REGIONAL DISTRITO CAPITAL SISTEMA DE GESTIN DE LA CALIDAD

CENTRO DE ELECTRICIDAD ELECTRNICA Y TELECOMUNICACIONES

GUA: SHOREWALL 3 ZONAS

PROGRAMA: TECNLOGO EN ADMINISTRACIN DE REDES DE COMPUTADORES

REA: TELEINFORMTICA

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 2 de 9

1.

IDENTIFICACIN DE LA GUA DE APRENDIZAJE TECNLOGO EN ADMINISTRACIN DE REDES DE COMPUTADORES Diseo de una red de datos corporativa multiservicio, bajo normatividad tcnica, administrado sobre plataforma Windows 2008 server Combinada Establecer la infraestructura de equipos y programas para la seguridad de la red de datos. Configurar hardware, software y aplicar procedimientos de seguridad, de acuerdo con el diseo establecido, garantizando el aseguramiento de la informacin y de la red, para implementar el plan de seguridad, utilizando los recursos de la organizacin.

PROGRAMA DE FORMACIN: PROYECTO DE ASOCIADO: MODALIDAD DE FORMACIN: ACTIVIDAD DEL PROYECTO:

RESULTADOS DE APRENDIZAJE:

TAREA DE APRENDIZAJE DURACIN

SHOREWALL 3 ZONAS (3 horas)

2.

CARACTERIZACIN DE LA ACTIVIDAD DE APRENDIZAJE

2.1 Introduccin Shorewall o Shore Line como es su nombre real, es un firewall de impresionantes caractersticas tcnicas, que utilizando como motor iptables, netfilter e iproute logra controlar bastos aspectos del flujo de la informacin de la red en mltiples capas del modelo OSI, se conforma de varios archivos de configuracin que permiten un mejor orden, agilidad y robustez, para lograr as soluciones ms amplias sin tener que depender de un profundo conocimiento en iptables, su solides lo convierte en uno de los firewall ms populares en los entornos de produccin, ya que incluso rivaliza con soluciones comerciales de elevados costos. Con el desarrollo de esta gua el aprendiz lograra configurar un firewall utilizando shorewall que permita aumentar los niveles de seguridad en una red de tres zonas, DMZ, WAN y LAN. 2.2 Tarea de Aprendizaje Su empresa desea implementar una zona DMZ para utilizar un servidor web que ofrezca servicios tanto a la LAN como a la WAN con la direccin IP 170.1.1.1, y nombre www.miempresa.com, usted propone la idea de utilizar un servidor Linux como firewall con tres interfaces de red y en l instalar Shorewall, para tal proyecto usted debe lograr el mnimo uso de servicios de red tanto de la LAN a la DMZ como de la WAN a la DMZ y ofrecer un grado alto de seguridad para la LAN. El proyecto deber ser evaluado desde dos clientes XP Sp3 en ubicaciones diferentes, uno desde la LAN y otro desde la WAN. El firewall debe permitir peticiones de entrada WAN-LAN hacia al puerto 80 y respuestas LAN-WAN desde el mismo puerto, debe permitir peticiones de salida LAN-WAN hacia el puerto 53 y respuestas desde el mismo puerto WAN LAN. Los usuarios de la LAN deben navegar sin problema por internet y permitir envos de PING.

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 3 de 9

La Empresa

eth2 IP 192.168.0.1/24

eth0 IP 180.1.1.10/24 WAN VMnet4 Servidor DNS publico ns1.telmex.com www.telmex.com IP 180.1.1.1/24 Gway 180.1.1.10

LAN

VMnet2 Cliente Interno IP 192.168.0.10/24 Gway 192.168.0.1 Cliente Externo IP 180.1.1.15/ Gway 180.1.1.10

DMZ VMnet3

Servidor web www.miempresa.com IP 170.1.1.1/24 Gway 170.1.1.2

eth1 IP 170.1.1.2/24

Topologa de red 2.3 Proceso de Aprendizaje 1. Configure un DNS que posea dos zonas directas telmex.com, miempresa.com, si desea tambin configure una zona inversa, este equipo debe tener una tarjeta de red asociada a la VMnet4 con IP 180.1.1.1/24 gateway 180.1.1.10. 2. Configuracin del firewall en deban. a. Agregamos al equipo tres adaptadores de red, es preferible que el equipo se encuentre apagado para agregar estos adaptadores ya que Linux no tiene mucho soporte para plug and play. b. Asociamos la interface eth0 a la VMnet4, la interface eth1 a la VMnet3 y la interface eth2 a la VMnet2.

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 4 de 9

c.

Despus de agregados los adaptadores procedemos a prender el equipo (si est apagado) y a modificar el archivo de configuracin de interfaces para configurar la direccin IP de cada adaptador. root@sena:/#nano /etc/network/interfaces ______________________________________________________________________ # The loopback network interface auto lo iface lo inet loopback # The primary network interface, the public interface allow-hotplug eth0 iface eth0 inet static address 180.1.1.10 netmask 255.255.255.0 network 180.1.1.0 broadcast 180.1.1.255 gateway 180.1.1.254

allow-hotplug eth1 iface eth1 inet static address 170.1.1.2 netmask 255.255.255.0 network 170.1.1.0 broadcast 170.1.1.255 allow-hotplug eth2 iface eth2 inet static address 192.168.0.1 netmask 255.255.255.0 network 192.168.0.0 broadcast 192.168.0.255 Despus de configuradas las interfaces reiniciamos el equipo. Instalamos el Shorewall

d. e.

