Teoría sobre interconexión de redes

Consideracións pedagóxicas

• No módulo Servizos en rede do Ciclo Medio de Sistemas Microinformáticos e Redes
  • No "BC8. Interconexión de redes"
    • Pasarelas a nivel de aplicació. Almacenaxe en memoria caché.
    • Encamiñamento de tráfico entre interfaces de rede
    • Devasas (firewlls). Filtraxe do tráfico entre redes
    • Reenvío de portos
• No módulo Servizos en rede do Ciclo Medio de Sistemas Microinformáticos e Redes
  • No "BC3. Interconexión de equipamentos en redes locais"
    • Adaptadores para redes con cables
    • Dispositivos de interconexión de redes
    • Adaptadores para redes sen fíos
    • Dispositivos de interconexión de redes sen fíos
    • Redes mixtas
  • No "BC4. Instalación e configuración dos equipamentos de rede"
    • Configuración dos adaptadores de rede en sistemas operativos libres e propietarios
    • Configuración básica dos dispositivos de interconexión de redes con cables
    • Configuración básica dos dispositivos de interconexión de redes sen fíos

Pasarelas a nivel de aplicación

A pasarela ou porta de enlace (gateway) é un dispositivo, un computador o un programa que permite interconectar redes con protocolos e/o arquitecturas diferentes a todos os niveis de comunicación. É habitual a súa utilización para conectar redes LAN a redes WAN (internet).

As pasarelas software a nivel aplicación son máis coñecidas coma proxy (tamén chamados servidores intermediarios). A súa utilidade máxima é centralizar as conexións dunha rede:

• cando so existe un único equipo ou router con conexión a internet
• para forzar a todos os equipos a pasar por un servidor seguro (con SSL, antivirus, devesa, rexistros ou log de sucesos e toda medida de seguridade necesaria)
• para aproveitar unha conexión proxy cache e así facer máis eficaz o uso de ancho de banda de varios equipos
• para pasar por un único porto aberto
• para evitar conexións a determinadas DNS, IP, páxinas web, etc. ou facer calquer outro filtrado de paquetes

O servidor proxy máis popular é Squid

Devesas (firewalls)

Unha devesa (cortafuegos ou firewall) é unha parte dun sistema ou red deseñado para bloquear o acceso non autorizado. Se

Trata dunha aplicación, parte dun sistema operativo, dispositivo hardware, ou unha combinación dos anteriores, configurados para filtrar, permitir, limitar ou cifrar o tráfico entre interfaces, terminais e redes en base a unhas normas e criterios (IP, DNS, paquetes, puertos, aplicaciones, procesos, etc.). Son imprescindibles nas empresas onde é habitual conectar á devesa unha terceria rede, coñecida coma zona desmilitarizada o DMZ (DeMilitarized Zone). Nela ubicanse os servidores accesibles desde o exterior, quedando a LAN protexida, pero con funcionalidade de intranet ou extranet.

As normas da devesa comunmente agrupanse en dúas políticas básicas de configuración:

Política restrictiva
denegase todo o tráfico excepto o explícitamente permitido; debemos ir habilitando os servizos necesarios. Esta é a política máis aconsellable por ser preventiva.

Política permisiva 
Permítese todo o tráfico excepto o explícitamente denegado. Este método é correctivo e precisa dunha continua "educación" ou reconfiguración.

Posibilidades

Servidor proxy

É normal nas empresas usar un servidor proxy devesa (Squid).

Devesas integradas

Windows ten unha devesa integrada desde a súa versión XP (Firewall ou Defender de Windows). Hai máis opcións, coma entre outras:

• ZoneAlarm
• Comodo

Outra alternativa son as suites de seguridade (Internet Security) que conteñen antivirus, devesa, antiespías, antimalware, antispam, antifraude, antimarcadores, escaneadores de portos, etc., coma son as dos segintes proveedores:

• Panda
• Norton
• Karpersky
• Bitdefender

O seu inconvinte e que ralentizan o funcionamento dos equipos para acadar a súa función.

Para Linux existen :

• Fail2ban
• Uncomplicated Firewall e Graphical Uncomplicated Firewall 1

e 2

En todo caso quizais a mellor opción sexa a que leva integrada Linux (iptables, netfilter), xa que posiblemente é o mellor filtro de red para DMZ; e realmente a maioría de devesas de Linux son entornos gráficos de manipulación de iptables.

IMPORTANTE. As devesas, do mesmo modo que os antivirus, non deben instalarse a pares, porque posiblemente se bloqueen entre eles e penalicen moito máis o rendemento da máquina. 

