harden-doc3.19 - en to es translation catalogue (127 entries)

en: Securing services running on your system
es: Asegurando los servicios que se ejecutan en su sistema

en: Services can be secured in a running system in two ways:
es: Los servicios que corren en su sistema pueden ser asegurados de dos maneras:

en: Making them only accessible at the access points (interfaces) they need to be in.
es: Haciéndolos accequibles dentro de los puntos (interfaces) en los que tienen que estar.

en: Configuring them properly so that they can only be used by legitimate users in an authorized manner.
es: Configurándolos de una manera apropiada para que puedan ser debidamente usados por los usuarios legítimos de una manera autorizada.

en: Restricting services so that they can only be accessed from a given place can be done by restricting access to them at the kernel (i.e. firewall) level, configure them to listen only on a given interface (some services might not provide this feature) or using some other methods, for example the Linux vserver patch (for 2.4.16) can be used to force processes to use only one interface.
es: Restringir los servicios de modo que solamente puedan ser accedidos desde un lugar dado puede ser hecho restringiendo el acceso al nivel del kernel (i.e. cortafuego), configúrelos sólo para escuchar en un interfaz dada (algunos servicios no pueden suministrar ésta característica) o usando otros métodos, por ejemplo el parche linux vserver (para 2.4.16) puede ser usado para forzar procesos de forma que usen solo una interfaz.

en: 
    service nntp
    {
            socket_type     = stream
            protocol        = tcp
            wait            = no
            user            = news
            group           = news
            server          = /usr/bin/env
            server_args     = POSTING_OK=1 PATH=/usr/sbin/:/usr/bin:/sbin/:/bin
    +/usr/sbin/snntpd logger -p news.info
            bind            = 127.0.0.1
    }
es: 
    service nntp
    {
     socket_type = stream
     protocol = tcp
     wait = no
     user = news
     group = news
     server = /usr/bin/env
     server_args = POSTING_OK=1 PATH=/usr/sbin/:/usr/bin:/sbin/:/bin
    +/usr/sbin/snntpd logger -p news.info
     bind = 127.0.0.1
    }

en: The following sections detail how specific individual services can be configured properly depending on their intended use.
es: Laa siguientes secciones detallan como cada servicio determinado puede ser configurado debidamente dependiendo de los usos que se quieran dar.

en: Securing ssh
es: Asegurando ssh

en: If you are still running telnet instead of ssh, you should take a break from this manual and change this. Ssh should be used for all remote logins instead of telnet. In an age where it is easy to sniff Internet traffic and get clear-text passwords, you should use only protocols which use cryptography. So, perform an <literal>apt-get install ssh</literal> on your system now.
es: Si aún está usando telnet en vez de ssh, debe detener la lectura de este manual y cambiar esto. Ssh debería ser usado para todas las entradas remotas en vez de telnet. En una época donde es fácil husmear el tráfico de internet y obtener contraseñas en texto plano, debe usar sólo protocólos que usen criptografía. De una vez, ejecute un <literal>apt-get install ssh</literal> en su sistema.

en: Encourage all the users on your system to use ssh instead of telnet, or even better, uninstall telnet/telnetd. In addition you should avoid logging into the system using ssh as root and use alternative methods to become root instead, like <command>su</command> or <command>sudo</command>. Finally, the <filename>sshd_config</filename> file, in <filename>/etc/ssh</filename>, should be modified to increase security as well:
es: Anime a todos los usuarios de su sistema para usar ssh en vez de telnet, o mejor aún, desinstale telnet/telnetd. Además, debe evitar las entradas al sistema usando ssh como root y use métodos alternativos en vez de root, como <literal>su</literal> o <literal>sudo</literal>. Finalmente, el archivo <filename>sshd_config</filename>, dentro de <filename>/etc/ssh</filename>, debe ser modificado para aumentar la seguridad así:

en: <literal>ListenAddress 192.168.0.1</literal> Have ssh listen only on a given interface, just in case you have more than one (and do not want ssh available on it) or in the future add a new network card (and don't want ssh connections from it).
es: Haga que ssh escuche solo la interfaz dada, sólo en un caso de que haya más de uno (y no necesite un ssh disponible sobre éste) o que en un futuro agrege una nueva tarjeta de red (y no necesite una conexión desde ssh en ésta).

en: <literal>PermitRootLogin no</literal> Try not to permit Root Login wherever possible. If anyone wants to become root via ssh, now two logins are needed and the root password cannot be brute forced via SSH.
es: Intente no permitir al Root entrar tanto como sea posible. Si alguien quiere volverse root por vía ssh, dos logins serán necesarios y la contraseña root no puede ser obtenida a fuerza bruta por vía SSH.

en: <literal>AllowGroups wheel admin</literal> Allow only certain group members to have access via ssh to this machine. AllowGroups and AllowUsers have equivalent directives for denying access to a machine. Not surprisingly they are called "DenyUsers" and "DenyGroups".
es: Permita que solamente los miembros de ciertos grupos tengan acceso vía a ssh a esta máquina. AllowGroups y AllowUsers tienen directivas equivalentes para denegar el acceso a una máquina. Predeciblemente se llaman "DenyUsers" y "DenyGroups".

en: <literal>PasswordAuthentication yes</literal> It is completely your choice what you want to do. It is more secure to only allow access to the machine from users with ssh-keys placed in the <filename>~/.ssh/authorized_keys</filename> file. If you want so, set this one to "no".
es: Queda completamente a su elección lo que usted quiera hacer. Es más seguro permitir el acceso a la máquina solamente a usuarios con llaves ssh en el archivo ~/.ssh/authorized_keys. Si es lo que quiere déle el valor "no".

en: As a final note, be aware that these directives are from a OpenSSH configuration file. Right now, there are three commonly used SSH daemons, ssh1, ssh2, and OpenSSH by the OpenBSD people. Ssh1 was the first ssh daemon available and it is still the most commonly used (there are rumors that there is even a Windows port). Ssh2 has many advantages over ssh1 except it is released under a closed-source license. OpenSSH is completely free ssh daemon, which supports both ssh1 and ssh2. OpenSSH is the version installed on Debian when the package <application>ssh</application> is chosen.
es: Como nota final, dese cuenta que estas directivas son de los archivos de la configuración de OpenSSH. Ahora mismo hay tres demonios SSH usadados habitualmente, ssh1, ssh2, y el OpenSSH de la gente de OpenBSD. Ssh1 fue el primer domonio ssh diaponible y aún es el más comunmente usado (hay rumores de que existe incluso un porte a windows). Ssh2 tiene muchas ventajas sobre ssh1, pero se distribuye con una licencia mixta de código abierto-cerrado. OpenSSH es un demonio completamente libre que soporta tanto ssh1 como ssh2. La versión instalada en Debian cuando se escoge el paquete 'ssh' es OpenSSH.

en: Securing Squid
es: Asegurando Squid

en: Notice that, if not properly configured, someone may relay a mail message through Squid, since the HTTP and SMTP protocols are designed similarly. Squid's default configuration file denies access to port 25. If you wish to allow connections to port 25 just add it to Safe_ports lists. However, this is <emphasis>NOT</emphasis> recommended.
es: Además, si no configuró debidamente, algúien puede enviar correo a través de Squid, puesto que el diseño de los protocolos HTTP y SMTP es semejante. El archivo de configuración Squid niega por defecto el acceso al puerto 25. Si desea permitir las conexiones del puerto 25 adiciónelo a la lista Safe_ports. Sin embargo, esto <emphasis>NO</emphasis> is recomendado.

