1

Continuación de la Unidad III

Objetivo específico:Objetivo específico:

Conocer las tareas que realiza un administrador de Conocer las tareas que realiza un administrador de sistemas, además del hardware y software utilizado en sistemas, además del hardware y software utilizado en redes.redes.

Aprender los esquemas básicos de las redes.Aprender los esquemas básicos de las redes.

Conocer la importancia de los firewalls y proxys.Conocer la importancia de los firewalls y proxys.

Asignatura: Asignatura: Protocolos de Comunicación de RedProtocolos de Comunicación de RedDocente: Docente: Ing. Oscar H. Díaz JuradoIng. Oscar H. Díaz Jurado

Universidad Evangélica de El SalvadorUniversidad Evangélica de El SalvadorFacultad de Ingeniería

Viernes, 19 de abril de 2013Viernes, 19 de abril de 2013

2

Contenido para ésta semanaContenido para ésta semana

Aspectos básicos de la administración del sistema.Aspectos básicos de la administración del sistema.

Hardware de servidores.Hardware de servidores.

Software de servidores.Software de servidores.

Integración de sistemas.Integración de sistemas.

Esquemas básicos de red.Esquemas básicos de red.

Supuesto práctico.-Supuesto práctico.-

FirewallsTipos de firewallsFirewallsTipos de firewalls

Servidores ProxyServidores Proxy

1. Introducción

En la actualidad es muy frecuente

tener redes heterogéneas en las

que conviven diferentes sistemas

operativos tanto a nivel de cliente

como de servidor.

Sistemas operativos:

• SERVIDOR:

• CLIENTE:

2. Esquemas básicos de red

Arquitectura de red Diseño de la red en el que se emplean unos determinados componentes, cuya finalidad es la de canalizar, permitir o denegar el tráfico con los elementos apropiados.

Router Dispositivo hardware o software que permite comunicar varias redes.

Red interna Red interna de la empresa donde se encuentran los equipos y servidores internos.

Red perimetral o zona neutra Red añadida entre dos redes para proporcionar mayor protección a una de ellas.

2. Esquemas básicos de red

Cortafuegos Elemento importante para hacer cumplir las políticas de seguridad (filtrado de puertos, filtrado por IP, filtrado por datos…)

Un cortafuegos tiene diferentes propósitos:

• Restringe el acceso a puntos cuidadosamente controlados.

• Evita que los atacantes se acerquen a otras defensas

• Restringe la salida de puntos cuidadosamente controlados

Todo el tráfico que venga o salga de Internet pasa a través del cortafuegos.

De esta forma, el cortafuegos es el que debe aceptar o rechazar los mensajes.

2.1. Esquema de red básico

Un router comunica la red interna de la empresa con Internet.

El router será el encargado de permitir / denegar el tráfico

Ventaja: Es el esquema de red más sencillo Desventajas: Toda la seguridad reside en un único punto: el router. Si un atacante entra en un equipo, compromete toda la red

2.2. Esquema de red con zona neutra

Dos routers para crear un perímetro de seguridad (red perimetral o zona neutra), donde se ubican los servidores accesibles desde el exterior.

Ventaja: Es el esquema de red más sencillo cuando queremos tener servidores que puedan ofrecer servicios a Internet. El router exterior permite el acceso desde Internet a los servidores de la zona neutra.

El router interior permite el tráfico saliente de la red interna al exterior.

2.2. Esquema de red con zona neutra

En este caso se crea la red interna y la zona neutra con un único router. Siempre es mejor hacerlo con dos routers diferentes.

Mejoras: Mezclar el router interior y exterior

2.2. Esquema de red con zona neutra

Se pueden crear todas las zonas neutras que necesitemos

Mejoras: Varias zonas neutras

2.2. Esquema de red con zona neutra

Mejoras: Varias zonas neutras y conexión a Internet

Dos salidas diferentes a Internet y dos zonas neutras: una para ubicar los servidores públicos (servidor web, ftp…) y otra para que los clientes se conecten por VPN a la red interna de la empresa.