#dpkg i shorewall_4.4.11.6-3_all.deb #dpgk i shorewall-common_4.4.11.6-3_all.deb #dpkg i shorewall-perl_4.4.11.6-3_all.deb f. Despus de haber instalado el shorewall debemos copiar los archivos de configuracin base a que se encuentran en la carpeta:

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 5 de 9

/usr/share/doc/shorewall/default-config Tenemos que copiar los siguientes documentos: interfaces, zones, policy, masq, rules Todos los archivos anteriormente nombrados se deben copiar a la siguiente ubicacin: /etc/shorewall

g. h.

En este punto poseemos ya todos los archivos necesarios para empezar a configurar el shorewall. Debemos activar el inicio automtico al arrancar el quipo, (para que cada vez que inicie el equipo se cargue el shorewall), esto lo hacemos poniendo el parmetro 1 en el startup del /etc/default/shorewall. Vamos a /etc/default/ y con nano abrimos el archivo shorewall. #cd /etc/default #nano shorewall

i. j. k.

Guardamos, salimos. Vamos a /etc/shorewall #cd /etc/shorewall El primer archivo que vamos a configurar es el de zonas #nano /etc/shorewall/zones Configuramos tres zonas ms aparte del mismo firewall, una net que ser la externa, una local que ser la interna y una zona dmz para el servidor web www.miempresa.com, guardamos y salimos.

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 6 de 9

l.

Procedemos a configurar las interfaces de red, esto lo hacemos en el archivo /etc/shorewall/interfaces, la idea es asociar cada interfaz de red a una zona especifica. #nano /etc/shorewall/interfaces Despus de configurar guardamos y salimos.

m. Procedemos a configurar las politicas, esto lo hacemos en el archivo /etc/shorewall/policy, la idea es definir qu proceso por defecto suceder si las reglas no logran definir el destino de los paquetes IP.

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 7 de 9

#nano /etc/shorewall/policy Despus de configurar guardamos y salimos.

n.

Procedemos a configurar el enmascaramiento, esto lo hacemos en el archivo /etc/shorewall/masq, la idea es definir por cual IP saldrn a la red los paquetes provenientes de la direccin de red privada 192.168.0.0/24, en este caso saldran por la 170.1.1.10 que es la eht0. #nano /etc/shorewall/policy Despus de configurar guardamos y salimos.

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 8 de 9

o.

Procedemos a configurar las reglas, esto lo hacemos en el archivo /etc/shorewall/rules, la idea es definir las reglas para cada una de las zonas y configurar el destino de cada uno de los paquetes que sale o entra a la red. Despus de configurar guardamos y salimos. Dmonos un tiempo para verificar y entender el siguiente archivo.

p.

Habilitamos el reenvi de paquetes ip, desde el archivo de configuracin /etc/sysctl.conf. Abrimos el archivo de configuracin del sistema. #nano /etc/sysctl.conf Buscamos donde dice reenvi ipv4 y quitamos la etiqueta de comentario (quitamos el #). net.ipv4.ip_forward = 1 Guardamos los cambios y salimos. Reiniciamos el equipo. Si tienes un error como este al reiniciar el equipo, aun no est bien configurado el shorewall.

q. r.

s.

3. 4. 5.

Podemos realizar de ahora en adelante la siguiente instruccin para que tome los cambios sin reiniciar. #/etc/init.d/shorewall restart Configuramos el resto de dispositivos y procedemos a realizar las respectivas pruebas. Como usted mejorara el diseo de este firewall? Que reglas o polticas modificara?

REGIONAL DISTRITO CAPITAL COORDINACIN FORMACIN PROFESIONAL Y EMPLEO

Sistema de Gestin de la Calidad

SHOREWALL 3 ZONAS

lunes, 25 de abril de 2011 Versin: 1 Pgina 9 de 9

2.4 Ambiente La presente gua posee una metodologa combinada, lo que significa que el aprendiz puede ejecutarla de manera presencial y virtual, se requiere la presencia del instructor para que describa el objetivo, el proceso de aprendizaje de la gua y algunas recomendaciones para su desarrollo, el aprendiz tiene el deber de investigar la informacin relacionada con la gua, comprenderla e interiorizarla, y proponer soluciones efectivas. Para el desarrollo exitoso de esta gua se debe contar con: 1. 2. 3. 4. 5. Computador. Conexin a internet. Procesador de palabra (MS WORD) VMWARE Imagen Linux Debian.

2.5 Evaluacin del aprendizaje La evaluacin de la esta gua parte desde la revisin de su desarrollo practico y/o terico hasta su culminacin a cabalidad, cumpliendo con los paramentaros establecidos, y adems se valorara la actitud del aprendiz ante el reto que significa su elaboracin y los aportes de nuevos conocimientos o consejos que se puedan generar pertinentes al tema, esta evaluacin pretender medir los conocimientos del aprendiz en cuanto al tema en cuestin y a la vez motivar a mejorar sus conocimientos en caso de una negativa calificacin. 2.6 Conclusiones El uso de shorewall permite lograr niveles de seguridad sin precedentes ya que prcticamente est limitado a la imaginacin e intelecto de la persona que lo est configurando, llegando a convertirse en una herramienta por excelencia a nivel empresarial, pero incluso pudiendo ser establecida a nivel SOHO o Home. 2.7 Bibliografa Networking: A Beginners Guide. Hallberg. Bruce. MC Graw Hill. Fifth Edition Implementacin De Servidores Con GNU/Linux . Barrios Dueas, Joel. Creative Commons. Edicion Marzo 2011. Infografa: http://www.alcancelibre.org/ http://www.shorewall.net/ http://www.netfilter.org/documentation/HOWTO//packet-filtering-HOWTO-7.html