CONFIGURACION VPN SERVER 2003

tener el paquete de instalacion   ISA server 2006



Principalmente debemos tener actualizado nuestro sistema operativo antes de empezar a configurar VPN. (Virtual Private Network)

en nuestra maquina virtual de virtualbox de Oracle agregamos dos tarjetas de red, red interna para una y adaptador puente para la otra.
en red interna se agrega manualmente el direccionamiento a utilizar, en nuestro caso una clase C 192.168.8.0/24

toma de los adaptadores de red , red interna y la red en puente.

debemos descargar un paquete de microsoft Isa Server, lo ejecutamos
inicio de instalación de ISA SERVER 2006.

luego de ejecutar el programa se instala automáticamente

se ingresa los datos del cliente. nombre, serial, organización.

escogemos la instalación típica y siguiente.

se agregan las dos tarjetas que se eligieron al principio. y aceptar.

en las dos anteriores imágenes configuraremos el Pool de cada una de las tarjetas, una tarjeta con red privada 192.168.8.0/24 y mascara y red externa la que nos da conexión  con internet 192.168.50.0/24. esto se requiere para que funcione el VPN y pueda salir a internet los usuarios que hacen parte de este servicio, en otro caso estos no podrían acceder a internet.

damos click en aceptar observando que nuestro Pool de direcciones este bien configuradas

nos pide que la aceptación de clientes cifrados, se deja predeterminado y siguiente.

luego nos advierte de los programas y aplicaciones que tendrá el ISA. siguiente

se inicia la instalación de ISA y la configuración anterior

termina esta instalación y damos click en finalizar chuleamos el recuadro para que inicie inmediatamente.

pagina principal de ISA.

antes de empezar a configurar el ISA Server, debemos crear algunos usuarios y un grupo que en nuestro caso sera clientesvpn. ingreso los usuarios a este grupo.(vpn,natalia,yesenia)

nos ubicamos en redes privadas virtuales(VPN)

elegimos la opcion configurar metodo de asignacion de direcciones. damos click en la pestaña redes de acceso. y chuleamos el cheskbox de todas las redes como muestra la imagen.aplicar.

en la misa ventana elegimos asignacion  de direcciones, y click en agregar, acá se

ingresara un IP diferente a las utilizadas en nuestras tarjetas. en nuestro caso es 192.168.200.0  192.168.200.254 se asigna un Pool. aplicar.

en la misma ventana, damos clic en pestaña autentificaron y damos click en permitir la directiva de ipsec personalizada para la conexión L2TP. y se agrega un password como vemos en la imagen, damos click en aceptar

habilitamos acceso de clientes de VPN en general se habilitan cuantos accesos se van a permitir, en nuestro caso 10.

en pestaña grupos, se agrega el grupo que creamos. aplicar

nos fijamos que quede agregado nuestro grupo, vpn.

en la misma ventana, seleccionamos la pestaña protocolo y habilitamos el PPTP y el L2TP/ipsec.aplicar y aceptar

 

desglosamos el server vpn, y elegimos creativa de firewall
ahora crearemos las directivas de firewall. al lado derecho  encontramos crear regla de acceso. click en crear y colocamos el nombre  de la regla en nuestro caso se llamara permitir cliente Vpn en la red. siguiente

elegimos permitir y siguiente.

acá elegimos la opción , permitir todo el trafico saliente, siguiente.

damos clic en agregar y elegimos el grupo clientesvpn como muestra la imagen, cerramos esa ventana y click en siguiente.

en destino de reglas de acceso, vamos agregar interna (nuestra red interna) cerrar y siguiente.

en conjuntos de usuarios se agrega todos los usuarios, aunque lo podemos encontrar predeterminada

ingresamos al server en configuración. redes, dentro de redes vamos a la pestaña reglas de red y dar click en crear regla de red nueva. colocamos el nombre de la regla, nuestro caso traducción de NAT de externa a interna (este me sirve para que de afuera usuarios que no estén en mi red interna puedan utilizar algún servicio)

acá elegimos que la VPN sera de sitio a sitio. siguiente.

en orígenes de trafico de red , añadimos la red externa, cerrar y siguiente.

nos pide cual va hacer el destino de trafico de red, elegimos la interna. cerramos y siguiente.

relacionan de redes, lo que vamos  hacer es una traducción de direcciones de red NAT
(esto es para que nuestra LAN interna pueda salir a internet)

en la parte superior nos dice aplicar para poder guardar nuestros cambios. ok



AHORA NOS DIRIGIMOS A UNA MAQUINA VIRTUAL XP DONDE CONFIGURAREMOS EL CLIENTE VPN.


click, en panel de control, sitios de red, conexiones de red, y el menú, damos click en crear una conexión nueva, y seguimos el asistente.

en tipo conexión de red , conectarse a la opción. conectarse a la red de trabajo
y siguiente.

conexiones de red; acá seleccionamos, conexiones de red privada virtual, siguiente.

indicamos el nombre de nuestro servidor VPN y siguiente.

acá asignamos la IP que nos permite navegar a internet. es la que se coloca en la tarjeta de red externa. siguiente. y debe  de aparecer el nombre de red privada virtual como nos muestra la siguiente imagen.

 voy a mi servidor, observamos que estén las redes fusionadas en consola con el comando ipconfig, eso lo vemos en adaptador PPP interface de servidor RAS (Dial In)

y luego vamos a nuestro XP y debe estar , esa misma configuración.

con esto damos por concluido una configuración vpn sitio a sitio

GUIA SENCILLA RAPIDA DEL USO SSH EN LINUX

SSH: secure shell (interprete de comandos seguros) es un protocolo de comunicación en red nos permite intercambiar archivos de ordenador a ordenador, es un servicio de acceso remoto.

para que se de la comunicación entre ordenadores se debe contar con un servidor ssh y un cliente ssh.

es parecido a Telnet difiere en que ssh  la informacion viaja codificada con lo cual es mucho mas segura

veamos como instalar ssh en ubuntu.

para acceder a otro pc de la misma red en consola ingreso el comando ssh

ssh tarde@192.168.50.8
ssh:comando inicial
tarde@:sección a la que deseo ingresar
IP: dirección Ip del equipo a ingresar

nos solicita un contraseña de ingreso, la editamos y esperamos a ver la conexión
en esta maquina busco el archivo a copiar en mi sección y utilizamos. el comando scp

scp /tarde@192.168.50.8://home/tarde/Escritorio/plantilla

este comando lo ejecuto desde mi sección sabiendo de antemano la ruta del archivo que deseo copiar.


 por otro lado podemos utlizar el sftp

sftp tarde@192.168.50.8

ingresamos password y nos movemos en los diferentes directorios que existan , observamos el archivo a copiar.

sftp>get (nombre de lo que quiero llevar a mi sección)



 

VPN CONFIGURACION PUNTO A PUNTO PACKET TRACERT

QUE ES VPN: Red Privada Virtual, las organizaciones crean conexiones de red privada a extremo a  extremo sobre redes terceras como extranet e internet. se realiza un tunnel para dicha comunicación.

SOLUCIONES PARA VPN

Dispositivos ASA 5500 ADAPTIVE SECURITY  APPLIANCES
ROUTER SOHO (SMALL OFFICE, HOME OFFICE)
SWITHS Y ROUTERS CON CAPACIDAD VPN

VPN TOPOLOGÍAS

SITIO A SITIO

Extencion de  red WAN. conecta redes completas entre si.

NOTA: probar conectividad entre LAN to LAN a routers


con este ejemplo vamos a generar una VPN para conectar redes de la misma compañía geográficamente distantes. LAN ADM Y OPERATIVA, UNA EN EL POBLADO Y OTRA EN NIQUIA.
Contamos con la función de un router del ISP (proveedor de internet)

LAN ADM: 192.168.10.0/24 ROUTER POBLADO ; IP PUBLICA 208.160.50.0/29


 LAN OPERATIVA: 192.168.8.0/24 ROUTER NIQUIA ; IP PUBLICA 208.160.51.10/29


IP PRIVADA PARA GENERAR EL TUNNEL: 10.8.8.0/30


EMPECEMOS POR CONFIGURAR EL ROUTER CEDE POBLADO.

configuración del tunel primer router cede poblado

configuración segundo router cede Niquia

aun falta decir en los Routers que tomen el tunnel.


Router cede Poblado.

configuramos una ruta por defecto y una ruta donde especificamos que le paquete viaje por el Tunnel.

la primera linea es la ruta por defecto que se crea en configuración global


la segunda linea es la ruta del tunnel, primero colocamos la IP de la LAN remota en este caso IP LAN Operativa mascara, y por ultimo la IP del Tunnel en este caso es la 10.8.8.2 contenida en el Router cede Niquia.



Router cede Niquia.

de igual forma creamos una ruta por defecto y una ruta con el tunnel.


imagen de las IPs del Router ISP. Esta imagen nos muestra las direcciones que utilizamos para las rutas por defecto de las diferentes LANs.

veamos la ruta que toma un paquete de la LAN Administrativa al servidor web de la LAN Operativa

vemos en la imagen un tracert a la 192.168.8.8 en la segunda fila observamos que tomo la ruta de nuestro Tunnel.


NOTA:aun falta configurar la seguridad en ese tunnel, lo haremos en un router con equipos reales, router cisco.



CONFIGURACIÓN VPN REMOTO.

Instalacion de Elaxtis y configuración de redundancia

Implementación PBX Redundante.

Instalamos dos maquinas con Elastix, una cumplirá la función de maestro y la otra maquina el esclavo, lo que esperamos obtener es el traspaso de la configuración de maestro al esclavo por si eventualmente nuestra maquina con función Master deja de funcionar tengamos la configuración guardada y el slave toma el lugar del maestro para que la funcionalidad del PBX provea las soluciones de comunicaciones que requiere la corporación.

teniendo nuestras dos maquinas corriendo instalamos lo siguiente

las dependencias nmap y rsync

yum install namp rsync

luego asignamos las ip correspondientes al maestro y al esclavo. Utilizamos una ip flotante deben pertenecer a la misma red al igual que la flotante.

Esas IPS la modificaremos en el siguiente archivo que descargaremos.

script flip1405.sh nos dirigimos a /usr/bin

wget http://www.razametal.org/asterisk/flip1405.sh

le asignamos permisos de ejecución chmod a+x /usr/bin/flip1405.sh

teniendo nuestro archivo a configurar el maestro modificamos lo siguiente.

 

Master =”1”

MASTERIP=”192.168.50.73” esta dirección es por medio DHCP

SLAVE=”192.168.50.76” dirección por medio DHCP

FLOAT=”192.168.50.248” esta dirección la debo elegir dentro del rango que me permita esta red. La red es 192.168.50.0 con mascara 255.255.255.0 direcciones a utilizar hasta a partir del 2 hasta 253, tener en cuenta que nadie mas le este utilizando.

Y en el esclavo.

  

Master= “NO”

MASTERIP=”192.168.50.73” ip del maestro

SLAVE=”192.168.50.76” ip del escalvo

FLOAT=”192.168.50.248” ip flotante.

Ahora necesitamos generara un key (llave) por medio de ssh para que el acceso entre servidores no requiera contraseña.

En maestro como Root editamos lo siguiente.

ssh-keygen -t rsa
cat ~/.ssh/id_rsa.pub|ssh 192.168.50.76 tee -a ~/.ssh/authorized_keys
ssh 192.168.50.76 ssh-keygen -t rsa
ssh 192.168.50.76 cat ~/.ssh/id_rsa.pub |tee -a ~/.ssh/authorized_keys

(IP del esclavo 192.168.50.76)

 

nos genera algo parecido a lo anterior.

Generadas las llaves sera posible ingresar vía ssh del servidor maestro al esclavo y viceversa.

Ahora con crontab realizado el script en ambos servidores , por minuto el maestro le enviara su configuración al esclavo.

Para exportar u editor

export EDITOR=nano en mi caso utilice nano, cuando escriba crontab -e por defecto me abrira este editor.

crontab -e ( nos permite ejecutar el editor por defecto)

*/1 * * * *  /usr/bin/flip1405.sh > /var/log/flip1405.log 2>&1

luego de crear esl script edito crontab -l para ver que en efecto guardo.

 

Crearemos un archivo de log para ver el comportamiento de nuestro script

touch /var/log/flip1405.log

y por ultimo configuraremos el archivo /etc/asteris/sip_general_custom.conf en nuestro maestro.

 




 

Esto es para que el canal SIP escuche la ip flotante. Ahora la configuración del maestro se estará pasando al esclavo cada minuto.

Para observar que el script se este ejecutando, crearemos una extencion en elastix, nos cercioramos que se encuentre en el maestro y en el esclavo.

Ahora miremos nuestro archivo en consola Elastix.

 

Debemos observar la extencion 500 perteneciente a Fernando Osorio.

Ahora miremos en esclavo y la ext debe de estar en la misma ruta que tenemos arriba.

IPTABLES, FILTRO DE PAQUETES EN LINUX

QUE ES IPTABLES: Sistema de firewall vinculado en el kernel es parte del sistema operativo de linux anteriormente llamado Ipchains. para ponerlo en marcha creamos un script de shell. se ejecuta el comando iptables seguido de reglas. parecido a la creación de ACL se añade, se crea, se borra reglas.

GUIA RAPIDA.

iptables -A : añadir una regla
iptables -D :eliminar
iptables -L :para listar reglas que se están implementando
iptables -C : verifica una regla particular antes de añadirla
iptables -E :renombra una cadena, y no afecta la estructura de la misma
iptables -F . libera una cadena seleccionada
iptables -H :nos arroja un listado de estructura de comandos
iptables -I :inserta una regla en una cadena
iptables -N : crea una nueva cadena
iptables -P : configura politicas por defecto de una cadena
iptables -R :remplazar una regla en una cadena en particular


miremos un pequeño ejemplo. aceptar peticiones al puerto de www:80

iptables -A INPUT -i eth0 -s 0.0.0.0/0 -p TCP --dport www -j ACCEPT

iptable: comando para inicio cadena
-A: añadir la regla
INPUT: el estado del paquete
-i eth0:interfaz por la que se entra (se usa con las reglas INPUT,FORWARD)
-o eth0:interfaz por la que se sale. (se usa para las regla OUTPUT,FORWARD)
-s 0.0.0.0.0/0: dirección de acceso en este caso cualquiera
-p TCP: tipo de puerto
--dport : puerto destino
-j : destino del paquete (puede ser ACCEPT, DROP, REJECT)
-s:source address ej: 192.168.50.70/24
-d:destino ej 84.56.73.3
-p:tipo de protocolo (TCP.UDP.ICMP)
--sport:puerto de origen
--dport:puerto destino

por ahora son los parámetros que mas utilizaremos.

primero haremos un flush de reglas

iptables -F
iptables -X
iptables -Z
iptables -t nat -f

##políticas por defecto

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -p FORWARD DROP
iptables -t nat -p PREROUTING ACCEPT
iptables -t nat -p POSTROUTING ACCEPT

##COMO DENEGAMOS TODO AL PRINCIPIO AHORA EMPEZAREMOS A DAR PERMISOS PARA LOS PAQUETES.

#permitir el localhost
 

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

aceptamos el ping en nuestra maquina local, tanto de ingreso como de salida.


##FLUSH DE REGLAS
iptables -F
iptables -X
iptables -Z
iptables -t nat -F

##POLITICAS POR DEFECTO
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT

##AHORA VAMOS A PERMITIR PING A LOCALHOST. YA QUE POR DEFETO DENEGAMOS TODO
##VAMOS A EMPEZAR A DAR PERMISOS

##ESTRCUTURA PERMITIR LOCALHOST

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT



##PERMITIR LA RED DEBIAN, SERVICIO WEB,DNS Y FTP
iptables -A INPUT -s 192.168.28.64/29 -j ACCEPT
iptables -A OUTPUT -d 192.168.28.64/29 -j ACCEPT

##AHORA DAREMOS PERMISOS PARA SSH Y FTP
##PERMITIR CONEXION SSH

iptables -A FORWARD -i eth0 -p tcp --sport 22 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --sport 1024:65535 -o eth0 --dport 22 -j ACCEPT

##PARA LA WEB DINAMICO
iptables -A FORWARD -i eth0 -p tcp --sport 80 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eht1 -p tcp --sport 1024:65535 -o eth0 --dport 80 -j ACCEPT

iptables -A FORWARD -i eth0 -p tcp --sport 443 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eht1 -p tcp --sport 1024:65535 -o eth0 --dport 443 -j ACCEPT

##WEB ESTATICA
#iptables -A FORWARD -i eth0 -p tcp --sport 1024:65535 -o eth1 --dport 80 -j ACCEPT
#iptables -A FORWARD -i eht1 -p tcp --sport 80 -o eth0 --dport 1024:65535 -j ACCEPT


##PERMITIR DNS POR TCP
iptables -A FORWARD -i eth0 -p tcp --sport 53 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --sport 1024:65535 -o eth0 --dport 53 -j ACCEPT


##PERMITIR DNS POR UDP
iptables -A FORWARD -i eth0 -p udp --sport 53 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p udp --sport 1024:65535 -o eth0 --dport 53 -j ACCEPT

##REGLAS PARA NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.28.64/29 -j MASQUERADE
##ACTIVAR EL REENVIADOR

echo 1 > /proc/sys/net/ipv4/ip_forward

##PREROUTING ENTRADA AL SERVIDOR

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.28.66:80
iptables -t nat -A PREROUTING -s 192.168.50.86 -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.28.66


iptables -A INPUT -s 192.168.50.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.50.0/24 -j ACCEPT

FIREWALL, ACL, NAT

Firewall: sistema básico de seguridad y defensa cortafuegos, es  una barrera entre mi PC y la red o una LAN con la red. el trafico que se genera entre la red y mi PC es denegado o autorizado por firewall todo depende de la configuración con la que se dispone. realiza un filtrado de paquetes, del trafico pero no del contenido del mismo.

firewall sistema de control sobre puertos de un sistema, genera un nivel de confianza, se permiten accesos determinados a usuarios externos como internos. al igual que se determinan servicios.
con este cortafuegos podemos proteger, llamado también seguridad perimetral.
hardware, software, información esto podemos proteger.

Estableceremos  dos zonas una LAN y otra internet, crearemos un acces list  en el firewall que permita el trafico proveniente de internet. esto solo para 3 protocolos, y 5 puertos. lo demás servicios y puertos estarán denegados. al igual de la LAN deben salir paquetes a la red.

primero debemos tener un direccionamiento ip para nuestra LAN y las interfaces seriales, una ip privada en la LAN y la otra ip publica de router a router

utilizaremos la herramienta packet tracer para realizar primero allí las

antes  miremos bien que son las acces list y como es su función en general

ACL: listas de control de acceso son instrucciones que se aplican a una interfaz del router en ellas se  le indica al router que paquetes debe de aceptar y cuales rechazar estas tienen unas especificaciones como dirección origen, puertos, dirección destino. entre otras, el paquete que pase por la interfaz debe cumplir con las condiciones dada en cada interfaz.

las listas se pueden crear para todos los protocolos erutados de red como el IP protocolo de internet, el IPX intercambio de paquetes internetwork se genera un filtro de paquetes en los routers con dichas listas.
las ACL controlan el trafico en una dirección por vez, en una interfaz se necesita creas una ACL por separado para cada dirección. tanto para trafico entrante como saliente.

las sentencias de las ACL operan en orden secuencial lógico. las ACL se crean en modo configuración global.

existen dos tipos de ACL estándar y extendidas. miremos de que se trata.

ACL estándar: esta lista de acceso se aplica cerca del destino. su sintaxis de creación es la siguiente. recuerda estar en modo de configuración global dentro del router.

el access-list es el comando para iniciar la creación de la lista.
num_ACL: numero que identifica el acces list (1-99)
deny /permit : deniega o permite los paquetes provenientes de la fuente.
fuente: IP correspondiente al origen, puede ser un host, o una red.

wilcard_fuente:mascara de verificación.

ahora veamos como aplicar X lista en una interfaz.

las sentencias ACL que se identifican con acces-list están relacionadas a una o mas interfaces.
Protocolo: IP
acces-group: comando de vinculación ACL a la interfaz
num_ACL : el numero que le asignamos a dicha lista (1-99)
in / out: establece la lista para salir o ingresar.

ACL extendida: se aplica cerca al origen.

 access-list : comando para crear la lista
num_ACL: numero único identificador (100-199)
permit / deny: deniega o permite paquetes de fuente a destino.
protocol: protocolo del paquete, puede ser IP, UDP, IGRP, ICMP, TCP
Fuente:dirección IP del origen junto con su wildcard
destino: dirección IP del destino junto con su wildcard.
oper: lt (less than), gt (greater than), eq (equal), neq (non equal)
port: numero de puerto que identifica el servicio.





Para vincular el acces-list extendida, lo hacemos igual que la estandar, solo que alli varia el num_ACL van del 100 al 199.

Como eliminar una ACL.

2: numero de la acces-list a eliminar este numero varia.





QUE ES LA WILDCARD Y COMO SE OBTIENE.

Es una mascara diseñada para filtrar direcciones IP individuales o múltiples su fin permitir o rechazar accesos a recursos.
esta mascara se obtiene al restar la mascara de subred de 255.255.255.255

teniendo una mascara de subred 255.255.240.0

NOTA: teniendo los conocimientos previos de son las ACL, la wildcard, nos enfocaremos en la actividad planteada un poco mas arriba, subrayado el texto en fondo naranjado.

lo siguiente es asignar las direcciones IP en cada una de las interfaces y tener arriba el sistema que se puedan dar ping de la LAN a Internet.
el router llamado ISP recordemos que le pertenece a nuestro proveedor, el pC en internet debe tener una IP publica, pero para efectos de estudio utilizaremos una IP clase B , una publica entre los dos routers, y en la LAN una Clase C.
en nuestro router FIREWALL. configuraremos, ACL. NAT, ruta por defecto entre otras cosas.


 .dentro del router ingresamos hasta el modo configuración global y allí crearemos una ACL estándar que permitirá el ingreso desde internet a nuestra servidor y LAN.
para permitir solo tres protocolos y 5 puertos utilizaremos ACL extendida, pero antes utilizaremos el NAT estático para indicar la dirección del servidor. por una ip publica puedo ingresar a un servidor, si requiero ingresar a mas servicios requeriría mas ip publicas en la NAT para acceder a los servicios.


CONFIGURACIÓN NAT Y ACL

Primero debemos tener conectividad, funcionando perfectamente. Ahora necesitamos que los usuarios de nuestra LAN puedan salir a internet, allí es donde entra en función la NAT.

En un router que llamaremos router de borde configuraremos primero una ACL que pueda permitir a toda la LAN o solo a unos PC específicos salir a red. Para ello debemos tener mucho cuidado a la hora de crear nuestra ACL , ya que esta la relacionaros mas adelante con la NAT.

La NAT permite coger de una pool de IP pública que dispondremos en el router, para que se realice un cambio de IP privadas usadas internamente por la pública que nos permite navegar.

la figura anterior nos muestra la creación de la  access-list, ahora crearemos la NAT.
primer paso.

Ip nat pool actividad 200.18.18.2 200.18.18.2 255.255.255.252

Lo de amarillo: es el comando para crear cualquier NAT, es indispensable

De verde: es el nombre que asignaremos a esa NAT

Azul claro: es el rango de direcciones publicas con las que contamos, en este caso será solo una IP publica y por último la máscara color violeta de esa dirección.

segundo paso.
asociar la lista con el pool de la NAT.

Ip nat inside source list 18 pool actividad overload

En amarillo comando para relacionar ACL con NAT

En verde numero de la ACL estándar que no permite pasar paquetes.

pool actividad: como lo dice el nombre de la NAT que acabamos de crear.

Overload: es utilizado cuando solo tenemos un IP publica y necesitamos que 5 o mas PC desde la LAN tenga conexión a internet. Se conoce como NAT con sobrecarga. PAT (Port Address Translation).

tercer paso.
indicar que en las interfaces del router de salida y entrada del NAT

Ingresamos a las interfaces, según la imagen debería ser de la siguiente manera.

Router(config)# interface fa0/0

Router(config-if)# ip nat inside

Router(config)# interface fa0/1

Router(config-if)# ip nat outside

En nuestro caso solo contamos con dos router y solo configuramos el de firewall  ya que el otro le pertence a nuestro proveedor. Con lo anterior terminamos el NAT pero nos falta erutar nuestros router. Acá colocaremos una ruta por defecto

La ruta por defecto se realiza en configuración global teniendo en cuenta nuestro figura.

 

Router(config)# ip route 0.0.0.0 0.0.0.0 200.18.18.1

Rojo: comando iniciar rute defecto

Verde opaco: net destino 0.0.0.0 no conocemos la ip del destino

Verde fofore: mascara. Aca es 0.0.0.0 ya que no delimitamos

Amarillo ip siguiente salto o nombre de la interfaz

Todo se vería así en el router configurado , ruta defecto. NAT, e interfaces de entrada y salida NAT.

en configuración privilegiada con show runing-config observamos las configuraciones con las que contamos en el router. con lo anterior tenemos acceso de la LAN a internet.

ahora necesitamos que desde afuera se acceder a nuestros servicios internos, o servidor como tal, para ello utilizaremos NAT estático.

Router(config)# ip nat inside source static 192.168.28.8 200.18.18.2.
recordar 192.168.28.8 es la dirección de nuestro serviodr en red interna. por lo que es necesario colocar la ip publica 200.18.18.2 esta direccion es la que utilizaremos para acceder al servicio.

ingresamos en la url la IP publica. hasta este punto un equipo de internet ingresara a nuestro servidor.ahora crearemos una ACL extendida para permitir el acceder a ciertos servicios (protocolo).

CREACIÓN ACL EXTENDIDA.
firewall(config)#access-list 148 permit icmp any any
                              #access-list 148 permit tcp any 192.168.28.8 0.0.0.0 eq 80
                              #access-list 148 permit tcp any 192.168.28.8 0.0.0.0 eq 23
                              #access-list 148 deny tcp any any neq telnet
                              #access-list 148 permit udp any 192.168.28.8 0.0.0.0 eq 25
                              #access-list 148 permit udp any 192.168.28.8 0.0.0.0 domain
                              #access-list 148 permit ip any any.

esta lista de acceso extendida se realiza para permitir ingresar desde internet a nuestro servidor pero solo a ciertos servicios, también se deniega el ingreso vía Telnet a nuestro Router con el Firewall de todas partes.

la asocio a una interfaz para que por esta se se cumplan las funciones