Seguridad Perimetral y Telefonía IP Empresa Fundo Santa Rosa

Transcripción

1 Seguridad Perimetral y Telefonía IP Empresa Fundo Santa Rosa Diseño Final Esteban De La Fuente Rubio y Eduardo Díaz Valenzuela Universidad Nacional Andrés Bello 31 ago 2009

2 Índice general 1. Introducción 2 2. Identificación de los problemas Seguridad perimetral y filtro de contenido Problemas de comunicación Solución propuesta Firewall IPTables OpenVPN Squid Central telefónica Redvoiss Menú interactivo Buzón de voz Asterisk Stat IAX Tareas a realizar 12 1

3 Capítulo 1 Introducción El presente documento es complementario al estudio de problemática y propuesta de solución realizado durante el curso Taller de Título I el semestre pasado. En esta oportunidad se mostrará la solución final que se implementará en la empresa cliente. Durante el desarrollo del curso anterior se realizaron análisis de los diversos problemas que existían en la red corporativa de la empresa Fundo Santa Rosa. Puntualmente se detectó un problema de comunicación donse se vió la necesidad de la instalación de una central telefónica. Por otra parte se observó que el uso de los recursos de la red, específicamente Internet, no eran los correctos por lo cual se deberá implementar un firewall con políticas adecuadas al uso correcto de estos recursos. 2

4 Capítulo 2 Identificación de los problemas En la propuesta inicial se mencionó que se detectarón diveros problemas en la red, como cableado, seguridad en la red wifi, diseño de la red corporativa, sin embargo este trabajo estará acotado a los puntos de seguridad perimetral y telefonía IP Seguridad perimetral y filtro de contenido Con los problemas de seguridad que existen hoy en Internet es indispensable que toda empresa cuente con un adecuado Firewall 1, el cual es un equipo de red que se coloca entre Internet y la red corporativa, ver figura 2.1. Un problema notorio que existe al no contar con un equipo capaz de realizar filtrado de contenido es que todos los dispositivos que ingresan a Internet tienen iguales privilegios en la conexión, o sea acceso completo a la red. Esto representa problemas en la seguridad puesto que los usuarios pueden obtener cualquier tipo de contenido pudiendo navegar por sitios maliciosos que pueden infectar a los equipos de los usuarios y potencialmente a otros equipos en la red. Además los usuarios al poder acceder libremente a las páginas web muchas veces navegarán por sitios que no tienen relación con el ambiente laboral, malgastando tiempo de trabajo para asuntos que no son de la empresa Problemas de comunicación Se han detectado problemas para realizar una comunicación eficiente entre los trabajadores de la empresa, específicamente en el fundo. Esto provocado por la ubicación geográfica en donde se encuentra este, ver figura??. Al ser un sector rural, no existen proveedores de telefonía fija que cubran el lugar. Además por estar el fundo rodeado por dos grandes cerros el servicio de telefonía celular es deficiente, habiendo una cobertura limitada de esta. El problema puntual es la comunicación de 6 instalaciones, de las cuales la más lejana del punto central de la red esta a aproximadamente 2 kilómetros. Se pueden apreciar estos puntos 1 Cortafuegos 3

5 CAPÍTULO 2. IDENTIFICACIÓN DE LOS PROBLEMAS 4 Figura 2.1: Un firewall manejará tanto el trafico entrante (mostrado en la imagen) como el saliente, permitiendo o rechazando según las políticas establecidas en la figura 2.2. Como otro punto importante dentro de las necesidades de la empresa está la comunicación del fundo con la Oficina Central. Hoy en día esta es realizada utilizando correo electrónico y en algunas oportunidades con el servicio de Skype 2. Para la utilización del correo electrónico no existen mayores problemas, puesto que se cuenta con un servidor de correo dentro de la misma red del fundo. El problema surge cuando se requiere utilizar Skype, esto pues este sistema necesita acceso a Internet, es dependiente del computador 3 y no hay control sobre lo que los usuarios realizan utilizando Skype. 2 Es un software para realizar llamadas telefónicas sobre internet 3 Aunque existen equipos sin conexión a PC, pero sus costos son muy altos