en: Setting and configuring the proxy/cache server properly is only part of keeping your site secure. Another necessary task is to analyze Squid's logs to assure that all things are working as they should be working. There are some packages in Debian GNU/Linux that can help an administrator to do this. The following packages are available in Debian 3.0 and Debian 3.1 (sarge):
es: Ajustar y configurar debidamente el proxy/cache es solamente una parte para mantener su sitio seguro. Otra tarea necesaria es analizar los registros de Squid asegurándose que todas las cosas que están trabajando, deben hacerlo como se espera. Hay algunos paquetes en Debian GNU/Linux que pueden ayudar al administrador a hacer esto. Los siguientes paquetes estan disponibles en woody (Debian 3.0):

en: <application>calamaris</application> - Log analyzer for Squid or Oops proxy log files.
es: <application>calamaris</application> - Analizar de las bitácoras de los proxy Squid y Oops.

en: <application>modlogan</application> - A modular logfile analyzer.
es: <application>modlogan</application> - Analizador modular de bitácoras.

en: <application>sarg</application> - Squid Analysis Report Generator.
es: <application>sarg</application> - Generador de Reportes de Análisis de Squid.

en: Securing FTP
es: Asegurando FTP

en: If you really have to use FTP (without wrapping it with sslwrap or inside a SSL or SSH tunnel), you should chroot ftp into the ftp users' home directory, so that the user is unable to see anything else than their own directory. Otherwise they could traverse your root file system just like if they had a shell in it. You can add the following line in your <filename>proftpd.conf</filename> in your global section to enable this chroot feature:
es: Si realmente tiene que usar FTP (sin enmascararlo con sslwrap o dentro de un tunel ssl o ssh), debería hacer cambio del directorio raíz de FTP hacia el directorio de los usuarios ftp, de modo que que el usuario sea incapaz de mirar cualquier otra cosa que su propio derectorio. De otra manera ellos pueden atravesar su sistema de archivos tal como si tuvieran una línea de comandos. Usted puede añadir la siguiente línea en su <filename>proftpd.conf</filename> en la sección global para habilitar esta característica del cambio de directorio raíz: feature:

en: Restart ProFTPd by <literal>/etc/init.d/proftpd restart</literal> and check whether you can escape from your homedir now.
es: Reinicie proftpd con <literal>/etc/init.d/proftpd restart</literal> y revise si puede escapar desde su directorio raíz ahora.

en: To prevent ProFTPd DoS attacks using ../../.., add the following line in <filename>/etc/proftpd.conf</filename>: <literal>DenyFilter \*.*/</literal>
es: Para impedir los ataques de Proftp DoS use ../../.., y adicione la siguiente línea en <filename>/etc/proftpd.conf</filename>: <literal>DenyFilter \*.*/</literal>

en: Always remember that FTP sends login and authentication passwords in clear text (this is not an issue if you are providing an anonymous public service) and there are better alternatives in Debian for this. For example, <command>sftp</command> (provided by <application>ssh</application>). There are also free implementations of SSH for other operating systems: <ulink name="putty" url="http://www.chiark.greenend.org.uk/~sgtatham/putty/" /> and <ulink name="cygwin" url="http://www.cygwin.com" /> for example.
es: No olvide que FTP envía login y contraseñas de autenticación en el texto plano (esto no es un problema si usted está proporcionando un servicio público anónimo) y hay buenas alternativas en Debian para ésto. Por elemplo, <command>sftp</command> (sumistrado por <application>ssh</application>). También hay implementaciones libres de SSH para otros sistemas operativos, por ejemplo: <ulink url="http://www.chiark.greenend.org.uk/~sgtatham/putty/" name="putty" /> y <ulink url="http://www.cygwin.com" name="cygwin" />.

en: However, if you still maintain the FTP server while making users access through SSH you might encounter a typical problem. Users accessing anonymous FTP servers inside SSH-secured systems might try to log in the <emphasis>FTP server</emphasis>. While the access will be refused, the password will nevertheless be sent through the net in clear form. To avoid that, ProFTPd developer TJ Saunders has created a patch that prevents users feeding the anonymous FTP server with valid SSH accounts. More information and patch available at: <ulink name="ProFTPD Patches" url="http://www.castaglia.org/proftpd/#Patches" />. This patch has been reported to Debian too, see <ulink name="Bug #145669" url="http://bugs.debian.org/145669" />.
es: Sin, embargo, si aún mantiene el servidor de FTP mientras los usuarios acceden a SSH podría encontrar un problema típico. Usuarios que acceden a los servidores Anónimos de FTP dentro de un sistema asegurado con SSH es el camino intentar entrar en el <emphasis>servidor FTP</emphasis>. Mientras el acceso se niegue, la contraseña nunca se enviará por la red en texto plano. Para evitar esto, el desarrollador de ProFTPd, TJ Saunders, creó un parche que impide a los usuarios anónimos del servidor FTP intentar contraseñas con cuentas SSH válidas. Más información y parches disponibles en: <ulink url="http://www.castaglia.org/proftpd/#Patches" name="ProFTPD Patches" />.

en: Securing access to the X Window System
es: Asegurando el acceso al sistema X Window

en: Today, X terminals are used by more and more companies where one server is needed for a lot of workstations. This can be dangerous, because you need to allow the file server to connect to the clients (X server from the X point of view. X switches the definition of client and server). If you follow the (very bad) suggestion of many docs, you type <literal>xhost +</literal> on your machine. This allows any X client to connect to your system. For slightly better security, you can use the command <literal>xhost +hostname</literal> instead to only allow access from specific hosts.
es: Hoy en día, más y más empresas usan las terminales X cuando necesitan un servicio para muchas estaciones de trabajo, ésto puede ser peligroso porque necesita permitir que un servidor de archivos se conecte con los clientes (el servicio X, desde el punto de vista X. X intercambia la definición de cliente y servidor) Si sigue la (muy mala) sugerencia de muchos documentos, tecleé <literal>xhost +</literal> en su máquina. Esto permite conenctar con su sistema a cualquier cliente X. Para tener una seguridad ligeramente mejor, puede usar el comando <literal>xhost +hostname</literal> en vez de la anterior para permitir un acceso desde servidores específicos.

en: For best security, if you do not need X access from other machines, switch off the binding on TCP port 6000 simply by typing:
es: Para mayor seguridad, si no necesita acceso a X desde otras máquinas, dehabilite el enlace con el puerto tcp 6000 tecleando simplemente: <literal>startx -- -nolisten tcp</literal>

en: This is the default behavior in Xfree 4.1.0 (the Xserver provided in Debian 3.0 and 3.1). If you are running Xfree 3.3.6 (i.e. you have Debian 2.2 installed) you can edit <filename>/etc/X11/xinit/xserverrc</filename> to have it something along the lines of:
es: Este es el comportamiento original en XFree 4.0 (el servidor X suministrado en Debian 3.0). Si está usando XFree 3.3.6 (i.e. tiene un Debian 2.2 instalado) puede editar <filename>/etc/X11/xinit/xserverrcc</filename> para que tenga unas líneas como las siguientes:

en: Read more on X Window security in <ulink name="XWindow-User-HOWTO" url="http://www.tldp.org/HOWTO/XWindow-User-HOWTO.html" /> (<filename>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</filename>).
es: Lea mas sobre la seguridad X Window en <ulink url="http://www.linuxdoc.org/HOWTO/XWindow-User-HOWTO.html" name="XWindow-User-HOWTO" /> (<filename>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</filename>).

en: FIXME: Add info on thread of debian-security on how to change config files of XFree 3.3.6 to do this.
es: ARREGLAME: Add info on thread of debian-security on how to change config files of XFree 3.3.6 to do this.

