Manual de Usuario
Rol Administrador
Configuración de Firewall con Mikrotik
RB1100 AHx2
1
Tabla de Contenido
Rol de Administrador
1. Acceso a la Configuración del Router Mikrotik 1100 AHx2...........................................4
1.1. Accedemos al Winbox..................................................................................................4
1.2. Ingresamos la IP de conexión, login y password.........................................................5
1.3. Configurar nombre del dispositivo................................................................................5
2
Introducción
Este documento está diseñado para proporcionar una guía completa sobre las diversas configuraciones
disponibles para administrar eficientemente los equipos adquiridos. Desde el acceso inicial hasta la
configuración final.
A lo largo de este manual, se explorará una variedad de información configuración de los firewall con
Mikrotil, incluido el acceso por interface mediante usuario y contraseña, la configuración de ajustes y
configuración de valores según los alcances del equipo.
Con este manual, se proporcionará la orientación necesaria para aprovechar al máximo todas las
configuraciones disponibles en los firewall con mikrotik.
3
Manual de Usuario de Configuración Firewall con Mikrotik RB1100 AHx2
Rol del Administrador
1. Acceso a la Configuración del Router Mikrotik 1100 AHx2
1.1. Accedemos al Winbox
1.2. Ingresamos la IP de conexión, login y password.
4
1.3. Configurar nombre del dispositivo
Seleccionamos “System”, en el menú del sistema.
Seleccionamos “Identity”, en el submenú de “System”
Renombramos las interfaces Ethernet, en este caso son 3, la primera es la interface
OUTSIDE, que va conectada directamente a internet, la segunda es INSIDE donde
tenemos conectados los servidores empresariales y la tercera es DMZ donde están
5
los servidores en la red perimetral, es decir que se ubican en la red interna y externa
de internet.
OUTSIDE
DMZ
6
INSIDE
Aplicamos el direccionamiento IP, para ello seleccionamos IP>Adresses:
7
Configuramos la ruta por defecto para la salida a internet, que será un router ADSL con la
dirección IP 192.168.14.205, para ello nos vamos a IP>Routes:
8
Y configuramos la siguiente ruta estática:
9
Ahora vamos a configurar el NAT para las redes INSIDE y DMZ, para ello nos vamos a
IP>Firewall:
Sobre la pestaña NAT configuramos primero la regla para la red INSIDE:
10
Ahora configuramos el NAT para la red DMZ:
Hacemos clic en NAT, seleccionamos el botón + y seleccionamos la opción general.
11
Seleccionamos Action
12
Ahora vamos a configura el DNS caché, para ello nos vamos a IP>DNS:
Configuramos los siguientes parámetros: “Dynamic Servers” y “Cache Size”
Ahora vamos a configurar el DNS cache transparente (en realidad, esta parte de la
configuración es opcional, ya que el servidor DNS lo vamos a configurar en el controlador de
dominio, para que todos los equipos de nuestra infraestructura apunten a él como servidor
de nombres, lo muestro por si a alguien le interesa), para ello nos vamos a IP>Firewall
13
y pestaña NAT
y crearemos estas dos reglas para la redirección del DNS, una para la interface INSIDE y
otra para la DMZ
14
Todo lo que tenga como destino (dstnat), el puerto 53 (Dst. Port), con protocolo udp
(protocol), y que entre por etherX (In. Interface), será redireccionado (redirect), al puerto 53
(To Ports).
La función del DNS Caché transparente es que los equipos de nuestra infraestructura que
soliciten direcciones de internet, queden registradas en el router Mikrotik, y cada vez que los
15
equipos soliciten de nuevo estas direcciones, sea el Mikrotik quien se las sirva, todo esto de
una forma transparente para los equipos, agilizando así las comunicaciones.
Ahora vamos a crear una regla en el firewall para darle seguridad al DNS Caché y bloquear
el acceso a este recurso desde Internet, así evitaremos ataques desde el exterior, para ello
nos vamos a IP>Firewall y pestaña Filter Rules:
16
Ahora nos vamos a centrar en las reglas que hemos creado en el firewall para la topología
de red que hemos propuesto, intentaremos explicarlas una a una:
Desde la línea 15 a la 32 hemos configurado el Firewall para permitir
o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
De la línea 15 a la 18, creamos las cadenas de elementos a utilizar
para configurar el tráfico.
En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda
conectar con el MX01 a través de terminal server (por escritorio remoto),
y denegamos que MX01 se pueda conectar a MAIL01 a través de
terminal server.
De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync –
ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y
el MX01 (Servidor perimetral) puedan sincronizar los datos de
configuración de Active Directory, en este enlace podéis ver el proceso de
sincronización de EdgeSync.
17
En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus
Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en
la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky
que tenemos configurado en nuestra red INSIDE.
De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos
configurado INSIDE-DMZ-OUTSIDE.
18
