FIREWALL, ACL, NAT

Firewall: sistema básico de seguridad y defensa cortafuegos, es  una barrera entre mi PC y la red o una LAN con la red. el trafico que se genera entre la red y mi PC es denegado o autorizado por firewall todo depende de la configuración con la que se dispone. realiza un filtrado de paquetes, del trafico pero no del contenido del mismo.

firewall sistema de control sobre puertos de un sistema, genera un nivel de confianza, se permiten accesos determinados a usuarios externos como internos. al igual que se determinan servicios.
con este cortafuegos podemos proteger, llamado también seguridad perimetral.
hardware, software, información esto podemos proteger.

Estableceremos  dos zonas una LAN y otra internet, crearemos un acces list  en el firewall que permita el trafico proveniente de internet. esto solo para 3 protocolos, y 5 puertos. lo demás servicios y puertos estarán denegados. al igual de la LAN deben salir paquetes a la red.

primero debemos tener un direccionamiento ip para nuestra LAN y las interfaces seriales, una ip privada en la LAN y la otra ip publica de router a router

utilizaremos la herramienta packet tracer para realizar primero allí las

antes  miremos bien que son las acces list y como es su función en general

ACL: listas de control de acceso son instrucciones que se aplican a una interfaz del router en ellas se  le indica al router que paquetes debe de aceptar y cuales rechazar estas tienen unas especificaciones como dirección origen, puertos, dirección destino. entre otras, el paquete que pase por la interfaz debe cumplir con las condiciones dada en cada interfaz.

las listas se pueden crear para todos los protocolos erutados de red como el IP protocolo de internet, el IPX intercambio de paquetes internetwork se genera un filtro de paquetes en los routers con dichas listas.
las ACL controlan el trafico en una dirección por vez, en una interfaz se necesita creas una ACL por separado para cada dirección. tanto para trafico entrante como saliente.

las sentencias de las ACL operan en orden secuencial lógico. las ACL se crean en modo configuración global.

existen dos tipos de ACL estándar y extendidas. miremos de que se trata.

ACL estándar: esta lista de acceso se aplica cerca del destino. su sintaxis de creación es la siguiente. recuerda estar en modo de configuración global dentro del router.

el access-list es el comando para iniciar la creación de la lista.
num_ACL: numero que identifica el acces list (1-99)
deny /permit : deniega o permite los paquetes provenientes de la fuente.
fuente: IP correspondiente al origen, puede ser un host, o una red.

wilcard_fuente:mascara de verificación.

ahora veamos como aplicar X lista en una interfaz.

las sentencias ACL que se identifican con acces-list están relacionadas a una o mas interfaces.
Protocolo: IP
acces-group: comando de vinculación ACL a la interfaz
num_ACL : el numero que le asignamos a dicha lista (1-99)
in / out: establece la lista para salir o ingresar.

ACL extendida: se aplica cerca al origen.

 access-list : comando para crear la lista
num_ACL: numero único identificador (100-199)
permit / deny: deniega o permite paquetes de fuente a destino.
protocol: protocolo del paquete, puede ser IP, UDP, IGRP, ICMP, TCP
Fuente:dirección IP del origen junto con su wildcard
destino: dirección IP del destino junto con su wildcard.
oper: lt (less than), gt (greater than), eq (equal), neq (non equal)
port: numero de puerto que identifica el servicio.





Para vincular el acces-list extendida, lo hacemos igual que la estandar, solo que alli varia el num_ACL van del 100 al 199.

Como eliminar una ACL.

2: numero de la acces-list a eliminar este numero varia.





QUE ES LA WILDCARD Y COMO SE OBTIENE.

Es una mascara diseñada para filtrar direcciones IP individuales o múltiples su fin permitir o rechazar accesos a recursos.
esta mascara se obtiene al restar la mascara de subred de 255.255.255.255

teniendo una mascara de subred 255.255.240.0

NOTA: teniendo los conocimientos previos de son las ACL, la wildcard, nos enfocaremos en la actividad planteada un poco mas arriba, subrayado el texto en fondo naranjado.

lo siguiente es asignar las direcciones IP en cada una de las interfaces y tener arriba el sistema que se puedan dar ping de la LAN a Internet.
el router llamado ISP recordemos que le pertenece a nuestro proveedor, el pC en internet debe tener una IP publica, pero para efectos de estudio utilizaremos una IP clase B , una publica entre los dos routers, y en la LAN una Clase C.
en nuestro router FIREWALL. configuraremos, ACL. NAT, ruta por defecto entre otras cosas.


