- Introducción
- Desarrollo
- Creando ACL
para evitar ataques externos - Router o
firewall - Conclusiones y
recomendaciones - Bibliografía
RESUMEN
El siguiente trabajo
muestra las
posibilidades que posee un router para el
control del
tráfico no deseado y para evitar ataques desde fuera de
la empresa
creando las llamadas ACL (Access Control
List) Listas de Control del Acceso. En el mismo se presentan los
comandos
necesarios para crear las ACL y verificar su existencia
así como se explica detalladamente cada tipo de lista de
acceso, teniendo en cuenta sus posibilidades a la hora de filtrar
la información. Se usan ejemplos
prácticos para dar una idea más acertada de este
tipo de trabajo al lector, así como de gráficos para mejorar su entendimiento.
El trabajo
hace énfasis en la adecuada configuración de los
routers usando estás y otras técnicas
más avanzadas que permitan que estos dispositivos puedan
impedir muchos ataques que se originan fuera y dentro de la
empresa,
mejorando así en gran medida la seguridad de la
red.
INTRODUCCIÓN
Los Llamados router1[8] o encaminadores
(de su traducción al español)
son posiblemente los dispositivos de comunicación más importantes de
una red. Por
ellos pasa, casi siempre todo el tráfico de salida y
entrada de una red LAN2 con conectividad
WAN3, ya sea a Internet, o a otra red LAN de la
misma empresa incluso en muchas ocasiones estos dispositivos
pueden estar solamente conectando a dos o más redes LAN en
un mismo edificio de la empresa. Este hecho hace, que sobre este
dispositivo pese una responsabilidad muy grande y su funcionamiento
constante sea una necesidad más que una opción.
Además su principal funcionamiento como su nombre lo
indica es encaminar (o como comúnmente se le llama
enrutar) (Clare Gough 2003) los paquetes que pasan por
él, hacia la red indicada, permitiendo así la
interconexión de estas y garantizado que cada paquete
llegue siempre a su destino como si fuera una oficina de
correos. Al igual que las cartas y otros
documentos
postales, los
paquetes que viajan por nuestra red tienen una dirección fuente y otra dirección
destino que le permite al router decidir a cual red LAN van
dirigidos los paquetes y partir de esta información y
otras que el posee como parte de su configuración es que
determina por cual de sus puertas conectadas enviar el paquete
que llegó por otra (Clare Gough, 2003). Las puertas de un
router son sus enlaces de comunicación, por ejemplo: un
router CISCO 1841[6], puede tener 2 puertos
ethernet4 y si le compramos una tarjeta
WIC-1T5 tendría entonces un puerto
serie que sería destinado a uno o varios enlaces WAN. En
total estaríamos hablando de 3 puertas físicas 2
ethernet y una serie, con lo que el router podría
encaminar paquetes provenientes de 3 redes diferentes
(básicamente hablando, porque podremos recibir paquetes de
muchas otras redes en caso de conectar esa puerta serie a
Internet o tener configuradas
subinterfaces6 lógicas usando el
protocolo
fame-relay7 o usando un enlace
trunk8 en una de las puertas ethernet, contra
un switch9 de varias
VLAN10). En todos los casos el router
será capaz de enviar el paquete por la interfase que
conecta la LAN donde está ubicada la computadora
a la que va dirigido este paquete. Permitiendo así que
computadoras
de diferentes redes se comuniquen. Sin embargo a pesar de que
esta es la principal labor de un router, en los últimos
tiempos, con el avance de Internet y con este de los ataques a
las redes informáticas. Los router[8] han aumentado
significativamente sus funcionalidades convirtiéndose en
la primera trinchera o línea de defensa frente a un fuego
descomunal proveniente de todos los flancos posibles, por esta
razón hemos decidido escribir este documento para ayudar a
los jóvenes administradores que muchas veces asumen redes
ya en explotación a proteger estas, desde esta primera
trinchera usando estas técnicas que harán disminuir
en gran medida el riesgo de quedar
a meced de los atacantes.
DESARROLLO
Una ACL11 no es más que una regla
que permite al router saber si puede o no permitir
(permit) o denegar (deny) el
tráfico que proviene de una red, de una computadora o
va hacia una red determinada, etc (Wendell Odom, 2002). El router
como explicamos hace un momento, es el encargado de conectar
varias redes y usa sus llamados protocolos de
ruteo12 (Clare Gough, 2003) para realizar
esta acción,
pero antes de realizar esta labor, el router[9] examina su
configuración para saber si es posible encaminar estos
paquetes hacia el destino indicado en el encabezado
IP13 del paquete o si la dirección
desde la que se envía el paquete inspeccionado tiene
permisos para llegar a la red especificada (fig #1).
Entonces si el paquete pasa todas estas inspecciones prosigue
entonces el proceso de
routeo, pero al salir por la interfase seleccionada el paquete
vuelve a ser inspeccionado similarmente. Además estas
reglas no solo pueden especificar la dirección IP fuente o
dirección IP destino, sino que además son capaces
de verificar el puerto fuente y destino, el protocolo que se
está usando para establecer la
comunicación y otros aspectos. Así el router
tiene varias características que puede verificar en cada
paquete que llega a una de sus puertas para definir si lo puede
encaminar (ruterar) o no.
Página siguiente  |