jun 17 20:09:08 <vensign>	Bienvenidos a la Charla de Firewall y Shorewall
jun 17 20:09:18 <vensign>	muchas gracias a todos los asistentes
jun 17 20:09:20 <P3L|C4N0>	sugerencia que moderen el canal cuando empieze la charla
jun 17 20:09:43 <vensign>	P3L|C4N0: esperemos que todos se comporten sino se modera
jun 17 20:10:10 <santiago-ve>	P3L|C4N0: casi siempre podemos hacer reuniones y charlas con tranquilidad :D
jun 17 20:10:17 <vensign>	cualquier pregunta que tengan que hacer por favor inicien con PREGUNTA: y su pregunta
jun 17 20:10:17 <santiago-ve>	gracias por la sugerencia
jun 17 20:11:22 <vensign>	en esta charla les voy a hablar un poco de Firewalls en Linux y en un excelente manejador de netfilter como lo es Shorewall
jun 17 20:12:03 <vensign>	primero lo básico un Firewall o Corta Fuego es simplemente un servicio que filtra las conexiones y paquetes que entran y salen de nuestras PC o Servidores
jun 17 20:12:39 <vensign>	el Kernel de Linux nos da un sistema de filtrado de paquete llamado netfilter
jun 17 20:12:59 <vensign>	este es un sistema que ya viene integrado en el kernel moderno
jun 17 20:13:32 <vensign>	y tradicionalmente para manejar este sistema se utiliza iptables
jun 17 20:13:59 <vensign>	iptables es una suite de comandos que es bastante flexible y muy poderosa
jun 17 20:14:21 <vensign>	pero la curva de aprendizaje es un poco dificil
jun 17 20:15:06 <vensign>	por lo que han aparecido varias aplicaciones o frontends para hacer más facil el trabajo de manejar netfilter
jun 17 20:15:17 <vensign>	alguna pregunta hasta ahora?
jun 17 20:15:31 <vensign>	bueno sigamos
jun 17 20:15:35 <cmartinez28>	todo claro hasta ahora
jun 17 20:16:02 <vensign>	les voy a enseñar un poco como se maneja iptables y después pasaremos a ufw y shorewall
jun 17 20:16:22 <vensign>	iptables viene instalado por defecto en Ubuntu
jun 17 20:17:16 <vensign>	si queremos chequear si esta instalado
jun 17 20:17:22 <vensign>	simplemente ejecutamos en consola
jun 17 20:17:31 <vensign>	dpkg -l iptables
jun 17 20:18:15 <vensign>	si no esta instalado se puede instalar simplemente ejecutando sudo apt-get update && sudo apt-get install iptables
jun 17 20:19:05 <vensign>	iptables trabaja con cadenas tiene una cadena de entrada una de salida una de redireccion y una cadena nat
jun 17 20:19:23 <vensign>	esas son las principales son conocidas como INPUT FORWARD OUTPUT y NAT
jun 17 20:19:45 <vensign>	para ver cuales son las reglas que tenemos en estas cadenas actualmente simplemente ejecutamos iptables -nvL
jun 17 20:20:07 <vensign>	ahí nos mostrará todas las reglas que están actualmente configuradas
jun 17 20:21:22 <vensign>	supongamos que queremos restringir el acceso al puerto 22 que es el de SSH a nuestro servidor a una IP en específico
jun 17 20:21:38 <vensign>	para esto ejecutaríamos siempre como root o con sudo el siguiente comando
jun 17 20:22:10 <vensign>	sudo iptables -A INPUT -d 192.168.1.100 -p tcp -dport 22 -j ACCEPT
jun 17 20:22:34 <vensign>	en este comando tenemos -A que es append o agregar a la cadena de entrada INPUT
jun 17 20:23:08 <vensign>	solo lo que venga de la dirección -d 192.168.1.100 y el protocolo -p tcp al puerto -dport 22
jun 17 20:23:24 <vensign>	y por ultimo la regla de -j ACCEPT aceptar esta conexión
jun 17 20:23:40 <vensign>	si quisieramos negar la conexión simplemente cambiamos ACCEPT por DROP
jun 17 20:23:48 <vensign>	esta es una regla simple
jun 17 20:24:02 <vensign>	alguna pregunta?
