Configuración del filtro IP

El siguiente mapa de tareas identifica los procedimientos para crear reglas de filtro de IP, y para activar y desactivar el servicio.

Tabla 5-1 Configuración del filtro IP (mapa de tareas)

Tarea	Para obtener instrucciones
Ver los archivos que utiliza el filtro IP y el estado del servicio.	Cómo mostrar los valores predeterminados del servicio de filtro IP
Personalizar conjuntos de reglas de filtrado de paquetes para tráfico de red, paquetes a través de un sistema NAT y agrupaciones de direcciones.	Cómo crear archivos de configuración de filtro IP
Activar, refrescar desactivar el servicio de filtro IP.	Cómo activar y refrescar el filtro IP
Modificar la configuración predeterminado para los paquetes que llegan en fragmentos.	Cómo desactivar el reensamblaje de paquetes
Filtrar el tráfico entre zonas del sistema.	Cómo activar los filtros en bucle
Dejar de utilizar el filtro IP.	Cómo desactivar los filtros de paquetes

Cómo mostrar los valores predeterminados del servicio de filtro IP

Antes de empezar

Para ejecutar el comando ipfstat, debe convertirse en un administrador que tiene asignado el perfil de derechos de gestión de filtro IP. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

Visualice los nombres y las ubicaciones del archivo de configuración para el servicio de filtro IP.
```
% svccfg -s ipfilter:default listprop   | grep file
config/ipf6_config_file                      astring     /etc/ipf/ipf6.conf
config/ipnat_config_file                     astring     /etc/ipf/ipnat.conf
config/ippool_config_file                    astring     /etc/ipf/ippool.conf
firewall_config_default/custom_policy_file   astring     none
```
Las tres primeras propiedades del archivo han sugerido ubicaciones de archivos. Estos archivos no existen hasta que usted los cree. Puede cambiar la ubicación de un archivo de configuración modificando el valor de propiedad para ese archivo. Para conocer el procedimiento, consulte Cómo crear archivos de configuración de filtro IP.
Modifique la cuarta propiedad del archivo al personalizar sus propias reglas de filtrado de paquetes. Consulte el Paso 1 y el Paso 2 en Cómo crear archivos de configuración de filtro IP.
Determine si el servicio de filtro IP está activado.
- En un sistema conectado a la red de forma manual, el filtro IP no está activado de manera predeterminada.
```
% svcs -x ipfilter:default
svc:/network/ipfilter:default (IP Filter)
 State: disabled since Mon Sep 10 10:10:50 2012
Reason: Disabled by an administrator.
   See: http://oracle.com/msg/SMF-8000-05
   See: ipfilter(5)
Impact: This service is not running.
```
- En un sistema conectado a una red IPv4 de forma automática, ejecute el siguiente comando para ver la política de filtro IP:
```
$ ipfstat -io
```
  Para ver el archivo que creó la política, lea /etc/nwam/loc/NoNet/ipf.conf. Este archivo es de sólo visualización. Para modificar la política, consulte Cómo crear archivos de configuración de filtro IP.
  
  Nota - Para ver la política de filtro IP en una red IPv6, agregue la opción -6, como en el siguiente ejemplo: ipfstat -6io. Para obtener mas información, consulte la página del comando man ipfstat(1M).

Cómo crear archivos de configuración de filtro IP

Para modificar la política de filtro IP para una configuración automática de red o para utilizar el filtro IP en una red configurada manualmente, debe crear archivos de configuración, comunicar al servicio sobre estos archivos y, a continuación, activar el servicio.

Antes de empezar

Debe convertirse en un administrador que tiene asignado el perfil de derechos de gestión de filtro IP. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

Especifique la ubicación del archivo de política para el servicio de filtro IP.
Este archivo contiene el conjunto de reglas de filtrado de paquetes.
1. Primero, configure el archivo de política en custom.
```
$ svccfg -s ipfilter:default setprop firewall_config_default/policy = astring: "custom"
```
2. A continuación, especifique la ubicación.
  Por ejemplo, especifique en /etc/ipf/myorg.ipf.conf la ubicación del conjunto de reglas de filtrado de paquetes.
```
$ svccfg -s ipfilter:default \
setprop firewall_config_default/custom_policy_file = astring: "/etc/ipf/myorg.ipf.conf"
```
Cree un conjunto de reglas de filtrado de paquetes.
Para obtener información sobre los filtros de paquetes, consulte Uso de la función de filtros de paquetes del filtro IP. Para ver ejemplos de los archivos de configuración, consulte Ejemplos de archivos de configuración del filtro IP y el archivo /etc/nwam/loc/NoNet/ipf.conf
Nota - Si el archivo de política especificado está vacío, no se lleva a cabo el filtrado. Un archivo de filtrado de paquetes vacío equivale a tener un conjunto de reglas como el siguiente:
```
pass in all
pass out all
```
(Opcional) Cree un archivo de configuración de traducción de direcciones de red (NAT) para el filtro IP.
Para filtrar los paquetes a través de un sistema NAT, cree un archivo para las reglas NAT con un nombre apropiado, como /etc/ipf/ipnat.conf. Para cambiar este nombre, cambie el valor de la propiedad de servicio config/ipnat_config_file , como en el siguiente ejemplo:
```
$ svccfg -s ipfilter:default \
setprop config/ipnat_config_file = astring: "/etc/ipf/myorg.ipnat.conf"
```
Para obtener más información sobre NAT, consulte Uso de la función NAT del filtro IP.
(Opcional) Cree un archivo de configuración de agrupaciones de direcciones.
Para hacer referencia a un grupo de direcciones como una agrupación de direcciones única, cree un archivo para la agrupación con un nombre apropiado, como /etc/ipf/ippool.conf. Para cambiar este nombre, cambie el valor de la propiedad de servicio config/ippool_config_file , como en el siguiente ejemplo:
```
$ svccfg -s ipfilter:default \
setprop config/ippool_config_file = astring: "/etc/ipf/myorg.ippool.conf"
```
Una agrupación de direcciones puede contener cualquier combinación de direcciones IPv4 e IPv6. Para obtener más información sobre las agrupaciones de direcciones, consulte Uso de la función de agrupaciones de direcciones del filtro IP.
(Opcional) Active el filtrado de tráfico en bucle de retorno.
Si desea filtrar el tráfico entre zonas que están configuradas en el sistema, debe activar los filtros en bucle. Consulte Cómo activar los filtros en bucle. También debe definir conjuntos de reglas que se aplican a las zonas.
(Opcional) Desactive el reensamblaje de paquetes fragmentados.
De manera predeterminada, los fragmentos se vuelven a ensamblar en el filtro IP. Para modificar el valor predeterminado, consulte Cómo desactivar el reensamblaje de paquetes.

