Firewall en Endian (Linux)
Firewall en Endian (Linux)
(DMZ, LAN y WAN) (DMZ, LAN y WAN)
Trabajo Realizado por: Trabajo Realizado por: Yonatan Gallego Durango Yonatan Gallego Durango
Tutor Tutor Mauricio Ortiz Mauricio Ortiz
Administracion de Redes Sena Administracion de Redes Sena
(Cesge) (Cesge)
2011 2011
Se implementara un
Se implementara un firewall en Endian simulando tres firewall en Endian simulando tres redes: LAN, Wredes: LAN, WAN y AN y DMZDMZ tendré previamente instalados 3 servicios de red
tendré previamente instalados 3 servicios de red en la DMZ que sera en la DMZ que sera una maquina linuxuna maquina linux (Centos) y 2 servicios en la LAN que sera una XP que al mismo modo administra el (Centos) y 2 servicios en la LAN que sera una XP que al mismo modo administra el Endian (firewall).
Endian (firewall). Conceptos
Conceptos
Endian:
Endian:
es una distribucion basada en Linux destinada para tareas de ruteo y firewall,es una distribucion basada en Linux destinada para tareas de ruteo y firewall, útil y practica deútil y practica de administraradministrar..
LAN: Red de Area Local LAN: Red de Area Local
WAN: Red de Area Mundial (internet) WAN: Red de Area Mundial (internet) DMZ: Zona DesmilitariZada
DMZ: Zona DesmilitariZada
para esta practica debemos tener un minimo concepto sobre administracion de redes, e para esta practica debemos tener un minimo concepto sobre administracion de redes, e implementacion de servicios tanto en linux como en windows.
implementacion de servicios tanto en linux como en windows.
El Virtual Box sera mi simulador de maquinas que al msmo tiempo seran LAN, WAN y El Virtual Box sera mi simulador de maquinas que al msmo tiempo seran LAN, WAN y DMZ. DMZ. DMZ = Linux (CentOS) DMZ = Linux (CentOS) IP: IP: 192.168.1192.168.110.3/2410.3/24 servicios Instalados (Dns, Ftp, Http) servicios Instalados (Dns, Ftp, Http) LAN = Windows (XP) LAN = Windows (XP) IP: IP: 192.168.100.3/2192.168.100.3/244 servicios instalados (Ftp, Ssh) servicios instalados (Ftp, Ssh)
Administracion de Endian firewall –
Administracion de Endian firewall – IP: 192.168.100.1/24IP: 192.168.100.1/24 W
WAN AN = = Linux (Ubuntu) Maquina realLinux (Ubuntu) Maquina real IP:
Despues de tener funcionando los servicios en la LAN y la DMZ y corriendo el Endian Despues de tener funcionando los servicios en la LAN y la DMZ y corriendo el Endian Firewall lo administraremos desde la XP y crearemos las reglas adecuadas para denegar Firewall lo administraremos desde la XP y crearemos las reglas adecuadas para denegar o permitir los diferentes puertos y protolos.
o permitir los diferentes puertos y protolos.
Creamos la regla de NAT (Traduccion de Direciones) para los diferentes servicios con Creamos la regla de NAT (Traduccion de Direciones) para los diferentes servicios con sus puertos y protocolos.
sus puertos y protocolos.
Vamos a “cortafuegos” - “Reenvio de puertos/NAT” y adicionaremos una nueva regla Vamos a “cortafuegos” - “Reenvio de puertos/NAT” y adicionaremos una nueva regla
por medio de esto permitiremos el reenvio de puertos, en esta regla sera el servicio ftp por medio de esto permitiremos el reenvio de puertos, en esta regla sera el servicio ftp por el puerto 21 y por
por el puerto 21 y por el protocolo tcp que es con el el protocolo tcp que es con el que trabaja por defecto. Y asi mismoque trabaja por defecto. Y asi mismo añadiremos las demas reglas en el
Ahora configuramos el trafico de salida Ahora configuramos el trafico de salida
generalmente se definen las Zonas o Interfaces
generalmente se definen las Zonas o Interfaces por colores asi:por colores asi: LAN = Verde LAN = Verde DMZ = Naranja DMZ = Naranja WAN = Roja WAN = Roja
Creamos la primera regla permitiendo a la interface verde salir a internet osea a la roja Creamos la primera regla permitiendo a la interface verde salir a internet osea a la roja por
por http con el puerto 80 y su dehttp con el puerto 80 y su debido protocolo. Clickbido protocolo. Clickeamos en actualizar regla para queeamos en actualizar regla para que sea añadida
asi mismo añadimos las demas
asi mismo añadimos las demas para los diferentes servicios en el trafico de para los diferentes servicios en el trafico de salida.salida.