jun 17 20:25:15 <vensign>	bueno sigamos
jun 17 20:25:36 <vensign>	iptables como lo dije al principio es un poco complicado para aprender aunque muy poderoso
jun 17 20:26:02 <vensign>	hay muchos tutoriales disponibles de iptables así como las páginas de man iptables
jun 17 20:26:16 <vensign>	pero hay formas más fáciles de manejar netfilter
jun 17 20:27:46 <vensign>	actualmente Ubuntu incluye un manejador de netfilter llamado ufw por Uncomplicated Firewall
jun 17 20:28:01 <vensign>	pero viene desactivado por defecto
jun 17 20:28:22 <vensign>	esto es para evitar a los usuarios novatos tener problemas de acceso desde y hacia su PC
jun 17 20:29:16 <vensign>	desde mi punto de vista ufw es excelente para filtrar el tráfico de una PC de un usuario novato ya que es muy facil de utilizar
jun 17 20:29:57 <vensign>	por ejemplo supongamos el mismo caso anterior donde queremos permitir las conexiones hacia ssh
jun 17 20:30:04 <vensign>	simplemente ejecutamos los siguientes comandos
jun 17 20:30:55 <vensign>	sudo ufw allow ssh/tcp
jun 17 20:31:14 <vensign>	activamos el logging del firewall con sudo ufw logging on
jun 17 20:31:22 <vensign>	y activamos el ufw
jun 17 20:31:27 <vensign>	sudo ufw enable
jun 17 20:31:50 <vensign>	si queremos ver el estatus de ufw junto con sus reglas simplemente ejecutamos sudo ufw status
jun 17 20:31:57 <vensign>	y nos mostrará todas las reglas activas
jun 17 20:32:22 <vensign>	ya trae preconfiguradas varias reglas que puedes activar con una simple linea de comando
jun 17 20:32:32 <vensign>	e inclusive ya hay reglas para aplicaciones específicas
jun 17 20:33:06 <vensign>	pueden ver una excelente guía en https://help.ubuntu.com/8.04/serverguide/C/firewall.html
jun 17 20:33:08 <Ubuntu-ve>	<http://ln-s.net/2yCE> (at help.ubuntu.com)
jun 17 20:33:22 <vensign>	alguna pregunta o duda hasta ahora?
jun 17 20:34:09 <vensign>	o se durmieron o me abandonaron lol
jun 17 20:34:20 <P3L|C4N0>	vensign, no, prosiga
jun 17 20:34:28 <grazz>	por mi seguí.
jun 17 20:34:34 <vensign>	muy bien sigamos
jun 17 20:34:48 <vensign>	ahora vamos con el protagonista principal de esta charla
jun 17 20:35:09 <vensign>	Shorewall http://www.shorewall.net/
jun 17 20:35:12 <Ubuntu-ve>	Title: Shoreline Firewall (at www.shorewall.net)
jun 17 20:35:38 <vensign>	antes se le conocia como Shoreline Firewall pero se conoce mas comunmente como Shorewall
jun 17 20:36:08 <vensign>	es un frontend para netfilter como ya les habia comentado
jun 17 20:36:24 <vensign>	y por mi parte es uno de los más completos y más potentes que existen
jun 17 20:36:33 <vensign>	esta muy bien documentado
jun 17 20:36:50 <vensign>	y es software libre bajo la licencia GPL que a todos nos gusta
jun 17 20:37:00 <vensign>	es constantemente actualizado y mejorado
jun 17 20:37:16 <vensign>	y por todos estos motivos es una muy buena herramienta
jun 17 20:38:17 <vensign>	en esta ocasión les voy a dar un pequeño tutorial de como instalar y configurar un firewall para sus PC con una sola interfaz de red
jun 17 20:38:23 <vensign>	con Shorewall
