Migrar las Reglas de Firewall Iptables a un Servidor Nuevo

Introducción

Al migrar de un servidor a otro, a menudo es deseable migrar las reglas de Firewall de Iptables como parte del proceso. Este tutorial le mostrará cómo copiar fácilmente su conjunto de reglas de Iptables de un servidor a otro.

Prerrequisistos

Este tutorial requiere dos servidores. Nos referiremos al servidor de origen, que tiene las reglas de iptables existentes, como Servidor A. El servidor de destino, en el que se migrarán las reglas, se denominará Servidor B.

También necesitará tener superusuario, o sudo , acceso a ambos servidores.

Ver las Reglas de Iptables Existentes

Antes de migrar las reglas de Iptables, veamos a qué se establecen. Puede hacerlo con este comando en el servidor A :

sudo iptables -S

Example output:


-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 15.15.15.51/32 -j DROP

Las reglas de ejemplo anteriores se utilizarán para demostrar el proceso de migración del Firewall.

Exportar Reglas de Iptables

El comando iptables-save escribe las reglas Iptables actuales en stdout (salida estándar). Esto nos da una manera fácil de exportar las reglas de Firewall al archivo, redirigiendo stdout a un archivo.

En el servidor A , el que tiene las reglas de Iptables que desea migrar, utilice iptables-save para exportar las reglas actuales a un archivo llamado "iptables-export" como este:

cd ~

sudo iptables-save > iptables-export

Esto creará el archivo iptables-export , en su directorio personal. Este archivo se puede utilizar en un servidor diferente para cargar las reglas de Firewall en Iptables.

Ver el Contenido del Archivo (Opcional)

Miremos rapidamente al contenido del archivo. Usaremos el comando cat para imprimirlo en el terminal:

cat iptables-export

iptables-export contents:


# Generated by iptables-save v1.4.21 on Tue Sep  1 17:32:29 2015
*filter
:INPUT ACCEPT [135:10578]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8364:1557108]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 15.15.15.51/32 -j DROP
COMMIT
# Completed on Tue Sep  1 17:32:29 2015

Como puede ver, el archivo contiene la configuración de las reglas activas de Iptables. Ahora estamos listos para copiar este archivo a nuestro servidor de destino, Server B.

Copiar Reglas Exportadas al Servidor de Destino

Necesitamos copiar el archivo de reglas a nuestro servidor de destino, Servidor B. La forma más sencilla de hacerlo es utilizar scp o copiar y pegar el contenido del archivo en un nuevo archivo en el servidor B. Vamos a demostrar cómo usar scp para copiar el archivo a través de la red en el directorio /tmp .

En el servidor A , ejecute este comando scp . Asegúrese de sustituir las partes resaltadas por el nombre de usuario y la dirección IP de su servidor:

scp iptables-export user@server_b_ip_address:/tmp

Después de proporcionar la autenticación adecuada, el archivo se copiará en el directorio /tmp en el servidor B. Tenga en cuenta que el contenido de /tmp se eliminan al reiniciar-siéntase libre de colocarlo en otro lugar si desea conservarlo.

Importación de Reglas de Iptables

Con las reglas exportadas en el servidor de destino, puede cargarlas en Iptables. Sin embargo, dependiendo de su situación, puede que desee actualizar las reglas del archivo con nuevas direcciones IP y rangos, y tal vez actualizar los nombres de la interfaz. Si desea cambiar las reglas antes de cargarlas, asegúrese de editar el archivo /tmp/iptables-export ahora.

Una vez que esté listo para cargar las reglas desde el archivo iptables-export en Iptables, vamos a usar el comando iptables-restore para hacerlo.

En Servidor B , el servidor de destino, ejecute este comando para cargar las reglas de Firewall:

sudo iptables-restore < /tmp/iptables-export

Esto cargará las reglas en Iptables. Puede verificar esto con el comando sudo iptables -S .

Guardar Reglas

Las reglas de Iptables son efímeras, por lo que se debe tener especial cuidado para que persistan después de un reinicio, es probable que desee realizar este paso en el Servidor B. Le mostraremos cómo guardar las reglas en Ubuntu y CentOS.

Ubuntu

En Ubuntu, la forma más sencilla de guardar las reglas de Iptables, para que sobrevivan a un reinicio, es usar el paquete iptables-persistent. Instala con apt-get así:

sudo apt-get install iptables-persistent

Durante la instalación, se le preguntará si desea guardar las reglas de Firewall actuales. Respuesta "yes" , si desea guardar el conjunto de reglas actual.

Si actualiza sus reglas de Firewall en el futuro y desea guardar los cambios, ejecute este comando:

sudo invoke-rc.d iptables-persistent save

CentOS 6 y Mayores

En CentOS 6 y anteriores, CentOS 7 utiliza FirewallD de forma predeterminada, puede utilizar la secuencia de comandos ipit de init para guardar las reglas de Iptables:

sudo service iptables save

Esto guardará sus reglas iptables actuales en el /etc/sysconfig/iptables , que se carga por iptables al arrancar.

Conclusión

¡Felicitaciones! Sus reglas de fFrewall se han migrado de su servidor original.