

Demostración

Resultado de aprendizaje

Crea políticas y métodos de acceso de usuarios a redes locales y amplias para proteger a las
organizaciones de intrusos y actividades no deseadas, en el ámbito de seguridad de redes y
periféricos.

Consideraciones iniciales

En este contenido revisaremos y configuraremos a modo de demostración el funcionamiento de

cortafuegos (IPTABLES) nativo de Linux (Máquina CentOS), con fin de aplicar los conceptos teóricos
en una actividad practica y comprender cómo desarrollar correctamente esta configuración.

Además, se revisará la configuración del servicio SSHD, también nativo de Linux, con el fin de aplicar
los conocimientos de acceso en un servicio ampliamente usado en la industria para la
administración remota de un servidor, equipo de red o cualquier otro host de red compatible.

Cortafuegos

La segmentación de la red permite dividirla según las necesidades de la organización, buscando

criterios de funcionalidad y seguridad para hacer de la segmentación un beneficio. Los cortafuegos
o firewall buscan crear una línea de seguridad perimetral que está profundamente relacionada con el
acceso.

 Recuerda
Se aplicará una configuración de cortafuegos en una máquina CentOS de Linux,
específicamente con el servicio de IPTABLES, en el cual viene incluido el sistema operativo de
forma nativa. Para esto debe tener una máquina con CentOS instalado. (revisar el material
complementario mediante un clic aquí
(https://ipp.instructure.com/courses/9959/pages/demostracion-m2-puesta-a-punto) ).

 Comandos Básicos

Los comandos básicos no necesariamente se deben aplicar en orden y tiene relación con la
administración del servicio, mas que con la configuración del mismo. Estos deben ser
ejecutados en la consola del servidor (terminal).

Instalación del Paquete

#yum install iptables

Iniciar el Servicio

#service iptables start

Detención del Servicio

#service iptables stop

Mostrar Reglas de Iptables Existentes

#iptables -Lp

Borrar Reglas de Iptables

#iptables -F

Guardar Cambios

#service iptables sabe

  

Reiniciar el Servicio

#service iptables restart

Reiniciar el Servicio

#service iptables restart

Creación de Reglas

Reglas hay muchas y formas de aplicar también, puede ayudarse con algunos tutoriales
(http://www.alcancelibre.org/staticpages/index.php/introduccion-iptables) o foros para ver algunas de
ellas. A continuación, se presentas las más utilizadas, recuerde siempre considerar el
direccionamiento IP planteado en su red.

 Establecer Políticas por Defecto

#iptables −P INPUT ACCEPT

#iptables −P OUTPUT ACCEPT

#iptables−P FORWARD ACCEPT

#iptables −t nat −P PREROUTING ACCEPT

#iptables −t nat −P POSTROUTING ACCEPT

 
  Reglas de NAT (salida a internet)

#iptables −t nat −A POSTROUTING −s 172.16.1.0/24 −o eth0 −j MASQUERADE

Donde: 172.16.1.0/24 la red local (LAN); y eth0 la interfaz hacia la WAN

 Cerrar el Acceso de la DMZ a la LAN

#iptables −A FORWARD −s 192.168.1.0/30 −d 172.16.1.0/24 −j DROP

Donde: 192.168.1.0/30 la red de la DMZ; y 172.16.1.0/24 la red Local (LAN)

 Acceso desde la WAN a DMZ para un Servicio

#iptables −t nat −A PREROUTING −i eth0 −p tcp −−dport 80 −j DNAT −−to 192.168.1.2:80

Donde: eth0 es la interfaz que va a la WAN; -p tcp, es protocolo TCP; --dport 80, puerto de
servicios WEB; 192.168.1.2:80, es el socket del servidor de la DMZ con el servicio WEB

Servicio SSH

El servicio SSH permite las conexiones remotas seguras hacia un determinado servidor, en Linux el
servicio por defecto es sshd, como es un protocolo conocido opera en el puerto 22 de TCP. A
continuación, se muestran comandos básicos de configuración.
  Comandos básicos

Los comandos básicos permiten la administración general del servicio, como detenerlo,
iniciarlo e instalarlo, etc. Estos no necesitan ser ejecutados en orden.

Instalación del paquete

#yum install sshd

Iniciar el servicio

#service sshd start

Detención del servicio

#service sshd stop

 Analizando el archivo de configuración

Entrar al archivo de configuración

#vi /etc/ssh/sshd_config

 Nota
 En este caso se está usando el editor VI , usted puede usar el que estime conveniente. El editor
VI es nativo de los sistemas basados en Linux, es 100% línea de comandos (CLI) y no necesita
ser instalado.

Puerto por el cual se escucha

No permitir el login del usuario “root”

Otras configuraciones (https://bit.ly/2kXbvNc)

LoginGraceTime:

Estableceremos el tiempo necesario para introducir la contraseña, evitando que el atacante

tenga que «pensar mucho».

MaxAuthTries:

Número de intentos permitidos al introducir la contraseña antes de desconectarnos.

MaxStartups:

Número de logins simultáneos desde una IP, para evitar que se pueda utilizar la fuerza bruta
con varias sesiones a la vez.

 
 AllowUsers:

Es crear una lista blanca de usuario. Este parámetro nos permite configurar los usuarios que
podrán conectarse. Una medida muy restrictiva, pero a la vez muy segura ya que bloqueará
todas las conexiones de los usuarios que no estén en el listado. Los usuarios que tengamos
aquí podrán conectarse, y el resto no.

DenyUsers:
Parecido al anterior, pero ahora creamos una lista negra. Los usuarios que tengamos aquí no
podrán conectarse, y el resto sí.

AllowGroups/DenyUsers:

Exactamente igual a lo anterior, pero en lugar de crear una lista blanca/negra de usuarios, es de
grupos de usuarios.

Como ya hemos podido revisar en cada una de las demostraciones y en el material de apoyo (videos
tutoriales (https://ipp.instructure.com/courses/9959/pages/demostracion-m2-puesta-a-punto) ) se puede
observar que hay una gran cantidad de configuraciones y opciones para habilitar o deshabilitar, esto
depende necesariamente de la política de seguridad de la empresa, siempre se aconseja que
mientras más restrictiva la seguridad es mejor. Pero también debe considerar el equilibrio entre la
disponibilidad y la seguridad.

Poco a poco en la medida que vaya creando políticas de seguridad y aplicando configuraciones,
conseguirá adquirir la habilidad para determinar si es importante o no ciertas configuraciones.
Recuerde que lo primero es saber que se desea asegurar antes de hacer cualquier cosa.

Conclusión

Con la demostración se ha dejado claro algunos ejemplos de configuraciones de seguridad a nivel

de acceso, como lo son SSH e IPTABLES. Para efectos de recordatorio y ayuda se ha revisado
rápidamente la instalación básica de un servidor CentOS y se reforzó el tema de la configuración de
las tarjetas de red.

Manejar las configuraciones básicas en Linux nos ayudara para lograr configuraciones avanzadas de
seguridad y que requieren el manejo de algunos comandos básicos por medio de la terminal (CLI).
Considere estos ejemplos e investigue sobre otros parámetros de configuración de estos servicios,
así lograr un mejor aprendizaje y lograr la competencia asociada a la unidad.

Linux requiere de constante trabajo y ejercicio por parte de quién lo administra para obtener mayor
habilidad en la administración del sistema, y de esta manera sacar el mejor rendimiento de la
máquina y sobre todo mitigar todas las vulnerabilidades posibles.