jun 17 20:39:02 <vensign>	esto servirá para que se familiaricen con la herramienta y además para proteger sus PC de posibles ataques del exterior
jun 17 20:39:33 <vensign>	vamos a comenzar si alguien tiene una duda con alguno de los comandos que vaya explicando me pueden interrumpir
jun 17 20:40:05 <vensign>	en los repositorios normales de Ubuntu no está la última versión de Shorewall
jun 17 20:40:40 <vensign>	por lo que vamos a agregar los repositorios de Launchpad de Shorewall a nuestro repositorio y así tendremos la versión más reciente
jun 17 20:40:49 <vensign>	para esto ejecutamos los siguientes comandos
jun 17 20:40:59 <vensign>	primero hacemos un backup de nuestra lista de repositorios
jun 17 20:41:19 <vensign>	sudo cp /etc/
jun 17 20:41:23 <vensign>	perdon
jun 17 20:41:40 <vensign>	sudo cp /etc/apt/sources.list /etc/apt/sources.list.backup
jun 17 20:41:43 <vensign>	ese si es
jun 17 20:41:58 <vensign>	luego editamos la lista de repositorios
jun 17 20:42:11 <vensign>	sudo gedit /etc/apt/sources.list
jun 17 20:42:28 <vensign>	pueden usar el editor de su preferencia (vim, nano, emacs, etc)
jun 17 20:42:38 <vensign>	y agregamos la siguiente línea al final
jun 17 20:42:52 <vensign>	#Shorewall
jun 17 20:42:52 <vensign>	deb http://ppa.launchpad.net/bmonty/ppa/ubuntu jaunty main
jun 17 20:42:55 <vensign>	deb-src http://ppa.launchpad.net/bmonty/ppa/ubuntu jaunty main
jun 17 20:42:56 <Ubuntu-ve>	Title: Index of /bmonty/ppa/ubuntu (at ppa.launchpad.net)
jun 17 20:43:13 <vensign>	luego agregamos la llave de autenticación del paquete
jun 17 20:43:26 <vensign>	sudo apt-key adv --recv-keys --keyserver keyserver.ubuntu.com 0x4f09f5f2295281c9c06ba636c4a5fdfb232998e4
jun 17 20:43:50 <vensign>	esto despues de haber guardado el archivo que modificamos disculpen que me salte ese paso
jun 17 20:44:04 <vensign>	si todo nos sale bien
jun 17 20:44:15 <vensign>	podemos ahora ejecutar sudo apt-get update
jun 17 20:44:28 <vensign>	para actualizar nuestra lista de paquetes y no nos debería arrojar ningún error
jun 17 20:44:46 <vensign>	y ya podemos proceder a instalar la ultima versión de shorewall
jun 17 20:45:02 <vensign>	cabe destacar que estos repositorios son para jaunty version 9.04
jun 17 20:45:13 <vensign>	en la pagina de launchpad hay para versiones anteriores
jun 17 20:45:18 <vensign>	pueden revisarlo ahí
jun 17 20:45:22 <vensign>	el procedimiento es el mismo
jun 17 20:45:37 <vensign>	para instalar shorewall ejecutamos
jun 17 20:45:54 <vensign>	sudo apt-get install shorewall-common shorewall-perl shorewall-doc
jun 17 20:46:18 <vensign>	vamos bien alguna pregunta?
jun 17 20:46:34 <King_nal2>	Donde se obtiene la llave de autenticacion?
jun 17 20:47:30 <vensign>	King_nal2: en la pagina de launchpad de shorewall
jun 17 20:48:00 <vensign>	ya les doy la direccion
jun 17 20:49:56 <vensign>	King_nal2: se las doy al final que no la tengo a la mano para no atrasar esto tanto
jun 17 20:50:12 <vensign>	pero en la pagina puedes encontrar abajo la llave
jun 17 20:50:13 <King_nal2>	ok :P
jun 17 20:50:17 <vensign>	y la agregas
jun 17 20:50:25 <vensign>	bueno sigamos
jun 17 20:50:34 <vensign>	alguna otra pregunta antes de seguir?
