PRACTICA NO. 17, FIREWALL -EJEMPLO REAL DE USO DEL FIREWALL BLOQUEAR O PERMITIR RED, EQUIPO, PUERTO. HACER NAT, ETC. Vielka Mari Utate Tineo

Transcripción

1 PRACTICA NO. 17, FIREWALL -EJEMPLO REAL DE USO DEL FIREWALL BLOQUEAR O PERMITIR RED, EQUIPO, PUERTO. HACER NAT, ETC Vielka Mari Utate Tineo Instituto Tecnológico de las Américas ITLA Profesor José Doñé Sistema Operativo 3 Vielka Utate Página 1

2 Firewall Un firewall es un dispositivo que funciona como cortafuegos entre redes, permitiendo o denegando las transmisiones de una red a la otra. Un uso típico es situarlo entre una red local y la red Internet, como dispositivo de seguridad para evitar que los intrusos puedan acceder a información confidencial. Para permitir o denegar una comunicación el firewall examina el tipo de servicio al que corresponde, como pueden ser el web, el correo o el IRC. Dependiendo del servicio el firewall decide si lo permite o no. Además, el firewall examina si la comunicación es entrante o saliente y dependiendo de su dirección puede permitirla o no. Firestarter es uno de los cortafuegos más sencillos de utilizar y configurar que podemos encontrar para GNU/Linux. Es una muy buena opción para tener de forma rápida y cómoda un cortafuegos que satisfacerá la mayoría de nuestras necesidades. Firestarter es una herramienta de cortafuegos personal libre y de código abierto que usa el sistema (iptables/ipchains) Netfilter incluido en el núcleo Linux. Firestarter posee una interfaz gráfica para configurar reglas de cortafuegos y otras opciones. También monitoriza en tiempo real todo el tráfico de red del sistema, además de facilitar el redireccionamiento de puertos, compartir la conexión a internet y el servicio DHCP. Firestarter está licenciado bajo la GNU General Public License. Vielka Utate Página 2

3 Ahora vamos a inicial con la instalación en nuestro sistema operativo Debian GNU/Linux. 1- Haz click en Aplicaciones Accesorios Terminal. Desde aquí instalaremos el programa Firestarter. 2- Para instalar Firestarter utilizamos el comando apt-get install firestarter. Vielka Utate Página 3

4 3- Una vez instalado tenemos que encenderlo y para eso solo tenemos que escribir firestarter. Si la instalación ha sido correcta, verás aparecer el asistente para la configuración del firewall. 4- El firewall automáticamente detecta las interfaces disponibles en tu servidor, y en la siguiente ventana debes elegir la interfaz que tiene acceso a internet, y elegir las dos opciones que están disponibles. Luego haz click en Adelante. Vielka Utate Página 4

5 5- Activa la opción compartir su conexión a internet con las computadoras de su red local usando una sola dirección IP pública y un método llamado Traducción de direcciones de red (NAT). Aquí también debes de especificar la interfaz de red que no puede ser la misma que especificamos anteriormente, lo que quiere decir que tienes que tener dos interfaces de red para poder activar esta opción. 6- Por último, deja intacta la opción que dice: Iniciar el cortafuegos ahora, y haz click en Guardar. Vielka Utate Página 5

6 7- Inmediatamente te aparecerá en pantalla el panel del firewall Firestarter. Cuenta con tres pestana: Estado, el cual muestra el estado del cortafuegos. Vielka Utate Página 6

7 La pestana Eventos, Muestra las conexiones que el cortafuegos ha rechazado. policy: Muestra las reglas que hemos definido para configurar el cortafuegos. Vielka Utate Página 7

8 8- Haz click en Editar y luego en Preferencias. Vamos a revisar algunas configuraciones que trae nuestro firewall. 9- En la parte de Eventos, puedes especificar cuál o cuáles hosts ó puertos serán obviados del registro que hará el cortafuegos en la red. Haz click en Añadir para agregar y en Quitar para eliminar de la lista. Vielka Utate Página 8

9 En opciones avanzadas podemos bloquear broadcast tanto internos como externos. Ejemplos de aplicacio n Bloquear y permitir equipo. De manera predeterminada Firestarter viene con bloqueado. Veamos. el tráfico entrante 1- Tenemos nuestro cliente Windows, que pertenece a la red del servidor (su ip es ). 2- Si revisas la pestaña Eventos del firewall, verás todas las peticiones que este cliente ha solicitado. Vielka Utate Página 9

10 3- Para permitir que este equipo tenga acceso a la red, colócate en la pestaña Normativa (Policy), selecciona Normativa para el tráfico entrante y en la sección Permitir las conexiones desde el host. En el recuadro que aparece especifica la dirección IP del equipo y haz click en Añadir. Vielka Utate Página 10

