Tema: Configuración inicial Firewall PIX

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Tema: Configuración inicial Firewall PIX"

Santiago Rico Rey
hace 8 años
Vistas:

1 Facultad: Ingeniería Escuela: Electrónica Asignatura: Seguridad en redes Seguridad en redes. Guía 10 1 Tema: Configuración inicial Firewall PIX Contenidos Configuración inicial del Firewall Configuración de NAT dinámico y estático. Configuración del acceso remoto por TELNET Configuración del acceso remoto por SSH Objetivos Específicos Implementar un sistema de seguridad emulando un firewall PIX con GNS3. Que el estudiante realice la configuración inicial de un firewall PIX. Aplicar el concepto de Network Address Translation (NAT). Acceder remotamente a firewall por medio de TELNET y SSH Materiales y Equipo 2 PC con Windows XP instalado (una de ellas con dos interfaces de red). Programa GNS3. Programa VirtualBox. Introducción Teórica La seguridad perimetral es una de las piezas clave de la política de seguridad de una empresa. Es uno de los elementos de seguridad más críticos de una empresa cuando se conecta a Internet y por regla general es implementada en cortafuegos o firewall figura 1, un dispositivo hardware capaz de analizar todas las conexiones entrantes/salientes simultáneamente. Su configuración debe ser acorde según la política de seguridad definida. Además, dado que sobre este dispositivo se analizan las reglas de seguridad, en ocasiones se puede convertir en el cuello de botella, situación que hay que evitar. Figura 1. Topología de red donde se define dos zonas Internet e Intranet, separadas por un cortafuegos con 3 niveles de seguridad definidos (Inside, DMZ, Outside) conectando al exterior (Internet) por un router.

Configuración del acceso remoto por TELNET Configuración del acceso remoto por SSH Objetivos Específicos Implementar un sistema de seguridad emulando un firewall PIX con GNS3.

2 2 Seguridad en redes. Guía 10 El PIX analiza y registra las conexiones entrantes y salientes implementando NAT. Con esta técnica, al PIX se le permite en todo momento tener control de las conexiones establecidas y rechazar conexiones no permitidas. El PIX define niveles de seguridad o zonas de seguridad, que en el caso de la presente práctica son tres: inside, dmz, outside, las cuales quedan asociadas con niveles 100, 50 y 0 respectivamente. La regla que aplica el PIX por defecto es: no se puede pasar de nivel de seguridad menor a uno mayor. En base a esto, vamos a desarrollar toda la práctica. Procedimiento En Bibliografía esta práctica realizaremos la configuración inicial de un firewall PIX 722, emulándolo en nuestra PC por medio de GNS3. La topología completa se muestra en la figura 2. Trabaje en parejas. Guía 1 En una computadora que tenga instaladas dos tarjetas de red (PC emulador), se emulara el Firewall con GNS3 y se utilizara una máquina virtual con VirtualBox, la cual estará en la región DMZ de la topología, como red outside se utilizara la red UDB con acceso a internet, por ultimo una segunda pc se utilizara para la red inside. Figura 2. Topología red completa. 1. Arme la siguiente topología de red y configure las interfaces de la PC inside y la PC emulador, tabla 1. Figura 3. Topología red a implementar. Figura 4. Interfaces PC emulador.

El PIX define niveles de seguridad o zonas de seguridad, que en el caso de la presente práctica son tres: inside, dmz, outside, las cuales quedan asociadas con niveles 100, 50 y 0 respectivamente.

3 Seguridad en redes. Guía 10 3 Interface IP Puerta de enlace PC Emulador Conexión de área local / Conexión de área local X Por DHCP VirtualBox Host-Only Network / PC inside Conexión de área local / Tabla 1. Configuración de interfaces de PC emulador y PC inside. 2. En PC emulador, ejecute GNS3 y arme el escenario de la figura 6. comience colocando las nubes en el área de trabajo, renómbrelas y asígneles la interface física correspondiente (clic izquierdo sobre la nube configuración NIO Ethernet seleccione interface agregar) figura 5. Figura 5. Configuración de la nube. Nota: Los dispositivos de nubes nos permitirá comunicar las interfaces lógicas del firewall con las interfaces físicas de la computadora y así tener conexión externamente. Figura 6. Topología de red en GNS3

En PC emulador, ejecute GNS3 y arme el escenario de la figura 6.

4 4 Seguridad en redes. Guía Abra VirtualBox desde GNS3 por medio del botón Show VirtualBox Manager, luego inicie Wxp en la máquina virtual (PC DMZ). 4. Verifique que el adaptador de red este en modo Adaptador soló-anfitrión, en la configuración de VirtualBox. 5. Configure la tarjeta de red del Wxp virtual IP: /16, puerta de enlace Para tener acceso a la red outside e internet, es necesario tener un pool de direcciones de la red /24 comenzando de la ip Cada grupo de trabajo se le asignara 5 direcciones (consulte a su instructor). Por ejemplo: Grupo 1: Grupo 2: Grupo 3: Grupo 4: Grupo 5: A lo largo de la guía se utilizara el rango de IPs del grupo 1 para todas las configuraciones outside (estas aparecerán en negritas), usted debe utilizar las IPs del grupo asignado para la red outside. 7. Inicie la emulación y abra una consola para la configuración del Firewall. Configuración inicial del firewall PIX 722 pixfirewall> enable Password: <enter> 8. Ejecute comandos de verificación pixfirewall# show run pixfirewall# show memory pixfirewall# show version 9. Configuración de nombre de router y contraseñas pixfirewall# configure terminal pixfirewall(config)# hostname MyFirewall MyFirewall(config)# enable password serudb MyFirewall(config)# passwd telnetudb Nota: con el comando write memory se guarda la configuración, es importante que al finalizar la practica borre dicha configuración (write erase). Si usted no borra la configuración al finalizar la practica perderá la nota de guía 10.

