conmutada, revise su nombre (ID) y contraseña (Password), relea el Cómo Net-2, e inténtelo de nuevo.

A continuación, trate de conectar con la dirección externa del cortafuegos (24.94.1.123) desde el computador de su LAN. Esto no debería ser posible, pero si lo consigue es que la máscara o el IP Forwarding están activados, o que ya se han filtrado grupos de paquetes. Apague los equipos e inténtelo de nuevo, puesto que necesita saber si el filtro está activo.

Para núcleos posteriores al 2.1.102 pueder usar la orden;

echo "0" > /proc/sys/net/ipv4/ip_forward

Si usa un núcleo anterior (¿por qué?), necesitará recompilar su núcleo con el reenvío de paquetes desactivado. (O mejor actualícelo)

Intente conectar de nuevo con la dirección externa del cortafuegos (24.94.1.123). Ahora no debería conseguirlo.

Conecte a continuación el reenvío de paquetes o la máscara. Debería ser capaz de conectar con cualquier página de Internet desde cualquier equipo de su LAN.

echo "1" > /proc/sys/net/ipv4/ip_forward

NOTA IMPORTANTE: Si usted usa una dirección IP "REAL" (que no sea 192.168.1.*) y no puede conectar con Internet, pero PUEDE hacerlo desde el lado de Internet del cortafuegos, asegúrese de que su proveedor de servicios de internet (ISP) encamina paquetes para la dirección de su red privada.

Una manera de comprobarlo es que algún amigo, usando un proveedor local, se conecte con su red. Si la conexión se detiene en el encaminador de su proveedor, entonces no permiten la entrada de información.

¿Funciona? Estupendo. La parte más difícil ha terminado.

6.5. Protección del Cortafuegos

Un cortafuegos es inútil si el sistema en el que está instalado es vulnerable a ataques externos. Un "chico malo" podría acceder desde un servicio sin cortafuegos y modificar el sistema según sus propias necesidades. Usted tendrá que desactivar cualquier servicio innecesario.

Mire el fichero /etc/inetd.conf Con él se configurará el inetd, también llamado "super servidor", que controla varios servidores demonio y los inicia, cuando se requiere, por un paquete que llega a un puerto "bien conocido".

Deberá desactivar cualquier echo, discard, daytime, chargen, ftp, gopher, shell, login, exec, talk, ntalk, pop-2, pop-3, netstat, systat, tftp, bootp, finger, cfinger, time, swat que tenga en su cortafuegos.

Para apagarlo, ponga # como primer carácter de la línea de servicio. Una vez hecho esto, envíe un SIG-HUP al proceso mediante la orden "kill -HUP <pid>", donde <pid> es el número de preocesos de inetd. Con esto, el inetd se releerá su fichero de configuración (inetd.conf) y reiniciará sin apagar el sistema.

Compruébelo haciendo telnet al puerto 15 (netstat) de su cortafuegos. Si se produce una salida de información por pantalla, no ha desactivado todos los servicios.

telnet localhos 15

Usted también puede crear el fichero /etc/nologin. Escriba unas cuantas líneas de texto del tipo (MORRALLA RELLENO). Una vez creado el fichero, la entrada de identificación no permitirá la conexión al usuario. Podrá ver los contenidos de este fichero pero no podrá conectar. Sólo root puede hacerlo.

También puede editar el fichero /etc/securetty. Si el usuario es root, entonces la entrada de identificación debe estar registrada en una tty listada en /etc/securetty. Los errores se registrarán en la utilidad syslog. Con estas dos medidas activadas, la única manera de conectar con el cortafuegos será desde la consola de root.

NUNCA haga un telnet a un sistema identificándose como root. Si necesita realizar acceso root remoto utilice SSH (Secure Shell); tal vez debería incluso desactivar telnet.

Si es usted realmente paranoico tendrá que usar el "lids" (Linux Intrusion Detect System), un parche para el núcleo de Linux que detecta cualquier intrusión en el sistema; el "lids" protege ficheros importantes impidiendo su modificación. Una vez activado, nadie (incluyendo root) puede modificar ficheros, directorios o subdirectorios, a menos que reinicie el sistema con la opción de LILO security=1, especialmente concebido para modificar ficheros protegidos. (Yo iniciaría además el equipo en el modo de usuario único).

