Práctica Nº2.-Seguridad Perimetral. Diseño de Firewalls. Iptables y Zentyal
Una vez configurado los firewall se podrá comprobar su correcto funcionamiento desde el resto de máquinas virtuales, indicando como DNS preferido la dirección IP de la mv3 si estas se encuentran en las redes internas protegidas, o la dirección IP externa del firewall1 si queremos comprobarlo desde una máquina externa (el firewall1 la redireccionará a la mv3).
Solución Ej. Pr. 2.3.7.I.- Configuración de una Zona Perimetral compuesta de un doble Firewall – DMZ – Intranet Protegida Al igual que en los ejercicios anteriores, la solución se dará en formato script. continuación se muestran los scripts que habría que ejecutar en ambos firewall, mv1 y mv2:
A
[root@mv1]# nano /etc/init.d/conf-red.sh #!/bin/bash # Paramos el servicio networking para permitir la configuración mediante nuestro script: /etc/init.d/networking stop # Configuramos las direcciones IP, puerta de enlace y servidor DNS preferido ifconfig eth0 192.168.1.2 ifconfig eth1 192.168.111.100 route add default gw 192.168.1.254 echo "nameserver 8.8.8.8" > /etc/resolv.conf # Activamos el forwarding y el MASQUERADE para que actúe como un gateway echo "1" > /proc/sys/net/ipv4/ip_forward iptables -t nat -F iptables -t nat -A POSTROUTING -j MASQUERADE # Solución a): # Indicamos la políticas por defecto iptables -t filter -F iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # Permitimos el control remoto de mv1, mv2 y mv3 desde la máquina física 192.168.1.1 iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22002 -j DNAT --to 192.168.111.200:22 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22003 -j DNAT --to 192.168.111.150:22 iptables -t filter -A FORWARD -i eth0 -o eth1 -p tcp --dport 22 -d 192.168.111.200 -j ACCEPT iptables -t filter -A FORWARD -i eth0 -o eth1 -p tcp --dport 22 -d 192.168.111.150 -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # Permitimos el uso de ping para pruebas de conectividad iptables -A INPUT -p icmp -j ACCEPT iptables -A OUTPUT -p icmp -j ACCEPT iptables -A FORWARD -p icmp -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # Para permitir hacer el ping a nombres de dominio, y no sólo a direcciones ip iptables -A OUTPUT -o eth0 -p udp --dport 53 -j ACCEPT iptables -A FORWARD -i eth1 -o eth0 -p udp --dport 53 -j ACCEPT # Solución b): Seguridad Informática y Alta Disponibilidad – amartinromero@gmail.com 72
