Laboratorio No.

8
Operaciones con Filtrado Web

PROCEDIMIENTO

A. Realizaremos el uso de la capacidad de bloqueo de paginas

web o comúnmente como “Webfilter”

1024 Mb

ROUTER VMNET0 port1 FW

port2

512 Mb WIN-XP
Lan
VMNET1
rdp tcp3389
ftp tcp20/21

En este laboratorio no aplicaremos criterios de bloqueos basados en

categorías, debido a las limitaciones de nuestro firewall virtual
(https://docs2.fortinet.com/document/fortigate/6.0.0/fortigate-vm-on-
vmware-esxi/504166/fortigate-vm-virtual-appliance-evaluation-license).

En este caso para medir el funcionamiento de nuestro filtro web,

utilizaremos el uso de URL Filter para bloquear el acceso a paginas
web. Para este laboratorio requerimos de los siguiente elementos:

- Firewall FortiGate
- Estacion cliente WinXP

Configure las interfaces WAN (port1) y LAN (port2), recuerde el valor

de su red en base a su código (si no lo tiene consulte con el instructor)

Interface: port1 (WAN) Interface: port2 (LAN)

IP: Cada participante IP: 10.1X.1X.1/24
Mask: Cada participante Mask: 255.255.255.0
DHCP: Rango 100-150

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-1-
Para fines de verificación de los modulos anteriores, configure un NAT
para que pueda accesar mediante RDP y pueda realizar las operaciones
correspondientes con el uso de certificados.

1- Configure objeto VIP (NAT) de acuerdo a los siguientes

detalles:
1.1- Creacion de objeto VIP con el nombre “CLIENTEXP”
1.2- La interface a utilizar será el puerto WAN (port1)
1.3- Establezca como dirección externa, la IP WAN de su Firewall
1.4- Establezca como dirección interna, la IP de su Cliente XP
1.5- Habilite la opción port-forwarding
1.6- Seleccione el puerto 3389 como externo
1.7- Seleccione el puerto 3389 como interno

2- Cree la política de seguridad que permita el acceso al objeto

VIP:
2.1- Cree la política que permita el acceso al objeto VIP con el
nombre “CLIENTEXP”
2.2- La política tendrá que ser de WAN  LAN
2.3- Habilite el origen a todos (all)
2.4- Habilite el destino al objeto VIP creado “CLIENTEXP”
2.5- Que se ejecute siembre (Always)
2.6- Habilite el servicio RDP
2.7- Habilite la acción ACCEPT
2.8- Desactive la opción de NAT
2.9- Habilite el registro de toda la actividad (All Sessions)

Para un adecuado manejo de la estación cliente, desde su PC real

conectese por RDP al objeto VIP recientemente creado.

Desde esta sesión RDP se realizaran las operaciones de filtrado web que
se evidenciaran en el cliente WINXP.

Procederemos a crear un filtro web con el nombre WF01, el cual no

deberá tener activado el filtrado basado en categorías.

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-2-
3- Creacion de perfil de navegación Web Filter
3.1- Dirijase a la opción Security Profiles + Web Filter y presione
el botón Create New:

3.2- Cree un Web Filter con el nombre WF01, con las siguientes
opciones y habilite la opción URL filter:

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-3-
3.3- Una vez que haya activado la opción de URL Filter, le
aparecerá el siguiente cuadro, en donde tendrá que presionar el
botón + Create New:

3.4- Ingrese el valor www.skype.com con las siguientes opciones:

 URL: www.skype.com
 Type: Simple
 Action: Block
 Status: Enable

Para guardar los cambios presione el boton Ok

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/
-4-
 Las opciones inferiores se mostrara como la imagen siguiente:

4- Utilizacion del perfil de navegación (Web Filter) WF01 en la

política de salida hacia Internet
4.1- Dirijase a la opción Policy & Objects + IPv4 Policy y ubique
la política con el nombre Salida (la que realizo en la
laboratorio anterior).

4.2- Edite la política seleccionada y dentro del ámbito Security

Profiles, seleccione el modulo Web Filter WF01.

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-5-
4.3- Desde la PC WINXP, abra el software browser Firefox y
navegue al siguiente sitio URL:

http://www.skype.com/

Que le aparece como resultado?, por que?

4.4- Evidenciar que el bloqueo anterior fue realizado por el

Firewall, para lo cual diríjase a Log & Report + Web Filter y
observe los eventos registrados:

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-6-
4.5- Averigue la categoría a la que pertenece su pagina web
favorita:

Ingrese al siguiente sitio: http://www.fortiguard.com/webfilter

Ingrese el sitio: www.google.com

Aguarde hasta que aparezca el resultado y notara que

pertenece a la categoría Search Engines and Portals

4.6- Bloquear la descarga de archivos basado en la extensión del

archivo, para lo cual definiremos las siguientes extensiones:
 PDF
 EXE

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-7-
 Ubique el filtro Web WF01 y habilite la opción, File Filter:

Presione el botón + Create New y complete los datos tal cual

se aprecia en el siguiente grafico:

Presione el botón OK, para guardar los cambios.

Esta prueba debido a que el contenido en Internet se encuentra

en internet 2.0 (HTTPS) y a las limitaciones del firewall
virtual no se podrá evidenciar en su laboratorio local.

4.7- Para mejorar el nivel de inspección se puede utilizar el

certificado de inspección profunda.

Luis Hidalgo - https://www.linkedin.com/in/lhidalgo0204/

-8-