en: Check your display manager
es: Revisar su administrador visual

en: If you only want to have a display manager installed for local usage (having a nice graphical login, that is), make sure the XDMCP (X Display Manager Control Protocol) stuff is disabled. In XDM you can do this with this line in <literal>/etc/X11/xdm/xdm-config</literal>:
es: Si usted solamente quiere tener un administrador visual instalado para el uso local (teniendo un bonito login grafico), asegurarse que el material seguro XDMCP (control de protocolo de administrador visual X) este inhabilitado. En XDM usted puede hacer esto con la siguiente linea. <literal>/etc/X11/xdm/xdm-config</literal>:

en: 
    DisplayManager.requestPort:     0
es: 
    DisplayManager.requestPort: 0

en: Normally, all display managers are configured not to start XDMCP services per default in Debian.
es: Normalmente, todos los administradores visuales estan configurados para no iniciar los servicios de XDMCP por defecto en Debian.

en: Securing printing access (the lpd and lprng issue)
es: Seguridad en el acceso de impresión (El asunto de lpd y lprng)

en: Imagine, you arrive at work, and the printer is spitting out endless amounts of paper because someone is DoSing your line printer daemon. Nasty, isn't it?
es: Imagine, que usted llega al trabajo, y la impresora está botando interminables cantidades de papel porque alguien está negando el servicio de linea de su demonio de impresión. ¿No es terrible?

en: In any UNIX printing architecture, there has to be a way to get the client's data to the host's print server. In traditional <command>lpr</command> and <command>lp</command>, the client command copies or symlinks the data into the spool directory (which is why these programs are usually SUID or SGID).
es: En cualquier arquitectura de impresión Unix, tiene que haber la forma de enviar los datos de los clientes a los servidores de impresión. En el <command>lpr</command> y<command>lp</command> tradicional, el comando del cliente es copiado o se hace un enlace simbólico de los datos en el directorio de cola (por lo cual usualmente estos programas son SUID o SGID).

en: In order to avoid any issues you should keep your printer servers especially secure. This means you need to configure your printer service so it will only allow connections from a set of trusted servers. In order to do this, add the servers you want to allow printing to your <filename>/etc/hosts.lpd</filename>.
es: Para evitar algunos asuntos usted debe mantener seguros, los servidores de impresión. Esto significa que usted necesita configurar su servicio de impresión para que solo se permita la conexión del conjunto de servidores confiables. Para hacer esto es necesario, añadir los servidores a los que se les va a permitir imprimir en <filename>/etc/hosts.lpd</filename>.

en: However, even if you do this, the <command>lpr</command> daemon accepts incoming connections on port 515 of any interface. You should consider firewalling connections from networks/hosts which are not allowed printing (the <command>lpr</command> daemon cannot be limited to listen only on a given IP address).
es: Sin embargo, incluso si usted hace esto, el demonio <command>lpr</command> acepta las conexiones entrantes en el puerto 515 de cualquier interfaz. Deberia considerar hacer una regla de cortafuegos para las conexiones de red/servidor a las cuales no se permite la impresión (el demonio<command>lpr</command> no puede ser limitado a escuchar únicamente a una dirección IP dada).

en: <command>Lprng</command> should be preferred over <command>lpr</command> since it can be configured to do IP access control. And you can specify which interface to bind to (although somewhat weirdly).
es: <command>Lprng</command> se prefiere en lugar de <command>lpr</command> porque este puede ser configurado para hacer el control de acceso a IP, ademas se puede especificar cual interfaz va a emplear (aunque sea un poco extraño).

en: If you are using a printer in your system, but only locally, you will not want to share this service over a network. You can consider using other printing systems, like the one provided by <application>cups</application> or <ulink name="PDQ" url="http://pdq.sourceforge.net/" /> which is based on user permissions of the <filename>/dev/lp0</filename> device.
es: Si está usando el servicio de impresión de su sistema, pero solo localmente, no querrá compartir este servicio en la red. Puede considerar el uso de otros sistemas de impresión, como el servicio proporcionado en <application>cups</application> <ulink url="http://pdq.sourceforge.net/" name="PDQ" /> el cual se basa en el permiso de un usuario del dispositivo<filename>/dev/lp0</filename>

en: In <application>cups</application>, the print data is transferred to the server via the HTTP protocol. This means the client program doesn't need any special privileges, but does require that the server is listening on a port somewhere.
es: En <application>cups</application>, los datos de impresión se transfieren al servidor vía el protocolo http. Esto significa que el programa del cliente no necesita ningún privilegio especial, solamente requiere que el servidor esté escuchando sobre un puerto cualquiera.

en: However, if you want to use <command>cups</command>, but only locally, you can configure it to bind to the loopback interface by changing <filename>/etc/cups/cupsd.conf</filename>:
es: Sin embargo, si usted quiere usar <command>cups</command>, pero solo localmente usted puede configurar esto para escuchar a la interfaz loopback cambiando <filename>/etc/cups/cupsd.conf</filename>:

en: There are many other security options like allowing or denying networks and hosts in this config file. However, if you do not need them you might be better off just limiting the listening port. <command>Cups</command> also serves documentation through the HTTP port, if you do not want to disclose potential useful information to outside attackers (and the port is open) add also:
es: Hay muchas otras opciones de seguridad, como por ejemplo permitir o negar redes y servidores en este archivo de configuración. Sin embargo si no los necesita, debería limitar posibilidad de escuchar el puerto. <command>Cups</command> también ofrece documentación a través del puerto HTTP, si no quiere revelar información potencialmente útil para agresores externos (estando abierto el puerto), también agregue:

en: This configuration file can be modified to add some more features including SSL/TLS certificates and crypto. The manuals are available at http://localhost:631/ or at <ulink url="http://cups.org" />.
es: Este archivo de configuración puede ser modificado para añadir muchas caracteristicas incluyendo certficados SSL/TLS y criptografía. Los manuales estan disponibles en http://localhost:631/ or at cups.org.

en: FIXME: Add more content (the article on <ulink name="Amateur Fortress Building" url="http://www.rootprompt.org" /> provides some very interesting views).
es: ARREGLAME: Add more content (the article on <ulink name="Amateur Fortress Building" url="http://www.rootprompt.org" /> provides some very interesting views).

en: FIXME: Check if PDG is available in Debian, and if so, suggest this as the preferred printing system.
es: ARREGLAME: Check if PDG is available in Debian, and if so,suggest this as the preferred printing system.

en: FIXME: Check if Farmer/Wietse has a replacement for printer daemon and if it's available in Debian.
es: ARREGLAME: Check if Farmer/Wietse has a replacement for printer daemon and if it's available in Debian.

en: Securing the mail service
es: Reforzando el servidor de correo

en: If your server is not a mailing system, you do not really need to have a mail daemon listening for incoming connections, but you might want local mail delivered in order, for example, to receive mail for the root user from any alert systems you have in place.
es: Si su servidor no es un sistema de correo, usted realmente no necesita tener un demonio de correo escuchando conexiones entrantes, pero usted podría querer envío de correo local, por ejemplo para recibir el correo del usuario Root desde cualquier sistema de alerta que usted tenga en algún lugar.

en: and configure the mailer daemon to only listen on the loopback interface. In <command>exim</command> (the default MTA) you can do this by editing the file <filename>/etc/exim.conf</filename> and adding the following line:
es: y configurar el demonio de correo solo para escuchar en la interfaz loopback. En exim (el MTA por defecto) usted puede hacer esto añadiendo la siguiente línea editando: <filename>/etc/exim.conf</filename> y añadiendo la siguiente linea:

en: Restart both daemons (inetd and exim) and you will have exim listening on the 127.0.0.1:25 socket only. Be careful, and first disable inetd, otherwise, exim will not start since the inetd daemon is already handling incoming connections.
es: Reinicie ambos demonios (inetd y exim) y estarán escuchando en el socket 127.0.0.1:25 solamente. Sea cuidadoso, y primero desconecte inetd, de lo contrario, exim no iniciara ya que el demonio inetd está manejando las conexiones entrantes.