Como dicíamos, unha devesa en cada equipo é unha solución que ralentiza en exceso, sin contar co coste de licenzas; por iso unha boa solución sería instalar devesas en servidores proxy de acceso a internet ou configuralos nos propios puntos de acceso ou enrutadores.

Filtraxe do tráfico entre redes

Os novos routers teñen capacidade de devesa de portos (L4), IP (L3) ou incluso direccions MAC (L2).

Reenvío de portos (port forwarding)

O reenvío de portos (port forwarding) ou redireccionamiento de tráfico é unha técnica necesaria se usamos proxy ou servidor NAT para que accedan desde fóra equipos da rede. É unha forma de traducir os enderezos de paquetes entrantes.

O reenvío de portos fai posible que queden abertos; mais non debemos deixar abeertos estos buratos da devesa a non ser que sexa estrictamente necesario. O ideal e habitual é que os servidores estén nunha terceira rede coñecida coma DMZ.

Unha forma moi habitual de facer este redireccionamente é mediante iptables; ou máis recentemente con nftables, o proxecto que o vai sustituir.

En entornos Windows, é posible configurar o reenvío de portos. A través de interface, e para Windows 10, estes son os pasos:

• Cómo configurar el reenvío de puertos en Windows 10

PfSense: un firewall perimetral

PfSense é unha distribución baseada en UNIX FreeBSD adaptada para funcionar como firewall de rede ou como router.

Entre as funcionalidades máis salientables de pfSense están:

• Stateful firewall:
  • Baseado en PF (The OpenBSD Packet Filter).
  • Permite filtrar por IP orixe/destino, porto tcp/udp orixe/destino, sistema operativo que inicia a conexión...
  • Permite rexistrar (log) ou non o tráfico afectado polas regras.
  • Permite definir políticas de enrutamiento para ter balanceo de carga (load balancing), tolerancia a fallos (failover), varias saídas a Internet (multiple WAN)...
  • Permite usar alias para construír xogos de regras complexos pero lexibles.
  • Deshabilitando o filtrado convértese nun router puro.
• Táboa de Estado: Mantén a información das conexións abertas permitindo ademais:
  • Axustar o seu tamaño en función do hardware do equipo.
  • Elixir entre varias políticas de xestión para optimizar o seu funcionamento sobre a base das características dos enlaces (p. ex. para liñas de satélite con alta latencia as entradas asociadas a conexións inactivas consérvanse durante máis tempo do normal).
  • Poder controlar en cada regra o n.º de conexións simultáneas n.º de novas conexións por segundo...
• Redundancia: usando CARP dous ou máis firewalls pódense configurar para formar un failover group. Se unha interface falla no principal ou o principal cae totalmente, o secundario pasa a estar activo.

PfSense proporciona sincronización para que os cambios de configuración no principal se teñan en conta no secundario. Ademais sincronízase tamén a táboa de estado o que permite o mantemento das conexións establecidas en caso de fallo.

• Balanceo de carga (Load Balancing): pfSense permite balancear tanto as conexións saíntes coma entrantes:
  • Outbound Load Balancing: permite usar varias conexións WAN, mellorando o rendemento ademais de proporcionar failover. Por exemplo, se hai tres conexións a Internet, pfSense reparte o tráfico saínte da organización entre as tres saídas. No caso de que unha das saídas caia, automáticamente pfSense deixa de enviar paquetes por ela, empregando unicamente as saídas que funcionan. Cando detecte que esa saída volve estar operativa, comezará a enviar paquetes novamente por ela.
  • Inbound Load Balancing: permite distribuír a carga entre varios servidores. Por exemplo, pódese montar tres servidores web coa mesma información e cando pfSense reciba unha solicitude procederá a enviala o primeiro servidor, a seguinte ó segundo e así sucesivamente.

• NAT: traducción de direcciones públicas-privadas para:
  • Permitir a saída a Internet a equipos de organizacións que empregan direccionamento privado na intranet.
  • Permitir o acceso dende Internet a servidores ubicados dentro da organización e que empregan direccionamento privado.

• Portal Cautivo (captive portal): para forzar a autenticación ou a aceptación de condicións antes de poder navegar, permitindo ademais:
  • Controlar o n.º máximo de conexións concorrentes por cliente.
  • Desconectar clientes ao cabo de certo tempo de uso ou de inactividade.

• DDNS (Dynamic DNS): permite a actualización en tempo real da información dns. Usado habitualmente para asignar un nome de dominio a un equipo cunha ip variable (asignada por dhcp).