2.2. Esquema de red con zona neutra

Al utilizar varios servidores se

mejora la seguridad del sistema

Mejoras: Utilizar varios host bastión

2.2. Esquema de red con zona neutra

Mejoras: Utilizar varios routers exteriores / interiores

3. Integración de Sistemas

En una red es muy frecuente encontrar equipos cliente y servidor tanto en Windows como en GNU/Linux

Para que los diferentes equipos trabajen correctamente entre sí, se deben cumplir los siguientes niveles de integración:

Red. Los equipos pueden comunicarse entre sí.

Datos. Los equipos pueden compartir datos entre sí garantizando el acceso, la disponibilidad y la seguridad de la información.

Servicios. Los equipos pueden acceder a los servicios que ofrecen otros equipos. P. ej: un equipo Windows puede acceder a un servidor Linux para poder administrarlos.

3. Integración de Sistemas

RED Para que una red funcione correctamente, como mínimo debe disponer de los siguientes servicios:

Enrutamiento. Permite a un servidor actuar como un router para permitir la comunicación entre dos o más redes.

Servidor DHCP (Dynamic Host Configuration Protocol) Permite asignar automáticamente la configuración IP de los equipos

clientes de la red. Ejemplo: cuando un portátil se conecta a una red, obtiene su configuración IP a través de un servidor DHCP Servidor DNS (Domain Name System)

Permite realizar una relación entre un nombre y su dirección IP. Ejemplo: www.google.com = 209.85.148.106

3. Integración de Sistemas

DATOS

Los datos son el recurso más importante de una empresa. Para garantizar una correcta integración de los sistemas, los equipos Windows y Linux deben poder compartir información entre sí.

Los servicios más utilizados para compartir datos son:

Samba. Permite compartir archivos e impresoras entre sistemas

Windows y GNU/Linux. NFS (Network File System) . Servicio que permite compartir sistemas de

ficheros por red.

3. Integración de Sistemas

DATOS

Unidad NAS (Network Attached Storage)

Dispositivo diseñado especialmente para compartir información y que permite la utilización de unidades RAID para mejorar el rendimiento y la seguridad de los datos.

LinkSys NAS-200 con 2 HD 750 Gb (uso doméstico)

Servidor NAS HP (uso empresarial)

3. Integración de Sistemas

SERVICIOS

Los servicios más utilizados en el entorno empresarial son:

Acceso remoto.

En modo terminal (Telnet y SSH) En modo gráfico (VNC y Escritorio remoto)

Directorio activo Permite centralizar todos los datos de los usuarios y su seguridad.

Active Directory (Microsoft) LDAP (GNU/Linux)

Otros servicios Servidores de impresión, actualización centralizada de sistemas (Windows Update), monitorización centralizada de sistemas…

SSH

Escritorio Remoto

VNC

4. Supuesto Práctico (Descripción)

Una empresa de servicios ha solicitado el diseño y la puesta en marcha de un sistema informático que debe cumplir las siguientes características:

1. Todos los equipos de la empresa estarán dentro de una red interna que tiene acceso a Internet y en la que se permite que los empleados conecten sus portátiles.

2. Todos los usuarios de la empresa pueden utilizar cualquier ordenador de la empresa utilizando siempre su mismo nombre de usuario y contraseña.

3. En la empresa existen 3 tipos de usuarios: jefes, empleados y contabilidad. Los jefes son los dueños de la empresa y por lo tanto, pueden acceder a todos los recursos del sistema. El personal de contabilidad es el encargado de realizar todas las tareas de administración y contabilidad de la empresa. Los empleados utilizan una aplicación que permite gestionar las compras/ventas de la empresa.

4. Supuesto Práctico (Descripción)

4. Los usuarios de la empresa tienen acceso a las carpetas compartidas con los siguientes permisos de acceso:

Recurso Empleados Contabilidad Jefes

/TPV R/W R/W R/W

/proyectos R/W

/presupuestos R/W R/W

5. En las carpetas compartidas, los empleados sólo pueden almacenar un máximo de 500MB de datos.

6. Hay que garantizar la seguridad del sistema. Especialmente, hay que evitar la pérdida de información (p.e. ante la rotura de un disco duro)

7. La empresa tiene varias impresoras que pueden utilizar todos los usuarios de la empresa libremente.

8. El administrador del sistema debe tener acceso remoto a todos los servicios de la empresa.

4. Supuesto Práctico (Diseño)

¿Cuál es el esquema de red más apropiado?