 .dentro del router ingresamos hasta el modo configuración global y allí crearemos una ACL estándar que permitirá el ingreso desde internet a nuestra servidor y LAN.
para permitir solo tres protocolos y 5 puertos utilizaremos ACL extendida, pero antes utilizaremos el NAT estático para indicar la dirección del servidor. por una ip publica puedo ingresar a un servidor, si requiero ingresar a mas servicios requeriría mas ip publicas en la NAT para acceder a los servicios.


CONFIGURACIÓN NAT Y ACL

Primero debemos tener conectividad, funcionando perfectamente. Ahora necesitamos que los usuarios de nuestra LAN puedan salir a internet, allí es donde entra en función la NAT.

En un router que llamaremos router de borde configuraremos primero una ACL que pueda permitir a toda la LAN o solo a unos PC específicos salir a red. Para ello debemos tener mucho cuidado a la hora de crear nuestra ACL , ya que esta la relacionaros mas adelante con la NAT.

La NAT permite coger de una pool de IP pública que dispondremos en el router, para que se realice un cambio de IP privadas usadas internamente por la pública que nos permite navegar.

la figura anterior nos muestra la creación de la  access-list, ahora crearemos la NAT.
primer paso.

Ip nat pool actividad 200.18.18.2 200.18.18.2 255.255.255.252

Lo de amarillo: es el comando para crear cualquier NAT, es indispensable

De verde: es el nombre que asignaremos a esa NAT

Azul claro: es el rango de direcciones publicas con las que contamos, en este caso será solo una IP publica y por último la máscara color violeta de esa dirección.

segundo paso.
asociar la lista con el pool de la NAT.

Ip nat inside source list 18 pool actividad overload

En amarillo comando para relacionar ACL con NAT

En verde numero de la ACL estándar que no permite pasar paquetes.

pool actividad: como lo dice el nombre de la NAT que acabamos de crear.

Overload: es utilizado cuando solo tenemos un IP publica y necesitamos que 5 o mas PC desde la LAN tenga conexión a internet. Se conoce como NAT con sobrecarga. PAT (Port Address Translation).

tercer paso.
indicar que en las interfaces del router de salida y entrada del NAT

Ingresamos a las interfaces, según la imagen debería ser de la siguiente manera.

Router(config)# interface fa0/0

Router(config-if)# ip nat inside

Router(config)# interface fa0/1

Router(config-if)# ip nat outside

En nuestro caso solo contamos con dos router y solo configuramos el de firewall  ya que el otro le pertence a nuestro proveedor. Con lo anterior terminamos el NAT pero nos falta erutar nuestros router. Acá colocaremos una ruta por defecto

La ruta por defecto se realiza en configuración global teniendo en cuenta nuestro figura.

 

Router(config)# ip route 0.0.0.0 0.0.0.0 200.18.18.1

Rojo: comando iniciar rute defecto

Verde opaco: net destino 0.0.0.0 no conocemos la ip del destino

Verde fofore: mascara. Aca es 0.0.0.0 ya que no delimitamos

Amarillo ip siguiente salto o nombre de la interfaz

Todo se vería así en el router configurado , ruta defecto. NAT, e interfaces de entrada y salida NAT.

en configuración privilegiada con show runing-config observamos las configuraciones con las que contamos en el router. con lo anterior tenemos acceso de la LAN a internet.

ahora necesitamos que desde afuera se acceder a nuestros servicios internos, o servidor como tal, para ello utilizaremos NAT estático.

Router(config)# ip nat inside source static 192.168.28.8 200.18.18.2.
recordar 192.168.28.8 es la dirección de nuestro serviodr en red interna. por lo que es necesario colocar la ip publica 200.18.18.2 esta direccion es la que utilizaremos para acceder al servicio.

ingresamos en la url la IP publica. hasta este punto un equipo de internet ingresara a nuestro servidor.ahora crearemos una ACL extendida para permitir el acceder a ciertos servicios (protocolo).

