ÍNDICE SEGURIDAD EN NFS SEGURIDAD EN SAMBA. Ficheros /etc/hosts.deny y /etc/hosts.allow Introducción a iptables Seguridad con iptables

Transcripción

1 ÍNDICE SEGURIDAD EN NFS Ficheros /etc/hosts.deny y /etc/hosts.allow Introducción a iptables Seguridad con iptables SEGURIDAD EN SAMBA Introducción a Samba Configuración de Samba Seguridad en Samba

2 SEGURIDAD EN NFS Existen dos formas de hacer más seguro nuestro servidor NFS: 1.Modificando los ficheros /etc/hosts.deny y /etc/hosts.allow 2.Mediante el uso de iptables

3 1.FICHERO /etc/hosts.deny Indica qué hosts no pueden acceder a los servicios, lo más recomendable en este fichero es denegar el acceso por completo: portmap:all //nadie puede usar nuestro portmap mountd:all //nadie puede una partición rquotad:all //no doy información de cuotas

4 1.FICHERO /etc/hosts.allow Especificamos qué hosts van a poder usar los servicios: portmap: / mountd: / rquotad: /

5 2. INTRODUCCIÓN IPTABLES Iptables nos permite configurar un Firewall de forma que tengamos controlado quién entra, sale y/o enruta a través de nuestra máquina Linux. Es una aplicación en línea de comandos que gestiona el filtrado de paquetes en sistemas Linux (kernels 2.4.x), en base a las reglas que hayamos definido. Iptables es mucho más potente que su antecesor Ipchains (kernels 2.2.x). La estructura de Iptables es básicamente una cola : cuando un paquete llega, éste es validado contra cada una de las reglas del firewall, en el momento que alguna regla casa (match), se ejecuta la acción que haya sido definida en la regla (descartar el paquete, acceptarlo, enrutarlo, etc).

6 2. INTRODUCCIÓN IPTABLES ESTRUCTURA DE UN COMANDO IPTABLES iptables -t [tabla] -[AIRDLFZNXP] [regla] [criterio] -j [acción] -t: Tabla en la que se quiere añadir la regla. Hay 3: Nat: enmascarar conexiones, realizar redirecciones de puertos, etc. Filter: tabla donde se añaden las reglas relacionadas con el filtrado. Mangler: podemos modificar cualquier aspecto del paquete (flags, TTL, etc).

7 2. INTRODUCCIÓN IPTABLES -[AIRDLFZNXP] [regla]: Tiene 4 opciones básicas: A: Añade una regla. L: Lista las reglas. F: Borra todas las reglas o las reglas asociadas a una clase. P: Política por defecto (aceptar todas las conexiones).

8 2. INTRODUCCIÓN IPTABLES [criterio]: Especifica las características del tipo de paquete que casarán con una regla.opciones: -s: ip/red fuente -d: ip/red destino --sport: puerto fuente --dport: puerto destino -p: protocolo Ejemplo: iptables -A FORWARD -p [protocolo] -s [ip/red fuente] --sport [puerto fuente] -d [ip/red destino] --dport [puerto destino] -j DROP

9 2. INTRODUCCIÓN IPTABLES -j [action]: Establece lo que hay que hacer con el paquete: ACCEPT: Aceptará el paquete. REJECT o DROP: Rechazará el paquete. REDIRECT: Redirigirá el paquete. LOG: Logeará el paquete para analizarlo después.

10 2. INTRODUCCIÓN IPTABLES EJEMPLOS iptables -A INPUT -s j ACCEPT iptables -A INPUT -p tcp -i eth0 --dport 80 -j DROP iptables -A INPUT -p tcp -i eth0 -m state --state NEW,ESTABLISHED,RELATED --dport 22 -j ACCEPT

11 3. SEGURIDAD CON IPTABLES iptables -t filter -A INPUT -p tcp -s d destination-port sunrpc -j ACCEPT iptables -t filter -A INPUT -p udp -s d destination-port sunrpc -j ACCEPT iptables -t filter -A INPUT -p udp -s d destination-port 2049:2050 -j ACCEPT iptables -t filter -A INPUT -i! lo -d destination-port sunrpc -j DROP iptables -t filter -A INPUT -i! lo -d destination-port 2049:2050 -j DROP

12 Samba-Introducción Qué es Samba? Sistema de compartición de archivos/impresoras en red. Permite conexión de sistemas heterogéneos entre si (Windows y Unix). Los clientes windows tendrían la sensación de estar ante un servidor Windows NT. Controlar el acceso de clientes Windows a servicios de red Windows, UNIX, etc.