en: For <command>postfix</command> edit <filename>/etc/postfix/main.conf</filename>:
es: Para usar postfix edite <filename>/etc/postfix/main.conf</filename>:

en: If you only want local mail, this approach is better than tcp-wrapping the mailer daemon or adding firewalling rules to limit anybody accessing it. However, if you do need it to listen on other interfaces, you might consider launching it from inetd and adding a tcp wrapper so incoming connections are checked against <filename>/etc/hosts.allow</filename> and <filename>/etc/hosts.deny</filename>. Also, you will be aware of when an unauthorized access is attempted against your mailer daemon, if you set up proper logging for any of the methods above.
es: Si usted solo quiere un correo local, este metodo es mejor que usar la cubierta tcp-wrapping al demonio de correo o añadir las reglas del cortafuego para limitar el acceso de cualquier persona a este. Sin embargo, si necesita que escuche en otras interfaces, debería considerar lanzarlo desde inetd y añadir un tcp-wraping de forma que las conexiones sean revisadas contra <filename>/etc/hosts.allow</filename> y <filename>/etc/hosts.deny</filename> también será advertido cuando un acceso no autorizado está atentando en contra de su demonio de correo, usted debe instaurar un registrador apropiado para cualquiera de los metodos mencionados anteriormente.

en: Receiving mail securely
es: Recibiendo Correo de forma segura

en: Reading/receiving mail is the most common clear-text protocol. If you use either POP3 or IMAP to get your mail, you send your clear-text password across the net, so almost anyone can read your mail from now on. Instead, use SSL (Secure Sockets Layer) to receive your mail. The other alternative is SSH, if you have a shell account on the box which acts as your POP or IMAP server. Here is a basic <filename>fetchmailrc</filename> to demonstrate this:
es: Leer/recibir correo es el protocolo más común de texto plano. Si usted usa POP3 o IMAP para obtener su correo, la contraseña es enviada en texto plano a través de la red, de modo que casi cualquiera podría leer su correo a partir de ahora. En lugar de esto, use SSL (Capa segura de Sockets) para recibir su correo. La otra alternativa es ssh, si tiene una cuenta shell en la máquina que actua como el servidor POP o IMAP. Este es un ejemplo básico <filename>fetchmailrc</filename> para demostrar esto:

en: 
    poll my-imap-mailserver.org via "localhost"
      with proto IMAP port 1236
          user "ref" there with password "hackme" is alex here warnings 3600
        folders
          .Mail/debian
        preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
         my-imap-mailserver.org sleep 15 &lt;/dev/null &gt; /dev/null'
es: 
    poll my-imap-mailserver.org via "localhost"
     with proto IMAP port 1236
     user "ref" there with password "hackme" is alex here warnings 3600
     folders
     .Mail/debian
     preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
     my-imap-mailserver.org sleep 15 &lt;/dev/null &gt; /dev/null'

en: The preconnect is the important line. It fires up an ssh session and creates the necessary tunnel, which automatically forwards connections to localhost port 1236 to the IMAP mail server, but encrypted. Another possibility would be to use <command>fetchmail</command> with the SSL feature.
es: La preconexión es la línea más importante. Este lanza una sesión ssh y crea el tunel necesario, el cual automaticamente envía las conexiones para tener acceso a localhost puerto 1236 al servidor de correo IMAP, pero codificado. Otra posibilidad seria, usar el <literal>fetchmail</literal> con la caracteristica ssl.

en: If you want to provide encrypted mail services like POP and IMAP, <literal>apt-get install stunnel</literal> and start your daemons this way:
es: Si usted quiere suministrar un servicio de correo codificado como POP e IMAP,<literal>apt-get install stunnel</literal> e inicie sus demonios de esta es la forma:

en: This command wraps the provided daemon (-l) to the port (-d) and uses the specified SSL certificate (-p).
es: Este comando encapsula al demonio proveido (-l) en el puerto (-d) y usa el certificado ssl especificado (-p).

en: Securing BIND
es: Asegurando BIND

en: There are different issues that can be tackled in order to secure the Domain server daemon, which are similar to the ones considered when securing any given service:
es: Hay diferentes consideraciones que puede implementar para asegurar el demonio de servidor de nombres, las cuales son similares a las mismas que cuando se asegura cualquier servicio dado:

en: configuring the daemon itself properly so it cannot be misused from the outside (see <xref linkend="configure-bind" />). This includes limiting possible queries from clients: zone transfers and recursive queries.
es: Configurar el demonio por si solo apropiadamente para que este no pueda ser afectado desde afuera. Esto abarca limitar las posibles dudas de los clientes: zona transferida y consultas recursivas.

en: limit the access of the daemon to the server itself so if it is used to break in, the damage to the system is limited. This includes running the daemon as a non-privileged user (see <xref linkend="user-bind" />) and chrooting it (see <xref linkend="chroot-bind" />).
es: Limitar el acceso del demonio al servidor mismo, de modo que si este es usado para entrar, el daño en el sistema esté limitado. Esto incluye correr el demonio como un usuario no privilegiado y cambiarle el directorio raiz.

en: You should restrict some of the information that is served from the DNS server to outside clients so that it cannot be used to retrieve valuable information from your organization that you do not want to give away. This includes adding the following options: <emphasis>allow-transfer</emphasis>, <emphasis>allow-query</emphasis>, <emphasis>allow-recursion</emphasis> and <emphasis>version</emphasis>. You can either limit this on the global section (so it applies to all the zones served) or on a per-zone basis. This information is documented in the <application>bind-doc</application> package, read more on this on <filename>/usr/share/doc/bind/html/index.html</filename> once the package is installed.
es: Deberia restringir alguna de la información que es dada por el servidor DNS para clientes externos para que no pueda ser usado para acceder a información valiosa de su organización que usted no quiere dar. Esto incluye añadir las siguientes opciones: <emphasis>allow-transfer</emphasis>, <emphasis>allow-query</emphasis>, <emphasis>allow-recursive</emphasis> y <emphasis>version</emphasis>.Puede limitar en una sección global (para que se aplica a todas las zonas presentes) o sobre una base por zona. Esta información esta documentada en el paquete <application>bind-doc</application>, lea más sobre esto en <filename>/usr/share/doc/bind/html/index.html</filename> una vez el paquete este instalado.

en: Imagine that your server is connected to the Internet and to your internal (your internal IP is 192.168.1.2) network (a basic multi-homed server), you do not want to give any service to the Internet and you just want to enable DNS lookups from your internal hosts. You could restrict it by including in <filename>/etc/bind/named.conf</filename>:
es: Imagine que su servidor está conectado a Internet y a su red interna (su IP interno es 192.168.1.2)(un servicio de multi domicilio basico). Usted no quiere dar ningun servicio para Internet y solo quiere permitir el lookups DNS desde su servidor interno. Usted podria restringir esto para incluirlo en: <filename>/etc/bind/named.conf</filename>:

en: 
    options {
                allow-query { 192.168.1/24; } ;
                allow-transfer { none; } ; 
                allow-recursion { 192.168.1/24; } ;
                listen-on { 192.168.1.2; } ;
                forward { only; } ;
                forwarders { A.B.C.D; } ;
    };
es: 
    options {
    	 allow-query { 192.168.1/24; } ;
    	 allow-transfer { none; } ; 
             allow-recursion { 192.168.1/24; } ;
    	 listen-on { 192.168.1.2; } ;
    	 forward { only; } ;
    	 forwarders { A.B.C.D; } ;
    };

en: The <emphasis>listen-on</emphasis> option makes the DNS bind to only the interface that has the internal address, but, even if this interface is the same as the interface that connects to the Internet (if you are using NAT, for example), queries will only be accepted if coming from your internal hosts. If the system has multiple interfaces and the <emphasis>listen-on</emphasis> is not present, only internal users could query, but, since the port would be accessible to outside attackers, they could try to crash (or exploit buffer overflow attacks) on the DNS server. You could even make it listen only on 127.0.0.1 if you are not giving DNS service for any other systems than yourself.
es: La opción<emphasis>listen-on</emphasis>hace el bind DNS solo para la interfaz que tiene la dirección interna, pero si esta interfaz es la misma como la interfaz que se conecta a Internet (por ejemplo, si usted está usando NAT), las dudas seran solamente aceptadas si llegan desde su servidor interno. Si el sistema tiene multiples interfaces y el <emphasis>listen-on</emphasis> no está presente, solamente los usuarios internos podrian pregutar, ya que el puerto seria accesible para los atacantes exteriores, ellos podrian tratar de arrojarlo al servidor DNS (o explotar el amortiguador desbordandose agresivamente). Usted aun podría leer esto en 127.0.0.1 si usted no está dando el servicio DNS por ningun otro sistema que el de usted mismo.

