[mgsalinero]

Buaa, genial!

Buen trabajo cucurbita

[victorp]

Pues las pruebas han sido satisfactorias, así que el que quiera/necesite un simple firewall o un primer nivel de "filtrado" con esto es suficiente:

http://oi59.tinypic.com/35jf3td.jpg

Gracias a cucurbita por dar con la tecla.

Saludos.

[cucurbita]

Quedaremos pendientes de tus notícias. Saludos.

[victorp]

@curcubita:

Pues creo que estás en lo cierto, así parece que funciona.
Voy a hacer algunas pruebas más y si veo que así da el resultado esperado postaré las reglas "finales" por si puede ayudar a alguien más
Muchas gracias.
Saludos.

[cucurbita]

Me atreveré a aventurar algunas hipótesis sobre este cortafuegos (ignoro si sus capacidades variarán en función del servicio contratado), como que, en principio, estaría previsto para filtrar los paquetes de entrada y permitir los de salida (por lo que el destino -implícito- de todos los paquetes sería, siempre, nuestro servidor) o que se trataría de una medida de contingencia para casos de ataque severo (ello se deduciría de su escasa flexibilidad, a priori, en cuanto a especificar más de un protocolo o rango de puertos para una misma regla).

Si todo ello fuera cierto, estas reglas de entrada, que sustituirían las nº 16 y 17, podrían ayudarte (si mis hipótesis son correctas, el cortafuegos, tal como lo has configurado, permitiría la salida de los paquetes pero no la entrada de sus respuestas para un puerto no autorizado específicamente -para el caso de tus pruebas, podría ser que la resolución DNS de ovh.es estuviera en caché-):

------------------------------------------------------------------------------------------------
| Prioridad | Acción .... | Protocolo | IP de origen | Puerto de origen | Puerto de destino | Opciones .. |
------------------------------------------------------------------------------------------------
| 16 ............. | Autorizar | TCP ........... | todos ........... | ................................... | .................................... | Established |
------------------------------------------------------------------------------------------------
| 17 ............. | Autorizar | UDP .......... | todos ........... | 53 ............................ | .................................... | ....................... |
------------------------------------------------------------------------------------------------

En fín, todo es teoría pero, en cualquier caso, este cortafuegos es un elemento de seguridad muy a tener en cuenta.

[mgsalinero]

Vaya. Si consigues hacerlo funcionar sería genial.

[victorp]

Lo se, pero otra cosa no se me ocurre la verdad.
Si no, la única solución seria usar el firewall de tu propio servidor y ya está.

Claro, siempre puedo usar firewal propio, de hecho lo uso en todos los servidores que administro, pero he visto esto en el nuevo panel y me ha dado por probarlo para ver qué tal funcionaba. Si funcionara de forma correcta perfecto, todo ese tráfico "basura" que le ahorro a los servidores, pero por ahora las pruebas no han sido satisfactorias.

[mgsalinero]

Lo se, pero otra cosa no se me ocurre la verdad.
Si no, la única solución seria usar el firewall de tu propio servidor y ya está.

[victorp]

Para la salida desde el servidor ¿no deberías añadir los puertos en "Puerto de origen"? prueba a si es eso.

Uhm no, a no ser que desde aquí se haga de forma distinta en iptables para las reglas OUTPUT se indica el puerto de destino.

[mgsalinero]

Que raro.
Para la salida desde el servidor ¿no deberías añadir los puertos en "Puerto de origen"? prueba a si es eso.

[victorp]

Hola cucurbita, gracias por responder.

Sí, justamente el método prueba/error es el que estoy usando en este caso dado que no hay documentación "oficial".

En el caso del tráfico de entrada me ha quedado claro que la regla por defecto es un ACCEPT, por eso he añadido las reglas 18 y 19, el problema viene el de salida que me está dando resultados desconcertantes y parece no acabar de funcionar como debería.

Un ejemplo:

Con el firewall desactivado:

victor@devel:~$ wget www.ovh.es 80
--2014-11-21 12:25:10-- http://www.ovh.es/
Resolviendo www.ovh.es (www.ovh.es)... 87.98.231.34
Conectando con www.ovh.es (www.ovh.es)[87.98.231.34]0... conectado.
Petición HTTP enviada, esperando respuesta... 200 OK

Con el firewall activado:

victor@devel:~$ wget www.ovh.es 80
--2014-11-21 12:22:34-- http://www.ovh.es/
Resolviendo www.ovh.es (www.ovh.es)... 87.98.231.34
Conectando con www.ovh.es (www.ovh.es)[87.98.231.34]0... ^C

Saludos.

[cucurbita]

Hola,

Puede parecer una obviedad pero, en general, para configurar un firewall hay que conocer su filosofía por defecto (los hay que permiten todos los paquetes hasta que se deniegan explícitamente o justo lo contrario, los que deniegan todos los paquetes hasta que se autorizan explícitamente pero también pueden combinar estas reglas sencillas con el principio "si no hay otra regla que se cumpla", alterando el significado de cualquier entrada que definamos posteriormente), cosa que no es fácil cuando se trata de cortafuegos de "panel" porque no suele haber documentación disponible, la "filosofia" puede no explicitarse como regla visible y no podemos predecir inicialmente si ha sido diseñado como una opción complementaria o para funcionar profesionalmente (y, por lo tanto, ser más restrictivo), así que no te quedará otra que el método de prueba/error, probando cada regla sola y con su excepción general, si la hay (el orden de las reglas también puede ser importante).

De entrada, sin saber nada de este cortafuegos, llama la atención la que podría ser la forma de referirse al propio equipo como si fuera uno más (exterior), así que podríamos asegurarnos de que en opciones, por ejemplo, no se defina nada que afecte al sentido de la regla y otra cosa que se me ocurre mirar es la forma de referirse a los puertos (puede ser que "blanco" signifique "todo" o "nada" o que, por ejemplo, haga falta definirlos explícitamente con un "*" o algo más específico del estilo "1-65535".

Supongo que lo dicho no sirve de mucho pero bueno, valga la buena intención. ;-)

[victorp]

Buenas,

Estoy "jugando" un poco con el Firewall que se encuentra en el Area Cliente para ver qué tal funciona y me está haciendo cosas muy extrañas.
Quiero hacer algo simple como es habilitar ciertos puertos de entrada y permitir todo el tráfico de salida del servidor.
Para el tráfico de entrada parece funcionar correctamente, pero el de salida me está dando problemas ¿qué estoy haciendo mal?

http://oi58.tinypic.com/2qw0l4y.jpg

Muchas gracias y saludos.
Víctor