10.1. Cómo conseguir el Software

El TIS FWTK se puede conseguir en http://www.tis.com/research/software/.

No cometa el mismo error que yo cometí. Cuando transfiera los archivos desde TIS, LEA EL APARTADO "LÉAME". El TIS fwtk se encuentra bloqueado en un directorio oculto de su servidor.

TIS requiere que lea sus condiciones en http://www.tis.com/research/software/fwtk_readme.html y luego envíe un e-mail a fwtk-request@tislabs.com con la palabra accepted en el cuerpo del mensaje para conocer el nombre del directorio oculto. No es necesario que escriba ningún asunto en el mensaje. Posteriormente, su sistema le enviará el nombre del directorio (válido durante 12 horas) para descargar la fuente.

La versión 2.1. del FWTK resulta más fácil de compilar que cualquier versión previa.

10.2. Compilación del TIS FWTK

La versión 2.1 del FWTK se compila mucho más fácilmente que cualquiera de las versiones anteriores.

Ejecute make ahora.

10.3. Instalación del TIS FWTK

Ejecute make install.

El directorio de la instalación por defecto es /usr/local/etc. Podría cambiarlo a un directorio más seguro. Yo opté por cambiar el acceso a este directorio por chmod 700.

Por último, sólo queda configurar el cortafuegos.

10.4. Configuración del TIS FWTK

Ahora es cuando realmente empieza lo divertido. Debemos enseñar al sistema a denominar a estos nuevos servicios y a crear las tablas para controlarlos.

No voy a intentar rescribir aquí el manual de TIS FWTK. Le mostraré la configuración que encontré hecha y explicaré los problemas que me surgieron y cómo los solucioné.

Los archivos que componen estos controles son tres:

• /etc/services

  • Le dice al sistema en qué puertos se encuentra un servicio.

• /etc/inetd.conf

  • Le dice a inetd a qué programa llamar cuando alguien intenta conectarse a un puerto de servicio.

• /usr/local/etc/netperm-table

  • Le dice a los servicios FWTK a quién admitir y a quién denegar el servicio.

Para conseguir que el FWTK funcione, debe editar estos archivos de abajo hacia arriba. Editar el archivo de servicios sin haber configurado correctamente el archivo inetd.conf o netperm-table, podría hacer su sistema inaccesible.

  #
  # Tabla de configuración del proxy
  #
  # Reglas de autenticación de clientes y servidores
  authsrv:	database /usr/local/etc/fw-authdb
  authsrv:	permit-hosts *
  authsrv:	badsleep 1200
  authsrv:	nobogus true
  # Client Applications using the Authentication server
  *:		authserver 127.0.0.1 114

    #
    # authsrv
    authsrv# list
    authsrv# adduser admin "Auth DB admin"
    ok - user added initially disabled
    authsrv# ena admin
    enabled
    authsrv# proto admin pass
    changed
    authsrv# pass admin "plugh"
    Password changed.
    authsrv# superwiz admin
    set wizard
    authsrv# list
    Report for users in database
    user   group  longname           ok?    proto   last 
    ------ ------ ------------------ -----  ------  -----
    admin         Auth DB admin      ena    passw   never
    authsrv# display admin
    Report for user admin (Auth DB admin)
    Authentication protocol: password
    Flags: WIZARD
    authsrv# ^D
    EOT
    #

# telnet gateway rules:
tn-gw:	denial-msg	/usr/local/etc/tn-deny.txt
tn-gw:	welcome-msg	/usr/local/etc/tn-welcome.txt
tn-gw:	help-msg	/usr/local/etc/tn-help.txt
tn-gw:	timeout 90
tn-gw:	permit-hosts 192.1.2.* -passok -xok
tn-gw:	permit-hosts * -auth
# Only the Administrator can telnet 
# directly to the Firewall via Port 24
netacl-in.telnetd: permit-hosts 192.1.2.202 \
                   -exec /usr/sbin/in.telnetd