CREACIÓN ACL EXTENDIDA.
firewall(config)#access-list 148 permit icmp any any
                              #access-list 148 permit tcp any 192.168.28.8 0.0.0.0 eq 80
                              #access-list 148 permit tcp any 192.168.28.8 0.0.0.0 eq 23
                              #access-list 148 deny tcp any any neq telnet
                              #access-list 148 permit udp any 192.168.28.8 0.0.0.0 eq 25
                              #access-list 148 permit udp any 192.168.28.8 0.0.0.0 domain
                              #access-list 148 permit ip any any.

esta lista de acceso extendida se realiza para permitir ingresar desde internet a nuestro servidor pero solo a ciertos servicios, también se deniega el ingreso vía Telnet a nuestro Router con el Firewall de todas partes.

la asocio a una interfaz para que por esta se se cumplan las funciones

Creacion de llaves asimetricas con gpg4win y exportacion de las llaves. ingreso de llave publica servidor ftp

lo primero a tener en cuenta es que son las llaves. recordemos que se crean en par tanto publica, como privada.

llave publica:las llaves se crean al mismo tiempo y esta con base a la privada, es la que se publica o se anuncia en un mail, discos extraíbles, servidor gpg, el fin es cifrar mensajes que nos envían, los cuales solo pueden ser descifrados con la llave privada.

llave privada: no se puede publicar con ella desciframos los mensajes que nos envían, es exclusivamente para quien las crea.

veamos como se crean forma gráfica.

cuando lo descarguemos e instalemos , la ventana de asistencia de instalación nos mostrara algo como la anterior imagen, seleccionamos todo y damos siguiente para seguir con la instalación.

cuando termine la instalación debes tener los siguientes iconos.
abrimos el GPA para crear nuestras llaves. cuando lo ejecutes nos mostrara un cuadro que nos indica que aun no tenemos llaves, y nos brinda la opción de crearlas.
luego  nos pide un nombre para el par de llaves.

proseguimos y nos pide un correo el cual nos identificara entre otras llaves que pueda llevar el mismo nombre de la nuestra. y allí llegaran nuestros mensaje codificados.

el siguiente paso es crear una clave para nuestras llaves.

nos pregunta si estamos seguros de utilizar esta clave para las llaves, take this one si la vamos a utilizar o si no crear otra.

luego nos consulta si deseamos guardar una copia de seguridad a nuestras llaves. no es recomendable dejar la copia en el equipo, y guardarla en un medio mas seguro.

luego de esto el proceso de crear la llaves  y cuando termina.

terminado el proceso nos aparecerá un cuadro de dialogo que nos pregunta nombre y ruta para guardar la copia.
con esto quedan creado nuestras llaves y copia, laque guardaremos en el  sistema o en un medio mas seguro.

luego  abrimos nuestro GPA y encontramos nuestras llaves.
aca la observamos que esta ya creada.

luego para exportarlas tanto la publica como la privada. nos vamos a kleopatra que hace parte del paquete de instalación, la abrimos y nos muestra esta imagen.

nos paramos sobre nuestra cuenta y damos click derecho allí  nos aparecen las opciones para exportar las llaves.

para exportar la llave privada export secret key, en este cuadro te pide la ruta donde deseas guardar esa llave, la ingresas y ok.

y para exportar la llave publica exporte certificate. igual no nos pide ruta , pero igual lo guardas en donde desees, y le pones un nombre.

luego las abrimos con el bloc  de notas y nos proyecta algo así.

ahora nos vamos a nuestro navegador para este trabajo utilizare chrome. elegimos configuración y allí elegimos el  link exenciones. allí encontraras algo llamado mymail crypt for gmail. damos click en configuración.

esta pantalla nos sale cuando damos click en configuración acá subiremos nuestras llaves publica y privada

para subir la privada abrimos nuestro bloc de notas donde la exportamos, copiamos todo y lo ingresamos en al siguiente pantalla , incluyendo la clave que le dimos cuando creamos las llaves. importante no olvidarnos de esta clave.

luego hacemos lo mismo para subir nuestra clave publica eso en la pestaña friends keys. copiamos nuestra llave publica , pegamos todo y damos click en submit.

cuando todo esta bien, nos debe aparecer lo siguiente el la parte superior de  la pagina donde se están ingresando estas llaves.

para terminar por lo menos este proceso abrimos nuestro correo el que colocamos al principio recuerden que alli quedaron nuestras llaves. y al redactar debemos tener lo siguiente.

en este ejemplo veremos como ingresar aun ftp nuestra llave publica, y como conseguir la llave publica de nuestros compañeros de curso.  hasta ahora solo podríamos enviarnos mensajes cifrados a nosotros mismos, necesitamos la llaves de quienes estarán con la misma idea de cifrar correos, textos en fin.



