--- Pablo Braulio <[EMAIL PROTECTED]> escribió: > El Jueves, 27 de Octubre de 2005 17:33, Alfonso > Pinto escribió: > > > ¿Porque haces POSTROUTING para la salida de > > > paquetes? > > > ¿Es por algún proxy o similar?. > > > > No, digamos que es una regla de ¿seguridad?. > Cuando > > dejas que las redes internas salgan al exterior, > no > > debes mandar los paquetes con la ip de origen de > las > > redes internas. Con el postrouting lo que hago es > que > > cambie en los paquetes la ip de origen por la de > la > > interface externa del firewall. Si nos ponemos muy > > puristas, deberiamos hacer algo parecido para la > > interacción entre las redes porque, en teoría, por > > cada interfaz del firewall no se debe dejar pasar > > paquetes cuya ip no se corresponda con la de la > subred > > de cada interfaz. > > Vale, pero esto lo haces porque dispones de una ip > estática. Yo tengo dhcp.
Con redes con dhcp no he lidiado, pero creo que lo resolvería con un dns interno que se actualizase según el dhcp fuese sirviendo direcciones ip. De esta forma en las reglas puedes poner los nombres de las máquinas en lugar de ips (en teoría, no lo he probado nunca) > > Otra cosa. ¿No usas lo de -m state --state > NEW,ESTABLISHED,RELATED?. Para la > política DROP si no lo pongo no va. Si claro, si no lo pones no hay forma, lo que pasa que se me olvido comentarte, jejeje. Aunque yo lo implemento de otra forma, dependiendo de donde vengan los paquetes. Por ejemplo, desde el exterior solo acepto paquetes tal que --state ESTABLISHED,RELATED, ya que no me interesa que desde el exterior se habran nuevas conexiones, luego más abajo defino si dejo algún puerto abierto para los accesos desde el exterior. Otra cosa a tener en cuenta es que esto no funciona para UDP. Para este protocolo combiene definir que aceptas la entrada a tal puerto y que aceptas la respuesta. También añado algunas reglas para evitar algunos escaneos de nmap y algunos ataques típicos. Si quieres te mando alguna de esas reglas. > -- > Saludos. > Pablo. > > Fingerprint 5607 40CF 45EF D490 B794 5056 D7B2 C3DC > ABF1 CE49 > Jabber: bruli(at)myjabber(dot)net > ______________________________________________ Renovamos el Correo Yahoo! Nuevos servicios, más seguridad http://correo.yahoo.es -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]