Scroll to navigation

IPTABLES(8) iptables 1.8.10 IPTABLES(8)

NOMBRE

iptables/ip6tables — Herramienta de administración para el filtrado de paquetes Ipv4 e IPv6 y NAT

SINOPSIS

iptables [-t tabla] {-A|-C|-D|-V} cadena definición-regla

ip6tables [-t tabla] {-A|-C|-D|-V} cadena definición-regla

iptables [-t tabla] -I cadena [num_regla] definición-regla

iptables [-t tabla] -R cadena numregla definición-regla

iptables [-t tabla] -D cadena numregla

iptables [-t tabla] -S [cadena [numregla]]

iptables [-t tabla] {-F|-L|-Z} [cadena [numregla]] [opciones...]

iptables [-t tabla] -N cadena

iptables [-t tabla] -X [cadena]

iptables [-t tabla] -P cadena objetivo

iptables [-t tabla] -E antiguo-nombre-cadena nuevo-nombre-cadena

definición-regla = [aciertos...] [objetivo]

acierto = -m nombre-acierto [opciones-por-acierto]

objetivo = -j nombre-objetivo [opciones-por-objetivo]

DESCRIPCIÓN

iptables y ip6tables se usan para definir, mantener e inspeccionar las tablas para el filtrado de paquetes Ipv4 e Ipv6 del núcleo de Linux. Es posible definir varias tablas y cada una de ellas contiene varias cadenas predefinidas y también puede incluir cadenas definidas por el usuario.

Una cadena consiste en una lista de reglas que pueden concordar con un conjunto de paquetes en lo que se denomina un 'objetivo' que puede llevar hasta una cadena definida por el usuario dentro de la misma tabla.

OBJETIVOS

Una regla del cortafuegos define un criterio para un paquete y un objetivo. Si el paquete no concuerda con ese criterio, se analiza la regla siguiente de la cadena. Si concuerda, la siguiente regla a aplicar vendrá dada por el 'objetivo', éste podrá ser el nombre de una cadena que haya definido el usuario, uno de los objetivos descrito en iptables-extensions(8) o uno de los valores especiales ACCEPT, DROP o RETURN.

ACCEPT indica que se permita el paso al paquete. DROP descarta el paquete mientras que RETURN indica que se debe dejar esta cadena y reanudar en la siguiente regla en la cadena anterior. Si se alcanza el final de una cadena predefinida o existe una concordancia con una cadena predefinida con el objetivo RETURN, el destino del paquete vendrá dado por el objetivo definido en la norma de la cadena.

TABLAS

Actualmente existen cinco tablas independientes. Según la configuración del núcleo y de sus módulos, tendremos unas u otras tablas presentes.

Esta opción define la tabla de concordancia de paquetes con que la orden debe operar. Si el núcleo está configurado para cargar módulos dinámicamente, se intentará cargar el necesario para esta tabla si no lo está ya.

Las tablas son las siguientes:

Esta es la tabla por defecto (si no se ha definido la opción -t). Contiene tres cadenas predefinidas: INPUT para paquetes con destino a conectores locales), FORWARD para paquetes con destino a otros equipos, y OUTPUT para paquetes creados en el propio equipo.
Se consulta esta tabla cada vez que se topa con un paquete que trata de iniciar una conexión. Consta de cuatro elementos predefinidos: PREROUTING para modificar paquetes tan pronto como llegan, INPUT para los paquetes con destino a un conector local, OUTPUT para los paquetes generados desde el propio equipo antes de ser enrutados y POSTROUTING para alterar paquetes a punto de salir. La implementación de IPV6 NAT está disponible desde la versión 3.7 del núcleo.
Esta tabla se emplea para alteraciones especiales de paquetes. Hasta la versión 2.4.17 del núcleo, disponía de dos cadenas predefinidas: PREROUTING para modificar paquetes entrantes antes de ser enrutados y OUPUT para modificar paquetes creados en el propio sistema también antes de ser enrutados. Desde la versión 2.4.18, están disponibles otras trescadenas predefinidas: INPUT para los paquetes que llegan al propio equipo, FORWARD para modificar paquetes enrutados a través del equipo y POSTROUTING para modificar paquetes que están a punto de salir.
Esta tabla se usa principalmente para la configuración de excepciones al seguimiento de conexiones con el objetivo NOTRACK. Se anota en el gancho netfilter con una mayor prioridad haciendo que se interprete antes que ip_conntrack y qe cualquier otra tabla. Proporciona las siguientes cadenas predefinidas: PREROUTING para paquetes entrantes desde cualquier interfaz de red, OUTPUT para paquetes creados por procesos locales.
Esta tabla se usa cuando se imponen reglas de control de acceso (MAC)para el tráfico de red tales como los establecidos por los objeticos SECMARK y CONNSECMARK. El control de acceso se implementa mediante módulos de seguridad de Linux como SELinux. La tabla de seguridad se interpreta después de la de filtrado (filter) permitiendo que cualquier regla de control discrecional de acceso (DAC) que contenga la tabla de filtrado pueda aplicarse antes de las reglas MAC. Esta tabla contiene las siguientes cadenas predefinidas: INPUT para los paquetes creados en el propio equipo, OUTPUT para modificar paquetes creados en el propio sistema antes de ser enrutados y FORWARD para modificar paquetes enrutados a través de este equipo.