• VPN (Virtual Private Network): as redes privadas virtuais permiten que equipos situados no exterior poidan traballar coma si estivesen dentro da intranet da organización dun xeito seguro, grazas ó estabrecemento de tuneis cifrados.

• Servizos básicos: servidor DHCP, axente de retransmisión dhcp, servidor DNS, etc.

• Sistema de paquetes: que permite ampliar as funcionalidades da instalación inicial permitindo a instalación e configuración vía web de paquetes como squid e squidguard para converter pfSense nun proxy caché con filtrado de contidos, HAVP para detección de virus en http, Snort para converter pfSense nun sensor IDS/IPS, PfBlocker, postfix forwarder, freeradius, etc.

pfSense pode considerarse un exemplo do concepto UTM (Unified Threat Management) ou Xestión Unificada de Ameazas que a día de hoxe a industria da seguridade informática está a impulsar. Trátase de dispositivos 'todo nun', que engloban múltiples funcionalidades: network level firewall, proxy http-smtp-pop-imap, filtro anti-spam, antivirus-antispyware, filtro de contidos, IDS/IPS, autenticación de usuarios, Virtual Private Networks (VPN), Hotspot, portal cativo (captive portal), alta dispoñibilidade, etc.

Filtrado e regras

Os firewalls á hora de filtrar paquetes poden combinar distintas técnicas:

• Xogo de regras (ruleset): tamén chamado ACL (listas de control de acceso) en moitos dispositivos. Posteriormente falarase con mais detalle dos ruleset.
• Filtrado de camiño inverso (Reverse Path Filtering - RPF): permite verificar todo o tráfico de entrada dun interface, comprobando que as direccións de orixe son coñecidas mediante a táboa de enrutamiento (Routing Information Base- RIB). Verifícase cada paquete coa táboa de rutas e se a conexión procede dunha IP e interface onde se sabe que non reside a rede, o paquete descártase directamente (p.e. un paquete procedente da WAN con IP da nosa organización). É un filtrado baseado en direccións IP de orixe.
• Rutas de descarte (null routes): permite enviar o tráfico especificado a unha interface virtual de descarte. Impleméntase modificando a táboa de enrutamiento. É polo tanto un filtrado baseado na dirección IP de destino.

En moitos firewalls perimetrais adoita aplicarse un filtrado coñecido como de entrada/saída (ingress/egress) de maneira que sexan o primeiro punto de control do tráfico. Para un rendemento óptimo, o habitual é filtrar no interface máis próximo; é dicir, o tráfico de saída cara a Internet filtralo no interface interno e o tráfico de entrada de Internet filtralo no interface externo.

Á hora de decidir que facer cun paquete os firewalls adoitan adoptar algunha estas accións:

PASS: o paquete é aceptado e continúa a súa marcha.

BLOCK: o paquete é descartado silenciosamente.

REJECT: o paquete é descartado pero infórmase o remitente:
Se é unha conexión tcp, envíase ao remitente unha mensaxe TCP RST (reset).
Se é unha conexión udp, envíase ao remitente unha mensaxe ICMP Porto inaccesible.

Utilizar BLOCK en vez de REJECT, permitirá manter oculto o firewall dificultando a tarefa de descubrir a política de seguridade implantada. Coma contrapartida, descartar paquetes usando BLOCK provoca que o

Boas prácticas no deseño de firewalls

A continuación indícanse unha serie de boas prácticas á hora de crear regras para configurar un firewall:

• Denegar por defecto (CleanUp Rule): permítese unicamente o tráfico requirido polas necesidades da rede e rexeitase o resto. Todo tráfico non autorizado nas regras será eliminado; polo que, para permitilo habería que contactar co administrador do firewall e que éste procedese a autorizalo.

Aínda que a opción de 'Permitir por defecto' é máis cómoda e vén activada por defecto en moitos routers e firewalls, non é a máis segura. Hai que crear regras para bloquear o tráfico non desexado. É moi cómodo, pero non é o máis seguro xa que pode haber tráfico non desexado atravesando o firewall (p.e. o administrador esqueceu crear a regra correspondente para bloquealo).

• Sinxeleza e claridade: á hora de crear o ruleset hai que pensar e planificar para que sexa o máis claro e sinxelo. Conxuntos de regras moi longos, desorganizados ou excesivamente complexos facilitan que os administradores cometan erros permitindo ou bloqueando tráfico que non corresponde. Hai que seguir o principio KISS (Keep It Simple).

