PFSENSE FIREWALL 2º ASIR. Profesor: Francisco Javier Delgado Leal Autor: José Antonio Girona Martín. Nombre de la Actividad.

Transcripción

1 PFSENSE FIREWALL 2º ASIR Profesor: Francisco Javier Delgado Leal Autor: José Antonio Girona Martín Fecha: 03/04/2018 Hoja 1 de 8

2 1. INTRODUCCIÓN 3 2. PFSENSE Instalación Configuración 4 3. DMZ APACHE PROFTPD POSTFIX 6 4. MZ DNS LDAP 7 Hoja 2 de 8

3 1. INTRODUCCIÓN En este proyecto implementaremos un complejo firewall(pfsense) en un entorno de empresa bajo sistemas linux, el entorno consta de tres redes: DMZ: Servidor web, FTP, Correo MZ: Base de datos, DHCP, LDAP, DNS LA: Zona de clientes FIREWALL: El firewall será pfsense como se mencionó anteriormente, este firewall es una distribución de freebsd diseñada para ser utilizada como cortafuegos, con una interfaz web, es relativamente fácil de configurar y dispone de muchas funciones Hoja 3 de 8

4 2. PFSENSE 2.1 Instalación Desde su pagina web: nos descargamos un archivo.iso y lo montamos en una máquina virtual con virtualbox 2.2 Configuración Una vez todo montado nos aparecera un menu de configuracion - Este sistema se basa en vlans para clasificar las redes, bien pues seleccionaremos a la opción 1 y asignaremos las interfaces, yo ya les asigne - Una vez este todo asignado podremos entrar en la configuracion grafica via web desde un cliente gráfico poniendo la IP de la interfaz correspondiente Hoja 4 de 8

5 - Configuramos las interfaces opcionales como DMZ y MZ y tendremos que añadir sus correspondientes reglas en el firewall que por defecto si no las añadimos nos bloquea 3. DMZ Esta el la zona desprotegida de nuestro entorno, aquí instalaremos y configuraremos apache(servidor web), vsftpd(servidor ftp) y postfix + dovecot(correo) 3.1 APACHE Apache será nuestro servidor web, el que nos mostrará la página web apt install apache2 3.2 PROFTPD Este será nuestro servidor ftp que hará de cliente para autenticarse contra nuestro servidor LDAP - apt install proftpd - apt install proftpd-mod-ldap Una vez instalado nos vamos al fichero /etc/proftpd/modules.conf y descomentamos la línea de mod-ldap.c para activar este módulo Hoja 5 de 8

6 Descomentamos la linea include del fichero ldap.conf ya que en este fichero se almacena la información para conectarnos y autentificarse con LDAP y configuramos dicho fichero con la IP del servidor, ruta del usuario administrador del servidor que será mediante al que se acceda al servidor y la ruta de los usuarios para que los clientes puedan autenticarse Ahora vamos al fichero de configuración de proftpd y descomentamos la linea de RequireValidShell off para que no requiere obligatoriamente una shell del fichero /etc/shells y enjaulados los usuarios de la siguiente manera - le creamos su directorio home que se especificara en el servidor LDAP y al descomentar la directiva DefaultRoot en el fichero de proftpd.conf no dejaria que el usuario se moviera por encima de ese directorio, también asignamos usuario propietario, grupo propietario y permisos porque tendremos que crear otra carpeta con los permisos adecuados para que nuestro usuario pueda subir archivos, el usuario puede ser uno creado por nosotros pero el grupo debe ser el que hayamos asignado en LDAP y el inicio de sesión pues cualquier usuario de ldap que hayamos registrado 3.3 POSTFIX Este será nuestro servidor de correo, cada cliente que quiera acceder deberá autenticarse y a la vez este lo comprobará con el servidor LDAP apt install postfix apt install dovecot-imapd apt install dovecot-pop3d 4. MZ Esta sera nuestra zona protegida aquí instalaremos lo referente a la gestión de usuarios, LDAP, DNS 4.1. DNS Este servicio se encarga de traducir las IP de nuestros equipos a nombres para que sean más fácil de identificar apt install bind9 apt install dnsutils - Configuramos nuestras zonas en el fichero /etc/bind/named.conf.local Hoja 6 de 8

7 - Añadimos los equipos en los ficheros de registro del servidor - Reiniciamos - Comprobamos con dig que todo funcione 4.2. LDAP LDAP es el servicio que nos centralizará a nuestros usuarios de tal forma que la idea es que el registrar un usuario aqui este tenga acceso a ftp y correo además de su usuario normal en su equipo o cualquier equipo en el que quiera iniciar sesion apt install slapd apt install ldap-utils - Entramos como usuario admin y configuramos una unidad organizativa para nuestra LAN - Agrupamos nuestros equipos por sistema operativo, en mi caso Hoja 7 de 8

8 5. Errores - Como dije anteriormente, el firewall por defecto bloquea todo el tráfico y no sirve usar las reglas de la red LAN como referencia para las demás redes opcionales porque fallaran - Debería haberme planificado mejor desde un principio 6. Mejoras - Se podrían ajustar mejor las reglas para el firewall - Se podrian implementar mas funciones como un portal cautivo, ademas de adaptar mejor los servicios para el entorno 6. Conclusión Lo mejor del proyecto es el firewall que me hubiera gustado investigarlo más, el resto lo veo más como un añadido por complementar el firewall, este proyecto para hacerlo individualmente se hace muy pesado porque cada servicio tiene sus problemas y sus configuraciones y rara vez sale todo a la primera Hoja 8 de 8