en: The version.bind record in the chaos class contains the version of the currently running bind process. This information is often used by automated scanners and malicious individuals who wish to determine if one's <command>bind</command> is vulnerable to a specific attack. By providing false or no information in the version.bind record, one limits the probability that one's server will be attacked based on its published version. To provide your own version, use the <emphasis>version</emphasis> directive in the following manner:
es: El registro version.bind en la clase caos contiene la versión del proceso bind que se está ejecutando. Esta información es frecuentemente usada por dispositivos automaticos e individuos maliciosos que desean determinar si el bind de uno es vulnerable a un ataque específico. Para proporcionar falsa o negativa información en el registro de la version.bind, uno limita la probabilidad que un servidor pueda ser atacado basandonos en la versión publicitaria.Para suministrar su proia versión, utilice la <emphasis>version</emphasis> dirigida de la siguiente manera:

en: Changing the version.bind record does not provide actual protection against attacks, but it might be considered a useful safeguard.
es: Cambiar el registro de la version.bind que no proporciona una protección actual en contra de los ataques, pero este debería ser considerado un salva guardia útil.

en: Regarding limiting BIND's privileges you must be aware that if a non-root user runs BIND, then BIND cannot detect new interfaces automatically, for example when you put a PCMCIA card into your laptop. Check the <filename>README.Debian</filename> file in your named documentation (<filename>/usr/share/doc/bind/README.Debian</filename>) directory for more information about this issue. There have been many recent security problems concerning BIND, so switching the user is useful when possible. We will detail here the steps needed in order to do this, however, if you want to do this in an automatic way you might try the script provided in <xref linkend="bind-chuser" />.
es: Con respecto a limitar los privilegios de BIND, usted debe darse cuenta que si un usuario del non-root recorre Bind, Bind no podra detectar las nuevas interfaces automaticamente. Como por ejemplo si usted pone en un portatil una tarjeta PCMCIA. Cambie el archivo README Debian en el directorio nombrado (<filename>/usr/share/doc/bind/README.Debian</filename>)para mas información acerca de este uso. Recientemente han habido muchos problemas de seguridad en lo que concierne a BIND, y por esto es necesario cambiar el usuario util cuando sea posible.

en: To run BIND under a different user, first create a separate user and group for it (it is <emphasis>not</emphasis> a good idea to use nobody or nogroup for every service not running as root). In this example, the user and group <literal>named</literal> will be used. You can do this by entering:
es: Para correr BIND bajo un usuario diferente, primero cree un usuario separado y un grupo para esto (no es buena idea usar,<emphasis>not</emphasis> nobody o nogroup para todo sevicio que no corra como raiz). En este ejemplo, el usuario y el grupo <literal>named</literal>serán usados. Usted puede hacer esto entrando a:

en: Now you can either edit <filename>/etc/init.d/bind</filename> with your favorite editor and change the line beginning with
es: Ahora edite <literal>/etc/init.d/bind</literal> con su editor favorito y cambie la linea comenzando con:

en: to:
es: para:

en: All you need to do now is to restart bind via <literal>/etc/init.d/bind restart</literal>, and then check your syslog for two entries like this:
es: Todo lo que usted necesita hacer ahora es reiniciar Bind'/etc/init.d/bind, y luego cambiar su syslog por dos entradas como estas:

en: 
    dev/null
    etc/bind/       - should hold named.conf and all the server zones
    sbin/named-xfer - if you do name transfers
    var/run/named/  - should hold the PID and the name server cache (if
                      any) this directory needs to be writable by named user
    var/log/named   - if you set up logging to a file, needs to be writable
                      for the named user
    dev/log         - syslogd should be listening here if named is configured to
                      log through it
es: 
    dev/null
    etc/bind/       - should hold named.conf and all the server zones
    sbin/named-xfer - if you do name transfers
    var/run/named/  - should hold the pid and the name server cache (if
                     any) this directory needs to be writable by named
                      user
    var/log/named   - if you set up logging to a file, needs to be writable
                      for the named user
    dev/log         - syslogd should be listening here if named is configured to
                      log through it

en: In order for your Bind daemon to work properly it needs permission in the named files. This is an easy task since the configuration files are always at <literal>/etc/named/</literal>. Take into account that it only needs read-only access to the zone files, unless it is a secondary or cache name server. If this is your case you will have to give read-write permissions to the necessary zones (so that zone transfers from the primary server work).
es: Para que su denmonio BIND trabeje apropiedamente, este necesita permiso en los archivos nombrados. Ésta es una tarea fácil ya que los archivos de configuarción estan siempre en <literal>/etc/named/</literal>. Tenga en cuenta que esto solamente necesita acceso de lectura para los archivos de la zona, a menos que este sea un secundario o un servidor llamado cache. Si este es su caso usted tendra que dar permiso de lecto-escritura a las zonas necesarias (asi como la zona transferida desde los tarbajos del servidor primario).

en: 
    dev/log - syslogd should be listening here
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group - with only a single line: "named:x:GID:"
    etc/ld.so.cache - generated with ldconfig 
    lib/ld-2.3.6.so
    lib/libc-2.3.6.so
    lib/ld-linux.so.2 - symlinked to ld-2.3.6.so
    lib/libc.so.6 - symlinked to libc-2.3.6.so
    sbin/ldconfig - may be deleted after setting up the chroot
    sbin/named-xfer - if you do name transfers
    var/run/
es: 
    dev/log - syslogd should be listening here
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group - with only a single line: "named:x:GID:"
    etc/ld.so.cache - generated with ldconfig 
    lib/ld-2.1.3.so
    lib/libc-2.1.3.so
    lib/ld-linux.so.2 - symlinked to ld-2.1.3.so 
    lib/libc.so.6 - symlinked to libc-2.1.3.so
    sbin/ldconfig - may be deleted after setting up the chroot
    sbin/named-xfer - if you do name transfers
    var/run/

en: Securing Apache
es: Asegurando Apache

en: You can limit access to the Apache server if you only want to use it internally (for testing purposes, to access the <application>doc-central</application> archive, etc.) and do not want outsiders to access it. To do this use the <literal>Listen</literal> or <literal>BindAddress</literal> directives in <filename>/etc/apache/http.conf</filename>.
es: Usted puede limitar el acceso a el servidor Apache si si usted quiere usar esto solo internamente (para objetivos de prueba, para tener acceso al archivo<application>doc-central</application> etc..) y si no quiere que extraños tengan esto. Para hacer esto use el <literal>Listen</literal> o <literal>BindAddress</literal> dirigidos en <filename>/etc/apache/http.conf</filename>.

en: Using Listen:
es: Usando Listen:

en: Using BindAddress:
es: Usando BindAddress:

en: Then restart apache with <literal>/etc/init.d/apache restart</literal> and you will see that it is only listening on the loopback interface.
es: Luego reinicie Apache con <literal>/etc/init.d/apache restart</literal> y vera que esto es de solo Audición en la interfaz <filename>loopback</filename>.

en: In any case, if you are not using all the functionality provided by Apache, you might want to take a look at other web servers provided in Debian like <application>dhttpd</application>.
es: De todos modos, que usted no este usando todo lo funcionamiento suministrado por Apache, usted podria querer dar un vistazo a otro servicio de la web proporcionados en Debian como <application>dhttpd</application>.

