Cómo solucionar problemas de iptables en linux

Le preguntamos a  Gemini, la inteligencia artificial de Google sobre cómo solucionar problemas de iptables en linux

Explicanos detalladamente cómo solucionar problemas de iptables en linux

Solucionar problemas con iptables en Linux requiere un conocimiento detallado de cómo fluyen los paquetes a través de las tablas y cadenas de Netfilter. Los problemas más comunes son el bloqueo de tráfico deseado, reglas aplicadas en el orden incorrecto o reglas de NAT fallidas.

Aquí te explicamos detalladamente cómo diagnosticar y solucionar los problemas más frecuentes de iptables. 🛠️

1. Diagnóstico Inicial: ¿Es el Firewall?

Antes de culpar a iptables, debes asegurarte de que ningún otro firewall o problema de red sea la causa.

Verificar el Estado y Persistencia: Confirma si estás utilizando iptables o una capa superior como UFW o FirewallD. En sistemas modernos, a menudo iptables se gestiona a través de servicios como iptables-persistent o la propia configuración de FirewallD/UFW.

Bash

# Lista las reglas actuales

sudo iptables -L -v -n

Si la lista está vacía, o solo tiene reglas de política ACCEPT, el problema no es iptables.

Prueba de Desactivación Temporal: Si sospechas que iptables está bloqueando el tráfico, puedes establecer la política predeterminada en ACCEPT temporalmente para la cadena INPUT y FORWARD.

Bash

sudo iptables -P INPUT ACCEPT

sudo iptables -P FORWARD ACCEPT

Si la conexión funciona ahora: El problema está en tus reglas.

Si la conexión sigue fallando: El problema es el servicio, la red (DNS, enrutamiento), o el router externo.

¡Advertencia! Restaura las políticas originales inmediatamente después de la prueba.

2. Solución de Problemas de Bloqueo de Tráfico

La mayoría de los fallos ocurren en la tabla filter, especialmente en las cadenas INPUT y FORWARD.

A. El Tráfico Entrante a un Puerto Local Está Bloqueado (Chain INPUT)

Diagnóstico: No puedes acceder a un servicio que se ejecuta en el propio host (ej., SSH, un servidor web).

Causa Común: La política predeterminada de la cadena INPUT es DROP o REJECT, y la regla de ACCEPT para tu puerto está mal configurada, falta, o está ubicada después de una regla de bloqueo genérica.

Solución:

Verificar Regla de ACEPTACIÓN: Lista las reglas con números y observa el orden.

Bash

sudo iptables -L INPUT -v -n --line-numbers

Comprobar Orden: Una regla de bloqueo genérica (ej., -A INPUT -j DROP) debe estar siempre al final. Asegúrate de que tu regla de ACCEPT (ej., para el puerto 22/TCP) esté antes de cualquier regla de bloqueo general.

Añadir Regla de Estado: Asegúrate de permitir el tráfico de respuesta para conexiones existentes. Esto es fundamental y debe ser una de las primeras reglas.

Bash

sudo iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Insertar Regla: Si la regla falta o está mal colocada, insértala usando el número de línea:

Bash

# Ejemplo: Insertar regla en la línea 5 para aceptar el puerto 80 (HTTP)

sudo iptables -I INPUT 5 -p tcp --dport 80 -j ACCEPT

B. El Servidor No Puede Acceder a Internet (Chain OUTPUT)

Diagnóstico: El host no puede iniciar conexiones hacia afuera (ej., ping, apt update).

Causa Común: La política predeterminada de la cadena OUTPUT es DROP o hay una regla de bloqueo de salida.

Solución:

Para la mayoría de los servidores y escritorios, la política de la cadena OUTPUT debe ser ACCEPT.

Bash

sudo iptables -P OUTPUT ACCEPT

3. Problemas de Enrutamiento y NAT (Network Address Translation)

Estos problemas surgen cuando el host Linux actúa como router o gateway.

A. Fallo en el Enrutamiento (Chain FORWARD)

Diagnóstico: Los equipos detrás del router Linux no pueden comunicarse entre sí o con la WAN.

Causa Común: La cadena FORWARD está bloqueando el tráfico.

Solución:

Habilitar IP Forwarding: Asegúrate de que el reenvío de paquetes esté habilitado en el kernel (debe persistir después del reinicio).

Bash

sudo sysctl -w net.ipv4.ip_forward=1

Verificar Reglas de FORWARD: Si la política predeterminada de FORWARD es DROP, debes añadir reglas explícitas de ACCEPT para el tráfico entre tus redes.

Bash

# Aceptar tráfico desde la LAN a la WAN y viceversa

sudo iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

B. Fallo en el NAT/Masquerading (Tabla nat, Chain POSTROUTING )

Diagnóstico: El router Linux puede acceder a Internet, pero los equipos detrás de él no.

Causa Común: Falta la regla de Masquerading (SNAT) para la interfaz de salida a Internet.

Solución:

Verificar Regla de NAT: Asegúrate de que la regla de Masquerading esté presente en la tabla nat, cadena POSTROUTING. (Reemplaza eth0 con tu interfaz WAN).

Bash

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Comprobar Orden: Esta regla suele funcionar bien al final de la cadena, pero si hay otras reglas de nat, verifica su orden.

4. Uso de Logs (Registro) y Limpieza

El registro es la herramienta más poderosa para identificar el bloqueo.

A. Habilitar el Registro de Paquetes Rechazados

Añade una regla temporal antes del DROP final para registrar el tráfico que está siendo bloqueado.

Regla de Log: Inserta una regla de LOG para la cadena INPUT y luego una regla de DROP para que los mensajes aparezcan en los logs del sistema (/var/log/syslog o dmesg).

Bash

sudo iptables -I INPUT -j LOG --log-prefix "IPTABLES-BLOQUEADO: "

sudo iptables -A INPUT -j DROP

Monitorear Logs:

Bash

sudo dmesg | grep IPTABLES-BLOQUEADO

Esto te mostrará la IP, el puerto y el protocolo del paquete bloqueado, lo que indica qué regla de ACCEPT necesitas añadir.

B. Limpieza de Reglas y Restauración

Si las reglas están desordenadas, es más fácil borrar y empezar de nuevo.

Borrar Reglas: Elimina todas las reglas de todas las tablas.

Bash

sudo iptables -F # Borra reglas de la tabla 'filter'

sudo iptables -t nat -F # Borra reglas de la tabla 'nat'

sudo iptables -t mangle -F # Borra reglas de la tabla 'mangle'

Restablecer Políticas: Restaura las políticas predeterminadas a DROP o ACCEPT según sea necesario.

Bash

sudo iptables -P INPUT DROP

sudo iptables -P FORWARD DROP

sudo iptables -P OUTPUT ACCEPT

Guardar Reglas: Asegúrate de guardar la nueva configuración de forma persistente. 

Dependiendo de tu distribución, usa:

Bash

# En sistemas basados en Debian/Ubuntu con iptables-persistent

sudo invoke-rc.d iptables-persistent save

# En sistemas basados en Red Hat

sudo service iptables save