  # rlogin gateway rules:
rlogin-gw:  denial-msg	/usr/local/etc/rlogin-deny.txt
rlogin-gw:  welcome-msg	/usr/local/etc/rlogin-welcome.txt
rlogin-gw:  help-msg	/usr/local/etc/rlogin-help.txt
rlogin-gw:  timeout 90
rlogin-gw:  permit-hosts 192.1.2.* -passok -xok
rlogin-gw:  permit-hosts * -auth -xok
# Only the Administrator can telnet 
#directly to the Firewall via Port
netacl-rlogind: permit-hosts 192.1.2.202 \
             -exec /usr/libexec/rlogind -a

  # ftp gateway rules:
  ftp-gw:		denial-msg	/usr/local/etc/ftp-deny.txt
  ftp-gw:		welcome-msg	/usr/local/etc/ftp-welcome.txt
  ftp-gw:		help-msg	/usr/local/etc/ftp-help.txt
  ftp-gw:		timeout 300
  ftp-gw:		permit-hosts 192.1.2.* -log { retr stor }
  ftp-gw:		permit-hosts * -authall -log { retr stor }

  # www and gopher gateway rules:
  http-gw:	userid		root
  http-gw:	directory	/jail
  http-gw:	timeout 90
  http-gw:	default-httpd	www.afs.net
  http-gw:	hosts 		192.1.2.* -log { read write ftp }
  http-gw:	deny-hosts 	* 

# ssl gateway rules:
ssl-gw: timeout 300
ssl-gw: hosts 192.1.2.* \
          -dest { !127.0.0.* !192.1.1.* *:443:563 }
ssl-gw: deny-hosts  *

 
# NetNews Pluged gateway
plug-gw:        timeout 3600
plug-gw: port nntp 192.1.2.* -plug-to 24.94.1.22 -port nntp
plug-gw: port nntp 24.94.1.22 -plug-to 192.1.2.* -port nntp

# Enable finger service 
netacl-fingerd: permit-hosts 192.1.2.* \
              -exec /usr/libexec/fingerd
netacl-fingerd: permit-hosts * -exec /bin/cat \
                      /usr/local/etc/finger.txt

 
telnet-a        24/tcp
ftp-gw          21/tcp    	# this named changed
auth            113/tcp   ident # User Verification
ssl-gw          443/tcp

11.1. Instalación del Servidor Proxy

El servidor proxy SOCKS se encuentra disponible en http://www.socks.nec.com/.

Una vez descomprimidos, introduzca los archivos en un directorio de su sistema, y siga las instrucciones sobre cómo hacerlo. Tuve algunos problemas cuando lo hice. Asegúrese de que sus Makefiles son correctos.

Una cuestión importante que se debe tener en cuenta es que el servidor proxy necesita ser incluido en /etc/inetd.conf. Para ello debe añadir la línea:

socks  stream  tcp  nowait  nobody  /usr/local/etc/sockd  sockd

, que le comunica al servidor cuándo ha de ejecutarse.

11.2. Configuración del Servidor Proxy

El programa SOCKS necesita dos ficheros de configuración: uno para comunicarnos que se nos permite el acceso, y otro para enviar las peticiones al servidor proxy correspondiente. El fichero de acceso debería estar en el servidor y el fichero encaminador debería incluirse en cada sistema UNIX. Los computadores DOS y, supuestamente, Macintosh encaminarán por sí mismos.

permit 192.168.1.0 255.255.255.0

permit 192.168.1.0 0.0.0.0

permit 192.168.1.0 255.255.255.0 
deny 0.0.0.0 0.0.0.0

direct 192.168.1.0 255.255.255.0

11.3. Cómo trabajar con un Servidor Proxy

11.4. Inconvenientes con los Servidores Proxy

El servidor proxy es, por encima de todo, un dispositivo de seguridad. Usarlo para aumentar el acceso a Internet cuando se tienen pocas direcciones IP presentan muchos inconvenientes. Un servidor proxy permite un mayor acceso desde dentro de la red protegida al exterior, pero mantiene el interior completamente inaccesible desde el exterior. Esto significa la ausencia de servidores, de conexiones talk o archive, o el envío directo de correo a los computadores interiores. Estos inconvenientes podrían parecer insignificantes, pero piense en ello de la siguiente forma:

• Ha dejado un informe que está haciendo en su computador dentro de una red cortafuegos protegida. Está en casa y decide repasarla. No puede. No puede acceder a su computador, porque está detrás del cortafuegos. Intenta entrar primero al cortafuegos, pero como todo el mundo tiene acceso al exterior desde el servidor proxy, nadie se ha preocupado de abrirle una cuenta en él.