en: The <ulink name="Apache Documentation" url="http://httpd.apache.org/docs/misc/security_tips.html" /> provides information regarding security measures to be taken on Apache web server (this same information is provided in Debian by the <application>apache-doc</application> package).
es: La <ulink name="Apache Documentation" url="http://httpd.apache.org/docs/misc/security_tips.html" /> proporciona información relacxionada con las medidas de seguridad que deben ser tomadas en el servidor web del Apache (esta misma información está suministrada en Debian por el paquete<application>apache-doc</application>).

en: Logfiles permissions
es: Permisos para el archivo de registro

en: Securing finger
es: Asegurando finger

en: If you want to run the finger service first ask yourself if you need to do so. If you do, you will find out that Debian provides many finger daemons (output from <command>apt-cache search fingerd</command>):
es: Si usted quiere recorrer el servicio de finger, primero preguntese si usted necesita realizar esto. Si lo hace, usted mismo descubrira que Debian proporciona muchos demonios finger (Puest fuera de <command>apt-cache search fingerd</command>):

en: cfingerd - Configurable finger daemon
es: cfingerd - Demonio finger configurable

en: efingerd - Another finger daemon for unix, capable of fine-tuning your output.
es: efingerd - Es otro demonio finger para unix capaz de una fina-sintonización de su rendimiento.

en: ffingerd - a secure finger daemon
es: ffingerd - Un demonio seguro.

en: fingerd - Remote user information server.
es: fingerd - Remoto servidor de la información del usuario

en: xfingerd - BSD-like finger daemon with qmail support.
es: BSD- Demonio finger con soporte qmail.

en: <application>ffingerd</application> is the recommended finger daemon if you are going to use it for a public service. In any case, you are encouraged to, when setting it up through inetd, xinetd or tcpserver to: limit the number of processes that will be running at the same time, limit access to the finger daemon from a given number of hosts (using tcp wrappers) and having it only listening to the interface you need it to be in.
es: <application>ffingerd</application> es el demonio finger recomendado para si usted va ausar esto para un servicio publico. De todos modos usted se fortalece, cuando establece este a traves de inetd, xinetd o tcpserver para: limitar el numero de procesos que estaran corriendo al mismo tiempo, limitar el acceso para el demonio finger a partir de un numero dado por los servidores (usando el wrappers tcp) y teniendo esto solamente por audición para la interfaz en la que usted necesita estar.

en: General chroot and suid paranoia
es: Cambio general de directorio raíz y paranoia suid

en: <command>chroot</command> is one of the most powerful possibilities to restrict a daemon or a user or another service. Just imagine a jail around your target, which the target cannot escape from (normally, but there are still a lot of conditions that allow one to escape out of such a jail). You can eventually create a modified root environment for the user or service you do not trust. This can use quite a bit of disk space as you need to copy all needed executables, as well as libraries, into the jail. But then, even if the user does something malicious, the scope of the damage is limited to the jail.
es: <command>chroot</command> es una de las posibilidades más poderosas para restringir un demonio, un ususario u otro servicio. Sólo imagine una cárcel alrededor de su objetivo, del cual no puede escapar (normalmente, hay sin embargo muchas condiciones que permiten un escape fuera de su cárcel). Si usted no confía en un usuario, puede crear un cambio en el ambiente. Ésto puede usar un pequeño espacio adicional de disco, puesto que se necesita copiar todos los ejecutables necesarios, así como las biblioteca dentro de la cárcel. Aún si el usuario hace algo malicioso, el alcance de un daño es limitado al aseguramiento.

en: However, be forewarned that a <command>chroot</command> jail can be broken if the user running in it is the superuser. So, you need to make the service run as a non-privileged user. By limiting its environment you are limiting the world readable/executable files the service can access, thus, you limit the possibilities of a privilege escalation by use of local system security vulnerabilities. Even in this situation you cannot be completely sure that there is no way for a clever attacker to somehow break out of the jail. Using only server programs which have a reputation for being secure is a good additional safety measure. Even minuscule holes like open file handles can be used by a skilled attacker for breaking into the system. After all, <command>chroot</command> was not designed as a security tool but as a testing tool.
es: Sin embargo, esté prevenido que el seguro <command>chroot</command> puede estar dañado si el usuario entra en éste es el superusuario. Así que usted necesita que el servicio corra como un usuario no privilegiado. Límitando su ambien usted está límitando la palabra leíbles que el servicio de archivos ejecutables puede acceder, así, usted límita las posibilidades de una subida del privilegio por el uso de vulnerabilidades de seguridad de los sistemas locales. Incluso en ésta situación usted no puede estar copmpletamente seguro de que no hay ninguna manera para que un atacante hábil se escape de algún modo del aseguramiento. Usando solamente un servidor de programa, el cual tiene una reputación de medida de aseguramiento que es buena. Incluso la cavidad minusiosa de archivos manuales puede ser abierta por un atacante hábil interrumpiendo el sistema por dentro. Despues de todo, <command>chroot</command> no fue diseñado como una herramienta de comprobación.

en: General cleartext password paranoia
es: Texto claro general con el password paranoia

en: You should try to avoid any network service which sends and receives passwords in cleartext over a net like FTP/Telnet/NIS/RPC. The author recommends the use of ssh instead of telnet and ftp to everybody.
es: Usted deberia tratar de evitar cualquier servicio de red el cual envia y recibe contraseñas en un texto claro sobre una red como FTP/Telnet/NIS/RPC. El autor recomienda para todos el uso de ssh en cambio de telnet y ftp.

en: Keep in mind that migrating from telnet to ssh, but using other cleartext protocols does not increase your security in ANY way! Best would be to remove ftp, telnet, pop, imap, http and to supersede them with their respective encrypted services. You should consider moving from these services to their SSL versions, ftp-ssl, telnet-ssl, pop-ssl, https ...
es: Mantenga en mente que migrar de telenet a ssh pero usando otros protocolos de texto claro no aumentan su seguridad de NINGUNA forma! lo mejor seria eliminar ftp, telnet, pop, imap, http y suplantarlos con sus respectivos servicios codificados. Usted debe considerar moverse desde otros servicios hasta sus versiones SSL, ftp-ssl, telnet-ssl, pop-ssl, https...

en: Most of these above listed hints apply to every Unix system (you will find them if reading any other hardening-related document related to Linux and other Unices).
es: Muchos de estas indicaciones numeradas en la parte superior se aplican a documentos en todo el sistema Unix (Usted los encontrara si lee cualquier otro hardening-related relacionado con lo que tiene que ver con Linux y otros Unix).

en: Disabling NIS
es: Incapacitar NIS

en: You should not use NIS, the Network Information Service, if possible, because it allows password sharing. This can be highly insecure if your setup is broken.
es: Es posible que usted no tenga que usar NIS, en el servicio de información de la red, porque este permite que la contraseña actue. Este puede ser demasiado inseguro si su organización está rota.

en: If you need password sharing between machines, you might want to consider using other alternatives. For example, you can setup an LDAP server and configure PAM on your system in order to contact the LDAP server for user authentication. You can find a detailed setup in the <ulink name="LDAP-HOWTO" url="http://www.tldp.org/HOWTO/LDAP-HOWTO.html" /> (<filename>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</filename>).
es: Si usted necesita que la contraseña actue entre maquinas, usted deberia considerar usar otras alternativas. Por ejemplo usted puede colocar un servidor LDAP y configurar PAM en su sistema para contactar el servidor LDAP para la autenticación del usuario. Usted puede encontrar una detallada organización en el <ulink name="LDAP-HOWTO" url="http://www.linuxdoc.org/HOWTO/LDAP-HOWTO.html" /> (<filename>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</filename>).

