Objetivo

Cuando se conecta un sistema a una red, una de las tareas que debe realizar el administrador
del sistema es garantizar un mínimo de seguridad en su sistema. Una de las tareas que en esta
práctica se pretende desarrollar, es que el alumno implemente filtros de paquetes para controlar
el tráfico de su sistema.

Al finalizar la sesión dispondremos de un PC conectado a una red que tiene implemantado una
política de filtros que lo harán más seguro dentro de la red de área local en la que está
conectado.

Conocimientos previos
Aunque en clase de teoría ya se han impartido los puntos más importantes para poder efectuar
esta práctica, como referencia, se puede usar la múltiple información que sobre cortafuegos en
general, y sobre iptables, en particular, aparece en Internet.

Algunos documentos interesantes son:

Guía de administración de redes con Linux

En la dirección http://lucas.hispalinux.es/Manuales-LuCAS/GARL2/garl2/x-087-
2-masq.configuration.html
, encontramos un manual con información para configurar el filtro de paquetes de linux.

Firewall-HOWTO

Documentación de linux sobre implementación y uso de cortafuegos.

Building Internet Firewalls

Guía escrita por D. Chapman y E. Zwicky de la editorial O'Reilly que explica cómo diseñar e
instalar cortafuegos para Unix, Linux, ... y cómo configurar los servicios de Internet en función al
cortafuegos establecido.

Firewalls and Internet Security

Escrito por W.Cheswick y S. Bellowin, en este libro, editado por Addison Wesley, se explica las
diferentes metodologías para el diseño e implementación de un cortafuegos.

Para la realización de la práctica se va a utilizar el sistema operativo knoppix.

Este es el software que no puede faltar en ningún café

Internet!!
 

Más de 50 aplicaciones de tipo GNU, de uso libre y que puede usar con su licencia
de Windows para ambientes comerciales y privados.

25 categorías para que a sus equipos no les falte nada.

Incluimos todo!! desde software para elaborar su plan de negocios hasta software para
hacer inventario del software de su café y software de administración y control.

Estas son las principales categorías:

 Plan de negocio, le ayuda si esta pensando en tener su café a elaborar su plan de

negocios.

 Software de control, el mejor software de control de tipo gratuito que hemos probado,

 Características:

        Funciona en prepago y pospago

        Creación de claves de prepago aleatorias o personalizadas para sus

clientes frecuentes

        Control de ventas de productos e inventario

        Estadísticos de horas navegadas por estación

        Estadísticos de ocupación por horas para saber a que hora se usan más
sus equipos.

        Estadístico por empleado con eso puede saber cual de ellos es mejor
vendedor

        Permite tener varios empleados y permitirles o no ver el estado de las

ventas diarias o históricas o modificar su configuración

        Recarga de tarjetas,

        Permite prender y apagar estaciones de forma remota

        Cambiar en simultaneo la página de inicio de todas sus estaciones

        Registro e histórico de páginas visitadas

        Permite el manejo de precios diferenciales si el cliente no usa Internet

        Manejo de horas felices y descuentos.

        Inicio Automático cuando prende su equipo

        Uso en Francés, Ingles y Español

        Reporte de ventas por rangos de fechas

Configuración de Squid
El trabajo y comportamiento de Squid es controlado por detalles de configuración
determinados en su archivo de configuración squid.conf, el cual usualmente se
encuentra en el directorio etc/squid. El archivo de configuración de Squid es bastante
grande, paginas de paginas, pero tiene todas sus opciones o parametros bien
documentados.

Lo primer que tiene que ser editado es el parametro http_port, el cual especifica el
puerto donde Squid escuchará los pedidos de los clientes, por defecto Squid escucha los
pedidos en el puerto 3128 pero esto puede ser cambiado a un valor definido por el
usuario. Ademas del valor del puerto, se puede determinar la direccion ip de la maquina
en la que se ejecuta el Squid; esto se puede cambiar a:

Instalación de un servidor web Apache

Como ya hemos indicado, antes de definir el servicio tenemos que identificar algunos
elementos de configuración. Para este caso concreto, estos elementos son:

 nombre del servicio: httpd

 script de arranque y parada: /etc/init.d/httpd
 partición de datos en el disco compartido: /dev/sda1
 punto de montaje: /var/www
 máquina en la que va a ejecutar el servicio por defecto: servidor1
 dirección IP flotante: 192.168.1.101

