firewall completo

# Limpia todas las reglas anteriores
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X

# Establece las políticas predeterminadas
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Permite todo el tráfico en la interfaz de loopback (localhost)
iptables -A INPUT -i lo -j ACCEPT

# Permite las conexiones entrantes ya establecidas y relacionadas
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Permite el tráfico de ciertas IPs específicas
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 443 -j ACCEPT
iptables -A INPUT -s 192.168.1.101 -j ACCEPT

# Bloquea subredes específicas
iptables -A INPUT -s 192.168.2.0/24 -j DROP
iptables -A INPUT -s 10.0.0.0/8 -j DROP

# Permite el tráfico necesario en puertos específicos
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Rechaza el resto del tráfico entrante con un mensaje de rechazo ICMP
iptables -A INPUT -j REJECT --reject-with icmp-port-unreachable

# Limita la tasa de conexiones SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 -j DROP

# Limita la tasa de conexiones HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 30 -j DROP
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -m recent --update --seconds 60 --hitcount 30 -j DROP

# Bloquea paquetes mal formados
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -p icmp --icmp-type redirect -j DROP
iptables -A INPUT -p icmp -m icmp --icmp-type address-mask-request -j DROP
iptables -A INPUT -p icmp -m icmp --icmp-type timestamp-request -j DROP

# Bloquea IPs con comportamientos sospechosos
iptables -N port-scan
iptables -A port-scan -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scan -j LOG --log-prefix "Port Scan: "
iptables -A port-scan -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j port-scan

# Guarda las reglas para que persistan después de reiniciar
iptables-save > /etc/iptables/rules.v4