UD7.

Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

Seguridad Perimetral

7.1 Cortafuegos con IPTABLES

7.2 Filtrado de contenidos con Mikrotik

7.3 Cortafuegos: Kerio Control, Pfsense, OPENSene

------------------------------------------------------------------------------------------------------------------------

7.1. Cortafuegos con IPTABLES

Netfilter/iptables: Netfilter es un framework disponible en el núcleo Linux que permite interceptar

y manipular paquetes de red. Dicho framework permite realizar el manejo de paquetes en
diferentes estados del procesamiento. Netfilter es también el nombre que recibe el proyecto que
se encarga de ofrecer herramientas libres para cortafuegos basados en Linux.

El componente más popular construido sobre Netfilter es Iptables, una herramienta de

cortafuegos que permite no solamente filtrar paquetes, sino también realizar traducción de
direcciones de red (NAT) para IPv4 o mantener registros de log. El proyecto Netfilter no sólo
ofrece componentes disponibles como módulos del núcleo sino que también ofrece herramientas
de espacio de usuario y librerías.

Iptables es un firewall incluido en el kernel de Linux desde la versión 2.4 que está incluido en
el sistema operativo. Es un firewall basado en reglas, su funcionamiento se basa en aplicar reglas
que el mismo firewall ejecute. Estas IPtables también se encuentran en los firmwares basados en
Linux.

Tras esta pequeña introducción, vamos a realizar una serie de actividades para poner en práctica
lo visto anteriormente:

1.- Denegar PING/ACCESO

a) Mostrar reglas activas: sudo iptables -L

b) ping a nosotros mismos para comprobar conectividad: ping 127.0.0.1
c) Creamos regla para rechazar ICMP: sudo iptables -A INPUT -s 127.0.0.1 -p icmp -j DROP

1/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

d) Verificamos, ping de nuevo

en este caso no funciona el ping, hemos bloqueado el protocolo icmp.(se puede bloquear el
protocolo que queramos)

e) Listar las reglas de IPTABLES numeradas: sudo iptables -nvL --line-numbers

f) BORRAR regla: sudo iptables -D INPUT -s 127.0.0.1 -p icmp -j DROP

A añade - D borra

2/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

Otra opción para BORRAR sería:

sudo iptables -D INPUT 1 → esto sabiendo cual es la regla a borrar, en este caso el 1.
sudo iptables -F → borra todas las reglas

2. DENEGAR TRAFICO DE SALIDA

a) Obtener ip de cualquier web, así como los alias host -ta elpais.com

b) Bloquear el acceso a un dominio entero en este caso elpaís.com.

sudo iptables -A OUTPUT -d www.elpais.com -j DROP

3/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

Sería misma orden si queremos ir por IP, pondríamos IP en vez de dominio.

Ahora no podemos entrar a la web del país ni haciéndole ping ni entrando por navegador.

c) Dejar todo como estaba.

sudo iptables -D OUTPUT -d www.elpais.com -j DROP o
sudo iptables -D OUTPUT 1

Ahora podemos entrar a la web del país haciéndole ping o entrando por navegador.

Actividad 1: realiza los pasos que has visto anteriormente, y amplia lo visto realizando
algún ejemplo que sugiere la siguiente URL:

20 ejemplos de iptables para SysAdmins novatos (elbauldelprogramador.com)

Demuéstralo con capturas de pantalla y la explicación necesaria.

En el siguiente artículo puedes ver una alternativa a IPTABLES con UFW Firewall enlace. La
filosofía es la misma pero más intuitiva. Leetelo para ver como funcionaria este Firewall.

4/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

7.2 Filtrado de contenidos con Mikrotik

Los routers de Mikrotik tienen la función de firewall de nivel 7, es decir, son capaces de analizar el
contenido de los paquetes TCP/IP.

Tienes que instalar RouterOS en una máquina virtual con 2 tarjetas de red (puente y red interna) y
otra máquina virtual en modo red interna que utilice el router. EL ESCENARIO QUE PIDO LO
TENEMO REALIZADO EN EL TEMA ANTERIOR. Puedes utilizar la máquina donde instalamos
el servidor RADIUS.

Sigue los pasos de este enlace y mira también este otro para conseguir denegar el acceso a
alguna web (cambia la denegación de Facebook por otra a tu elección).