• Su hija va a la universidad. Quiere enviarle un e-mail. Tiene cosas privadas que comentarle y preferiría que el correo llegara directamente a su computador. Confía plenamente en el administrador de su sistema; pero, sin embargo, es correo privado.

• La incapacidad de utilizar paquetes UDP representa un gran inconveniente con los servidores proxy. Supongo que no por mucho tiempo.

FTP causa otro problema con un servidor proxy. Cuando se hace un ls, el servidor FTP establece una conexión con la máquina cliente y manda la información por ella. Un servidor proxy no lo permitirá, así que el FTP no funciona demasiado bien.

Además, un servidor proxy tarda en ejecutarse. Debido a la gran sobrecarga, casi cualquier otro medio de lograr acceso será más rápido.

En resumen, si tiene suficientes direcciones IP, y no le preocupa la seguridad, no use cortafuegos o servidores proxy. Si no dispone de suficientes direcciones IP, y tampoco le preocupa la seguridad, podría considerar la idea de utilizar un emulador IP, como Term, Slirp o TIA. Term está disponible en ftp://sunsite.unc.edu, Slirp se encuentra en ftp://blitzen.canberra.edu.au/pub/slirp, y TIA, en marketplace.com. Estos programas de aplicación van más rápido, permiten mejores conexiones y proporcionan un mayor nivel de acceso a la red interior desde Internet. Los servidores proxy están bien para las redes que tienen muchos sistemas que quieren conectar con Internet sobre la marcha, con una instalación y un mantenimiento mínimo.

12.1. Una gran red con el énfasis en la seguridad

Digamos, por ejemplo, que usted es el líder del clan millisha y quiere poner su sitio web. Dispone de 50 computadores y una subnet de 32 (5 bits) direccions IP. Necesita varios niveles de acceso dentro de su red porque comunica cosas diferentes a sus discípulos; por consiguiente, necesitará proteger ciertas partes de la red del resto.

Los niveles son:

1. El nivel externo. Este es nivel que se enseña a todo el mundo. Aquí es donde hecha una perorata para conseguir adeptos.

2. Nivel iniciado Este es el nivel de la gente que ha superado el nivel externo. Es el lugar en el que les enseñan sobre el maldito gobierno y sobre cómo fabricar bombas.

3. Nivel adepto Aquí es donde se guardan los auténticos planes. En este nivel se almacena toda la información sobre cómo el gobierno del tercer mundo va a hacerse con el poder mundial, subplanes que involucran a Newt Gingrich, Oklahoma City, productos de escasa garantía y lo que realmente se almacena en ese hangar del área 51.

deny 192.168.1.17 255.255.255.255

deny 192.168.1.23 255.255.255.255

deny 0.0.0.0 0.0.0.0 eq 80

permit 192.168.1.0 255.255.255.0

deny 192.168.1.17 255.255.255.255 
deny 0.0.0.0 0.0.0.0 eq 80 
permit 192.168.1.0 255.255.255.0

deny 192.168.1.23 255.255.255.255 
permit 192.168.1.0 255.255.255.0

13.1. Herramientas Cortafuegos

Existen varios paquetes de software que facilitarán la gestión de su cortafuegos.

Tenga cuidado, no utilice estas herramientas a menos que pueda prescindir de ellas. Estas programaciones de guiones tanto pueden facilitarle la tarea como conducirle a errores.