Opción 1 Opción 2

3

Definición FirewallDefinición Firewall

Definición:Definición:Sistema o grupo de sistemas cuya finalidad es hacer cumplir una política de control de acceso entre dos redes interconectadas.

Mecanismo que permite proteger a una red confiable de las redes no confiables con las que esta se encuentra conectada, permitiendo a´un el tr´afico entre ambas.

4

Propiedades básicasPropiedades básicas

Todo el tráfico que sale y entra de una red debe pasar a través del firewall. Cuando decimos esto, nos referimos a los datos transportados según la suite de protocolos TCP/IP.

Solo el tráfico autorizado, según lo definido en la política de seguridad implementada, debe pasar a través del firewall.

El sistema por si mismo es altamente resistente a las intrusiones.

5

FirewallFirewall

Un firewall estpa compuesto de diferentes componentes, incluyendo filtros, que bloquean la transmisión de cierta clase de tráfico y un gateway, el cual se puede definir como una máquina o conjunto de m+aquinas que transmiten servicios entre las redes internas y externas (típicamente la red interna de una organización e internet).

6

Firewall como filtroFirewall como filtro

Los firewalls pueden actuar como filtros que determinan que datos pasan de una red a otra y cuales no.

Los routers toman las decisiones de ruteo basados en la información contenida en sus tablas de ruteo. Es posible entonces modificar dichas tablas de manera que, por ejemplo, puedan pasar a través del router datos que provienen de ciertas direcciones. De esta forma un router se convierte en un dispositivo de control de acceso que puede filtrar paquetes

7

Firewalls que actúan como gatewaysFirewalls que actúan como gateways

Gateway: Computadora que provee servicios entre dos redes interconectadas.

Un firewall, además de filtrar paquetes puede actuar como un gateway. De esta forma, el tráfico pasa a través del gateway, el cual se encarga de pasar los datos, de acuerdo a lo especificado en la política de de control de acceso implementada, a un filtro, a una red o incluso a otro gateway.

8

Tipos de políticasTipos de políticas

Existen dos tipos de políticas de red que influyen directamente en la implementación, configuración y uso de un firewall:

La política de acceso a servicios de redLa política de diseño de un firewall.

Política de acceso a servicios de redDefine los servicios que serán permitidos o denegados explicitamente desde las redes restringidas, además de especificar la manera en la que los servicios serán usados.

Éstas deben de existir antes de que se implemente el uso del firewall.

9

Tipos de políticasTipos de políticas

Debe ser realista, en el sentido de que debe mantener un balance entre la protección de una red y los servicios a los que se podrán acceder.

Política de diseño de firewallEspecifica como un firewall restringirá el acceso a una red y como se implementará el filtrado de paquetes según lo especificado en la política de acceso a servicios.

Primero se define la política de acceso a servicios y luego la política de diseño de firewalls.

10

Políticas de diseño de FirewallPolíticas de diseño de Firewall

Permitir el acceso a cualquier servicio, a menos que se especifique explicitamente lo contrario. Esta alternativa es conocida como permisiva.

Denegar cualquier servicio, a menos que se especifique explicitamente lo contrario. Esta alternativa es conocida como restrictiva.

Los firewalls implementan basicamente dos políticas de diseño:

11

Tipos de FirewallTipos de Firewall

Firewall de filtrado de paquetes.

Servidores Proxy.

Firewall de inspección de paquetes.

Firewall híbrido.

A partir de las políticas de diseño de firewall surgen los diferentes tipos que pueden implementarse:

12

Firewall de filtrado de paquetesFirewall de filtrado de paquetes

Consiste en impedir que ciertos paquetes de información puedan acceder a la red que se está protegiendo o que puedan salir de la red en cuestion.

Mecanismo que permite impedir que ciertos paquetes accedan o salgan de una determinada red.

