He realizado unas cuantas instalaciones de shorewall 4.2 en ubuntu server 8.04-LTS y están funcionando muy bien, lo recomiendo. Aún no he probado la última versión de shorewall 4.4 pero cuando lo haga lo publicaré. Tras un par de intentos fallidos de utilizar los repositorios PPA de Ubuntu creo que es mejor no utilizarlos, instalar el paquete es muy fácil y no requiere demasiadas actualizaciones.

El objetivo de una instalación de este tipo es mantener una buena calidad de conexión para todos los equipos en una red local, para evitar que ninguno de los ordenadores acapare la conexión (ni con p2p, http, ftp,…). En definitiva, QoS (Quality of services).

Antes de que alguien me meta caña por lo que voy a decir, puntualizo que esto es para una red de ordenadores, no para servidores. Si alguien quiere montar un firewall con QoS para servidores debe tomar en cuenta otras cosas como ataques DDoS, flush control, etc.. etc.. largo etc..

Instalar Ubuntu Server 8.04 (o el LTS del momento)

En la instalación solo hace falta OpenSSH (ni escritorio, ni apache, ni nada..)

* Definición de la red

eth1 Tarjeta ethernet que va a internet
eth2 Tarjeta ethernet que va al switch de la red local

* A partir veremos lo que es la instalación

Una vez instalado descargamos shorewall-comon y shorewall-perl

Descomprimimos

Instalamos shorewall-perl

Instalamos shorewall-common

Editamos /etc/default/shorewall y cambiamos una variable de 0 a 1.

Copiamos el fichero para que se ejecute al inciar el sistema y lo definimos en el arranque

* A partir veremos lo que es la configuración básica del firewall

Editamos /etc/shorewall/init
Con esto lo que hacemos es decir a shorewall que inicie el modulo ifb, lenbante la interface y cree un directorio donde pondrá el -PID- de shorewall

Ahora definimos las interfaces y sus funciones
Editamos /etc/shorewall/init
En este caso tenemos eth1 para internet y eth2 para la red local. En el caso de la red local yo utilizo un servidor de DHCP, que está en el mismo servidor donde instalo shorewall

Definimos las zonas.
Editamos /etc/shorewall/zones

Aquí tenemos un tema de conceptos:
fw se refiere al mismo servidor, al mismo firewall
net se refiere a internet, las conexiones desde fuera que NO la interface de conexión con internet
loc se refiere a la red local

Activamos la función de masquerading, es decir NAT (sería DNAT).
Editamos /etc/shorewall/masq

Ahora definimos las reglas generales por las que va a funcionar este firewall.
Editamos /etc/shorewall/policy
Aquí le diremos que todos las conexiones de la red local pueden ir a internet o bien lo contrario. En este caso es una red local con libre acceso a internet, pero no podrá entrar ninguna conexión desde internet. El mismo tiempo le decimos que las conexiones de internet en dirección al firewall no serán aceptadas pero si las de la red local.

Activamos la función de masquerading, es decir NAT (sería DNAT).
Editamos /etc/shorewall/masq

* A partir de aquí empieza todo lo referente a QoS

Definimos las interfaces que estarán en las reglas de QoS.
Editamos /etc/shorewall/tcdevices
En este caso tenemos 350kbit de subida y 6000kbit de bajada

Aquí esta todo en OUT-BANDWIDTH porque lo que hacemos realmente es redirigir todo el tráfico entrante de eth1 ha ifb0 para que esta pueda rechazar paquetes simulando que no tiene ancho de banda suficiente. Esto no se puede hacer directamente sin ifb ya que no podemos decir al driver de la tarjeta que rechace determinados paquetes.

Definimos las class para la red.
Editamos /etc/shorewall/tcclasses

Las clases son colas, igual que al llegar a aduanas. Una cola para personas del mismo país, otra para extranjeros, etc.. etc.. Pero al tratarse de una red lo que encolamos son paquetes. Con otro archivo diremos en que cola debe entrar cada tipo de conexión pero en este creamos los niveles. (más info)

Ahora definimos que paquetes van por cada class.
Editamos /etc/shorewall/tcfilters
El tráfico más importante es el de icmp para establecer las conexiones, luego los puertos de mantenimiento como SSH (DNS también está en esta clase para que no tarde en buscar el host cada solicitud), luego puertos más utilizados para la red local (web, mail, etc..) y todo lo que no coincida con lo anterior lo mandaremos a la última class, la de menos peso.

Y listo, ejecutamos y a probar:

ACTUALIZACIÓN (13/Oct/2009): Me equivoqué en la edición de ‘/etc/shorewall/tcfilters’, como está ahora mismo es la versión correcta.