OPCIONES

Las opciones reconocidas por iptables y ip6tables se dividen en varios grupos.

ORDENES

Estas opciones definen las acciones que se desea realizar. Solo una de ellas puede definirse en la línea de órdenes salvo que se especifique otra cosa. Para usar las versiones largas de de las ordenes y opciones, solo es necesario asegurarse de usar suficientes letras para que iptables puede distinguirlas del resto.

Añade una o más reglas al final de la cadena seleccionada. Cuando el nombre del origen o del destino se pueda traducir a más de una dirección, deberá añadirse una regla para cada una de las combinaciones posibles.
Comprueba si existe una regla que concuerda con la especificación en la cadena seleccionada. Esta orden emplea el mismo sistema que -D para encontrar una entrada concordante pero no modifica a configuración actual de iptables y utiliza su estado de salida para indicar su éxito o error.
Borra una o más reglas de la cadena seleccionada. Existen dos versiones de esta orden: la regla puede definirse como un número en la cadena (el 1 sería la primera regla) o una regla concordante.
Inserta una o más reglas con el número indicad en la cadena seleccionada. Así, si el número de la regla es el 1, dicha regla se insertará al inicio de la cadena. También se pone al inicio si no se indica ningún número.
Sustituye una regla en la cadena seleccionada. Si el origen o el destino pueden resolver a más de una dirección, la ejecución fallará. Las reglas se numeran empezando por el número uno.
Muestra todas las reglas en la cadena seleccionada. Si no se selecciona ninguna cadena, se mostrarán todas. Aligual que con cualquier otra orden de iptables, se aplicará a la tabla especificada (por defecto la de filtrado). Así para ver las reglas NAT deberá ejecutar: 


 iptables -t nat -n -L
Suele utilizarse con la opción -n para evitar largas búsquedas de DNS. También es posible definir la opción -Z (cero), en cuyo caso las cadenas se enumerarán y se pondrán a cero de una e una. El resultado exacto se ve afectado por los otros argumentos dados. Las reglas exactas se suprimen hasta que se ejecute: 


 iptables -L -v
o bien iptables-save(8).
Muestra todas las reglas de la cadena seleccionada. Si no se define ninguna cadena, se muestran todas como en iptable-save. Al igual que cualquier otra orden de iptables, se aplica en la tabla definida (por defecto 'filter').
Elimina la cadena seleccionada (todas las cadenas de la tabla si no se define ninguna en concreto). Esto es lo mismo que borrar todas las reglas una por una.
Resetea el paquete y el contador de bytes en todas las cadenas, solo en la cadena indicada, o solo en una determinada regla de una cadena. De igual modos, es posible definir la opción -L, --list (lista) para ver los contadores justo antes de resetearse (consulta más atrás).
Crea una nueva cadena con el nombre dado. No puede existir ningún objetivo con ese nombre previamente.
Elimina la cadena opcional definida por el usuario. No puede quedar ninguna referencia a ella, si las hubiese tendrán que eliminarse o modificarse dichas reglas para que pueda eliminarse. La cadena tendrá que estar vacía, no contener ninguna regla. Si no se indica ningún argumento, intentará eliminar todas las cadenas no nativas de la tabla. Las cadenas vacías preconfiguradas sólo podrán eliminarse mediante iptables-nft.
Define la norma que se aplicará para la cadena nativa (no definida por el usuario) para el objetivo definido. Dicha norma tiene que ser ACCEPT o DROP.
Renombra la cadena definida con el nombre dado. Esto solo tiene un efecto estético no afectando a la estructura de la tabla.
Ayuda. Proporciona una muy breve descripción de la sintaxis de la orden.