jun 17 20:51:26 <m4v>	nope
jun 17 20:51:26 <King_nal2>	no
jun 17 20:51:26 <vensign>	ok seguimos
jun 17 20:51:26 <vensign>	una vez que se termine de instalar Shorewall no se va a iniciar hasta que lo configuremos
jun 17 20:51:35 <vensign>	por suerte Shorewall incluye unos esqueletos de configuración que podemos utilizar
jun 17 20:52:04 <vensign>	para esto vamos al directorio donde estan estos esqueletos que se encuentran en
jun 17 20:52:07 <vensign>	cd /usr/share/doc/shorewall-common/default-config
jun 17 20:52:45 <vensign>	y copiamos el archivo esqueleto
jun 17 20:52:57 <vensign>	o mejor dicho los archivos
jun 17 20:53:18 <vensign>	cp -p interfaces rules zones policy /etc/shorewall
jun 17 20:53:36 <vensign>	/etc/shorewall es donde se encuentran los archivos de configuracion de shorewall
jun 17 20:54:11 <vensign>	ahora vamos a modificar estos archivos y les voy a explicar para que es cada uno de ellos
jun 17 20:54:27 <vensign>	El primer archivo que vamos a modificar es el de zones
jun 17 20:55:01 <vensign>	Shorewall ve la red como un conjunto de zonas, para este caso vamos a tener solo dos zonas que seria la red externa y nuestra PC
jun 17 20:55:19 <vensign>	si ejecutamos sudo gedit /etc/shorewall/zones
jun 17 20:55:29 <vensign>	veremos el archivo de configuración
jun 17 20:55:54 <vensign>	por defecto viene la zona del propio shorewall llamada fw
jun 17 20:56:07 <vensign>	esta zona siempre va a existir y no la debemos borrar
jun 17 20:56:47 <vensign>	ademas esta zona será definida como una variable llamada $FW que podremos utilizar en los otros archivos de configuracion
jun 17 20:57:11 <vensign>	vamos a declarar otra zona que vamos a llamar red y que como tipo la vamos a declarar como ipv4
jun 17 20:57:22 <vensign>	quedaria algo como
jun 17 20:57:31 <vensign>	fw firewall
jun 17 20:57:36 <vensign>	red ipv4
jun 17 20:57:41 <vensign>	una linea despues de la otra
jun 17 20:57:53 <vensign>	dejenme hacerles un pastebin
jun 17 20:58:37 <vensign>	http://pastebin.com/m516b28fb
jun 17 20:58:39 <Ubuntu-ve>	Title: pastebin - collaborative debugging tool (at pastebin.com)
jun 17 20:58:45 <vensign>	ahi pueden ver el archivo
jun 17 20:59:12 <vensign>	no deben escribir nada despues de la linea llamada #LAST LINE y no la deben quitar
jun 17 20:59:20 <vensign>	sino pasan cosas muy malas jaja
jun 17 20:59:35 <vensign>	alguna pregunta?
jun 17 20:59:52 <King_nal2>	no
jun 17 20:59:54 <vensign>	si tienen mas de una red o mas de una interfaz pueden declarar tantas zonas como gusten
jun 17 21:00:05 <davidhdz>	pregunta:
jun 17 21:00:10 <vensign>	teniendo en cuenta el tipo de red que estan declarando
jun 17 21:00:14 <vensign>	davidhdz: diga
jun 17 21:00:45 <davidhdz>	puede estar activo el ufw y las reglas que coloquemos con otros manejadores de netfilter?
jun 17 21:01:02 <vensign>	no davidhdz no es recomendable
jun 17 21:01:33 <vensign>	aunque al final todos son aplicaciones que ayudan a configurar netfilter
jun 17 21:01:50 <davidhdz>	si, pero quien tiene jerarquía sobre las reglas?
jun 17 21:01:59 <vensign>	pueden darse casos donde las reglas tengan conflictos
jun 17 21:02:07 <davidhdz>	por eso recomiendo que ejecuten el siguiente comando: sudo ufw disable
jun 17 21:02:19 <vensign>	si davidhdz gracias por la acotacion
jun 17 21:02:33 <vensign>	es importante deshabilitar cualquier otro manejador de netfilter
jun 17 21:03:10 <vensign>	alguna otra pregunta o sugerencia?