13 Samba-Introducción Qué Protocolo usa? SMB (Server Message Block) = Compartir los recursos. CIFS (Common Internet File System) = Implementación mejorada de SMB. NetBIOS (Network Basic Input/Output System) sobre TCP/IP (NBT) = Servicio de Nombres: nombres lógicos en la red Sessiones entre los nombres

14 Samba-Introducción Cuándo es útil? No quieres pagar un servidorwindows NT para obtener las funcionalidades que este proporciona. Homogeneizar la red local ante clientes unix y Windows. Compartir impresoras a/entre clientes Windows y unix.

15 SAMBA.vs. NFS NFS está prácticamente limitado a máquinas Unix, pues no existe una buena implemtación en Windows. NFS presenta problemas de seguridad, sólo para LAN's bien definidas y bien seguras. NFS no permite compartir impresoras. SAMBA nos dá una buena solución para todos estos problemas.

16 Samba-Configuración Dos demonios: smbd= Un demonio que permite compartición de archivos e impresoras sobre una red SMB y proporciona autentificación y autorización de acceso para clientes SMB. nmbd= Un demonio que se ocupa de anunciar servicios, es decir, informa a las máquinas presentes en la red sobre cuales son los recursos disponibles. Configuración: Fichero smb.conf ó frontend SWAT

17 Samba-Configuración smb.conf: Se puede encontrar en /usr/local/samba/lib/ ó en /etc/. Este fichero determina qué recursos del sistema quieres compartir con el mundo exterior y que restricciones deseas poner en ellos. Consta de varias secciones distintas, las cuales comienzan [nombre-recurso] Una sección general y común: [global] Iniciar y parar: /etc/init.d/samba {start stop}

18 Samba-Configuración [global] = Define variables de carácter general y aplicables a todos los recursos. [homes] = Permite a los usuarios remotos acceder a su directorio personal desde su máquina local (ya sean clientes Windows o Linux), pero han de tener cuenta en la máquina servidora. [printers] = Para la compartición de impresoras.

19 Samba-Configuración Ejemplo simple: ; /etc/smb.conf [global] ; guest account = nobody log file = /var/log/samba-log.%m lock directory = /var/lock/samba share modes = yes

20 Samba-Configuración [homes] comment = Directorios principales browseable = no read only = no create mode = 0750 [tmp] comment = Espacio de ficheros temporales path = /tmp read only = no public = yes

21 Samba-Configuración SWAT (Samba Web Administration Tool) 901:

22 Samba-Cliente Windows = Transparente, como siempre Unix = smbclient Búsqueda de recursos en un host: #smbclient -L [host] Conexión a un recurso #smbclient servicio <password> Servicio: máquina y servicio Password: literal con la clave El resultado es un prompt al estilo ftp.

23 Samba-Seguridad Actualmente hay cuatro niveles de seguridad utilizados por Samba en sus redes: share, user, server y domain: Seguridad a nivel de recurso (share) = Cada recurso compartido tiene asociada una o varias contraseñas, y cualquiera que la conozca puede acceder al recurso Seguridad a nivel de usuario (user) = Cada recurso se configura para permitir acceso a determinados usuarios.

24 Samba-Seguridad Seguridad a nivel de servidor (server) = igual que a nivel de usuario (user), pero en este caso el servidor Samba utiliza otro servidor SMB para validar los usuarios y contraseñas antes de concederles el acceso. Seguridad a nivel de dominio (domain) = En este caso Samba se convierte en un miembro de un dominio Windows y se valida al usuario primero en el dominio para luego darle un atributo especial que le permite acceso a todos los recursos que tenga derecho.

25 Samba-Seguridad Contraseñas = Pueden ser encriptadas o no. Por defecto no se encriptan por compatibilidad con sistemas windows tales como win 95 o NT 3.x. Mejor opción que sean encriptadas, para ello basta poner en la sección [globlal] lo siguiente: [global] security = user encrypt passwords = yes smb passwd file = /usr/local/samba/private/smbpasswd

26 Samba-Seguridad El fichero smbpasswd : Estructura parecida al passwd el cual hay que guardar y proteger muy bien y no permitir ni siquiera lectura para los usuarios. Añadir usuarios: #smbpasswd -a usuario #smbpasswd usuario (para cambiar o poner la clave) NOTA: el usuario ya tiene que existir en /etc/passwd

27 Samba-Seguridad Usando iptables para el filtrado de paquetes en samba: Iptables -t filter -A INPUT -p tcp -s \ -d destination-port 137:139 \ -j ACCEPT Iptables -t filter -A INPUT -p udp -s \ -d destination-port 137:139 \ -j ACCEPT Iptables -t filter -A INPUT -i! lo -d destination-port 137:139 -j DROP