PARÁMETROS

Los siguientes parámetros componen una definición de regla (tal como se emplea en las órdenes add, delete, insert, replace y append).

-4, --ipv4
Esta opción no tiene ningún efecto sobre iptables ni iptables-restore. Si se inserta una regla con la opción -4 con (y solo con) ip6tables-restore, se ignorará sin más. Cualquier otra posibilidad emitirá un error. Esta opción permite incluir reglas IPv4 e IPv6 en un mismo archivo para que lo puedan utlizar tanto iptables-restore como ip6tables-restore.
-6, --ipv6
Esta opción no tiene ningún efecto sobre ip6tables ni ip6tables-restore. Si se inserta una regla con la opción -6 con (y solo con) iptables-restore, se ignorará sin más. Cualquier otra posibilidad emitirá un error. Esta opción permite incluir reglas IPv4 e IPv6 en un mismo archivo para que lo puedan utlizar tanto iptables-restore como ip6tables-restore.
[!] -p, --protocol protocolo
El protocolo de la regla o del paquete a comprobar. Dicho protocolo pueder ser alguno de estos: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh o el comodín "all", también puede ser un valor numérico en representación de un de estos protocolos o de otro diferente. También es posible indicar un nombre incluido en /etc/protocols. El carácter "!" invierte la orden dada. El número '0' equivale a all concordando con todos lo protocolos y será el comportamiento por defecto cuando se omita esta opción. No se permite el uso de extensiones del encabezado IPv6 salvo esp. Tanto esp como ipv6-nonext pueden usarse a partir de la versión 2.6.11 del núcleo. El hecho de que el '0' sea equivalente a todos los protocolos hace que no sea posible chequear directamente si este campo tiene el valor '0'. Para buscar la concordancia con un encabezado HBH, aunque sea el último, no se puede usar -p 0 si -m hbh.
[!] -s, --source dirección[/máscara][,...]
Definición del origen. Dirección puede ser un nombre de red, un nombre de equipo, una dirección IP de red (con /máscara) o una dirección IP simple. Los nombres de equipo se resolverán solo una vez, antes de enviar la regla al núcleo. No es buena idea especificar cualquier nombre para resolver con una consulta remota como DNS. La máscara puede ser una máscara de red ipv4 (para iptables) o un número simple, especificando el número de unos en el lado izquierdo de la máscara de red. Por lo tanto, una máscara de iptables de 24 es equivalente a 255.255.255.0. El argumento '!' antes de especificar la dirección invertirá el sentido de la dirección. El indicador --src es un alias para esta opción. Se pueden especificar varias direcciones, pero hará expandir a múltiples reglas (al agregar con -A) o provocará que se eliminen múltiples reglas (con -D).
[!] -d, --destination dirección[/máscara][,...]
Definición del destino. Consulte la descripción del indicador -s (fuente) para obtener una descripción detallada de la sintaxis. El indicador --dst es un alias para esta opción.
Define una concordancia para usar, es decir, un módulo de extensión que comprueba una propiedad específica. El conjunto de concordancias será la condición bajo la cual se invoca un objetivo. Las concordancias se evalúan del primero al último según lo especificado en la línea de órdenes. la evaluación se detendrá tan pronto el resultado de una extensión resulte falso.
Esto definirá el objetivo de la regla; es decir, qué hacer si el paquete concuerda. El objetivo puede ser una cadena definida por el usuario (distinta de aquella en la que se encuentra esta regla), uno de los objetivos integrados especiales que deciden el destino del paquete o una extensión (consulte EXTENSIONES DE CONCORDANCIA Y OBJETIVO a continuación). Si esta opción se omite en una regla (y no se usa -g), el hecho de concordar con la regla no tendrá ningún efecto en el destino del paquete, pero los contadores de la regla se incrementarán.
Esto indica que el procesamiento debe continuar en una cadena definida por el usuario. A diferencia de la opción --jump, RETURN no continuará procesando en esta cadena sino en la cadena que nos invocó a través de --jump.
[!] -i, --in-interface nombre
Nombre de una interfaz a través de la cual se recibió un paquete (solo para paquetes que ingresan a las cadenas INPUT, FORWARD y PREROUTING). El argumento '!' empleado antes del nombre de la interfaz, invertirá el significado. Si el nombre de la interfaz termina en '+', concordará con cualquier interfaz que comience con este nombre. Si se omite esta opción, cualquier nombre de interfaz concordará..
[!] -o, --out-interface nombre
Nombre de una interfaz a través de la cual se va a enviar un paquete (para paquetes que entran en las cadenas FORWARD, OUTPUT y POSTROUTING). El argumento '!' antes del nombre de la interfaz hará que el sentido se invierta. Si el nombre de la interfaz termina con '+', concordará con cualquier interfaz que comience con este nombre. Si se omite esta opción, cualquier nombre de interfaz concordará.
[!] -f, --fragment
Esto significa que la regla sólo se refiere al segundo y posteriores fragmentos IPv4 de paquetes fragmentados. Dado que no es posible conocer los puertos de origen o destino de dicho paquete (o tipo de ICMP), dichos paquetes no concordarán con ninguna regla que los especifique. Cuando el argumento '!' precede al indicador '-f', la regla solo concordarácon fragmentos principales o paquetes no fragmentados. Esta opción es específica de IPv4, no está disponible en ip6tables.
Permite al administrador inicializar los contadores de paquetes y bytes de una regla (durante las operaciones INSERT, APPEND, REPLACE).