en: You can read more about NIS security in the <ulink name="NIS-HOWTO" url="http://www.tldp.org/HOWTO/NIS-HOWTO.html" /> (<filename>/usr/share/doc/HOWTO/en-txt/NIS-HOWTO.txt.gz</filename>).
es: Lea mas sobre la seguridad en <ulink name="NIS-HOWTO" url="http://www.linuxdoc.org/HOWTO/NIS-HOWTO.html" /> (<filename>/usr/share/doc/HOWTO/en-txt/NIS-HOWTO.txt.gz</filename>).

en: FIXME (jfs): Add info on how to set this up in Debian.
es: ARREGLAME (jfs): Add info on how to setup this in Debian

en: Disabling RPC services completely
es: Desactivar los servicios RPC

en: Disabling portmap is quite simple. There are several different methods. The simplest one in a Debian 3.0 system and later releases is to uninstall the <application>portmap</application> package. If you are running an older Debian version you will have to disable the service as seen in <xref linkend="disableserv" />, because the program is part of the <application>netbase</application> package (which cannot be de-installed without breaking the system).
es: Inhabilitar el paquete <application>portmap</application> es super sencillo. Hay diferentes mátodos. Uno de los más sencillos en un sistema Debian 3.0 es hacer un desinstalamiento del paquete <application>portmap</application>. Si usted está usando otra versión, tendrá que desactivar el servicio como se ve en <ulink url="disableserv" />, esto es debido a el programa que forma parte del paquete <application>net-base</application> (el cual no puede ser desinstalado sin que el sistema se haya destruido).

en: Limiting access to RPC services
es: Limites al acceso de servicios RPC

en: Adding firewall capabilities
es: Añadir capacidades al cortafuegos

en: Firewalling the local system
es: El sistema local corta fuegos

en: You can use firewall rules as a way to secure the access to your local system and, even, to limit the outbound communications made by it. Firewall rules can also be used to protect processes that cannot be properly configured <emphasis>not</emphasis> to provide services to some networks, IP addresses, etc.
es: Usted puede usar las reglas de corta fuegos cono una forma para asegurar el acceso en un sistema local, invluso para limitaer la salida de comunicación hecha por este. Las reglas corta fuegos pueden ser usadas también para protejer procesos que <emphasis>no</emphasis> pueden ser configurados apropiadamente ni proveer servicios para algunas redes, direcciones, IP, etc...

en: However, this step is presented last in this manual basically because it is <emphasis>much</emphasis> better not to depend solely on firewalling capabilities in order to protect a given system. Security in a system is made up of layers, firewalling should be the last to include, once all services have been hardened. You can easily imagine a setup in which the system is solely protected by a built-in firewall and an administrator blissfully removes the firewall rules for whatever reason (problems with the setup, annoyance, human error...), this system would be wide open to an attack if there were no other hardening in the system to protect from it.
es: Sin embargo, este paso se presentara despues en el manual, basicamente porque es <emphasis>mucho</emphasis> mejor para no depender únicamente de la capacidad del corta fuegos para protejer un sistema dado. La seguridad en un sistema no puede ser hecho de cubiertas, el corta fuegos deberia ser el ultimo en incluirse, una vez todos los servicios hayan sido fortalecidos. Usted puede fácilmente imaginar un plan en el cual el sistema está protegido solamente por un corta fuegos incorporadoy un administrador blissfully que remueve las reglas del corta fuegos por cualquiera que sea la razón (problemas con la instalación, molestias, errores humanos...), este sistema abierto ampliamnete para un ataque.

en: all other incoming or outgoing connections are denied.
es: el resto de conexiones entrantes o salientes son denegadas.

en: Using a firewall to protect other systems
es: Usar otros corta fuegos para proteger otros sistemas

en: Setting up a firewall
es: Configurando un cortafuegos

en: If you do not have a clue on how to set up your firewall rules manually consult the <emphasis>Packet Filtering HOWTO</emphasis> and <emphasis>NAT HOWTO</emphasis> provided by <application>iptables</application> for offline reading at <filename>/usr/share/doc/iptables/html/</filename>.
es: Si usted no tiene un indicio sobre como colocar sus reglas al corta fuegos consulte el <emphasis>Paquete Filtrador HOWTO</emphasis> proporcionado por <application>iptables</application> al leer fuera de la linea en <filename>/usr/share/doc/iptables/html/</filename>

en: Using firewall packages
es: Paquetes del Corta Fuegos

en: Some software that can be used to set up firewall rules in a Debian system is:
es: Hay un software completo que pueden ser usados para colocar reglas de corta fuegos en un sistema Debian

en: For desktop systems:
es: Para entornos gráficos

en: This is the sample firewall script:
es: A continuación tiene un ejemplo de script cortafuegos:

en: 
    #!/bin/sh
    ### BEGIN INIT INFO
    # Provides:          myfirewall
    # Required-Start:    $local_fs
    # Required-Stop:     $local_fs
    # Default-Start:     S
    # Default-Stop:      0 6
    # X-Start-Before:    $network
    # X-Stop-After:      $network
    # Short-Description: My custom firewall.
    ### END INIT INFO
    #
    # Simple example firewall configuration.
    #
    # Caveats:
    # - This configuration applies to all network interfaces
    #   if you want to restrict this to only a given interface use
    #   '-i INTERFACE' in the iptables calls.
    # - Remote access for TCP/UDP services is granted to any host, 
    #   you probably will want to restrict this using '--source'.
    #
    # chkconfig: 2345 9 91
    # description: Activates/Deactivates the firewall at boot time
    #
    # You can test this script before applying with the following shell
    # snippet, if you do not type anything in 10 seconds the firewall
    # rules will be cleared.
    #---------------------------------------------------------------
    #  while true; do test=""; read  -t 20 -p "OK? " test ; \
    #  [ -z "$test" ] &amp;&amp; /etc/init.d/myfirewall clear ; done
    #---------------------------------------------------------------
    
    PATH=/bin:/sbin:/usr/bin:/usr/sbin
    
    # Services that the system will offer to the network
    TCP_SERVICES="22" # SSH only
    UDP_SERVICES=""
    # Services the system will use from the network
    REMOTE_TCP_SERVICES="80" # web browsing
    REMOTE_UDP_SERVICES="53" # DNS
    # Network that will be used for remote mgmt
    # (if undefined, no rules will be setup)
    # NETWORK_MGMT=192.168.0.0/24
    # If you want to setup a management network (i.e. you've uncommented
    # the above line) you will need to define the SSH port as well (i.e.
    # uncomment the below line.) Remember to remove the SSH port from the
    # TCP_SERVICES string.
    # SSH_PORT="22"
    
    if ! [ -x /sbin/iptables ]; then  
        exit 0
    fi
    
    fw_start () {
    
      # Input traffic:
      /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # Services
      if [ -n "$TCP_SERVICES" ] ; then
      for PORT in $TCP_SERVICES; do
        /sbin/iptables -A INPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$UDP_SERVICES" ] ; then
      for PORT in $UDP_SERVICES; do
        /sbin/iptables -A INPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Remote management
      if [ -n "$NETWORK_MGMT" ] ; then
        /sbin/iptables -A INPUT -p tcp --src ${NETWORK_MGMT} --dport ${SSH_PORT} -j ACCEPT
      fi
      # Remote testing
      /sbin/iptables -A INPUT -p icmp -j ACCEPT
      /sbin/iptables -A INPUT -i lo -j ACCEPT
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -A INPUT -j LOG
    
