¿Cómo configuro un poderoso router casero con Ubuntu?
En una reunión con obreros del gremio telefónico, Juan Perón explica los
requerimientos del Movimiento y enseña a los técnicos cómo armar un
Router casero munido de Ubuntu.

¡Trabajadores!

Existen tareas que por complejas que parezcan, deben poder ser
realizadas por un Pueblo Justo, Libre y Soberano. Los paños de nuestras
tres divisas son inmaculados, y como tal ha de ser el camino que hemos
de seguir en pos de nuestra merecida felicidad.

Sin embargo, no es secreto para nadie que en ocasiones las tareas que
deberían ser sencillas esconden para sí dificultades que enturbian el
corazón de los hombres más formidables. El conocimiento permite al
hombre hacer de si alguien mejor, pero no es algo que pueda adquirirse
fácilmente en el ámbito individual: el conocimiento ha de lograrse de
manera colectiva para que realmente sea apropiado y utilizado.

Poco sentido tiene que algo lo sepa uno solo. Ello parecería correcto
para una sociedad vendida al Capital, pero un Pueblo como el nuestro
necesita y merece una Comunidad Organizada capacitada no solamente para
hacer uso del Software y Hardware puesto a su disposición, sino ser
capaz de darse a sí misma las funcionalidades que le sean necesarias en
pos de su sano existir.
Vean señores. Dios creó a la Tierra, y en un principio las
comunicaciones se establecían a los gritos, luego con señales de humo, y
hasta hace poco de forma descentralizada a través de la línea
telefónica, empleando un módem telefónico en una modalidad punto a punto
(síncrona). Con el advenimiento de la llamada "banda ancha", el acceso a
Internet se hizo más centralizado. La conexión a nivel masivo se logró
por medio de dispositivos de red hogareños (gateways) otorgados en
comodato por los proveedores de internet. Estos puertos de entrada
suelen tener la forma de módem ADSL, cablemódem, módem de fibra óptica,
antena/suscriber, u otro aparato de para acceso al servicio de Internet.
La entrada de estos aparatos recibida desde la vía pública varía de
acuerdo a la tecnología utilizada (cable telefónico, cable coaxil, fibra
óptica, etc), pero la salida al hogar suele ser un conector normalizado
RJ45, a través de una interfaz Ethernet.
De un tiempo a esta parte la mayoría de estos puertos de entrada
hogareños incorporaron también funciones básicas de enrutamiento hacia
el hogar, e incluso la capacidad de punto de acceso WiFi. No es extraño
que además hoy estos modem/routers con Wifi tengan funcionalidad VoIP
para entablar comunicaciones de Voz a través de una suscripción
Internet, y que la velocidad para la red LAN sea del tipo Gigabit (1000
Mbps por segundo).

En este escenario ustedes se preguntarán ¿para que podría querer armar
un router casero? Las respuestas son múltiples. En primer lugar los
modem/routers hogareños convencionales suelen ser limitados: cuentan con
una memoria muy escasa (normalmente apenas unos 32MB), amén de un
microprocesador ARM o MIPS de escasa potencia (400Mhz es una velocidad
de referencia bastante extendida). Ello los torna ridículos en cualquier
condición de real alta demanda. No tendremos problemas para compartir
internet de 10MB entre cuatro o cinco computadoras, pero si nuestro uso
es más holgado, nos encontraremos en instalaciones comerciales,
educativas, etc, dicha capacidad puede tornarse en una extremadamente
constrictiva. Por otro lado, un equipo especialmente armado para la
función de router casero bien puede operar como servidor local de
correo, de datos, etc. Algunos routers hogareños de alta gama disponen
de estas funcionalidades a un nivel muy limitado. Naturalmente que
podremos superarla con creces.

Por otro lado, también podremos armar un router con un equipo
previamente descartado, o un equipo nuevo de muy bajo costo.

En este caso emplearemos una MiniPC sin fan (especialmente diseñada
pensando en un bajo consumo eléctrico empleando disipadores pasivos). La
placa madre de la misma trae un Intel Celeron 1037u doble núcleo de
1.8Ghz, dos puertos Ethernet Gigabit, cuatro puertos USB2, y el hardware
de video video es Intel onboard con salida VGA y HDMI (que no
utilizaremos normalmente). La memoria es de 2GB de RAM DDR3. Le
colocaremos un SSD barato de 64GB.