OTRAS OPCIONES

Pueden especificarse las siguientes opciones adicionales:

Salida detallada. Esta opción hace que la orden de listado muestre el nombre de la interfaz, las opciones de regla (si las hay) y las máscaras TOS. Los contadores de paquetes y bytes también se enumeran, con el sufijo 'K', 'M' o 'G' para multiplicadores de 1000, 1.000.000 y 1.000.000.000 respectivamente (consulte el indicador -x para modificarlo). Ya sea para agregar, insertar, eliminar o eemplazar, esto mostrará información detallada sobre la regla o reglas. -v se puede especificar varias veces para (posiblemente) que muestre mensajes de depuración más y más detallados: si se especifica dos veces, iptables-legacy volcará la información de la tabla y las entradas en libiptc, iptables-nft volcará las reglas en netlink (código VM) presentación. Si se especifica tres veces, iptables-nft también volcará cualquier mensaje de enlace de red enviado al núcleo.
Muestra la versión del programa y la API del núcleo utilizada.
Espere a que se bloquee xtables. Para evitar que se ejecuten varias instancias del programa al mismo tiempo, se intentará obtener un bloqueo exclusivo en el inicio. Por defecto, el programa se cerrará si no se puede obtener el bloqueo. Con esta opción, el programa esperará (indefinidamente o los segundos indicados) hasta que pueda obtener dicho bloqueo exclusivo.
Salida numérica. Las direcciones IP y los números de puerto se mostrarán en formato numérico. De forma predeterminada, el programa intentará mostrarlos como nombres de equipo, nombres de red o servicios; según corresponda.
Expande números. Muestra el valor exacto de los contadores de paquetes y bytes, en lugar de solo el número redondeado en K (múltiplos de 1000), M (múltiplos de 1000 K) o G (múltiplos de 1000 M). Esta opción sólo es relevante para la orden -L.
Añade el número de línea al inicio de cada regla cuando se listen las reglas, viendo así la posición de la regla en la cadena.
Emplea orden para cargar cualquier módulo que necesite (objetivos, etc...) al añadir o insertar reglas en una cadena.

ARCHIVO DE BLOQUEO

iptables usa el archivo /run/xtables.lock para su bloqueo exclusivo al inicio.

La variable de entorno XTABLES_LOCKFILE puede usarse para anular la configuración predeterminada.

CONCORDANCIAS Y EXTENSIONES DE OBJETIVO

iptables puede utilizar módulos de destino y concordancia de paquetes extendidos. Puede ver una lista en la página de manual iptables-extensions(8).

