INSTITUTO NACIONAL DE INVESTIGACIONES FORESTALES, AGRÍCOLAS Y PECUARIAS

Transcripción

1 INSTITUTO NACIONAL DE INVESTIGACIONES FORESTALES, AGRÍCOLAS Y PECUARIAS IMPLEMENTACIÓN DE FIREWALL MEMORIA TÉCNICA FORTIGATE 30D Preparado para: José Manuel Rivera Perusquia. INIFAP Rio Bravo.

2 2 SERVICIOS INTEGRACIÓN CONTENIDO 1. INTRODUCCIÓN AUDIENCIA DEFINICIÓN DE CONFIGURACIONES Conexiones físicas ESPECIFICACIONES TÉCNICAS Hardware Software Configuración de interfaces de red Rutas estáticas Servidor DHCP Contraseñas de sistema operativo LICENCIAS PERFILES DE SEGURIDAD Web Filter Application Control POLÍTICAS DE ENTRADA Y SALIDA RECOMENDACIONES... 11

3 3 3 MEMORIA TÉCNICA IMPLEMENTACIÓN DE FIREWALL 1. INTRODUCCIÓN En el presente documento se describe la configuración general del Firewall perimetral FortiGate 30D del Instituto Nacional de Investigaciones Forestales, Agrícolas y Pecuarias, la cual incluye políticas de para usuarios y acceso a servicios internos. 2. AUDIENCIA El contenido de este documento está enfocado al personal de Soporte Técnico y al personal encargado de administración y control de cambios en Inifap. 3. DEFINICIÓN DE CONFIGURACIONES 3.1 Diagrama de infraestructura de red A continuación se presenta la infraestructura lógica de la red, donde se reflejan los enlaces iniciales y los equipos con los cuales se tiene interacción para el ruteo de la información en la red de Inifap.

4 4 SERVICIOS INTEGRACIÓN 3.2 Conexiones físicas 4. ESPECIFICACIONES TÉCNICAS 4.1 Hardware Las características de los equipos Firewall instalados para uso en Inifap son las siguientes: Fabricante: Fortinet, Inc. Números de Serie: FGT30D3X Sitio Web del Fabricante: Marca: Fortinet Serie: 30 Modelo: 30D Nombre del Producto: Fortigate 30D Tipo de Producto: Network Security/Firewall Appliance Información Técnica Desempeño: 3500 x Concurrent Connections

5 5 5 MEMORIA TÉCNICA IMPLEMENTACIÓN DE FIREWALL Interfaces/Puertos Número de Puertos de Red (RJ-45): 4 Conexión USB: No Puerto Management: No Comunicación y Redes Tecnología Ethernet: Gigabit Ethernet Estándar de Red: 10/100 Base-T 4.2 Software Los firewalls cuentan con sistema operativo FortiOS, cuyo propietario es el fabricante Fortinet. La versión instalada en los equipos es v5.0 patch 6, como se puede ver en la siguiente imagen:

6 6 SERVICIOS INTEGRACIÓN 4.3 Configuración de interfaces de red Se realizaron las siguientes configuraciones: Host: RIO_BRAVO DNS Primario: DNS Secundario: Interfaces: Nombre Dirección IPv4 Máscara de Subred Comentarios Wan EXTERNAL_INTERFACE Port INTERNAL_INTERFACE VID ADMINISTRACION VID DATOS Estas VLANs corresponden al port1 (INTERFACE_INTERNA) del equipo 30D. 4.4 Rutas estáticas

7 7 7 MEMORIA TÉCNICA IMPLEMENTACIÓN DE FIREWALL 4.5 Servidor DHCP El equipo está configurado para fungir como servidor DHCP. Dirección IPv4 Máscara de Gateway DNS DNS de Subred Subred Primario Secundario Pool de direcciones: Tipo Inicio Fin Máscara de Subred Regular Contraseñas de sistema operativo Usuario Contraseña admin ************

8 8 SERVICIOS INTEGRACIÓN 5. LICENCIAS El equipo cuenta con las características de licenciamiento mostradas a continuación:

9 9 9 MEMORIA TÉCNICA IMPLEMENTACIÓN DE FIREWALL 6. PERFILES DE SEGURIDAD La opción UTM (Unified Threat Management), permite como su nombre lo indica, administrar y manejar de forma unificada las opciones incluidas en el equipo, entre las que se encuentran: Protocol Option. Antivirus. IPS. WebFilter. DLP Sensor. Application Control. VoIP. 6.1 Web Filter Para la práctica de este caso, se realizó una configuración en Categorías de Fortiguard, la cual permitirá el bloqueo a páginas no deseadas por las políticas de la empresa y solo poder ingresar a las que estén autorizadas. 6.2 Application Control Para la práctica de este caso se realizó una configuración Monitor, la cual le permitirá al administrador del equipo conocer cuáles son las aplicaciones que se están usando

10 10 SERVICIOS INTEGRACIÓN dentro de la red local y si tienen acceso a internet, para así poder decidir y controlar las que estén permitidas por políticas de la empresa o buen uso. 7. POLÍTICAS DE ENTRADA Y SALIDA De acuerdo con los requerimientos de la navegación en la red de Inifap, se configuraron las siguientes políticas de filtrado de contenido y aplicación:

11 11 11 MEMORIA TÉCNICA IMPLEMENTACIÓN DE FIREWALL 8. RECOMENDACIONES 1. Las contraseñas mostradas en este documento son únicamente para la instalación inicial de los equipos, es importante cambiarlas para evitar mal uso y vulnerabilidades. 2. No utilizar cuentas cuyos nombres sean Administrator, Administrador, Admin, root, test, pruebas, user o similares ya que éstas facilitan o reducen el trabajo a los ataques de fuerza bruta o de diccionario. 3. Restringir el acceso a la administración del firewall, ya sea a su sistema operativo o a su Interfaz Gráfica, a sólo direcciones IP de sus redes internas. 4. Mantenga actualizada la base de firmas de IPS y asegúrese que al menos las firmas con severidad Crítica y Alta estén en modo preventivo.