Guenas miren tengo un problema he puesto en funcionamiento un servidor proxy trasparente y si esta juncionando bien pero ahora necesito bloquear los P2P como el ares pero no se como alguien me podria hechar la mano mi firewall es el siguiente


#eth0 apunta al router de intnert 172.16.0.15
#eth3 apunta al la LAN 192.168.1.252
PRIVATE=192.168.1.0/24
LOOP=127.0.0.1

#Eliminar directivas de firewall
iptables -F
iptables -X
iptables -Z
iptables -t nat -F

#Establecer directivas por defecto
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT

#Evitar el uso de paquetes externos loopback addr
iptables -A INPUT -i eth0 -s $LOOP -j DROP
iptables -A FORWARD -i eth0 -s $LOOP -j DROP
iptables -A INPUT -i eth0 -d $LOOP -j DROP
iptables -A FORWARD -i eth0 -d $LOOP -j DROP

#Cerrar ssh
iptables -A INPUT -p tcp --dport 22 -j DROP

#Rechazar paquetes en proxy transparente
# Rechazar paquetes de conexiones nuevas
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j DROP

# Rechazar paquetes de reenvío de conexiones sin establecidas
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j DROP


#Establecer directivas de filtrado
#Al localhost acceso total
iptables -A INPUT -i lo -j ACCEPT

#Firewall con acceso a la LAN
iptables -A INPUT -s $PRIVATE -i eth3 -j ACCEPT

#Mantener el estado de las conexiones de la maquina local y de la subred
iptables -A OUTPUT -m state --state NEW -o eth0 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state NEW -o eth0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#Enmascaramiento de la LAN
iptables -t nat -A POSTROUTING -s $PRIVATE -j MASQUERADE

#Reglas proxy transparente
# Habilitar reenvío de paquetes para IP versión 4
echo 1 > /proc/sys/net/ipv4/ip_forward

# Permito conexiones al puerto 80 (HTTP)
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW -j ACCEPT

# Dejar pasar los paquetes ICMP
iptables -A INPUT -i eth0 -p ICMP -j ACCEPT

# Aceptar paquetes de conexiones ya establecidas
iptables -A INPUT -p TCP -m state --state RELATED -j ACCEPT

#Hacer pasar las conexiones HTTP por proxy-cache
iptables -t nat -A PREROUTING -i eth3 -p tcp --dport 80 -j REDIRECT --to-port 3128

iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p udp --dport 25 -j ACCEPT
iptables -A INPUT -p udp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 1433 -j ACCEPT
iptables -A INPUT -p tcp --dport 5900 -j ACCEPT


si aguien me peude decir que le agrego o quele quito
THANKS

El año pasado hubo una discusion sobre ese tema:

http://www.alcancelibre.org/forum/viewtopic.php?showtopic=2299&mode=&show=5&page=3

Basicamente radica en cerrar todo... osea no hagas enmascaramiento de toda la LAN:

iptables -t nat -A POSTROUTING -s $PRIVATE -j MASQUERADE (quitar esta regla)

y hazlo puerto a puerto el enmascaramiento

Saludos

Jaime M. Tan Nozawa
RHCE/MCSA

---

Mi blog de PHP: http://phpexperto.blogspot.com

guenas JAIME si me junciono pero ahora no me abre los https ni hotmail ni gmail, como me dijiste quite esta reglas

iptables -t nat -A POSTROUTING -s $PRIVATE -j MASQUERADE

y agrege las siguientes

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 25 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 110 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 10000 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 1433 -j MASQUERADE

pero como tedigo no me deja entrar a los https y hotmail sabes que puesrto ahy que agregar o en que la rege

THANKS Jaime

guenas otras ves Jaime ya resolvi eso d e https

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 25 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 110 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 10000 -j MASQUERADE

iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 1433 -j MASQUERADE


iptables -t nat -A POSTROUTING -s $PRIVATE -p tcp -m tcp --dport 443 -j MASQUERADE

pero ahora dura como 5 minutos en intenis y desopues ya no junciona y quito el esta reglas y vuelve a juncionar normal y no se que hacer

en Squid transparente NO te va a funcionar el Squid... siempre ha habido problems con ello.. que lei por alli que con el squid 3 han hecho algo para mejorarlo..

Ahora puedes hacer que todos tus clientes salgan por el 3128 , tanto HTTP, HTTPS y FTP.. ahi si no tendras problemas..
Yo prefiero usar una GPO del dominio que me configure los clientes automaticamente.. q un proxy transparemte por Squid por lo del HTTPS.

Saludos

Jaime M. Tan Nozawa

---

Mi blog de PHP: http://phpexperto.blogspot.com