En el primer enlace el tutorial consta de dos partes(el ejemplo que he utilizado ha sido
www.elpais.com):

1- Bloquear el sitio web de Facebook para todos en la red local.

2- Permitir facebook para host (s) específico (s) y bloquear para otros en la red local.

1- Bloquear el sitio web de Facebook(elpais.com) para todos en la red local.

a) Primero comprobamos que Facebook está trabajando actualmente en nuestra red local.
(captura pantalla)

b) Comprobar la dirección IP de nuestro cliente(captura pantalla)

c) Entramos em Mikrotik

Necesitamos crear una nueva regla Regexp en Layer7 Protocols, con el fin de bloquear el
elpais.com para nuestra red local.

Para lograr este objetivo, siga estos pasos:

1- Vamos ficha Friewall(izda)- Layer7 Protocols

5/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

^.+(elpais.com).*$ (expresiones regulares, explicado segundo enlace )

2- en la misma pantalla vamos a:

- General

- en la misma pantalla en Action

6/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

Prueba la regla. No te debe de dejar acceder a elpais.com.

Elimina la regla o permite el acceso a la web.
Vuelve a probar que funciona.

Actividad 2: realizad los pasos que has visto anteriormente(puedes utilizar

cualquier web), y demuéstralo con capturas de pantalla y la explicación necesaria.

7/8
 UD7. Seguridad Perimetral

ACTIVIDADES OBLIGATORIAS-1

Práctica 7.3 Cortafuegos KerioControl/Pfsense/OPENSense

Un Firewall o “cortafuegos”, puede ser físico o software, se encarga de proteger la mayoría de

los ataques provenientes de una red externa insegura, por ejemplo la Internet. La tarea principal
es la revisión del tráfico de entrada y salida a fin de detectar posibles amenazas, siendo una
herramienta importante para cualquiera que necesite algo de seguridad dentro de una red.
Es importante señalar que la sola presencia de un firewall en una red, no es señal de protección
mientras no esté configurado.
El firewall permite diferentes tipos de ajustes por razones obvias: un 100% de seguridad implicaría
prácticamente impedir todo traspaso de información, por lo que se ajustan los niveles de
seguridad de acuerdo a la actividad que vamos a tener en la red, y de acuerdo al tipo de
información que vamos a querer recibir, por lo tanto un ajuste medio o poco más que medio es
suficiente, y además deja espacio para navegar sin falsas alarmas de seguridad que pueden
resultar engorrosas. Por otra parte, un ajuste demasiado “flojo” del firewall puede resultar en
intrusiones no deseadas.
Os doy varios cortafuegos muy utilizados hoy día. La práctica pretende que veáis su
funcionamiento, lo ideal sería que instalaseis alguno de ellos para ver su funcionamiento.
NO voy a exigir la instalación, pero sí que hagáis un resumen de las características que
ofrece cada uno de ellos y hacer gráficamente un escenario de trabajo.

1- El software KerioControl es un Sistema Operativo para aplicaciones de Firewall (es un Linux

en realidad). Puede descargarse para su evaluación desde la web oficial.(30 dias)

Si vais a usar VirtualBox (que es lo natural), debéis instalar la iso en una máquina virtual
configurada como Linux 2.6 / 3.x / 4.x (64-bit).

Instalaremos el KerioControl en una máquina con 2 interfaces de red: una conectada a la red de tu
casa en modo puente y la otra configurada en modo interno, es decir, configuración para actuar
como router.

Tutoriales recomendados

2- El software Pfsense es un Sistema Operativo. Puede descargarse en web oficial

La configuración de la máquina virtual es la misma que con KerioControl..

Debéis instalar la iso en una máquina virtual configurada como Linux 2.6 / 3.x / 4.x (64-bit). Una
máquina con 2 interfaces de red: una conectada a la red de tu casa en modo puente y la otra
configurada en modo interno, es decir, configuración para actuar como router.

Tutorial recomendado para su instalación.

Actividad 3: Realizad un manual técnico donde nos de información de las características de

uno de los Firewall antes indicados. Se pretende asesorar a posibles empresas para poder
disponer de un entorno fiable y seguro, tanto a nivel interno como externo.

8/8