jun 17 21:03:35 <vensign>	muy bien sigamos
jun 17 21:04:18 <vensign>	tambien es importante que chequeemos si tenemos alguna regla creada con iptables
jun 17 21:04:40 <vensign>	podemos pasarnos dias con problemas y resulta que tenemos una regla que hace lo que no queremos configurada anteriormente
jun 17 21:05:37 <vensign>	para mas información de las zonas de shorewall y los tipos de zonas podemos ejecutar man shorewall-zones
jun 17 21:06:02 <vensign>	o ir a esta dirección http://www.shorewall.net/manpages/shorewall-zones.html
jun 17 21:06:10 <Ubuntu-ve>	<http://ln-s.net/3LCk> (at www.shorewall.net)
jun 17 21:06:13 <vensign>	la documentacion es bastante completa
jun 17 21:06:49 <vensign>	el siguiente archivo que vamos a configurar es el de interfaces
jun 17 21:07:09 <vensign>	en este le decimos a shorewall sobre que interfaces de red se van a aplicar las reglas
jun 17 21:07:27 <vensign>	lo primero que vamos a hacer es ejecutar en el terminal el comando
jun 17 21:07:47 <vensign>	ip route ls
jun 17 21:08:02 <vensign>	esto nos da todas las rutas declaradas en nuestra PC
jun 17 21:08:23 <vensign>	les apareceran varias lineas de este tipo 192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.104
jun 17 21:08:34 <vensign>	y al final deberíamos tener una línea que dice
jun 17 21:08:42 <vensign>	default via 192.168.1.1 dev eth0  metric 100
jun 17 21:09:06 <vensign>	esta es nuestra ruta e interfaz por defecto
jun 17 21:09:32 <vensign>	por ejemplo en este caso es por la IP 192.168.1.1 y la interfaz es la eth0
jun 17 21:09:39 <vensign>	esto puede variar según su PC
jun 17 21:10:26 <davidhdz>	pero la IP de tu equipo ahí  es  192.168.1.104
jun 17 21:10:47 <vensign>	davidhdz: si pero mi gateway es la 192.168.1.1
jun 17 21:11:02 <vensign>	podria ser la misma de mi PC pero necesariamente no es así
jun 17 21:11:15 <davidhdz>	ok
jun 17 21:11:17 <vensign>	mas si tienes algún modem de banda ancha o router que te conecte hacia internet
jun 17 21:11:43 <vensign>	eso depende de como esté tu red configurada y el proveedor de servicios que tengas
jun 17 21:12:18 <vensign>	si la dirección IP o la interfaz que aparece en esta línea no es la que ud van a utilizar
jun 17 21:12:18 <davidhdz>	si, pensé que te referías a la ip de tu equipo, pero es a la gateway
jun 17 21:12:42 <vensign>	pueden borrar esta línea ejecutando el comando sudo route del gw IP_a_eliminar
jun 17 21:13:30 <vensign>	y agregar una nueva ruta por defecto con el comando route add default gw IP_gateway
jun 17 21:13:44 <vensign>	todos bien hasta aqui?
jun 17 21:13:52 <ntovar_>	sip
jun 17 21:13:56 <vensign>	ok seguimos
jun 17 21:14:14 <vensign>	ahora modificamos el archivo /etc/shorewall/interfaces
jun 17 21:14:36 <vensign>	y agregamos la línea
jun 17 21:14:38 <vensign>	red     eth0            detect          dhcp,tcpflags,logmartians,nosmurfs,blacklist,routeback
jun 17 21:14:46 <vensign>	red es la zona que declaramos
jun 17 21:14:54 <vensign>	y eth0 es la interfaz que vamos a utilizar
jun 17 21:15:40 <vensign>	y desde dhcp hasta el final son opciones que estamos configurando
jun 17 21:15:48 <vensign>	las voy a explicar muy brevemente
jun 17 21:15:59 <vensign>	dhcp es si nuestra interfaz toma la direccion por dhcp
jun 17 21:16:27 <vensign>	tcpflags revisa los paquetes tcp por flags ilegales
