Cómo configurar NAT y redireccionamiento de puertos en iptables

Qué es iptables y cómo gestiona el tráfico de red

Administrar el tráfico de red en sistemas Linux requiere comprender herramientas fundamentales que controlan los datos entrantes y salientes. Iptables funciona como una utilidad de control de paquetes dentro del núcleo del sistema, permitiendo que los administradores definan reglas estrictas sobre el flujo de información que atraviesa la máquina. En la práctica, actúa como un oficial de tránsito digital, inspeccionando cada fragmento de dato que llega o sale para decidir si debe pasar, ser bloqueado o ver alterado su destino.

Para entender su funcionamiento, hay que saber que el núcleo de Linux organiza el tráfico en tablas especializadas. La tabla de filtrado se encarga de la seguridad bloqueando conexiones no deseadas, mientras que la tabla de manipulación de direcciones gestiona la traducción de IPs y puertos. Antes de aplicar comandos complejos, es muy recomendable asegurar el sistema base, conceptos que puedes reforzar aprendiendo cómo configurar reglas de firewall con UFW en Ubuntu, una alternativa más amigable para el día a día.

Cómo funciona la traducción de direcciones de red en Linux

La traducción de direcciones de red, conocida como NAT, resuelve un problema clásico de escasez de direcciones IP en internet. En la práctica, toma un paquete de datos procedente de una red interna con direcciones privadas y sustituye la dirección de origen por la IP pública del enrutador antes de enviarlo hacia internet. Cuando la respuesta regresa, el sistema invierte el camino, asegurando que el dato llegue exactamente a la computadora que hizo la solicitud original.

Este mecanismo opera principalmente en dos frentes dentro de iptables: el enmascaramiento de salida y el redireccionamiento de entrada. El enmascaramiento oculta las IPs de las computadoras de una red local detrás de una única interfaz pública. Por su parte, el redireccionamiento permite que un servidor reciba una conexión en un puerto específico y la envíe hacia otro equipo interno, algo indispensable para alojar servicios detrás de barreras de seguridad o balanceadores de carga.

Cómo configurar el enmascaramiento de IP para redes locales

Compartir una conexión a internet entre varias máquinas utilizando un servidor central de Linux es un escenario clásico de infraestructura. Para lograrlo, el primer paso es habilitar el reenvío de paquetes en el núcleo del sistema, permitiendo que el servidor funcione eficazmente como un enrutador. Esto se realiza modificando una configuración temporal en el sistema de archivos virtual del kernel, indicando a Linux que debe aceptar y reenviar paquetes destinados a otras redes.

Con el reenvío activado, aplicamos la regla de enmascaramiento en la tabla nat de iptables. En la práctica, le decimos al sistema que cualquier paquete que salga a través de la interfaz de red externa debe ver enmascarado su origen. Puedes ejecutar los siguientes comandos en la terminal de tu servidor Linux:

sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

En este ejemplo, la interfaz eth0 representa la tarjeta conectada a internet. Esta configuración garantiza que los dispositivos locales se comuniquen sin problemas con servidores externos sin requerir IPs públicas individuales.

Cómo redirigir puertos hacia servidores internos

Exponer un servicio interno hacia internet utilizando un puerto específico exige emplear la técnica de redireccionamiento, conocida técnicamente como DNAT. Imagina que ejecutas un servidor web en una máquina aislada dentro de tu red interna con la IP 192.168.1.50 en el puerto 8080, pero deseas que responda en el puerto estándar 80 de tu enrutador de borde. Iptables intercepta el tráfico que llega al puerto 80 y altera el destino del paquete antes de que continúe su trayecto.

Para implementar este redireccionamiento en la práctica, utilizamos la cadena de preruteo de la tabla nat. Observa el comando necesario para realizar esta operación en tu cortafuegos:

sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.50:8080
sudo iptables -A FORWARD -p tcp -d 192.168.1.50 --dport 8080 -j ACCEPT

Además de alterar el destino del paquete, resulta fundamental permitir el paso de dicho tráfico en la cadena de reenvío para que el núcleo no descarte la conexión por motivos de seguridad. Para investigar fallas de conectividad o verificar si los paquetes realmente alcanzan los destinos esperados, vale la pena consultar guías complementarias sobre cómo rastrear paquetes IP y rutas en Linux con traceroute.

Cómo guardar y persistir las reglas de iptables al reiniciar

Una trampa común para administradores principiantes consiste en configurar todo el conjunto de reglas de NAT y descubrir que todo desapareció tras reiniciar el servidor. Por defecto, iptables almacena sus configuraciones únicamente en la memoria RAM volátil. Para garantizar que el trabajo no se pierda, es necesario utilizar paquetes específicos que guarden el estado actual de las tablas en archivos estáticos ubicados en el disco duro.

En distribuciones basadas en Debian y Ubuntu, el paquete iptables-persistent automatiza este almacenamiento durante el proceso de arranque del sistema operativo. Puedes instalar y guardar tus configuraciones actuales ejecutando los siguientes comandos en la terminal:

sudo apt update && sudo apt install iptables-persistent
sudo netfilter-persistent save

Durante la instalación, el sistema preguntará si deseas guardar las reglas actuales de IPv4 e IPv6. Confirmar este paso asegura que tus reglas de redireccionamiento y enmascaramiento sobrevivan a reinicios inesperados de energía o mantenimientos programados. Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre Cómo probar el circuito integrado de red con multímetro.

Consideraciones finales sobre seguridad y mantenimiento de redes

Dominar la manipulación de paquetes y el mapeo de puertos con iptables amplía drásticamente el control sobre entornos de infraestructura Linux. Aunque existen herramientas más modernas basadas en nftables o administradores simplificados, comprender la lógica detrás de las tablas nat y filter sigue siendo un diferencial técnico indispensable para diagnosticar problemas complejos de conectividad. Planifica siempre tus reglas con cuidado, valida el comportamiento del tráfico y mantén copias de seguridad de tus configuraciones de red para asegurar una estabilidad operacional continua.