Sempre que o dispositivo o permita é recomendable empregar alias para facilitar a comprensión e o mantemento das regras. Por exemplo, usando un alias de nome IP_admin asociado á dirección IP do equipo do administrador, facilitase a interpretación das regras. Ademais, no caso de que o equipo do administrador cambiase de dirección, poderíamos actualizar o valor do alias á nova dirección, actualizándose todas as regras onde apareza, sen necesidade de reemplazar un a un o valor en todas as regras do firewall.

• Direccións marcianas (martians): denega a entrada e saída de direccións marcianas. As direccións marcianas son todas aquelas que pola súa asignación non poden xerar tráfico Internet válido (e, polo tanto, seguramente enmascaran tráfico ilícito). As direccións a bloquear serían:

Direccións reservadas pola IANA: 0.0.0.0/8, 10.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.88.99.0/24, 198.18.0.0/15, 192.168.0.0/16, 224.0.0.0/4, 240.0.0.0/4.
Direccións recollidas no RFC 3232: este documento e establece unha base de datos online e en continuo cambio como referencia obrigada para a asignación dos rangos de direccións IP por IANA.

No caso de firewalls que están dentro de organizacións que usan direccionamento privado, habería que analizar cales destas redes están en uso para permitir o seu tráfico, bloqueando o resto.

• Direccións non asignadas (unallocated): denega a entrada e saída de tráfico orixinado en direccións válidas pero que non están en uso.
• Regras Antispoofing: denega a entrada de tráfico coas túas direccións e a saída de tráfico non orixinado coas túas direccións; é dicir, tráfico cuxa IP de orixe non se corresponde co segmento de rede do que procede. Non ten sentido que o firewall reciba dende a Intranet paquetes con IP orixe unha IP que non é da Intranet e do mesmo xeito, non ten sentido que o firewall reciba paquetes dende Internet con IP orixe unha IP da Intranet da organización.
• Permite explícitamente o tráfico de retorno cara ás túas direccións e de saída orixinado coas túas direccións.
• Xestión do firewall: prohibe o acceso non autorizado ós firewalls. Para facelo correctamente debería haber dous grupos de regras:

En primeiro lugar, garantir o acceso dende equipos autorizados (anti Lockdown Rule).
En segundo lugar, prohibir o acceso ó resto (Lockdown Rule ou Stealth Rule).

• Tráfico de xestión e monitorización: unicamente permite o tipo de tráfico de xestión e monitorización necesario e estrcitcamete ós equipos implicados.
• Permite o tráfico dos protocolos de enrutamiento e de rede necesarios.
• Servizos ofrecidos pola organización: este punto será explicado con maior detalle na seguinte actividade, pero como adianto recoméndase:

Permitir unicamente o acceso ós portos/servizos ofrecidos pola organización. Normalmente estes servizos correrán en servidores ubicados nunha rede especial chamada DMZ.
Denegar o tráfico de saída aos servidores da DMZ (Sneaky Rule): os servidores recibirán peticións e responderán ós clientes. É dicir, a conexión é iniciada por un cliente e autorizada polo firewall, polo que as respostas dos servidores estarán autorizadas para saír. O que se está a impedir con esta regra é que os servidores inicien conexións hacia fóra, que normalmente non son necesarias para desempeñar ás súas funcións. 

Un aspecto moi importante nun sistema de seguridade é a monitorización e os rexistros. O administrador debe poder saber o estado do firewall e que tráfico é/foi autorizado ou bloqueado. É recomendable:

• Rexistrar o tráfico denegado (Log Denied Rule).
• Rexistar e alertar en caso de tráfico dende unha zona DMZ.
• Non rexistrar o tráfico ruidoso pero necesario como o broadcast (No Logging Rule).
• Centralización dos rexistros nunha máquina onde se faga unha análise automática de rexistros. Para isto existen ferramentas específicas coñecidas como SIM (Security Information Management) e SIEM (Security Information and Event Management).

Outro punto de especial importancia é documentar a configuración:

• Comentar as regras para facilitar a súa finalidade. Hai que pensar que pode pasar tempo dende que se crearon unhas regras ata o día en que hai que cambiar o ruleset do firewall ou que o firewall sexa revisado por outra persoa diferente á que creou as regras.
• En ámbitos grandes débese manter unha documentación detallada describindo a configuración. Debido ao sensible desta documentación, debe estar protexida.

Referencias

• Teoría do CIFP de aprendizaxes virtuais e dixitalizados
• Servicios en red. Editorial Mc Graw Hill
• Servicios en red. Editorial Editex
• Banco de recursos de FP da Xunta de Galicia. Autor: Manuel González Regal