Nota: el color rojo identifica que puede cambiar la configuración para tu máquina.
0. Virtualizar la máquina con 2 interfaces de red, un adaptador puente (escoger la tarjeta de red
por la cual está conectado a internet) y la otra con NAT.
Inicializar la máquina con el SO y verificar las interfaces con ifconfig. Mira la interface que tiene
como segmento 192.168.X.X. con el nombre de enp3s0, esta es aquella que va a colocar en
eth0
Establecer una ip estática para el servidor (debes verificar cuál es tu segmento de red, para este
caso se está trabajando con el segmento 192.168. 1.0/24, eth0 lo debes cambiar por una
interface enp3s0) y eth1 por la otra interface
Ir a editar el archivo de interfaces del SO:
nano /etc/network/interfaces
auto eth0
iface eth0 inet static
address [Link]
netmask [Link]
network [Link]
gataway [Link]
Nota:
eth0 y eth1 representan las interfaces de puente y NAT configuradas en su VBox, verificar la
interface - enp3s0 - [Link] debe ser la ip entregada por la interface eth0
- EMPEZAREMOS CONFIGURANDO SQUID PROXY
Documentación [Link]
1 Instalar en paquete
apt-get update
apt-get install squid
2. Ir a el directorio de configuración del squid con el comando cd (/etc/squid3/[Link]) y
hacer un backup del archivo de configuración por defecto (Se debe hacer una copia con el
comando cp) (3 es la versión, el archivo [Link] puede estar configurado en -
/etc/squid/[Link]
cd /etc/squid3/
cp [Link] [Link]
3. En la terminal ejecutar el siguiente comando para quitar los comentarios y la
documentación por defecto – escribir las comillas simples
grep –Eiv ‘(^#|^$)’ [Link] > [Link]
3.1 Mirar la configuración del archivo [Link] y verificar si no hay los comentarios o alguna
línea que inicie con #. Debes ver algo así, acl: políticas centralizadas para la administración de la
red. Averiguar en internet que son los ACL squid:
nano [Link]
4. Dentro del archivo, debajo la última acl, vamos a definir los nombre, los elementos y las
nuevas listas de acceso Agregar tu red local para realizar el filtro de paquetes del proxy ej::
acl redlocal src [Link]/24
4.1 agregar que se va a permitir el acceso con
http_access allow redlocal
4.2 Personalizar el mensaje del administrador del proxy
visible_hostname FuclaProxyServer
4.3 Guardar el archivo [Link] (control + o)
5. Regresar a la terminar en el directorio del squid (/etc/squid3)
5.1 Crear un archivo de para filtrar páginas web y agregar las paginas
nano paginas_bloqueadas.acl
5.1.1 agregar, el punto(.) indica que cualquier dominio será bloqueado, cada pagina debe
ir en una línea diferente
.[Link]
.[Link]
5.1.2 guardar el archivo y regresar la ruta (/etc/squid3)
5.2 Crear un archivo de para filtrar palabras dentro de una url y agregar las paginas
nano palabras_bloqueadas.acl
5.1.1 agregar las siguientes expresiones regulares (Buscar si no sabe que son las
expresiones regulares y como se aplican a squid proxy) cada expresión regular debe ir en
una línea diferente. Ej:
^porn$
^sex$
^xxx$
5.1.2 guardar el archivo y regresar la ruta (/etc/squid3)
5.2 Estando en la ruta principal de squid (/etc/squid3) Editar el archivo [Link] y agregar las
acl - filtro de paquetes para los archivos creados con anterioridad. Debajo de la ultima acl
escribir:
acl bloquear_paginas dstdomain “/etc/squid3/paginas_bloqueadas.acl”
acl bloquear_palabras url_regex [-i] “/etc/squid3/palabras_bloqueadas.acl”
http_access deny bloquer_paginas
http_access deny bloquear_palabras
5.2.1 Guardar el archivo, regresar a la terminal en la ruta del squid y reiniciar el squid
5.2.3 Verificar que todo está correcto con el comando squid
5.2.4 Reiniciar el squid con: service squid restart.
INSTALAR UN FIREWALL EN UBUNTU
UFW (Cortafuego sin complicaciones - Uncomplicated Firewall) – Posibilita el filtro de paquetes de
entrada y salida en el SO Ubuntu. Una manera fácil de manejar las IPTables
Recursos
[Link]
[Link]
w
1 Instalar el Firewall
apt-get install ufw
1.1. Opcional - Resetear información del firewall, escribir en la consola
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
2. Verificar Estado y habilitar el Firewall
ufw status
ufw enable
ufw allow 3128 -> puerto utilizado por el proxy
ufw allow 80 -> puerto utilizado por el http
ufw allow 443 -> puerto utilizado por el https
1.1 Verificar si ya se encuentra configurado que el firewall inicie por defecto con el sistema, la ruta
para ejecutar el firewall cuando se inicie el sistema /ect/ufw/[Link]
# Set to yes to start on boot. If setting this remotely, be sure to add a rule
# to allow your remote connection before starting ufw. Eg: ‘ufw allow 22/tcp’
ENABLED=yes
3. Verificar el estado de las políticas y reglas de seguridad actuales
ufw status verbose
ejemplo de la salida
Output:
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip
To Action From
-- ------ ----
3128/tcp ALLOW IN Anywhere
4. habilitar las políticas generales predeterminadas
ufw default deny incoming -> Entradas
ufw default allow outgoing -> Salidas
ufw enable
5. si desea agregar nuevas políticas se pueden realizar con el siguiente comando
ufw allow/deny puerto/protocol
Ej:
ufw allow 80/tcp
ufw allow 443/tcp
6. Eliminar políticas
ufw delete puerto/protocol
7. Redireccionar todo lo que se escucha por el puerto 80 para el puerto 3128
SNAT: permite el tráfico desde la red interna hacia internet ( Buscar que es NAT (SNAT y DNAT))
Primero deber permitir el reenvío de paquetes entre los diferentes puertos
echo 1 > /proc/sys/net/ipv4/ip_forward
o
nano /etc/ufw/[Link]
net/ipv4/ip_forward=1
9. Enviar todo el tráfico de la red para el Squid. Para Habilitar DNAT, SNAT y Redirección en el ufw, debes
haber primero instalado el ufw.
Ir a editar el archivo [Link] del ufw en /etc/ufw/
Escribir en la consola
nano /etc/ufw/[Link]
Añadir las siguientes líneas antes de *filter
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s [Link]/24 -o eth1 -j MASQUERADE
-A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-ports 3128
COMMIT
Después de realizar todos los comando, configurar el proxy en el sistema operativo anfitrión
(Windows) con la ip de [Link] y puerto 3128.
Nota
[Link]/24 => segmento de red