Tanto las interfaces de la web como las gráficas han sido diseñadas para trabajar con las normas de filtración de Linux. Algunas compañías incluso han creado cortafuegos comerciales basados en Linux introduciéndolo en su propia máquina con su propio código de gestión. (todo un detalle)

En realidad, no soy un tipo GUI. Sin embargo, llevo utilizando cortafuegos con interfaces GUI desde hace algún tiempo. He descubierto que ayudan proporcionando un buen informe de todas las reglas de forma muy clara.

gfcc (GTK+ Firewall Control Center) es una aplicación GTK+ capaz de controlar las reglas y directrices del cortafuegos de Linux, basadas en el paquete ipchains. Vaya a http://icarus.autostock.co.kr y hágase con una copia. Sinceramente es una excelente herramienta.

He incluido listados de guiones RC en el apéndice A. Estos guiones funcionan con y sin gfcc.

Existen muchas programaciones de guiones disponibles para instalar un cortafuegos. Una línea de guión bastante completo está disponible en http://www.jasmine.org.uk/~simon/bookshelf/papers/instant-firewall/instant-firewall.html. Otra se encuentra en http://www.pointman.org/.

El cortafuegos K es un punto de inicio GUI para cadenas ipchains o ipfwadm (dependiendo de la versión de su núcleo). http://megaman.ypsilonia.net/kfirewall/

FCT es una herramienta basada en HTML para la configuración de un cortafuegos. Genera programación de guiones de manera automática para órdenes de filtración IP (ipfwadm) en un cortafuegos para múltiples interfaces y cualquier servicio de Internet. http://fct.linuxfirewall.org

13.2. Herramientas Generales

WebMin es un paquete de aplicación admin para sistemas. No le ayudará a gestionar las reglas, pero le ayudará a la hora de activar y desactivar demonios y procesos. Es un programa MUY bueno, estoy esperando que el señor J. Cameron incluya un módulo de cadenas IPCHAINS. http://www.webmin.com/

Si es usted un ISP, querrá saber sobre IPFA (Contabilidad para Cortafuegos IP) http://www.soaring-bird.com/ipfa/. Le permite hacer registros cronológicos por mes, por día o por minutos y dispone de una administración por interfaz gráfica de usuario basada en Web.

15.1. Guión RC usando GFCC

#!/bin/bash
#
# Firewall Script - Version 0.9.1
#
# chkconfig: 2345 09 99
# description: firewall script for 2.2.x kernel
# Set for testing
# set -x
#
# NOTES:
#
#  This script is written for RedHat 6.1 or better.
#
#  Be careful about offering public services 
#  like web or ftp servers.
#
# INSTALLATION:
#  1. place this file in /etc/rc.d/init.d  
#     (you'll have to be root..)
#     call it something like "firewall"    :-)
#     make it root owned -->  "chown root.root (filename)"
#     make it executable -->  "chmod 755 (filename)"
#
#  2. use GFCC to create your firewall rules 
#     and export them to a file
#     named /etc/gfcc/rules/firewall.rule.sh.
#
#  3. add the firewall to the RH init 
#     structure --> "chkconfig --add (filename)"
#     next time the router boots, 
#     things should happen automagically!
#     sleep better at night 
#     knowing you are *LESS* vulnerable than before...
#
# RELEASE NOTES
#   30 Jan, 2000 - Changed to GFCC script 
#   11 Dec, 1999 - 
#    updated by Mark Grennan <mark@grennan.com>
#   20 July, 1999 -
#    initial writing - Anthony Ball <tony@LinuxSIG.org>
#

################################################

# Source function library.
. /etc/rc.d/init.d/functions

# Source networking configuration.
. /etc/sysconfig/network

# Check that networking is up.
[ ${NETWORKING} = "no" ] && exit 0

# See how we are called
case "$1" in

  start)
	# Start providing access
	action "Starting firewall: " /bin/true
	/etc/gfcc/rules/firewall.rule.sh
	echo
	;;

  stop)
	action "Stoping firewall: " /bin/true
	echo 0 > /proc/sys/net/ipv4/ip_forward
	/sbin/ipchains -F input
	/sbin/ipchains -F output
	/sbin/ipchains -F forward

	echo
	;;

  restart)
	action "Restarting firewall: " /bin/true
	$0 stop
	$0 start

	echo
	;;

  status)
	# List out all settings
	/sbin/ipchains -L
	;;

  test)
	action "Test Mode firewall: " /bin/true
	/sbin/ipchains -F input
	/sbin/ipchains -F output
	/sbin/ipchains -F forward
	echo 1 > /proc/sys/net/ipv4/ip_forward
	/sbin/ipchains -A input -j ACCEPT
	/sbin/ipchains -A output -j ACCEPT
	/sbin/ipchains -P forward DENY
	/sbin/ipchains -A forward -i $PUBLIC -j MASQ

	echo
	;;