6 CAPI TULO 2. IDENTIFICACIO N DE LOS PROBLEMAS Figura 2.2: Mapa actual red inala mbrica 5

7 Capítulo 3 Solución propuesta Estudiando la problemática detectada en la empresa en el curso anterior se llego a una solución general del problema. En este capítulo se muestra un diseño en detalle de la solución que logrará mejorar la situacion actual y cumplir con los requerimientos del cliente. En la figura 3.1 se puede apreciar una visión global del diseño final que estamos ofreciendo, el cual incluye la solución al problema de telefonía, segmentación de la red y seguridad perimetral Firewall Existe la necesidad de instalación en ambos sectores de un Firewall que separe la red corporativa del mundo de Internet, ver figura 2.1. Para esto se realizará la instalación de un firewall utilizando Debian GNU/Linux 1, dentro de las ventajas presentes esta el hecho que es una solución económica si la comparamos con un firewall comercial y tan robusta como estos últimos. El firewall cumplirá diversas tareas: Firewall utilizando IPTables. VPN utilizando OpenVPN. Proxy transparente utilizando Squid. Router utilizando rutas estáticas. La ventaja principal será mejorar las horas productivas en la empresa, ya que al tener libre acceso los usuarios pueden malgastar tiempo en sitios de entretenimiento, chats, videos e incluso, un tema bien delicado, pornografía. Además se protegerá la red desde posibles ataques del exterior

8 CAPÍTULO 3. SOLUCIÓN PROPUESTA 7 Figura 3.1: Modelo de red propuesto IPTables Este software corresponde al firewall utilizado en las distribuciones GNU/Linux, permitirá generar diversar reglas de seguridad y uso de la red. Entre estas se encuentran: Enmascaramiento de IPs privada con la IP pública para la utilización de NAT. Bloqueo de puertos e IP desde y hacia Internet. Redireccionamiento de solicitudes web al proxy Squid OpenVPN Si bien no es estándar como lo es IPSec, presenta dos ventajas: Facilidad en su implementación y mantención. Permite transportar protocolos como IPX 2. La VPN se utilizará para crear un enlace sitio a sitio entre el fundo y Melipilla, esto permitirá que usuarios de ambas redes tengan la sensación (a nivel IP) que estan dentro de la misma red. Además se creará un acceso para clientes Roadwarrior 3, permitiendo con esto además que cualquier trabajador (debidamente autorizado) pueda ingresar a la red coorporativa. 2 No se utilizará en este momento, pero se podría implementar en el futuro 3 Usuarios que se conectan desde diversos puntos de Internet

9 CAPÍTULO 3. SOLUCIÓN PROPUESTA 8 Figura 3.2: VPN sitio a sitio

10 CAPÍTULO 3. SOLUCIÓN PROPUESTA 9 Ambos tipos de VPN utilizarán un canal comprimido y encriptado. En el caso del tunel sitio a sitio se utilizará una clave compartida y en los clientes Roadwarrior un certificado digital Squid Es necesario llevar un registro de los sitios que visitan los usuarios, esto para posteriormente poder realizar alguna especie de revisión y control. Es por esto que toda solicitud web (puerto 80) deberá ser redireccionada por el firewall al proxy el cual, de forma transparente, descargará el sitio para el usuario que lo requiera. A medida que se vayan detectando usos indebidos de Internet se deberán ir creando restricciones, para esto se crearán 4 ACL básicas dentro de Squid: Sitios denegados: url que no pueden ser accedidas. Sisitos autorizados. url que deben ser permitidas. IP denegadas: equipos, dentro de la LAN, que no tienen acceso web. IP libres: usuario VIP, a los cuales no se les aplica ninguna restricción. A pesar de existir usuarios VIP, el registro será para todos los usuarios. Por lo cual a ellos tambiés se les llevará un listado de los sitios que visiten. Además se contempla la implementación de blacklist 4, de esta forma y de manera automática se irán actualizando y bloqueando sitios que no deben ser visitados, como pornografía Central telefónica Por las condiciones geográficas que existen en el fundo se ha concluído que la solución viable en estos momentos es una central telefónica IP. Esta le proveerá del servicio de telefonía privada dentro del sector pudiendo utilizar los enlaces ya existentes en los lugares que sea necesario comunicar. Dentro de las soluciones de VoIP se trabajará con Asterik 5. Esta central telefónica esta desarrollada bajo una licencia de software libre 6 en la cual una de sus características es el libre acceso al software para el uso que uno estime conveniente, entonces, al utilizar este software reduciremos costos en la implementación. Dentro de los servicios solicitados por el cliente y que serán configurados están: Conexión a la PSTN 7. Menú IVR 8. 4 Listas negras: archivos con direcciones potencialmente peligrosas Licencia GPL, copia en inglés: 7 Red de telefonía tradicional 8 Interactive Voice Response