      # Output:
      /sbin/iptables -A OUTPUT -j ACCEPT -o lo 
      /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # ICMP is permitted:
      /sbin/iptables -A OUTPUT -p icmp -j ACCEPT
      # So are security package updates:
      # Note: You can hardcode the IP address here to prevent DNS spoofing
      # and to setup the rules even if DNS does not work but then you 
      # will not "see" IP changes for this service:
      /sbin/iptables -A OUTPUT -p tcp -d security.debian.org --dport 80 -j ACCEPT 
      # As well as the services we have defined:
      if [ -n "$REMOTE_TCP_SERVICES" ] ; then
      for PORT in $REMOTE_TCP_SERVICES; do
        /sbin/iptables -A OUTPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$REMOTE_UDP_SERVICES" ] ; then
      for PORT in $REMOTE_UDP_SERVICES; do
        /sbin/iptables -A OUTPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # All other connections are registered in syslog
      /sbin/iptables -A OUTPUT -j LOG
      /sbin/iptables -A OUTPUT -j REJECT 
      /sbin/iptables -P OUTPUT DROP
      # Other network protections
      # (some will only work with some kernel versions)
      echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
      echo 0 &gt; /proc/sys/net/ipv4/ip_forward 
      echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
      echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians 
      echo 1 &gt; /proc/sys/net/ipv4/ip_always_defrag
      echo 1 &gt; /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
      echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
      echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
      echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    }
    
    fw_stop () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -P FORWARD DROP
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    fw_clear () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT ACCEPT
      /sbin/iptables -P FORWARD ACCEPT
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    
    case "$1" in
      start|restart)
        echo -n "Starting firewall.."
        fw_stop 
        fw_start
        echo "done."
        ;;
      stop)
        echo -n "Stopping firewall.."
        fw_stop
        echo "done."
        ;;
      clear)
        echo -n "Clearing firewall rules.."
        fw_clear
        echo "done."
        ;;
      *)
        echo "Usage: $0 {start|stop|restart|clear}"
        exit 1
        ;;
      esac
    exit 0
es: 
    #!/bin/sh
    ### BEGIN INIT INFO
    # Provides:          myfirewall
    # Required-Start:    $local_fs
    # Required-Stop:     $local_fs
    # Default-Start:     S
    # Default-Stop:      0 6
    # X-Start-Before:    $network
    # X-Stop-After:      $network
    # Short-Description: My custom firewall.
    ### END INIT INFO
    #
    # Sencillo ejemplo de cofiguración de un cortafuegos.
    #
    # Tenga en cuenta que:
    # - Esta configuraciñon se aplica en todas las interfaces de red
    # - Si desea restringirlo a una única interfaz utlice '-i INTERFAZ'
    #   en cada ejecución del comando iptables
    # - Se permite el acceso TCP/UDP a cualquier máquina
    #   Probablemente desee restringirlo mediante el uso de '--source'.  
    #
    # chkconfig: 2345 9 91
    # descripción: activa/desactiva el cortafuegos durante el inicio.
    #
    # Puede probar este script antes de instalarlo con este código.
    # Simplemente hace que si no escribe nada durante 10 segundos, 
    # se borran todas las reglas del cortafuegos.
    #---------------------------------------------------------------
    #  while true; do test=""; read  -t 20 -p "OK? " test ; \
    #  [ -z "$test" ] &amp;&amp; /etc/init.d/myfirewall clear ; done
    #---------------------------------------------------------------
    
    PATH=/bin:/sbin:/usr/bin:/usr/sbin
    
    # Services que el sistema proporciona en red
    TCP_SERVICES="22" # sólo SSH
    UDP_SERVICES=""
    # Services que el sistema necesita de la red.k
    REMOTE_TCP_SERVICES="80" # Navegación web.
    REMOTE_UDP_SERVICES="53" # DNS
    # Red mediante la que se accederá remotamente a la máquina
    # (si se deja en blanco, no se definirá ninguna regla)
    # NETWORK_MGMT=192.168.0.0/24
    # Si desea tener dicha red (es decir, ha descomentado la 
    # anterior línea), también deberá definir el puerto para SSH 
    # descomentando la siguiente línea. Recuerde elminar el puerto SSH
    # en la variable TCP_SERVICES
    # SSH_PORT="22"
    
    if ! [ -x /sbin/iptables ]; then  
        exit 0
    fi
    
    fw_start () {
    
      # Tráfico de entrada:
      /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # Servicios
      if [ -n "$TCP_SERVICES" ] ; then
      for PORT in $TCP_SERVICES; do
        /sbin/iptables -A INPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$UDP_SERVICES" ] ; then
      for PORT in $UDP_SERVICES; do
        /sbin/iptables -A INPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Acceso remoto
      if [ -n "$NETWORK_MGMT" ] ; then
        /sbin/iptables -A INPUT -p tcp --src ${NETWORK_MGMT} --dport ${SSH_PORT} -j ACCEPT
      fi
      # Pruebas remotas
      /sbin/iptables -A INPUT -p icmp -j ACCEPT
      /sbin/iptables -A INPUT -i lo -j ACCEPT
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -A INPUT -j LOG
    
      # Tráfico de salida:
      /sbin/iptables -A OUTPUT -j ACCEPT -o lo 
      /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
      # Se permiteel tráfico de ICMP:
      /sbin/iptables -A OUTPUT -p icmp -j ACCEPT
      # También las actualizaciones de seguridad:
      # Puede añadir directamente la IP del servidor para evitar ataques de DNS
      # pero no verá cambios de IP de este servidor 
      /sbin/iptables -A OUTPUT -p tcp -d security.debian.org --dport 80 -j ACCEPT 
      # Igualmente para los servicios que definimos:
      if [ -n "$REMOTE_TCP_SERVICES" ] ; then
      for PORT in $REMOTE_TCP_SERVICES; do
        /sbin/iptables -A OUTPUT -p tcp --dport ${PORT} -j ACCEPT
      done
      fi
      if [ -n "$REMOTE_UDP_SERVICES" ] ; then
      for PORT in $REMOTE_UDP_SERVICES; do
        /sbin/iptables -A OUTPUT -p udp --dport ${PORT} -j ACCEPT
      done
      fi
      # Cualquier otra conexión se registrará mediante syslog
      /sbin/iptables -A OUTPUT -j LOG
      /sbin/iptables -A OUTPUT -j REJECT 
      /sbin/iptables -P OUTPUT DROP
      # Protecciones adicionales para la red
      # (algunas sólo funcionan en ciertas versiones del núcleo)
      echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
      echo 0 &gt; /proc/sys/net/ipv4/ip_forward 
      echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
      echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians 
      echo 1 &gt; /proc/sys/net/ipv4/ip_always_defrag
      echo 1 &gt; /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
      echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
      echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
      echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    }
    
    fw_stop () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT DROP
      /sbin/iptables -P FORWARD DROP
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    fw_clear () {
      /sbin/iptables -F
      /sbin/iptables -t nat -F
      /sbin/iptables -t mangle -F
      /sbin/iptables -P INPUT ACCEPT
      /sbin/iptables -P FORWARD ACCEPT
      /sbin/iptables -P OUTPUT ACCEPT
    }
    
    
    case "$1" in
      start|restart)
        echo -n "Iniciando el cortafuegos.."
        fw_stop 
        fw_start
        echo "Iniciado."
        ;;
      stop)
        echo -n "Deteniendo el cortafuegos.."
        fw_stop
        echo "Detenido."
        ;;
      clear)
        echo -n "Borrando las reglas del cortafuegos."
        fw_clear
        echo "Borradas."
        ;;
      *)
        echo "Uso: $0 {start|stop|restart|clear}"
        exit 1
        ;;
      esac
    exit 0

en: 
    iface eth0 inet static
            address x.x.x.x
            [.. interface configuration ..]
            pre-up iptables-restore &lt; /etc/iptables.up.rules
es: 
    iface eth0 inet static
            address x.x.x.x
            [.. configuración de la interfaz..]
            pre-up iptables-restore &lt; /etc/iptables.up.rules

en: Testing your firewall configuration
es: Probar las configuración del cortafuegos