  *)
	echo "Usage: $0 {start|stop|restart|status|test}"
	exit 1

esac

15.2. Guión GFCC

Este guión fue generado por el programa de Cortafuegos Gráfico (GFCC). Este no es el conjunto de reglas en funcionamiento, sino el conjunto de reglas exportadas.

#!/bin/sh
# Generated by Gtk+ firewall control center

IPCHAINS=/sbin/ipchains


localnet="192.168.1.0/24"
firewallhost="192.168.1.1/32"
localhost="172.0.0.0/8"
DNS1="24.94.163.119/32"
DNS2="24.94.163.124/32"
Broadcast="255.255.255.255/32"
Multicast="224.0.0.0/8"
Any="0.0.0.0/0"
mail_grennan_com="192.168.1.1/32"
mark_grennan_com="192.168.1.3/32"

$IPCHAINS -P input DENY
$IPCHAINS -P forward ACCEPT
$IPCHAINS -P output ACCEPT

$IPCHAINS -F
$IPCHAINS -X

# input rules
$IPCHAINS -A input -s $Any \
     -d $Broadcast -j DENY 
$IPCHAINS -A input -p udp -s $Any \
     -d $Any netbios-ns -j DENY 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any netbios-ns -j DENY 
$IPCHAINS -A input -p udp -s $Any \
     -d $Any netbios-dgm -j DENY 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any netbios-dgm -j DENY 
$IPCHAINS -A input -p udp -s $Any \
     -d $Any bootps -j DENY 
$IPCHAINS -A input -p udp -s $Any \
     -d $Any bootpc -j DENY 
$IPCHAINS -A input -s $Multicast \
     -d $Any -j DENY 
$IPCHAINS -A input -s $localhost \
     -d $Any -i lo -j ACCEPT 
$IPCHAINS -A input -s $localnet \
     -d $Any -i eth1 -j ACCEPT 
$IPCHAINS -A input -s $localnet \
     -d $Broadcast -i eth1 -j ACCEPT 
$IPCHAINS -A input -p icmp -s $Any \
     -d $Any -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any -j ACCEPT ! -y 
$IPCHAINS -A input -p udp -s $DNS1 domain \
     -d $Any 1023:65535 -j ACCEPT 
$IPCHAINS -A input -p udp -s $DNS2 domain \
     -d $Any 1023:65535 -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any ssh -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any telnet -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any smtp -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any pop-3 -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any auth -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any www -j ACCEPT 
$IPCHAINS -A input -p tcp -s $Any \
     -d $Any ftp -j ACCEPT 
$IPCHAINS -A input -s $Any \
     -d $Any -j DENY -l 