jun 17 21:17:03 <vensign>	logmartians hace que se registren paquetes que vienen de IPs no validas
jun 17 21:17:26 <vensign>	nosmurfs filtra paquetes con direcciones de broadcast
jun 17 21:17:41 <vensign>	blacklist filtra los paquetes contra una lista negra que configuremos
jun 17 21:18:00 <vensign>	routeback filtra paquetes que se devuelven de esta misma interfaz
jun 17 21:18:23 <vensign>	con esto ya tenemos buen camino recorrido
jun 17 21:18:41 <vensign>	igualmente para mas información man shorewall-interfaces
jun 17 21:18:51 <vensign>	ahora a definir nuestras políticas
jun 17 21:19:46 <vensign>	por cierto pueden ver el archivo aquí http://pastebin.com/m661d7a69
jun 17 21:19:48 <Ubuntu-ve>	Title: pastebin - collaborative debugging tool (at pastebin.com)
jun 17 21:20:07 <vensign>	las políticas son reglas que definimos de que tipo de paquetes vamos a dejar pasar y cuales no
jun 17 21:20:33 <vensign>	por ejemplo es una buena política de seguridad
jun 17 21:20:54 <vensign>	bloquear todos los paquetes y solo dejar pasar lo que nos interesa
jun 17 21:21:47 <vensign>	es importante destacar que netfilter ejecuta las reglas en orden y por lo tanto si hay dos reglas que afecten el mismo tipo de puerto o paquete la última será la que funcionará
jun 17 21:22:21 <vensign>	muchas veces sin darnos cuenta colocamos dos reglas que afectan al mismo tipo de paquete y no sabemos que anda mal
jun 17 21:23:23 <vensign>	entonces vamos a aplicar la política de que se bloquee todos los paquetes para despues crear reglas específcias de que queremos dejar pasar
jun 17 21:23:52 <cmartinez28>	vensign, pregunta
jun 17 21:23:53 <vensign>	el archivo es un poco largo asi que lo pego aquí http://pastebin.com/m274504a4
jun 17 21:23:56 <Ubuntu-ve>	Title: pastebin - collaborative debugging tool (at pastebin.com)
jun 17 21:23:58 <vensign>	cmartinez28: diga
jun 17 21:24:15 <cmartinez28>	ok mi confiuracion es con dos nic
jun 17 21:24:41 <vensign>	ok cmartinez28 hay un esqueleto que es para dos interfaces para que no tengas que escribir tanto
jun 17 21:25:33 <cmartinez28>	en las politicas hay una que me dice que si quiero puedo hacerle un REJECT a squid
jun 17 21:25:39 <cmartinez28>	cierto
jun 17 21:25:39 <vensign>	y debes recordar activar el net.ipv4.ip_forward=1 para que puedas pasar paquetes de una interfaz a la otra
jun 17 21:25:50 <vensign>	si si puedes cmartinez28
jun 17 21:26:16 <cmartinez28>	aja pero eso es estrictamene necesario}}}}}}}}'
jun 17 21:26:22 <cmartinez28>	?
jun 17 21:26:24 <cmartinez28>	perdon
jun 17 21:26:24 <vensign>	no cmartinez28
jun 17 21:26:36 <vensign>	eso es si tu quieres
jun 17 21:26:44 <cmartinez28>	ok , yo tengo shorewall + squid +dansguardian
jun 17 21:26:46 <vensign>	igual en las reglas puedes ser mas especifico
jun 17 21:27:14 <cmartinez28>	ahh ok
jun 17 21:27:35 <vensign>	esto es solo como la politica general y despues en las reglas puedes ir al detalle
jun 17 21:27:51 <vensign>	que pasa que muchas veces dejamos puertos abiertos sin necesidad
jun 17 21:28:02 <vensign>	y es por esto que se aconseja cerrar todo y abrir solo lo necesario
jun 17 21:28:14 <vensign>	asi estamos seguro que lo que está abierto es porque lo estamos utilizando
jun 17 21:28:39 <vensign>	cmartinez28: mas o menos respondi tu pregunta?