Naturalmente existen opciones mucho más baratas (emplear memorias flash
SD en lugar de disco rígido, o usar una PC de descarte con una placa LAN
Ethernet común). Sin embargo, en tal caso tendremos elevado consumo
eléctrico y generación de calor al ñudo.
¿Que hará el router peronista?
Un router es un dispositivo que acepta paquetes TCP/IP en uno de sus
conectores (técnicamente interfases), y la reenvía a otra interfaz, de
modo que esos paquetes estén más cerca de su destino eventual.
Fundamentalmente debemos saber que el aparato debe entender y manejar
cuatro cosas: debe rutear (algo que Linux puede hacer perfectamente), y
tener capacidad DHCP,  DNS y NAT.

DHCP (Protocolo de Control Dinámico de Host) es el protocolo que le
permite al router asignar a los clientes locales direcciones IP de forma
dinámica y llevar control de las mismas de forma automática. DNS
(Sistema de Nombre de Dominio) es un software traductor entre los
nombres de dominio (ej www.ubuntuperonista.blogspot.com.ar) las
direcciones IP (numéricas y difíciles de recordar) de dichos servidores.
Técnicamente, emplea el programa BIND desarrollado en la Universidad
peronista de Berkley.

Y NAT, en apretado resúmen, nos permite acceder a direcciones ruteables
en internets desde direcciones locales y privadas no ruteables. Un
router oficia de nodo aceptando tráfico desde la red local LAN,
sustituyendo su propia dirección pública otorgada por el proveedor de
internet - ya sea fija o dinámica (variable) por la dirección IP de la
LAN desde donde viene el paquete, y enviando dicho paquete a internet.
Cuando las réplicas del paquete regresan al router, este buscará cuál es
la dirección IP local desde la cual se solicitó el paquete original,
pondrá esa dirección IP de nuevo en el paquete en lugar de la suya
propia, y reenviará el paquete a su destinatario local, a la máquina
original.
Necesitamos el NAT debido a que no existen suficientes direcciones IP
públicas para toda computadora personal y dispositivo existente.
Técnicamente, debemos saber que el router lo hará realidad efectiva por
medio de la función MASQUERADE del programa iptables.
Software para el Route


Existen varias distribuciones Linux pensadas para operar como router,
como por ejemplo OpenWRT. En este caso emplearemos la versión LTS de
Ubuntu Server, la cual descargamos desde su web oficial. Usando un
pendrive de 2GB creamos el pendrive de instalación. El procedimiento de
instalación consiste en iniciar la MiniPC desde el pendrive, e instalar
en el disco SSD Ubuntu Server 16.04.1LTS con todas las opciones por
defecto. La única opción relevante será ingresar nuestro nombre de
usuario y contraseña de Conductor, así como si deseamos actualizaciones
de seguridad automáticas (responderemos afirmativamente). Cuando todo
finalice reiniciamos la MiniPC, nos logueamos con nuestro usuario y
contraseña, y nos encontraremos ante el intérprete de comandos (una
pantalla de solo texto).
Configurar las interfaces de red
Lo primero es asegurarnos cual nomenclatura de interfaz de la miniPC
corresponde a qué puerto. Lo manera más sencilla es escribirle WAN o LAN
a los puertos (si es que no están ya marcadas de alguna manera). Para
averiguar bien conviene conectar el cable Ethernet de nuestro módem al
conector que querremos usar como puerto WAN, y luego tipear el siguiente
comando de organización:

ifconfig

..y al presionar Enter nos aseguramos cual de las interfaces que nos
indique el sistema tiene una dirección IP: ¡y esta será nuestro puerto
WAN!. En mi caso la MiniPC cuenta con dos puertos Ethernet, y la que
recibe dirección IP figura como interfaz enp4s0. Naturalmente que la
otra interfaz (en mi caso enp5s0) será el puerto LAN. Deberán tomar nota
de cual es cual en vuestro caso particular pues es muy normal que su
propia nomenclatura sea distinta a la de este ejemplo.