# forward rules
$IPCHAINS -A forward -s $localnet -d $Any -j MASQ 

# output rules

15.3. Guión RC sin GFCC. Este es el conjunto de reglas de cortafuegos hecho por mí. No utiliza GFCC.

#!/bin/bash
#
# Firewall Script - Version 0.9.0

# chkconfig: 2345 09 99
# description: firewall script for 2.2.x kernel

# Set for testing
# set -x

#
# NOTES:
#
#  This script is written for RedHat 6.0 or better.
#
#  This firewall script should work for most routers, 
#  dial-up or cable modem.
#  It was written for RedHat distributions. 
#
#  Be careful about offering public 
#  services like web or ftp servers.
#
# INSTALLATION:
# 1. This file planned for a RedHat system.  
#    It would work on other distro's 
#    with perhaps no modification, but again...
#    Who knows?!!?  
#    These instructions apply to RedHat systems.
#
# 2. place this file in /etc/rc.d/init.d  
#   (you'll have to be root..)
#    call it something like "firewall"    :-)
#    make it root owned 
#    -->  "chown root.root <filename>"
#    make it executable 
#    -->  "chmod 755 <filename>"
#
# 3. set the values for your network, 
#    internal interface, and DNS servers
#    uncomment lines further down 
#    to enable optional in-bound services
#    make sure "eth0" is your internal NIC 
#    (or change the value below)
#    test it 
#    -->  "/etc/rc.d/init.d/<filename> start"
#    you can list the rules -->  "ipchains -L -n"
#    fix anything that broke...  :-)
#
# 4. add the firewall 
#    to the RH init structure 
#    --> "chkconfig --add <filename>"
#    next time the router boots, 
#    things should happen automagically!
#    sleep better at night  knowing you are 
#    *LESS* vulnerable than before...
#
# RELEASE NOTES
#   20 July, 1999 - initial writing -
#   Anthony Ball <tony@LinuxSIG.org>
#   11 Dec, 1999 - updated by 
#   Mark Grennan <mark@grennan.com>
#

################################################
#  Fill in the values below to match your
#  local network.

PRIVATENET=xxx.xxx.xxx.xxx/xx

PUBLIC=ppp0
PRIVATE=eth0

# your dns servers
DNS1=xxx.xxx.xxx.xxx
DNS2=xxx.xxx.xxx.xxx

################################################

# some handy generic values to use
ANY=0.0.0.0/0
ALLONES=255.255.255.255

# Source function library.
. /etc/rc.d/init.d/functions

# Source networking configuration.
. /etc/sysconfig/network

# Check that networking is up.
[ ${NETWORKING} = "no" ] && exit 0

# See how we are called
case "$1" in

  start)
	# Start providing access
	action "Starting firewall: " /bin/true

	##
	## Setup Envirement
	##
	# Flush all lists
	/sbin/ipchains -F input
	/sbin/ipchains -F output
	/sbin/ipchains -F forward

	# Plug up everything
	/sbin/ipchains -I input 1 -j DENY

	# set policy to deny (Default is ACCEPT)
	/sbin/ipchains -P input DENY
	/sbin/ipchains -P output ACCEPT
	/sbin/ipchains -P forward ACCEPT

	# Turn on packet forwarding
	echo 1 > /proc/sys/net/ipv4/ip_forward

	##
	## Install Modules 
	##
	# Insert the active ftp module.  
	# This will allow non-passive ftp to machines
	# on the local network 
	# (but not to the router since it is not masq'd)
	if ! ( /sbin/lsmod | /bin/grep masq_ftp > /dev/null ); \
                                                                then
	    /sbin/insmod ip_masq_ftp
	fi

	##
	## Some Security Stuff
	##
	# turn on Source Address Verification 
        # and get spoof protection
	# on all current and future interfaces.
	if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then
	    for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
	        echo 1 > $f
	    done
	else
	    echo
	    echo "PROBLEMS SETTING UP IP SPOOFING PROTECTION"
            echo "BE WORRIED."
	    echo
	fi

	# deny bcasts on remaining interfaces
	/sbin/ipchains -A input -d 0.0.0.0 -j DENY
	/sbin/ipchains -A input -d 255.255.255.255 -j DENY

	# deny these without logging 
        # because there tend to be a lot...
	# NetBIOS over IP
	/sbin/ipchains -A input -p udp -d $ANY 137 -j DENY
        # NetBIOS over IP
	/sbin/ipchains -A input -p tcp -d $ANY 137 -j DENY 
	# NetBIOS over IP
	/sbin/ipchains -A input -p udp -d $ANY 138 -j DENY
	# NetBIOS over IP
	/sbin/ipchains -A input -p tcp -d $ANY 138 -j DENY
	# bootp
	/sbin/ipchains -A input -p udp -d $ANY 67 -j DENY 
	# bootp
	/sbin/ipchains -A input -p udp -d $ANY 68 -j DENY
        # Multicast addresses
	/sbin/ipchains -A input -s 224.0.0.0/8 -j DENY 