Cómo activar y refrescar el filtro IP

Antes de empezar

Debe haber completado Cómo crear archivos de configuración de filtro IP.

Active el filtro IP.
Para activar inicialmente el filtro IP, escriba el siguiente comando:
```
$ svcadm enable network/ipfilter
```
Después de modificar los archivos de configuración del filtro IP durante la ejecución del servicio, refresque el servicio.
```
$ svcadm refresh network/ipfilter
```
Nota - El comando refresh desactiva brevemente el cortafuegos. Para conservar el cortafuegos, anexe reglas o agregue un nuevo archivo de configuración. Para conocer los procedimientos con ejemplos, consulte Cómo trabajar con conjuntos de reglas del filtro IP.

Cómo desactivar el reensamblaje de paquetes

De manera predeterminada, los fragmentos se vuelven a ensamblar en el filtro IP. Para desactivar este reensamblaje, inserte una regla al principio del archivo de política.

Antes de empezar

Debe convertirse en un administrador que tiene asignado el perfil de derechos de gestión de filtro IP y la autorización solaris.admin.edit/path-to-IPFilter-policy-file . El rol root tiene todos estos derechos. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

Desactive el filtro IP.
```
$ svcadm disable network/ipfilter
```
Agregue la siguiente regla al principio del archivo de política de filtro IP.
```
set defrag off;
```
Utilice el comando pfedit, como en el siguiente ejemplo:
```
$ pfedit /etc/ipf/myorg.ipf.conf
```
Esta regla debe preceder a todas las reglas block y pass que están definidas en el archivo. Sin embargo, puede insertar comentarios delante de la línea, como en el ejemplo siguiente:
```
# Disable fragment reassembly
#
set defrag off;
# Define policy
#
block in all
block out all
other rules
```
Active el filtro IP.
```
$ svcadm enable network/ipfilter
```
Verifique que los paquetes no se vuelvan a ensamblar.
```
$ ipf -T defrag
defrag  min 0   max 0x1 current 0
```
Si current es 0, los fragmentos no se vuelven a ensamblar. Si current es 1, los fragmentos se vuelven a ensamblar.

Cómo activar los filtros en bucle

Antes de empezar

Detenga el filtro IP si se está ejecutando.
```
$ svcadm disable network/ipfilter
```
Agregue la siguiente regla al principio del archivo de política de filtro IP.
```
set intercept_loopback true;
```
Utilice el comando pfedit, como en el siguiente ejemplo:
```
$ pfedit /etc/ipf/myorg.ipf.conf
```
Esta línea debe preceder a todas las reglas block y pass que están definidas en el archivo. Sin embargo, puede insertar comentarios delante de la línea, como en el ejemplo siguiente:
```
...
#set defrag off;
# 
# Enable loopback filtering to filter between zones 
# 
set intercept_loopback true; 
# 
# Define policy 
# 
block in all 
block out all 
other rules
```
Active el filtro IP.
```
$ svcadm enable network/ipfilter
```
Para comprobar el estado de los filtros en bucle, utilice el comando siguiente:
```
$ ipf -T ipf_loopback
ipf_loopback    min 0   max 0x1 current 1
$
```
Si current es 0, el filtrado de bucle de retorno está desactivado. Si current es 1, el filtrado de bucle de retorno está activado.

Cómo desactivar los filtros de paquetes

Este procedimiento elimina todas las reglas del núcleo y desactiva el servicio. Si usa este procedimiento, debe activar el filtro IP con los archivos de configuración adecuados para reiniciar el filtrado de paquetes y NAT. Para obtener más información, consulte Cómo activar y refrescar el filtro IP.

Antes de empezar

Para desactivar el servicio, utilice el comando svcadm.
```
$ svcadm disable network/ipfilter
```
Para probar o depurar el servicio, puede eliminar conjuntos de reglas durante la ejecución del servicio. Para obtener más información, consulte Cómo trabajar con conjuntos de reglas del filtro IP.

Omitir Vínculos de navegación
Salir de la Vista de impresión
	Protección de la red en Oracle Solaris 11.1 Oracle Solaris 11.1 Information Library (Español)