Bloquear el tráfico UDP con iptables

En muchas ocasiones los servidores sufren ataques a través del protocolo UDP. En la mayoría de los casos, este solamente se utiliza para dar salida a los servicios DNS. Por tanto, una solución posible para prevenir problemas es filtrar el tráfico de este protocolo a través de iptables.

Aquí teneis una sencilla secuencia de comandos para bloquear los puertos excepto el 53 (el que utiliza el servidor DNS):

iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

iptables -A INPUT -p udp -j DROP
iptables -A OUTPUT -p udp -j DROP

El orden importa, por lo que primero debéis introducir los puertos que queréis dejar abiertos antes de te introducir las dos últimas líneas.

Para que los cambios en iptables sean persistentes hay que salvar la tabla. Este comando depende del sistema operativo instalado en la máquina:

#CentOS
/sbin/service iptables save
#Ubuntu
iptables-save > /etc/network/iptables.rules

UDP es un protocolo en el que no hay conexión. Un ordenador A envía datos a un ordenador B de forma unidireccional, sin previa conexión, por lo que son enviados sin saber si van a ser recibidos.