	##
	## Allow private network out
	##
	# allow all packets on the loopback interface
	/sbin/ipchains -A input -i lo -j ACCEPT

	# allow all packets from the internal "trusted" interface
	/sbin/ipchains -A input -i $PRIVATE -s $PRIVATENET \
                                           -d $ANY -j ACCEPT
	/sbin/ipchains -A input -i $PRIVATE \
                        -d $ALLONES -j ACCEPT

	## 
	## Allow Outside Services into the firewall (if you dare)
	##
	# allow ICMP
	/sbin/ipchains -A input -p icmp -j ACCEPT
	# allow TCP
	/sbin/ipchains -A input -p tcp ! -y -j ACCEPT

	# allow lookups to DNS (on firewall)
	/sbin/ipchains -A input -p udp -s $DNS1 domain \
                                 -d $ANY 1023: -j ACCEPT
	/sbin/ipchains -A input -p udp -s $DNS2 domain \
                                 -d $ANY 1023: -j ACCEPT
	# or (BETTER IDEA) run a caching DNS server 
        # on the router and use the 
	# following two/four lines instead...
	# /sbin/ipchains -A input -p udp -s $DNS1 domain \
        #                          -d $ANY domain -j ACCEPT
	# /sbin/ipchains -A input -p udp -s $DNS2 domain \
        #                          -d $ANY domain -j ACCEPT

	# uncomment the following to allow ssh in
	/sbin/ipchains -A input -p tcp -d $ANY 22 -j ACCEPT

	# uncomment the following to allow telnet in (BAD IDEA!!)
	/sbin/ipchains -A input -p tcp -d $ANY telnet -j ACCEPT

	# uncomment to allow NTP 
        # (network time protocol) to router
	# /sbin/ipchains -A input -p udp -d $ANY ntp -j ACCEPT

	# uncomment to allow SMTP in 
        # (not for mail clients - only a server)
	/sbin/ipchains -A input -p tcp -d $ANY smtp -j ACCEPT

	# uncomment to allow POP3 in (for mail clients)
	/sbin/ipchains -A input -p tcp -d $ANY 110 -j ACCEPT

	# allow auth in for sending mail or doing ftp
	/sbin/ipchains -A input -p tcp -d $ANY auth -j ACCEPT

	# uncomment to allow HTTP in 
        # (only if you run a web server on the router)
	/sbin/ipchains -A input -p tcp -d $ANY http -j ACCEPT

	# uncomment to allow FTP in
	/sbin/ipchains -A input -p tcp -d $ANY ftp -j ACCEPT

	##
	## Masquerading stuff
	##
	# masquerade packets forwarded from internal network
	/sbin/ipchains -A forward -s $PRIVATENET -d $ANY -j MASQ

	##
	## deny EVERYthing else 
        ## and log them to /var/log/messages
	/sbin/ipchains -A input -l -j DENY

	# Remove the Plug
	/sbin/ipchains -D input 1

	;;

  stop)
	action "Stoping firewall: " /bin/true
	echo 0 > /proc/sys/net/ipv4/ip_forward
	/sbin/ipchains -F input
	/sbin/ipchains -F output
	/sbin/ipchains -F forward

	echo
	;;

  restart)
	action "Restarting firewall: " /bin/true
	$0 stop
	$0 start

	echo
	;;

  status)
	# List out settings
	/sbin/ipchains -L
	;;

  test)
	##
	## This is about as simple as it gets
	##    (This is not secure AT ALL)
	action "WARNING Test Firewall: " /bin/true
	/sbin/ipchains -F input
	/sbin/ipchains -F output
	/sbin/ipchains -F forward
	echo 1 > /proc/sys/net/ipv4/ip_forward
	/sbin/ipchains -A input -j ACCEPT
	/sbin/ipchains -A output -j ACCEPT
	/sbin/ipchains -P forward DENY
	/sbin/ipchains -A forward -i $PUBLIC -j MASQ

	echo
	;;

  *)
	echo "Usage: $0 {start|stop|restart|status|test}"
	exit 1

esac