DIAGNÓSTICOS

Varios mensajes de error se muestran por la salida de error estándar. Como es usual, el código 0 indica un correcto funcionamiento. Los errores causados por parámetros no válidos o abusados causarán un código de salida de 2. Los errores que indican una incompatibilidad entre el núcleo y el espacio del usuario emiten un código de salida de 3. Los errores que indican un problema de recursos, como un bloqueo ocupado, la asignación de memoria fallida o los mensajes de error del núcleo provocan un código de salida de 4. Otro tipo de errores provocarán un código de salida de 1.

ERRORES

¿Errores? ¿Qué será eso? ;-) Enfín, eche un vistazo en https://bugzilla.netfilter.org/ iptables terminará su ejecución inmediatamente con un código de error 111 si se intenta ejecutar como SUID root. iptables no se puede utilizar de forma segura de esta manera porque confía en las bibliotecas compartidas (concordancias, objetivos) cargadas en tiempo de ejecución; es posible configurar la ruta de búsqueda mediante variables de entorno.

COMPATIBILIDAD CON IPCHAINS

iptables es muy similar a ipchains. La principal diferencia es que las cadenas INPUT y OUTPUT solo son 'atravesadas' por paquetes que llegan y por los que se origina en el equipo local. Por lo tanto, cada paquete sólo pasa a través de una de las tres cadenas (excepto el tráfico de loopback, donde se involucran las cadenas de ENTRADA y SALIDA); anteriormente, un paquete reenviado pasaría por los tres.

La otra diferencia principal es que -i se refiere a la interfaz de entrada; -o se refiere a la interfaz de salida y ambas están disponibles para paquetes que entran en la cadena FORWARD.

Se han separado las distintas formas de NAT; iptables es un filtro de paquetes puro cuando se utiliza la tabla de 'filtro' predeterminada, con módulos de extensión opcionales. Esto debería evitar gran parte de la confusión sobre la combinación de enmascaramiento de IP y filtrado de paquetes vista anteriormente. Entonces las siguientes opciones se manejan de manera diferente:



 -j MASQ


 -M -S


 -M -L
Hay varios otros cambios en iptables.

VÉASE TAMBIÉN

iptables-apply(8), iptables-save(8), iptables-restore(8), iptables-extensions(8),

El documento COMO (HOW-TO en inglés) de filtrado de paquetes detalla el uso de iptables para el filtrado de paquetes, el COMO de NAT detalla NAT, el COMO de extensiones de netfilter detalla extensiones que no están en la distribución estándar y el COMO de hacking de netfilter detalla las partes internas de netfilter.
Visite https://www.netfilter.org/.

AUTORES

Rusty Russel es el autor original de iptable en conjunción con Michael Neuling.

Marc Boucher hizo que Rusty abandonara ipnatctl presionando para que se creara un marco de selección de paquetes genérico en iptables, luego escribió la tabla de mangle, la concordancia de propietario, varios asuntos del marcado además de varias aportaciones interesantes en general.

James Morris escribió el objetivo TOS, y el acierto tos.

Jozsef Kadlecsik escribió el objetivo REJECT.

Harald Welte escribió el objetivo ULOG y NFQUEUE, el nuevo libiptc, así como las concordancias y objetivos TTL, DSCP, ECN.

El equipo principal de Netfilter lo forman: Jozsef Kadlecsik, Pablo Neira Ayuso , Eric Leblond, Florian Westphal y Arturo Borrero Gonzalez. Los miembros eméritos de dicho equipo son los siguientes: Marc Boucher, Martin Josefsson, Yasuyuki Kozakai, James Morris, Harald Welte and Rusty Russell.

Esta página de manual fue escrita por Herve Eychenne <rv@wallfire.org>.

VERSIÓN

Esta página de manual es aplicable a la versión 1.8.10 de iptables/ip6tables

TRADUCCIÓN

La traducción al español de esta página del manual fue creada por Marcos Fouces <marcos@debian.org>

Esta traducción es documentación libre; lea la GNU General Public License Version 3 o posterior con respecto a las condiciones de copyright. No existe NINGUNA RESPONSABILIDAD.

Si encuentra algún error en la traducción de esta página del manual, envíe un correo electrónico a debian-l10n-spanish@lists.debian.org.

iptables 1.8.10