Ejemplo:Los routers pueden filtrar paquetes IP basados en ciertas reglas, como lo son: • Dirección IP fuente. • Dirección IP destino. • Puerto TCP/UDP fuente. • Puerto TCP/UDP destino.

13

Firewall de filtrado de paquetesFirewall de filtrado de paquetes

Las técnicas de filtrado permiten bloquear conecciones desde o hacia ciertos host o redes y puden bloquear conecciones a puertos específicos.

El filtrado de paquetes puede ser:

Estático:En este caso el firewall permite el acceso del tráfico autorizado, según lo especificado en la política de acceso a servicios, a través de ‘puertas’ que están siempre abiertas.

Dinámicos:El firewall permite el acceso de paquetes según la información contenida en la cabecera de los mismos.

14

Ventajas/Desventajas del filtradoVentajas/Desventajas del filtrado

Permitir mayor protección.Soporta la mayoría de los servicios.Se tiene un mayor control de lo que entra a una red que se considera confiable.

Ventajas:

Reduce el riesgo de ataques pero no los impide, ya que una vez que se tiene acceso a la red se pueden explotar las vulnerabilidades de los host internos.No posee autenticación de usuarios.

Desventajas:

15

Servidores ProxyServidores Proxy

Para solucionar los problemas que tienen los firewalls de filtrado de paquetes y superar sus desventajas, se han desarrollado aplicaciones de software que pueden filtrar conecciones relacionadas con ciertos sevicios (por ejemplo: TELNET, FTP, etc.). Estas aplicaciones son conocidas como servidores proxy o gateways de aplicación.

El objetivo de los servidores proxy es actuar como una especie de ‘intermediario’ entre dos redes interconectadas, permitiendo que los host que pertenecen a una red, que se considera confiable, se comuniquen de manera indirecta con host de otras redes o servidores externos.

16

Ventajas el uso de servidores ProxyVentajas el uso de servidores Proxy

Ocultamiento de información:los host externos solo deben conocer la identidad del servidor proxy para poder comunicarse indirectamente con los host internos a través del proxy.

Mecanismos de autenticación y login robustos:El proxy puede implementar un mecanismo de autenticación y login para que los host externos tengan acceso a la red que está siendo protegida por el servidor proxy.

Menor complejidad en las reglas de filtrado:Las reglas de filtrado de paquetes que utiliza un router se tornan menos complejas, debido a que el router no tiene que controlar si los paquetes están dirigidos a los host individuales, simplemente controla que los paquetes estén dirigidos al servidor proxy.

18

Firewall de inspección de paquetesFirewall de inspección de paquetes

Combinación de las dos técnicas anteriores: filtrado de paquetes y servidores proxy. Puede permitir un alto grado de control de acceso, pero pone límites en cuanto a la flexibilidad y transparencia de la conectividad; además de hacer más difícil y compleja la configuración de los firewalls que implementan ambos mecanismos.

Este tipo de firewalls utiliza un m´odulo de inspecci´on de paquetes para los diferentes protocolos utilizados en cada una de las capas de la arquitectura de red (modelo OSI).

19

CaracterísticasCaracterísticas

Consiste en inspeccionar los paquetes en lugar de solo filtrarlos de acuerdo a sus direcciones o números de puerto, es decir, considerar el contenido de los paquetes.

Utiliza un módulo de inspección de paquetes para los diferentes protocolos utilizados en cada una de las capas de la arquitectura de red (modelo OSI).

Tienen la capacidad de integrar la información obtenida desde todas las capas en un solo punto de inspección.

Este tipo de filtrado inteligente puede combinarse con la abilidad de poder ‘escanear’ sesiones de red.

20

Ventajas y desventajasVentajas y desventajas

Ventajas:

Un módulo de inspección puede manipular paquetes de forma más rápida que un servidor proxy, lo que permite reducir costos.Los firewalls de inspección pueden proveer traducción de direcciones, escaneo del contenidode los paquetes para la búsqueda de virus, entre otros servicios.

La principal desventaja de este tipo de firewall es que el nivel de procesamiento requerido en comparación con el filtrado de paquetes común, es mayor.