Nuestra acción siguiente será configurar las interfaces de red
modificando el archivo /etc/network/interfaces, con el comando:

sudo nano /etc/network/interfaces

..se abrirá el editor GNU Nano con un archivo que ya contendrá
configuraciones en forma de texto. La sección loopback debería ya estar
allí, y es probable que a continuación también aparezca algo
correspondiente para nuestras interfaces de red (enp4s0 y enp5s0 en este
caso). Hemos de modificar/agregar las secciones para enp4s0 (nuestro
puerto de salida a internet WAN) y enp5s0 (nuestro puerto local LAN)
como se indica:

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# La interfaz loopback de la red
auto lo
iface lo inet loopback

# La interfaz WAN a internet, aparece nomenclada LAN1 en la placa madre.
auto enp4s0
iface enp4s0 inet dhcp

# La interfaz LAN (red local), aparece nomenclada LAN2 en la placa
madre.
auto enp5s0
iface enp5s0 inet static
address 192.168.99.1
netmask 255.255.255.0


Quienes conocer Linux dominan ya que las líneas que se inician con el
carácter numeral ("#") no son procesadas por el sistema y se emplean
como comentarios; son líneas que se agregaron como referencia al equipo
en particular, y son importantes como anotaciones para futuras
referencias. Siempre conviene comentar lo que intentamos hacer en
nuestros archivos de configuración. Guardaremos los cambios con Ctrl+o y
saldremos del editor Nano con Ctrl+x.
Habilitar el enrutamiento en /etc/sysctl.conf
Para que Linux sea capaz de enrutar paquetes debemos permitir el reenvío
de los mismos entre las distintas interfaces del router. Esto será
realmente simple. Ingresamos el comando:

sudo nano /etc/sysctl.conf

..y descomentamos (borramos el símbolo numeral "#") la línea que dice
#net.ipv4.ip_forward=1, de modo que quede como se indica a continuación
(sin el "#"):

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1

# Uncomment the next line to enable packet forwarding for IPv6
#  Enabling this option disables Stateless Address Autoconfiguration
#  based on Router Advertisements for this host
#net.ipv6.conf.all.forwarding=1


Luego presionamos Ctrl+o, y Ctrl+x a fin de guardar los cambios al
fichero de configuración y salir del editor.


Los cambios que hagamos se harán efectivos cuando reiniciemos el router
con:

sudo reboot
Crear e iniciar un conjunto de reglas esqueleto
Conforme el sistema sepa que debe ser un router, el siguiente paso será
asegurarnos de escoger qué tipo de información reenviará y cuando lo
hará. Para ello debemos crear un conjunto de reglas de contrafuego
(firewall), y asegurarnos que entren en vigencia antes de que las
interfaces de red del router se activen. Primero ingresamos el comando

sudo nano /etc/network/if-pre-up.d/iptables

..para crear un guión de inicio y le agregamos el siguiente contenido:

#!/bin/sh
/sbin/iptables-restore < /etc/network/iptables


Luego de guardar los cambios y salir del editor con Ctrl+o y Ctrl+x,
ingresamos:

sudo chown root /etc/network/if-pre-up.d/iptables ; chmod 755
/etc/network/if-pre-up.d/iptables

Esto le dice al sistema que el guión es propiedad del root (conductor y
administrador del sistema) y luego se le informa al sistema que sólo el
root puede escribirlo y leerlo, pero que puede ser ejecutado cualquier
usuario. Ya que nuestro guión fue creado en el directorio if-pre-up.d,
será ejecutado antes que las interfases de red se inicien, asegurándonos
que nunca quedaremos online sin reglas de cortafuego que nos protejan.

Archivo /etc/network/iptables

Para iniciar, vamos a crear un esqueleto mínimo de reglas necesarias
para que  iptables-restore no sea gorila. Creamos un nuevo conjunto de
reglas con el comando

sudo nano /etc/network/iptables
..y lo completamos de la siguiente manera:

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

COMMIT

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

# Reglas de servicio
-A INPUT -j DROP

# Reglas de reenvío
-A FORWARD -j DROP

COMMIT

Tomémonos un momento para comprender el esqueleto de nuestro conjunto de
reglas antes de agregarle músculos y órganos. Hemos creado dos
secciones, *nat y *filter. Cada sección comienza con una *declaración
apropiada y termina con COMMIT ("Consignar, proceder"). Si no hacemos
esto bien (o sea, si omitimos algunas de las secciones, escribimos mal
su nombre, o no agregamos la orden COMMIT al final) el conjunto de
reglas directamente fracasarán. Y ello será gorila.