TRABAJANDO CON FTP

primero debemos conocer la IP del servidor que nos servirá para este caso usaremos la 192.168.50.72
estoy trabajando con win  así que ingreso a consola cmd en el ejecutar.
nos movemos a la carpeta donde estén guardadas nuestras llaves.
cd Escritorio en mi caso. y para listar lo que allí se encuentra le damos dir.

debemos estar ubicados en el lugar donde esta el archivo para subirlo al ftp.

aca ingresamos en modo anonymous, y la clave igual anonymous, luego  nos movemos a la carpeta destinada para estas llaves y allí damos put y el nombre del archivo que contiene la llave publica, recuerden solo la publica, la privada nunca se comparte.

debe decir successfully al subir tu archivo, luego listas para ver que llaves se encuentran y las bajas una a una, con get y el nombre del archivo.

ahora vamos a exportar esta llaves publicas, para así poder enviarnos mensajes cifrados unos con otros.

copio una a una y deben quedar como lo muestra la imagen de arriba.

Firmar Digital

lo que haremos es firmar cada una de las llaves de nuestros compañeros.
primero importamos la llave como muestra la siguiente imagen. import certificates

elegimos la llave y damos ok

seleccionamos el archivo y damos click derecho y elegimos la opcion certificate details.

nos aparecerá la siguiente pantalla y alli damos click en la pestaña User-IDs and certifications.

seleccionamos el recuadro i have..... y click en siguiente.

elegimos la opción que se muestra en la pantalla de abajo y click en certify.

acá ingresamos la frase contraseña de nuestras llaves, recuerde no olvidarla, o anotarla en un lugar que tenga a mano cuando realice esta labor.

damos click en continuar. y  nos debe aparcera  un pantalla similar al siguiente con el nombre o llave de la persona a la que realizaos el procedimiento y el nuestro ya que lo hemos firmado. esto lo realizamos para todas las llaves. o solo para los que desees tener con la regla de cifrado.

el proceso esta completado de esta manera

entre mas llaves publicas firmes e igual tus compañeros, podrán enviarse mensajes que solo podrán ver por medio de estas llaves.

ejemplo de mensaje enviado y descifrado.

ENVIAR MENSAJES CIFRADOS SIMÉTRICO Y ASIMÉTRICO.

lo realizaremos con cryptool de windowns.

mensaje encriptado de modo simétrico con IDEA una algoritmo.

Escribes un mensaje normal usando un editor de texto el que desees.

luego de que tienes un texto vamos a la pestaña cifrar/descifrar y elegimos la opción simétrico moderno.
elegimos IDEA y nos mostrara un pantalla que nos indicara la longitud de la clave 128 bit podemos cambiar esos bits por 1 y 0 y guardamos esa clave, o la dejamos como nos muestran las siguientes imágenes y damos click en cifrar

luego nos aparecerá el mensaje cifrado. procedemos ahora a descifrarlo. pero primero lo guardamos, abrimos y tomamos la misma ruta que asumimos para cifrar, solo que ahora damos clic en descifrar y nos mostrara el mensaje de nuestro primer escrito.

recuerde guardar las claves que se generan para el texto cifrado. un ejemplo.

PARA CIFRAR MODO ASIMETRICO RSA

de igual manera escribimos un texto lo abrimos con la herramienta cryptool y vamos a la pestaña cifrar y descifrar. asimetrico, RSA cifrar.

 así tendremos el texto cifrado. guardamos la clave. es la que aparece a la izquierda, compuesta por caracteres, números y letras


LLAVES CON CRYPTOOL

vamos a la pestaña firma digital/pki. luego pki y  por ultimo generar/importar clave.

elegimos la longitud de la clave el tipo de algoritmo a usar, apellido, nombre y el pin de esa clave. tenerla muy presente.

en la pantalla final de la creación de llaves nos debe parecer algo similar a la anterior imagen.