Para tener acceso a la red outside e internet, es necesario tener un pool de direcciones de la red 10.0.17.0/24 comenzando de la ip 10.0.17.150.

5 Seguridad en redes. Guía Configuramos las interfaces asignando: nombre, nivel de seguridad, dirección de red y velocidad. MyFirewall(config)# interface ethernet 0 MyFirewall(config-if)#nameif outside MyFirewall(config-if)# security-level 0 MyFirewall(config-if)# ip address MyFirewall(config-if)# speed 100 MyFirewall(config-if)# no shutdown MyFirewall(config-if)# exit Note que se utilizó la primera IP ( ) del grupo de direcciones asignado para la red outside, usted utilice el pool asignado. MyFirewall(config)# interface ethernet 1 MyFirewall(config-if)#nameif inside MyFirewall(config-if)# security-level 100 MyFirewall(config-if)# ip address MyFirewall(config-if)# speed 100 MyFirewall(config-if)# no shutdown MyFirewall(config-if)# exit MyFirewall(config)# interface ethernet 2 MyFirewall(config-if)#nameif DMZ MyFirewall(config-if)# security-level 50 MyFirewall(config-if)# ip address MyFirewall(config-if)# speed 100 MyFirewall(config-if)# no shutdown MyFirewall(config-if)# exit MyFirewall(config-if)# show run 11. Detenga la emulación con el botón stop, guarde la topologuia e inicie nuevamente la emulación. 12. Realice pruebas de conectividad desde el Firewall hacia PC DMZ, PC inside y RouterUDB MyFirewall# ping MyFirewall# ping MyFirewall# ping Todos deberán ser exitosos 13. Para que el PIX pueda encaminar, dado que también hace funciones de router, configuraremos una ruta estática por defecto al router de Internet con coste 1 MyFirewall(config)# route outside

255.255.0 MyFirewall(config-if)# speed 100 MyFirewall(config-if)# no shutdown MyFirewall(config-if)# exit Note que se utilizó la primera IP (10.0.17.

6 6 Seguridad en redes. Guía 10 Configuración de NAT dinámico y estático. Luego de configurar las interfaces, habilitaremos la comunicación entre las diferentes zonas: inside, DMZ y outside, según sus niveles de seguridad 100, 50 y 0 respectivamente. La regla que aplica el PIX es: no se puede pasar de nivel de seguridad menor a uno mayor. Para poder establecer la comunicación entre zonas, el PIX debe poder realizar registros de conexiones y para ello utiliza NAT. La configuración de NAT conlleva siempre la configuración de 2 comandos, nat que se asocia a la interfaz de entrada indicando qué IP interna entra en el NAT y global que se asocia a la interfaz de salida donde se especifica la IP (o IPs) externa. NAT dinámico. MyFirewall(config)# nat (inside) MyFirewall(config)# nat (DMZ) MyFirewall(config)# global (outside) netmask Nota: tome en cuenta su grupo de direcciones outside (en negritas) 14. Ejecute comandos de verificación de nat. MyFirewall(config)# show nat MyFirewall(config)# show xlate 15. Desde PC inside haga ping hacia el RouterUDB ( ) en la red outside, el ping no tendrá respuesta por seguridad, pero se habrá hecho la traducción de NAT. Ejecute nuevamente el comando: MyFirewall(config)# show xlate 16. Repita el paso anterior con la PC DMZ hacia RouterUDB. NAT estático Sintaxis: Static (high.low) low high En esta parte configuraremos: NAT estático para atar una dirección de la red DMZ a una dirección dela red outside, muy utilizado para definir direcciones públicas a los servidores. NAT estático para comunicar la red inside con la red DMZ. MyFirewall(config)# static (dmz,outside) netmask MyFirewall(config)# static (inside,dmz) netmask MyFirewall(config)# clear xlate

La regla que aplica el PIX es: no se puede pasar de nivel de seguridad menor a uno mayor.

7 Seguridad en redes. Guía Realice las pruebas necesarias para comprobar el funcionamiento. Cambie la IP de la PC DMZ por la IP y realice un ping desde esta PC hacia la , compruebe la traducción hecha por el PIX. Realice un ping desde la PC inside hacia la PC DMZ Configuración de acceso TELNET 18. Se configurara acceso telnet para PC inside MyFirewall(config)# telnet inside 19. Compruebe el acceso TELNET, desde PC inside escriba en una consola telnet Configuración de acceso SSH MyFirewall(config)# ssh inside MyFirewall(config)# crypto key zeroize rsa MyFirewall(config)# domain-name serudb.com.sv MyFirewall(config)# crypto key generate rsa modulus Compruebe el acceso SSH con usuario pix, desde PC inside utilice putty. 21. Borre las configuraciones y ordene su puesto de trabajo MyFirewall(config)# write erase

Compruebe el acceso TELNET, desde PC inside escriba en una consola telnet 192.168.0.1 Configuración de acceso SSH MyFirewall(config)# ssh 192.168.0.2 255.

Documentos relacionados

Tema: Configuración inicial Firewall ASA

Seguridad en redes. Guía 8 1 Facultad: Ingeniería Escuela: Electrónica Asignatura: Seguridad en redes Tema: Configuración inicial Firewall ASA Contenidos Configuración inicial del Firewall Configuración