Una vez tenemos identificada toda la información necesaria para definir el servicio
podemos empezar con la instalación y configuración del mismo. El primer paso consiste
en instalar y configurar el software Apache en ambos equipos del cluster. Podemos
comprobar que el servidor web está funcionando correctamente accediendo a la página
de prueba que se instala por defecto. Cuando esté instalado el servidor web en ambos
equipos, paramos el servicio (por ejemplo con service httpd stop), y realizamos la
siguientes pasos:
En el servidor 1:
 montar la partición correspondiente a Apache en el disco compartido en un
punto de montaje temporal,

mount /dev/sda1 /mnt/tmp

 copiar los datos de nuestra página web al disco compartido,

cp -r /var/www/* /mnt/tmp
 borrar los datos originales

rm -rf /var/www
 desmontar la partición y volverla a montar en su destino final,

umount /mnt/tmp
mount /dev/sda1 /var/www
  comprobar que el servidor web sigue funcionando, y

service httpd start

 parar el servicio y desmontar la partición.

En el servidor 2:
 borrar los datos originales,
 montar la partición en el directorio destino, y comprobar que el servicio
funciona correctamente, y
 parar el servicio y desmontar la partición.

Configuración del servidor Samba

Todos los ficheros de configuración que tienen que ver con el servidor Samba se
encuentran bajo el directorio /etc/samba. El fichero principal de configuración se
denomina /etc/samba/smb.conf.

El objetivo es implantar un controlador de dominio Windows que obtenga la

información de los usuarios de un servidor LDAP, para ofrecer la posibilidad a los
clientes Windows que inicien sesión en el dominio. Por tanto habrá que instruir al
servidor Samba que lea los usuarios de la base de datos LDAP.

Un fichero de configuración apropiado para conseguir dicho objetivo sería el siguiente:

[global]

unix charset = LOCALE

workgroup = DSIC2

netbios name = groucho

passdb backend = ldapsam:ldap://127.0.0.1

username map = /etc/samba/smbusers

log level = 2

syslog = 0
 log file = /var/log/samba.log

max log size = 50

smb ports = 139 445

name resolve order = hosts wins bcast

wins server = 158.42.250.200

time server = Yes

show add printer wizard = No

add user script = /usr/sbin/smbldap-useradd -a -m '%u'

delete user script = /usr/sbin/smbldap-userdel -r %u

add group script = /usr/sbin/smbldap-groupadd -p '%g'

delete group script = /usr/sbin/smbldap-groupdel '%g'

add user to group script = /usr/sbin/smbldap-groupmod -m

'%u' '%g'

delete user from group script = /usr/sbin/smbldap-

groupmod -x '%u' '%g'

set primary group script = /usr/sbin/smbldap-usermod -g

'%g' '%u'

add machine script = /usr/sbin/smbldap-useradd -w '%u

passwd program = /usr/sbin/smbldap-passwd '%u'

logon script = scripts\logon.bat

logon path = \\%L\profiles\%U

logon drive = X:

domain logons = Yes

preferred master = Yes

ldap admin dn = cn=root,dc=dsic2,dc=upv,dc=es

ldap group suffix = ou=Groups

ldap idmap suffix = ou=Idmap

ldap machine suffix = ou=Computers

ldap passwd sync = Yes

ldap suffix = dc=dsic2,dc=upv,dc=es

ldap user suffix = ou=Users

idmap backend = ldap:ldap://127.0.0.1

idmap uid = 10000-20000

idmap gid = 10000-20000

printer admin = Administrator

 map acl inherit = Yes

printing = cups

printcap name = CUPS

[netlogon]

comment = Network Logon Service

path = /var/lib/samba/netlogon

guest ok = Yes

locking = No

[profiles]

comment = Profile Share

path = /var/lib/samba/profiles

read only = No

profile acls = Yes

 [print$]

comment = Printer Drivers

path = /var/lib/samba/drivers

browseable = yes

guest ok = no

read only = yes

write list = Administrator

Se puede verificar la corrección de este fichero ejecutando en el siguiente comando:

# testparm -s