Diseño de un firewall
Descargar como DOCX, PDF0 recomendaciones414 vistas
Este documento describe los pasos para diseñar un firewall, incluyendo elegir una política de acceso (restrictiva o permisiva), realizar un relevamiento de los servicios requeridos, definir las reglas para permitir solo el tráfico autorizado basado en puertos, protocolos e IPs. Luego de un análisis de red de ejemplo, propone reglas de firewall específicas para permitir servicios como FTP, SSH, DNS, correo y sitio web, restringiendo todo lo demás.
Diseño de un firewall
- 1. Diseño de un firewall En un entorno de red, incluyendo tanto equipos finales como de conectividad, el firewall es la primer medida indispensable en lo que hace a seguridad lógica de la misma. Por ello es importante entender cómo funciona un firewall y diseñarlo correctamente antes de ponerlo en funcionamiento, sobre todo si se trata de un ambiente de producción. Para empezar es importante saber que un firewall puede tener una de dos políticas: Política permisiva: por defecto se permite todo el tráfico y se deniega explícitamente lo que no se desea que atraviese el mismo. La ventaja es que es fácil de implementar ya que no requiere conocimientos precisos de los servicios brindados. La desventaja es, lógicamente, su falta de seguridad. Política restrictiva: por defecto se bloquea todo el tráfico y se permite sólo el tráfico válido. Por ejemplo, si se tiene un servidor web se denegará todo tipo de intento de conexión al mismo con excepción del tráfico destinado al puerto 80 tcp. Será necesario entonces escoger una para luego definir las reglas necesarias. En la práctica uso la segunda de ellas y será la que utilice en este post. Ahora bien, el próximo paso es relevar los servicios que se permitirán pasar por el firewall con la mayor precisión posible: IPs de origen, IPs de destino, puertos, protocolos. Una vez obtenida esa información ya es posible comenzar a definir las reglas para permitir lo relevado. Un consejo en este punto es mantener las reglas lo más restrictivas posibles aunque dependerá siempre de cuán críticos sean los equipos a proteger. Con esto en cuenta mostraré un ejemplo práctico en base al siguiente diagrama:
- 2. Red de ejemplo En la red anterior se tiene una red de servidores con un firewall y otra red con máquinas sin un firewall en el medio donde, una de ellas, es la máquina del administrador. Ya se decidió que la política será restrictiva. Siguiendo con los pasos, debería hacerse entonces un relevamiento. A continuación listo los requerimientos obtenidos a partir del mismo: FTP: se utiliza para subir cambios en la web y se permite sólo desde la red con los dos hosts. SSH: para los tres equipos, sólo desde la máquina del administrador. DNS: a todo internet, pues es el servidor de DNS de la empresa. HTTP/HTTPS: a todo internet, ya que los servidores alojan el sitio web de la empresa. SMTP: como se necesita que reciba mails es necesario que sea accesible desde cualquier lugar de internet. POP/IMAP: los usuarios de mail de la empresa pueden chequearlo desde sus casas. Por lo tanto estará disponible para todo internet también. Además se desea que sea posible hacer ping a los servidores desde la máquina del administrador. Antes de seguir con la definición del firewall es importante saber los puertos que utiliza cada servicio. Los mismos son:
- 3. FTP: puertos de destino 20/tcp y 21/tcp. SSH: puerto de destino 22/tcp. DNS: puertos de destino 53/udp y 53/tcp. Puertos de origen 53/udp y 53/tcp. HTTP/HTTPS: puertos de destino 80/tcp y 443/tcp respectivamente. SMTP: puerto de destino 25/tcp. Puerto de origen 25/tcp. POP/IMAP: puertos de destino 110/tcp y 143/tcp. Ping: usa el protocolo ICMP que no tiene puertos. Basados en lo anterior se podría definir el firewall. Sería algo como lo siguiente: Denegar todo tráfico entrante Permitir todas las conexiones establecidas y relacionadas (si una conexión pasó por el firewall ya no se vuelve a analizar el tráfico referente a dicha conexión ni necesita ser explícitamente aceptado. Lo mismo con las conexiones relacionadas) Permitir tráfico ICMP con cualquier destino y origen Permitir conexiones con destino 172.25.11.0/24 desde la ip 172.25.10.2 puerto origen tcp 20 (FTP ACTIVO) Permitir conexiones con destino 172.25.10.2 al puerto tcp 21 desde 172.25.11.0/24 Permitir conexiones con destino 172.25.10.2-4 al puerto tcp 22 desde 172.25.11.2 (SSH) Permitir conexiones con destino 172.25.10.4 al puerto tcp 25 desde cualquier lado Permitir conexiones con cualquier destino al puerto tcp 25 desde 172.25.10.4 Permitir conexiones con destino 172.25.10.3 al puerto tcp 53 desde cualquier lado Permitir conexiones con destino 172.25.10.3 al puerto udp 53 desde cualquier lado Permitir conexiones con cualquier destino al puerto tcp 53 desde 172.25.10.3 Permitir conexiones con cualquier destino al puerto udp 53 desde 172.25.10.3 Permitir conexiones con destino 172.25.10.2 al puerto tcp 80 desde cualquier lado Permitir conexiones con destino 172.25.10.4 al puerto tcp 110 desde cualquier lado Permitir conexiones con destino 172.25.10.4 al puerto tcp 143 desde cualquier lado Permitir conexiones con destino 172.25.10.2 al puerto tcp 443 desde cualquier lado Con lo visto he pretendido dar una noción del diseño básico de un firewall. En un próximo post mostraré cómo implementarlo con herramientas libres.