Por ahora, este esqueleto básico realmente no cumple demasiado, pero
constituirá el marco sobre el cual construiremos los mejores años para
hacer de nuestro equipo un excelente Router Peronista. Entender esto
ahora, antes de echar las carnes, nos facilitará mucho el trabajo que
nos demandará en breve.
Activar el NAT
En este punto tenemos una MiniPC que sabe cómo aceptar un paquete en una
interfaz, y si está dirigido a una dirección en otra interfaz,
reenviarlo allí. Debido a que por el momento no hemos consignado nuestro
conjunto de reglas aún, el router peronista no va a discriminar sobre de
quién viene, qué es, o a quién va. Solamente rutea. Tampoco realiza una
Traducción de Dirección de Red (NAT, Network Address Translation),

Ahora que sabemos cual puerto es cual, hemos de activarlos y comentarlos
en nuestro conjunto de reglas iptables. También procederemos a insertar
una regla que active la NAT. Para ello ingresamos:

sudo nano /etc/network/iptables

..y editamos el archivo de modo que quede:

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

# enp4s0 es la interfaz internet WAN, #enp5s0 es la interfaz local LAN
-A POSTROUTING -o enp4s0 -j MASQUERADE

COMMIT

Aquí lo tenemos. Una interfaz es la LAN, la otra es la WAN, y tenemos la
Traducción de Dirección de Redes operando entre ambas. Aún no estamos
demasiado listos para conectarnos a la Internet, pero falta menos.
Probablemente querremos que nuestro Router Peronista otorgue direcciones
IP a través de la interfaz LAN, como podría otorgar privilegios a
nuestros niños. Para ello aplicamos el conjunto de reglas con NAT
activado adecuado, por medio del comando de organización:

sudo /etc/network/pre-up.d/iptables

..esto refrescará el conjunto de reglas iptables con cualquier cosa
nueva que hayamos incorporado al archivo /etc/network/iptables.
Este mismo comando

sudo /etc/network/pre-up.d/iptables
..es el que habremos de ejecutar toda vez que querremos modificar y
aplicar el conjunto de reglas activo.
Configurar DHCP y DNS
Configurar nuestro router para que cumpla con la tarea de DHCP es
sencillo. Ingresamos el comando:

sudo apt-get install isc-dhcp-server

..y lo configuramos con el comando:

sudo nano /etc/dhcp/dhcpd.conf

..modificándolo para que quede similar a:

subnet 192.168.99.0 netmask 255.255.255.0 {
range 192.168.99.100 192.168.99.199;
option routers 192.168.99.1;
option domain-name-servers 192.168.99.1;
option broadcast-address 192.168.99.255;
}

Probablemente ya puedan figurarse el significado. La red local será
192.168.99.x, el router mismo tendrá la IP 192.168.99.1, el router
servirá DNS por sí mismo, y la dirección de emisión irá donde siempre
debe ir. Para aplicar las configuraciones ingresamos el comando:

sudo /etc/init.d/isc-dhcp-server restart.

Ya estaremos entregando direcciones IP de forma dinámica.
Aun así nos falta proveernos de DNS locales, lo cual nuestro servidor
DHCP promete otorgarnos gratuitamente. Hacer esto realidad efectiva es
incluso más sencillo:  Ingresamos:

sudo apt-get install bind9.

..y no se requieren configuraciones adicionales
Habilitar a clientes acceso DNS y DHCP
En este punto básicamente tenemos todo configurado, pero nuestro router
está completamente paranoiqueado. Esencialmente sabe cómo resolver
interrogantes DNS, entregar direcciones IP a eventuales clientes y
reenviarles tráfico, pero se niega categóricamente a hacerlo. Para que
nuestro sistema proceda a hacerlo habremos de crear algunas reglas
claras sobre lo que se permitirá reenviar y lo que se debe permitir
aceptar. Para ello ingresamos:

sudo nano  /etc/network/iptables

..y le sumamos un conjunto de reglas de servicio como se indica:

# Reglas de servicio

# reglas de aceptación básicas - ICMP, loopback, traceroute,
establecidas como "acepto todo"
-A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT

# permitir que salgan rechazos de traceroute
-A INPUT -p udp -m udp --dport 33434:33523 -j REJECT --reject-with
icmp-port-unreachable

# DNS - aceptarlo desde la LAN
-A INPUT -i enp5s0 -p tcp --dport 53 -j ACCEPT
-A INPUT -i enp5s0 -p udp --dport 53 -j ACCEPT

# SSH - aceparlo desde la LAN
-A INPUT -i enp5s0 -p tcp --dport 22 -j ACCEPT

# pedidos de IP desde clientes de DHCP - aceptarlos desde la LAN
-A INPUT -i enp5s0 -p udp --dport 67:68 -j ACCEPT

# descartar (DROP) todo otro tráfico recibido
-A INPUT -j DROP

Con esta configuración aún el router permanece muy paranoico como para
dejar que el tráfico salga al exterior (la Internet), pero al menos
ahora dejará que los equipos de nuestra LAN obtengan direcciones IP por
sí mismos y resuelvan los nombres de host DNS. También permitirá
funciones como los pings y traceroutes (en este caso, únicamente desde
cualquier interfaz local). Finalmente, una regla especial permite el
acceso Secure Shell (SSH) desde la LAN hacia el router, lo cual es útil
pues ya no tendremos que conectar físicamente monitor y teclado al
router peronista cada vez que querramos hacer un cambio, sino que
podremos operarlo a través de SSH en la red local, con el comando:

ssh [email protected]

Si estáis copiando y pegando a lo puntero político, recuerden
simplemente una cosa:  enp5s0 es mi interfaz local LAN, pero podría ser
distinta en vuestro caso. Revisen sus notas para saber cuál interfaz es
la que les corresponde en particular.
Permitir que el tráfico salga a Internet
Vamos a hacer esto supersencillo. Todas las máquinas tendrán permitido
salir a internet y hacer lo que les venga en gana:

# Reglas de reenvío

# reenviar paquetes a lo largo de las conexiones
establecidas/relacionadas
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# reenviar desde la el area local LAN (enp5s0) to internet WAN (enp4s0)
-A FORWARD -i enp5s0 -o enp4s0 -j ACCEPT

# descartar (DROP) todo otro tráfico recibido
-A FORWARD -j DROP

En este punto ya tenemos un Router Peronista y creíble. La MiniPC
entrega direcciones IP dinámicamente, resuelve pedidos DNS, enruta
tráfico desde los puertos LAN e internet y viceversa. Además, nada de lo
que venga de internet tiene permitido el acceso a la LAN. Aún así,
debemos agregar una característica más antes de considerar al proyecto
finalizado.

Reenvío de Puertos desde Internet a la LAN
Honestamente, este es la única parte dificultosa de hacer nuestro router
peronista: crear reenvío en base a puertos, o sea, crear "filtros" desde
Internet a los clientes conectados en la LAN. Normalmente los routers
comunes cuentan con una interfaz web que lo hacen sencillo: escogemos
una IP local, escogemos un protocolo y puerto, y lo configuramos
"permitir tráfico para el puerto TCP n a la IP local xxx.xxx.xxx.xxx".
Al emplear iptables será algo más difícil pues requerimos dos entradas
separadas para cada servicio de reenvio. En este ejemplo, vamos a enviar
el puerto de TCP número 80 (el servicio HTTP) a través del router) para
una IP local. Esto es necesario si queremos evaluar la salida de WAN a
la LAN de un router.

En primer lugar, creamos una entrada en la sección *nat:

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

# enp4s0 es la interfaz de internet WAN, #enp5s0 es la interfaz local
LAN
-A POSTROUTING -o enp4s0 -j MASQUERADE

# filtro NAT: HTTP desde WAN a LAN
-A PREROUTING -p tcp -m tcp -i enp4s0 --dport 80 -j DNAT
--to-destination 192.168.99.100:80

COMMIT

Esta línea de pre-enruteamiento le dice al router que un tráfico
arbitrario desde la internet (tráfico que aún no está asociado con una
conexión de salida desde la LAN) dirigido al puerto 80, debe ser
reenviado a la máquina local en la dirección IP 192.168.99.100. Sin
embargo, ya que tenemos una regla de descarte por defecto (DROP) en
nuestro conjunto de reglas de reenvío, también necesitamos una regla
allí que nos permita que este tráfico sea reenviado ahora que sabemos
cómo reenviarlo:

# Reglas de reenvío

# reenviar paquetes a lo largo de las conexiones
establecidas/relacionadas
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# reenviar desde LAN local enp5s0 a internet WAN (enp4s0)
-A FORWARD -i enp5s0 -o enp4s0 -j ACCEPT

# permite el tráfico desde nuestro filtro NAT
-A FORWARD -p tcp -d 192.168.99.100 --dport 80 -j ACCEPT

# descartar (DROP) todo otro tráfico reenviado
-A FORWARD -j DROP

Si le erramos a esto (si olvidamos la regla PREROUTING o la regla
FORWARD, o si ponemos la regla PREROUTING en la seccion *filter de la
regla FORWARD, o la regla FORWARD en la sección *nat), nuestro router se
pondrá gorila y se negará a cargar el conjunto de reglas o fracasará
directamente al reenviar el tráfico hacia donde debe dirigirse a través
del filtro. No es excesivamente difícil, pero si es algo estructurado
que debemos conocer, por ello es que he recurrido a colores para indicar
las interfaces, y a comentarios que explican todo.
El conjunto de reglas finalizado y completo
Ha sido necesario avanzar lentamente sobre cada sección de nuestro
conjunto de reglas para asegurarnos de explicar y entender qué estamos
haciendo. Aqui pasaré en limpio el conjunto de reglas completo, en una
sola pieza y con comentarios para el beneficio de la Masa Popular, que
es la más maravillosa música.

Por favor recuerden que sus nombres de interfaz probablemente sean
diferentes al mío. ¡No copien a lo Tamborini-Mosca enp4s0 y enp5s0 y se
pregunten porque no funcionan!.


*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

# enp4s0 es la interfaz internet WAN, #enp5s0 es la interfaz local LAN
-A POSTROUTING -o enp4s0 -j MASQUERADE

# Filtro NAT: HTTP desde internet WAN enp4s0 a la local LAN
-A PREROUTING -p tcp -m tcp -i enp4s0 --dport 80 -j DNAT
--to-destination 192.168.99.100:80

COMMIT

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

# Reglas de Servicio

# reglas de aceptación básicas - ICMP, loopback, traceroute,
establecidas como "acepto todo"
-A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT

# permitir que salgan rechazos de traceroute
-A INPUT -p udp -m udp --dport 33434:33523 -j REJECT --reject-with
icmp-port-unreachable

# DNS - aceptarlos desde la LAN
-A INPUT -i enp5s0 -p tcp --dport 53 -j ACCEPT
-A INPUT -i enp5s0 -p udp --dport 53 -j ACCEPT

# SSH - aceptarlos desde la LAN
-A INPUT -i enp5s0 -p tcp --dport 22 -j ACCEPT

# pedidos de IP desde clientes de DHCP - aceptarlos desde la LAN
-A INPUT -i enp5s0 -p udp --dport 67:68 -j ACCEPT

# descartar (DROP) todo otro tráfico recibido
-A INPUT -j DROP

# Reglas de Reenvío

# reenviar paquetes a lo largo de las conexiones
establecidas/relacionadas
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# reenviar desde LAN local enp5s0 a internet WAN (enp4s0)
-A FORWARD -i enp5s0 -o enp4s0 -j ACCEPT

# permite el tráfico desde nuestro filtro NAT
-A FORWARD -p tcp -d 192.168.99.100 --dport 80 -j ACCEPT

# descartar (DROP) todo otro tráfico reenviado
-A FORWARD -j DROP

COMMIT

Una vez que estamos seguros de tener todo el conjunto de reglas y que
está adaptado adecuadamente a nuestras interfaces de red y equipamiento,
es tiempo de aplicar todo con el comando:

sudo /etc/network/if-pre-up.d/iptables

Con esto, finalmente tendremos nuestra MiniPC operando como excelente
router y además, tendremos dicha máquina para operar como servidor. Con
un poco de ingenio podremos montar un servidor Apache para dar servicio
a páginas Web, MySQL para dar servicio de bases de datos relacionales,
incluso hasta servidores de BBS. ¡Y todo gracias al Justicialismo!