11 CAPÍTULO 3. SOLUCIÓN PROPUESTA 10 Buzón de voz. Registro de llamadas cursadas. Conexión con otras centrales de telefonía Redvoiss Para la conexión con la PSTN en el fundo se realizará la conexión a esta red de telefonía mediante un proveedor de servicios de VoIP externo. El cual entregará una numeración válida en la red telefónica pública y el será el proveedor del servicio de telefonía a la red tradicional. Se ha decidido ofrecer la conexión a través de la empresa RedVoiss ya que provee del servicio que se requiere a bajos costos, ver tabla Item Precio Costo fijo 1 canal $ Costo mensual numeración válida $ Valor por minuto Chile (normal) $ 49 Valor por minuto Santiago (normal) $ 20 Valor por celular (normal) $ 92 Estos valores representarán una disminución en los costos de telefonía. Sin embargo estos ahorros se notarán fuertemente si la empresa realiza llamas internacionales, ya que en este tipo de llamadas se puede alcanzar un ahorro de hasta un 70 %. En el caso de las llamas nacionales el ahorro corresponde a aproximadamente un 20 % Menú interactivo Se requiere la implementación de un menú interactivo que permita al llamar desde la PSTN poder discar cualquier extensión válida de los usuarios y ser trasladado a ella. Este menú se logrará mediante la creación de reglas en el Dial Plan de Asterisk Buzón de voz Se implementará un sistema de buzón de voz de manera que un usuario al estar ocupado o no disponible pueda recibir igualmente el mensaje de la llamada. Lo importante aquí es que este mensaje debe llegar al correo electrónico del dueño del anexo. Para esto se utilizará la opción de Voic de Asterisk que permite tanto el almacenaje de los mensajes en el servidor de telefonía como el envio vía de los mismos.

12 CAPÍTULO 3. SOLUCIÓN PROPUESTA Asterisk Stat Un tema importante que esta presente en la solución planteada es el control que se logrará tener sobre las llamadas que van a generar los trabajadores y el registro controlado de los usuarios. Esto implicará poder determinar por ejemplo quienes utilizan el sistemas, cuanto tiempo, en que horarios, ayudando a determinar si el uso de las llamadas es por motivos laborales o el sistema se esta usando con otros fines, lo cual no es posible con el sistema actual. Para el registro se utilizará una aplicación web llamada Asterisk-Stat que permite generar reportes leyendo la información entregada por Asterisk CDR 9. Los reportes incluyen gráficos, reportes diarios, tiempos de mayor uso de la red, entre otras capacidades IAX IAX es el protocolo propio de Asterisk que se utiliza para la transferencia de llamadas entre centrales Asterisk. Se utilizará para unir las dos centrales telefónicas (fundo y Melipilla). De esta forma usuarios de ambas centrales podrán llamar entre sí. Una característica importante aquí es que para el usuario debe ser transparente la forma de llamar, o sea, no se han de considerar prefijos de marcado, a pesar que son 2 centrales distintas. Esto se solucionará utilizando en el fundo la red de anexos 1XX y en Melipilla la 2XX. De esta forma, Asteris, internamente manejará las extensiones de forma transparente para el usuario. 9 Call Detail Record

13 Capítulo 4 Tareas a realizar La siguiente etapa del proyecto estará dividida en 2 partes, una que corresponde a la etapa de pruebas del sistema en un ambiente controlado (laboratorio). Y otra que corresponderá a la etapa de implementación y puesta en marcha del proyecto en la empresa. A continuación se enumerán las tareas a realizar en ambas etapas: Instalación sistema operativo en firewalls. Configuración interfaces de red. Compartir internet, NAT. Reglas de filtrado. Squid. OpenVPN. Instalación sistema operativo en centrales telefónicas. Instalación Asterisk. Creación de cuentas SIP. Configuración de extensiones. Registro de central en RedVoiss. Implementación de menú IVR. Creación de buzones de voz. Comunicación mediante troncal IAX. 12