11 4- Para que la normativa tenga efecto, haz click en Aplicar (La flecha verde). 5- Tras haber agregado el Cliente Windows a las normativas del Firewall, iremos al cliente y haremos un refresh a la página para comprobar que ahora si podemos acceder al servicio HTTP. Vielka Utate Página 11

12 6- Para bloquear el tráfico de este equipo, solo tenemos que eliminarlo de la lista de Normativas para el tráfico entrantes. Bloquear y permitir puertos. En la parte anterior bloqueamos el equipo ahora será con el equipo este equipo está haciendo peticiones a través de diversos puertos. Aquí vamos a permitirle solo acceso al puerto 139 que es el de Samba. 1- Primero veamos que este equipo no tiene acceso a este puerto. Observa como indica que no puede encontrar la ruta. 3-En la pestana de Estado del panel de firewall, haz un click derecho encima de una de las líneas con el puerto 139. Notarás que existen tres opciones para otorgar permisos: Permitir todas las conexiones desde el origen: Habilita el acceso a todos los puertos para la PC de origen. Vielka Utate Página 12

13 Permitir tráfico de servicio entrante para todo el mundo: Habilita la conexión para todos los dispositivos en la red. Permitir servicio entrante para el origen: Solo habilita el puerto indicado para el origen. 2- Intentaré entrar a las carpetas compartidas en el servidor. Para eso haz click en Inicio Ejecutar y escribe \\IP_del_servidor. Nosotros elegiremos Permitir servicio entrante para el origen. Vielka Utate Página 13

14 Observa como automáticamente se agrega en Normativa para el tráfico entrante, en la sección de servicios y/o puertos. 5- Intenta de nuevo acceder a las carpetas compartidas por medio de Ejecutar y \\ (dirección del servidor). Notarás que ahora si te permite acceder a ellas. Vielka Utate Página 14

15 Permitir puerto para todos (Everyone) Como vimos anteriormente el cliente Windows tiene permiso para el puerto 139, pero no para todos los demás. Si este intenta navegar por internet, no podrá, porque el puerto 80 aún está bloqueado. 1- En el panel del firewall, colócate en pestaña Normativa y en la sección Puerto, haz un click derecho y elige Añadir reglas. 2- Lo primero que debes de seleccionar es el servicio HTTP, automáticamente se asigna el puerto. Luego seleccionar a quienes se aplicarán esta política (Cualquiera, en este caso) y luego haz click en Añadir. Por último, no olvides hacer click en Aplicar. Vielka Utate Página 15

16 Como solo está permitido el servicio HTTP, puedes acceder a las páginas web Red Permitir o bloquear Redes Para permitir o bloquear red el procedimiento es el mismo que hicimos con los equipos. 1- Dirígete a Normativa, y en la sección de Permitir las conexiones desde el host Vielka Utate Página 16

17 Vamos a comprobar que tenemos acceso a todos los servicios. Entraré al servidor ftp (puerto 21) del servidor y entraré una página para probar que tenemos los puertos 80 y 53 disponibles. NAT 1- Necesitamos tener dos tarjetas de red, una para la red local (interna) y otra que tendrá el acceso hacia el exterior. Como estoy trabajando en una máquina virtual, la he configurado rápidamente. Si estás en una PC física necesitará instalar otra tarjeta 2- Ahora bien, las dos tarjetas deben tener una dirección IP diferente, como puedes observar en la siguiente imagen: 3- Para especificar la interfaz de entrada para los paquetes que vengan de afuera, utilizamos la siguiente línea: iptables A FORWARD i eth0 j Vielka Utate Página 17

18 ACCEPT ; y para indicar la interfaz de salida para los paquetes que van hacia afuera, utilizamos la siguiente línea: iptables A FORWARD o eth0 j ACCEPT. Luego se digita el comando sysctl w net.ipv4.ip_forward=2 PSD: La interfaz debe ser la que tiene el acceso a internet. 3- Ahora tenemos que configurar el archivo sysctl.conf con el comando nano /etc/sysctl.conf ; ahí tenemos que descomenta (quitar el signo # que tiene delante) la línea que dice: net.ipv4.ip_forward=1; luego guárdalo (CTRL +O) y cierra la edición (CTRL +X) Vielka Utate Página 18

19 4- Para verificar que tu cambio en el archivo sysctl.conf ha sido acogido, escribe el comando sysctl p /etc/sysctl.conf 5- Como ya vimos que el cambio se ha realizado, ahora tenemos que hacer que NAT sea posible introduciendo iptables t nat A POSTROUTING o eth2 j MASQUERADE; para ver la configuración realizada escribe iptables L. Vielka Utate Página 19

20 Vielka Utate Página 20