He definido reglas para servicios como http, https, ftp, smtp, pop, imap, dns y el icmp He definido reglas para servicios como http, https, ftp, smtp, pop, imap, dns y el icmp que es el encargado del ping.
que es el encargado del ping.
Despues de haber configurado el reenvio de puertos y el trafico de salida procedemos a Despues de haber configurado el reenvio de puertos y el trafico de salida procedemos a configurar el trafico entre zonas.
configurar el trafico entre zonas.
En esta configuración la regla por defecto sera denegar la cual ira en la ultima posicion y En esta configuración la regla por defecto sera denegar la cual ira en la ultima posicion y anteriores a esta estarán las reglas donde permitiremos los servicios y protocolos que anteriores a esta estarán las reglas donde permitiremos los servicios y protocolos que deseemos. El firewall leerá las reglas en orden si no coincide con lo anteriosaplica la deseemos. El firewall leerá las reglas en orden si no coincide con lo anteriosaplica la ultima que es Denegar todo.
En esta regla permitimos desde la verde el trafico para la naranja por http con su En esta regla permitimos desde la verde el trafico para la naranja por http con su respectivo puerto y protocolo.
respectivo puerto y protocolo.
Asi mismo agregamos las demas reglas permitiendo los demas servicios para que por Asi mismo agregamos las demas reglas permitiendo los demas servicios para que por ultimo sea la r
ultimo sea la regla de denegar.egla de denegar.
Recordemos tener muy claros el origen y
Regla de denegar todo (ultima posición) Regla de denegar todo (ultima posición)
recordemos que si deseamos añadir una nueva regla como es para permitir lo haremos recordemos que si deseamos añadir una nueva regla como es para permitir lo haremos anter de esta regla.
anter de esta regla.
Por ultimo aplicamos los cambios para reenvio de puertos, Trafico de salida y trafico Por ultimo aplicamos los cambios para reenvio de puertos, Trafico de salida y trafico enter zonas.
enter zonas.
Por ultimo realizamos pruebas teniendo en cuenta que a la zona verde = LAN no debe Por ultimo realizamos pruebas teniendo en cuenta que a la zona verde = LAN no debe acceder ninguna otra zona solo ella misma, a la DMZ = zona naranja pueden acceder a acceder ninguna otra zona solo ella misma, a la DMZ = zona naranja pueden acceder a los servicios tanto desde la LAN como la WAN.
Con esta imagen probamos por medio de un tracer y direccion o nombre de destino que Con esta imagen probamos por medio de un tracer y direccion o nombre de destino que la maquina efectivamente esta saliendo por medio del firewall que es la 192.168.100.1, la maquina efectivamente esta saliendo por medio del firewall que es la 192.168.100.1, pasa por mi dns que es la 192.168.10.1, se encuentra con otros enrutadores y finalmente pasa por mi dns que es la 192.168.10.1, se encuentra con otros enrutadores y finalmente
llega a la
llega a la direcion de google que es direcion de google que es la 74.125.229.1la 74.125.229.11515
probamos el acceso y la conexión desde la LAN al servicio ftp que ofrece la DMZ la probamos el acceso y la conexión desde la LAN al servicio ftp que ofrece la DMZ la
cual tiene la
probamos un ping desde
probamos un ping desde la DMZ hacia la DMZ hacia la Wla WAN y dio AN y dio respuestarespuesta
Probamos un ping desde la DMZ hacia la LAN y no se obtuvo respuesta debido a que a Probamos un ping desde la DMZ hacia la LAN y no se obtuvo respuesta debido a que a la LAN no puede acceder ninguna otra Zona.
la LAN no puede acceder ninguna otra Zona.
Intentamos logiarnos desde la DMZ en el ftp
Intentamos logiarnos desde la DMZ en el ftp de la LAN y no de la LAN y no lo logramoslo logramos
desde la misma LAN nos logiamos en
