Documentación<Anterior | Contenido | Siguiente>
3.3.2. iptables enmascarado
iptables también se puede utilizar para habilitar el enmascaramiento.
• Similar a ufw, el primer paso es habilitar el reenvío de paquetes IPv4 editando /etc/sysctl.conf y descomente la siguiente línea:
net.ipv4.ip_forward = 1
Si desea habilitar el reenvío de IPv6 también descomente:
net.ipv6.conf.default.forwarding = 1
• A continuación, ejecute el comando sysctl para habilitar la nueva configuración en el archivo de configuración:
sudo sysctl -p
• El enmascaramiento de IP ahora se puede lograr con una sola regla de iptables, que puede diferir ligeramente según la configuración de su red:
sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADA
El comando anterior asume que su espacio de direcciones privadas es 192.168.0.0/16 y que su dispositivo orientado a Internet es ppp0. La sintaxis se desglosa de la siguiente manera:
• -t nat: la regla es ir a la tabla nat
• -A POSTROUTING: la regla se agregará (-A) a la cadena POSTROUTING
• -s 192.168.0.0/16: la regla se aplica al tráfico que se origina en el espacio de direcciones especificado
• -o ppp0: la regla se aplica al tráfico programado para enrutarse a través del dispositivo de red especificado
• -j MASQUERADE - el tráfico que coincida con esta regla es "saltar" (-j) al objetivo MASQUERADE para ser manipulado como se describe arriba
• Además, cada cadena en la tabla de filtros (la tabla predeterminada, y donde ocurre la mayor parte o la totalidad del filtrado de paquetes) tiene una política de ACCEPT, pero si está creando un firewall además de un dispositivo de puerta de enlace, es posible que haya establecido las políticas en DROP o REJECT, en cuyo caso su tráfico enmascarado debe permitirse a través de la cadena FORWARD para que funcione la regla anterior:
sudo iptables -A ADELANTE -s 192.168.0.0/16 -o ppp0 -j ACEPTAR sudo iptables -A ADELANTE -d 192.168.0.0/16 -m estado \
--estado ESTABLECIDO, RELACIONADO -i ppp0 -j ACEPTAR
Los comandos anteriores permitirán que todas las conexiones desde su red local a Internet y todo el tráfico relacionado con esas conexiones regresen a la máquina que las inició.
• Si desea habilitar el enmascaramiento al reiniciar, lo que probablemente haga, edite /etc/rc.local y agregue los comandos utilizados anteriormente. Por ejemplo, agregue el primer comando sin filtrado:
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASCARADA