POLITICA CON IPTABLES

PRESENTADO POR: JOS MANUEL AYALA GALLARDO

PRESENTADO A: HENRY EDUARDO BASTIDAS PARUMA INGENIERO DE SISTEMAS

SERVICIO NACIONAL DE APRENDIZAJE ESPECIALIZACIN EN SEGURIDAD EN REDES DE COMPUTADORES POPAYAN MARZO 2012

IMPLEMENTACION DE POLITICA CON IPTABLES

EXPORTAR EL PROXY Y DESCARAGAR LOS REPOSITORIOS DE CENTOS 1. Configure la red por DHCP, de manera grfica. 2. Verificar la direccin ip asignada con el comando: #ifconfig En este punto vemos la direccin ip del equipo y su respectivo Mac

3. Verifica por consola el archivo de configuracin de la red con el comando #nano /etc/network/interfaces

En este paso pudimos ver el Mac del equipo

#nano /etc/resolv.conf Aqu comprobamos los servidores de la red donde estamos

4. Aada proxy a su explorador 5. Verifique que esta navegando, sino lo est haciendo ejecute el siguiente comando: #dhclient Aqu comprobamos si tenemos conexin a internet o no como lo podemos ver en la imagen

6. Configure el archivo donde se encuentran los repositorios: #nano /etc/apt/sources.list Aqu podemos ver la direccin del servidor de donde podemos descargar lo que necesitamos de nuestro servidor CentOS

7. Para poder descargar paquetes si est saliendo por proxy, debe exportar el proxy con la siguiente instruccin:

#export http_proxy=http://proxy2.sena.edu.co:80 En este paso comprobamos si estamos o no saliendo por el proxy del servidor en este caso es http://proxy2.sena.edu.co:80

8. Actualice la lista de los paquetes que se encuentran en los repositorios: #apt-get update Aqu estamos actualizando los paquetes que CentOS necesita

9. ingresamos al archivo de /etc/issue.net y cambiamos es cambiar el archivo

10. Escribimos Aquiles y guardamos 11. Se digita setup en el terminal de CentOS y damos Enter

12. Nos mostrara el men de herramientas y seleccionamos la configura firewall

13. Una ingresado ala configuracin de contrafuego de CentOS Seleccionamos nivel de seguridad habilitado y SELinux obediente

14. Ingresamos al archivo nano /etc/sysconfig/network-scripts/ifcfg-eth1

15. Se procede acambiar la ip en este caso IPADDR= 192.168.1.5 y guardamos el archivo

16. Reiniciamos el servicio de red con el siguiente intruccion service network restart

17. En el cliente de Xp se engresa a la cosoloa del sistema y se prodece a realizar un ping a la direccion de nuestro servidor 192.168.1.5

18. El servidor CentOS digitamos las siguientes comandos o reglas de contrafuego

19. Ingesamoas al archivo iptables con la siguiente intruccion nano /sbin/iptables La regla iptables A INPUT s 192.168.1.111 j DROP iptables A INPUT s 192.168.1.11 j DROP

20. Se niega el servicio

POLITICA POR DEFECTO DENEGAR TODO

21. Con el siguientes lneas de comandos se niega la entrada y salida y renvi.

22. Buscamos los repositorios de NMAP para linux

23. Se ingresa a la direccin nano /etc/source.list para ingresar la direccin de los repositorios de nmap

Se procede a ingresar la direccin al archivo y se guarda.

Se procede a descargar e instalar los repositorios por medio del comando yum install nmap

Una vez descargados precedemos a instalar los repositorios

Los repositorios se instalaron correctamente. Para utilizar nmap ingresamos a la consola y escribimos nmap la direccin ip que queremos verificar nmap 192.168.1.11

POLITICA EVITAR PAQUETES MAL FORMADOS. Para la implementacin de esta poltica se tiene en cuenta que existen unas banderas para el establecimiento de conexin en TCP estn banderas son SYN, ACK las cuales se puede realizar un seguimiento por medio de los estados INVALID, ESTABLISHED y RELATED por medio de Iptables. Por tal motivo se colocaran algunas reglas que eviten paquetes malformados. Para esto se colocan las siguientes reglas dentro de Iptables para las cadenas INPUT, OUTPUT Cadena INPUT.
Iptables A INPUT -m state state INVALID -j DROP Iptables A INPUT m state state ESTABLISHED,RELATED j ACCEPT Cadena OUTPUT Iptables A OUTPUT -m state state INVALID -j DROP Iptables A OUTPUT m state state ESTABLISHED,RELATED j ACCEPT

Las pruebas para mirar el comportamiento de las polticas aplicadas se realizan por medio de Nmap. Ver figura xx17 para mirar las aplicacin de reglas dentro del firewall. En las figura 15 y 16 se observan algunas pruebas realizadas con Nmap. En la figura se ve la aplicacin de reglas en INPUT Y OUTPUT para evitar paquetes mal formados

Escaneo de servidor con Nmap por medio de bandera ACK.

En la figura se ve como se realiza un escaneo al servidor firewall con Nmap por medio de una bandera ACK y se observa que no se obtiene mayor informacin sobre el sistema.

POLITICA PERMITIR QUE EL SERVIDOR FIREWALL PUEDA SER ADMINISTRADO REMOTAMENTE. En esta poltica dentro de Iptables se implementara agregando algunas reglas a las cadenas INPUT Y OUTPUT teniendo en cuenta que se estn realizando pruebas locales. Reglas o polticas ha adicionar dentro de la cadena INPUT.
iptables A INPUT -s 192.168.1.11/24 p tcp dport 22 syn m state state NEW j ACCEPT.

Con esta regla se puede permitir a la maquina con direccin 192.168.1.21/ 24 pueda establecer conexin de manera remota con el servidor firewall.