Políticas de acesso

No que se refere a políticas de acesso temos ACCEPT e DROP.

• ACCEPT --> passa tudo, para que o pacote seja bloqueado temos que ter inserido um comando dizendo que pacotes com aquelas características devem ser bloqueados.
• DROP --> É exatamente o inverso do ACCEPT. Bloqueia tudo, deixando passar somente os pacotes que batem exatamente com as características passadas pelo comando de liberação.

Normalmente usamos o critério de bloquear tudo, liberando apenas o que tem que passar, isso tem inúmeras vantagens. Podemos citar por exemplo: evitar o trafego na rede desnecessário, deixar portas abertas sem necessidade, impedindo com isso a possibilidade que uma falha de segurança seja utilizada por um indivíduo mau intencionado.

Exemplos de mudança de política:

iptables -t <tabela> -P <chain> -j ACCEPT/DROP

Vamos mudar todas as chains da tabela "filter" para DROP:

# iptables -t filter -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -t filter -P OUTPUT DROP

Reparem que em um dos exemplos não especifiquei qual tabela estou usando (iptables -P FORWARD DROP), isso porque a tabela filter não precisa ser referenciada, pois ela é a tabela padrão do iptables.

Para colocarmos as políticas das chains novamente para ACCEPT, basta substituirmos o "DROP" por "ACCEPT".

# iptables -t filter -P INPUT ACCEPT
# iptables -P FORWARD ACCEPT
# iptables -t filter -P OUTPUT ACCEPT

DROP e REJECT

Muitas pessoas acham que o "DROP" tem a mesma funcionalidade do "REJECT", contudo há uma sutil diferença. No DROP o pacote é sumariamente bloqueado não dando a mínima importância para o pacote enviado, ele apenas o ignora. Já no caso do REJECT é enviado um pacote de retorno informando que o pacote foi rejeitado.

Só para ficar bem claro segue abaixo uma suposta comunicação entre uma maquina que denominamos como host A enviando pacotes para uma outra maquina chamada host B. Quando o host A envia um pacote para o host B e a política de iptables dele esta em DROP, o host A não recebe nenhum pacote de retorno. Isso faz com que o host A não consiga ver o host B, tornando com isso o host B inacessível.

No REJECT, a máquina envia uma mensagem de retorno do pacote. Nesse caso existe a comunicação entre os hosts e o host A saberá que o host B recebeu seu pacote e o rejeitou.

Exemplos:

Para deixar o host B inacessível para o mundo, basta mudar a política da tabela de ACCEPT para DROP.

# iptables -P INPUT DROP