jun 17 21:28:45 <vensign>	igual ahorita vamos a ver las reglas
jun 17 21:28:48 <cmartinez28>	si
jun 17 21:29:02 <vensign>	y no se preocupen se que esta largo pero ya falta poco
jun 17 21:29:11 <vensign>	unos 15 min mas
jun 17 21:29:36 <vensign>	si ven el archivo utilizamos la variable $FW que declaramos anteriormente
jun 17 21:29:47 <vensign>	y solo aceptamos paquetes que vengan de ahi es decir de Shorewall
jun 17 21:29:48 <davidhdz>	acotación: el archivo es /etc/shorewall/policy
jun 17 21:30:01 <vensign>	y de resto rechazamos todos los demas paquetes
jun 17 21:30:17 <vensign>	gracias davidhdz si el archivo se encuentra ahi
jun 17 21:30:56 <vensign>	fijense tambien en el archivo que tenemos un origen (source) y destino (DEST)
jun 17 21:31:34 <vensign>	podriamos facilmente decir que todo lo que venga de afuera hacia nuestra PC lo rechazamos es decir de red a $FW
jun 17 21:32:05 <vensign>	y dejemos pasar todo de nuestra red hacia afuera en ese caso cambiariamos la línea red all a ACCEPT en cambio de DROP
jun 17 21:32:47 <vensign>	y no se preocupen por copiar los archivos todo esta en mi blog les doy la direccion al final para que puedan seguir los pasos con mas calma
jun 17 21:33:18 <vensign>	igual que en los otros archivos podemos conseguir mas información ejecutando man shorewall-policy
jun 17 21:33:25 <vensign>	o en la documentación en línea de shorewall
jun 17 21:33:51 <vensign>	ahora vamos con el ultimo archivo de configuración
jun 17 21:33:57 <vensign>	que es el de las reglas
jun 17 21:34:19 <vensign>	se encuentra en /etc/shorewall/rules
jun 17 21:35:05 <vensign>	http://pastebin.com/m763c5fd0 aqui esta el archivo
jun 17 21:35:13 <Ubuntu-ve>	Title: pastebin - collaborative debugging tool (at pastebin.com)
jun 17 21:35:41 <vensign>	aqui esta una de las mejores cosas de shorewall
jun 17 21:35:45 <vensign>	muchas reglas prehechas
jun 17 21:36:30 <vensign>	todo lo que tenga un # adelante está comentado y no afecta la configuración
jun 17 21:36:36 <vensign>	para activar alguna regla
jun 17 21:36:44 <vensign>	simplemente quitamos el # adelante
jun 17 21:37:23 <vensign>	tenemos las reglas entrantes
jun 17 21:37:59 <vensign>	que las definimos colocando la zona de origen (red)
jun 17 21:38:09 <vensign>	y la zona de destino ($FW)
jun 17 21:38:26 <vensign>	en el archivo de ejemplo tenemos entre las reglas
jun 17 21:38:40 <vensign>	SSH/ACCEPT      red     $FW
jun 17 21:38:52 <vensign>	esto es acepta SSH desde afuera hacia nuestra PC
jun 17 21:39:18 <vensign>	por ejemplo si tenemos un servidor web y queremos que la gente tenga acceso desde afuera descomentamos la línea
jun 17 21:39:26 <vensign>	Web/ACCEPT     red     $FW
jun 17 21:40:30 <vensign>	si quisieramos aceptar que se conecte una subred específica colocaríamos
jun 17 21:40:48 <vensign>	red:155.186.235.0/24
jun 17 21:41:04 <vensign>	tambien se pueden especificar protocolos
jun 17 21:41:12 <vensign>	IPs
jun 17 21:41:15 <vensign>	puertos
jun 17 21:41:16 <vensign>	entre otros
jun 17 21:41:39 <vensign>	por ejemplo para un puerto específico
jun 17 21:41:41 <vensign>	ACCEPT          $FW     red             tcp     873
jun 17 21:42:02 <vensign>	tambien podemos rechazar las conexiones por ejemplo
jun 17 21:42:04 <vensign>	REJECT          $FW     red             udp     443
jun 17 21:42:16 <vensign>	muy util en programas P2P y otros
jun 17 21:42:45 <vensign>	aquí tienen una lista de puertos estandar con sus respectivos servicios http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-sg-es-4/ch-ports.html
jun 17 21:42:48 <Ubuntu-ve>	<http://ln-s.net/3LD8> (at web.mit.edu)
jun 17 21:42:53 <cmartinez28>	vensign, otra pregunta
jun 17 21:43:05 <vensign>	dime cmartinez28
jun 17 21:43:45 <cmartinez28>	cuando coloco un routersito en un swiche, debo decirle algo al shorewal?
jun 17 21:44:09 <cmartinez28>	activar alguna zona o algo
jun 17 21:44:17 <vensign>	no necesariamente
jun 17 21:44:23 <vensign>	eso depende de tu red
jun 17 21:44:31 <vensign>	por ejemplo si tienes una zona desmilitarizada
jun 17 21:44:46 <vensign>	la puedes declarar en shorewall
jun 17 21:45:00 <vensign>	pero si solo va a actuar como gateway no le tienes que decir mucho
jun 17 21:45:14 <vensign>	solo asegurarte tenerlo como gateway en tu PC
jun 17 21:45:26 <vensign>	cmartinez28: respondida tu pregunta?
jun 17 21:45:51 <vensign>	para terminar esto que ha sido largo lo se
jun 17 21:46:00 <cmartinez28>	 si gracias
jun 17 21:46:06 <vensign>	igual para el archivo de rules tenemos man shorewall-rules
jun 17 21:46:11 <vensign>	y la documentacion en linea
jun 17 21:46:32 <vensign>	por ultimo debemos activar el shorewall para que ponga todo lo que configuramos en accion
jun 17 21:46:49 <vensign>	editamos el archivo /etc/shorewall/shorewall.conf
jun 17 21:46:56 <vensign>	con sudo o como root
jun 17 21:47:11 <vensign>	al igual que todos estos archivos necesitamos esos privilegios
jun 17 21:47:26 <vensign>	y editamos las siguientes lineas
jun 17 21:47:27 <vensign>	STARTUP_ENABLED=Yes
jun 17 21:47:28 <vensign>	ROUTE_FILTER=Yes
jun 17 21:47:50 <vensign>	con esto le decimos que inicie cada vez que se inicie el equipo
jun 17 21:47:56 <vensign>	y que active el filtrado
jun 17 21:48:02 <vensign>	y por ultimo ejecutamos
jun 17 21:48:06 <vensign>	sudo shorewall start
jun 17 21:48:15 <vensign>	y nos fijamos si no nos da error
jun 17 21:48:18 <vensign>	estamos listos
jun 17 21:48:35 <vensign>	tenemos varios comandos importantes
jun 17 21:48:43 <vensign>	shorewall start que ya vimos
jun 17 21:48:46 <vensign>	shorewall stop
jun 17 21:49:00 <vensign>	shorewall show log para ver los ultimo 20 mensajes de netfilter
jun 17 21:49:11 <vensign>	shorewall logwatch ver los logs por un tiempo determinado
jun 17 21:49:33 <vensign>	shorewall dump nos da un reporte bastante amplio y completo de todos los problemas encontrados en shorewall
jun 17 21:49:43 <vensign>	y eso es todo
jun 17 21:49:50 <cmartinez28>	vensign, en debian con STARTUP_ENABLE = YES no basta
jun 17 21:50:12 <vensign>	no cmartinez28
jun 17 21:50:51 <vensign>	porque con el route_filter le decimos que aplique el routing como tal de la interfaz
jun 17 21:51:09 <vensign>	y que filtre los paquetes de esa interfaz
jun 17 21:51:26 <vensign>	pueden ver el tutorial en mi blog STARTUP_ENABLED=Yes
jun 17 21:51:36 <vensign>	perdon ese no es mi blog jaja
jun 17 21:51:44 <vensign>	http://www.vensign.com/general/instalar-shorewall-firewall-para-debian-y-ubuntu/
jun 17 21:51:47 <vensign>	ese si
jun 17 21:51:48 <Ubuntu-ve>	<http://ln-s.net/3LDA> (at www.vensign.com)
jun 17 21:51:52 <cmartinez28>	ahh ok, pero se activa por defecto ya al apagar y prender el equipo?
jun 17 21:52:10 <vensign>	cmartinez28: ya al ejecutar shorewall start se activa
jun 17 21:52:18 <vensign>	no hay que reiniciar el equipo
jun 17 21:52:39 <vensign>	la linea STARTUP_ENABLED=Yes  es para que inicie cada vez que reiniciemos la PC
jun 17 21:53:04 <vensign>	bueno eso es todo
jun 17 21:53:09 <vensign>	muchas gracias a los presentes
jun 17 21:53:17 <m4v>	:)
jun 17 21:53:19 <vensign>	alguna otra pregunta sugerencia inquietud o critica?
jun 17 21:53:34 <ntovar_>	gracias a ti vensign por compartir parte de tu conocimiento con nosotros
jun 17 21:53:40 <davidhdz>	gracias vensign
jun 17 21:53:52 <vensign>	les quiero dar las gracias a la gente de Ubuntu-ve por darme la oportunidad especialmente a ntovar_ y santiago-ve
jun 17 21:53:57 <vensign>	que siempre estan ahi pendientes