Untangle, Configurando Proxy (Web Filter Lite) y Firewall

Como bien lo habrán notado, en mis anteriores publicaciones he estado hablando bastante sobre la protección de la red, esto mediante IDS (Sistemas de Detección de Intrusos), Firewall's, Proxys, entre otros. Hoy quise mostrarles un appliance que tiene grandes funcionalidades llamado Untangle que esta desarrollado por una empresa privada que ofrece un network gateway de código abierto y tiene una gran cantidad de aplicaciones gratuitas muy interesantes, tales como.

Spam Blocker: Bloqueo de Spam
Phish Blocker: Prevención de Phishing
Spyware Blocker: Escanea el trafico buscando Malware
Web Filter Lite: Filtro de contenidos
Virus Blocker: Detecta Malware en archivos analizando el trafico
Intrusion Prevention: IPS
Protocol Control: Bloqueo de puertos
Firewall: Filtro por protocolos, direcciones, DMZ's
Ad Blocker: Bloqueo de publicidad
Captive Portal: Obliga a los usuarios a ingresar a una web para autenticación.
OpenVPN: Red Privada Virtual
Attack Blocker: Previene ataques de tipo DDOS
Reports: Crea informes acerca de el comportamiento de la red.

Además cuenta con un gran numero de aplicaciones de pago o de prueba que pueden complementar la seguridad de nuestra red.

NOTA: Para ver un articulo completo de las características de cada una de las aplicaciones listadas anteriormente clic AQUÍ.


La practica que haremos entonces sera muy sencilla, consiste en la instalar Untangle, familiarizarlos un poco con su entorno, e instalar su Web Filter Lite (Proxy) y su Firewall para hacer unos bloqueos básicos, además la topología que implementaremos sera muy sencilla LAN->Router(Untangle)->WAN utilizando tan solo un cliente en Windows.


Instalando Untangle.

La instalación es muy sencilla y mucho mas para personas que ya han hecho instalaciones en distribuciones basadas en Debian, tan solo hay que seguir unos sencillos pasos para poder hacerlo.


Elegimos el idioma.


 Nuestro pais.


La distribución del teclado.


Decidimos si queremos formatear el disco entero.

 Y listo.


Ahora comenzara el asistente de instalación de la aplicación, primero elegimos el idioma.


 

 Elegimos las credenciales del usuario administrador.


Definimos el orden de las interfaces y cual estará conectada a la LAN y cual a la WAN.


Ahora probaremos que el equipo este conectado a internet, en mi caso el router de mi ISP me asigna una dirección dinamica (DHCP) entonces tan solo basta con pedir una renovación, si no contáramos con eso tendríamos que asignarle una IP de manera estática.


Ahora nos dará dos opciones, una para instalarlo detrás de un router, o Firewall configurado anteriormente o como router, en mi caso lo instalare como router y le definiré la dirección IP que tendrá la tarjeta de red que va hacia la LAN, además le diré que configure un servidor DHCP que le entregue direcciones a los equipos de mi red.


Luego nos dirá si deseamos configurar  una cuenta de correo para recibir reportes pero en mi caso lo omitiré.


 Con esto habremos finalizado su instalación.


Cuando ingresamos al Untangle observamos una barra con las opciones que podemos tener, entre estas ingresar a la terminal pero primero debemos configurar un password de root.




Como pudimos ver su instalación fue muy sencilla tan solo configuraremos si lo necesitamos mas opciones de la red como lo son el sufijo del DNS o los DNS que utilizara el router para resolver direcciones en internet, como lo podemos observar en la imagen en la parte izquierda aparecen dos opciones que son aplicaciones y configurar, si lo necesitamos procedemos a configurar si no, nos podemos saltar este paso y dar clic en aplicaciones y luego en mi cuenta.




Instalando las aplicaciones.

Ahora vamos a instalar las aplicaciones que necesitamos  (Web Filter Litey Firewall) para esto accedemos a "Mi Cuenta" y allí comenzaremos, si no tenemos un registro lo creamos.



Luego de estar en su cuenta pueden descargar las aplicaciones gratis o comprar las de pago, como lo dije anteriormente las que instalaremos son gratis, para encontrarlas vamos a Home>Products>Product Overview>Firewall y desde allí Free Download.


Ahora en la ventana principal del Untangle podrán observar que el Firewall se instalo satisfactoriamente, también pueden cambiar los skins del untangle, en mi caso se ve así siempre aparenta ser un rack y las aplicaciones se instalan una debajo de otra y en cada una están sus botones de configuración y algunos logs.


 De igual manera que con el firewall instalamos entonces el Web Filter Lite.



En mi caso tengo un cliente de Windows XP en la LAN, primero que todo probamos que este saliendo a internet con una dirección IP asignada por el Untangle.


Configurando el Proxy (Web Filter Lite)

Cuando entramos al botón de configuración en el Web Filter Lite del "Rack" podremos observar las siguientes opciones.

Editar Categorías: Muestra un listado de las categorías de paginas web a filtrar como pornografía, redes sociales y proxys en internet.

Editar Sitios: Permite agregar de forma manual un sitio WEB para filtrar, esto mediante URL o dirección IP.

Editar Tipos de archivo: permite un filtrado de extensiones a descargar como .mp3, .exe, .mov, entre otras.

Comenzaremos a filtrar en orden, primero por categorías, lo que haremos sera denegar el acceso a paginas WEB con contenido para adultos o proxys de internet, además observaremos el uso del botón "User By Pass" el cual permite hacer que el proxy sea permisivo y le aparezca un botón a los usuarios para darles la opción de continuar en la WEB cuando esta en permanente y global, por ahora lo usaremos así solo como practica.


Buscaremos paginas con contenido para adultos.



La pagina sera bloqueada, pero en la parte inferior nos permitirá continuar si lo deseamos gracias al botón "User By Pass"

Ahora cambiaremos el botón de "User By Pass" a modo "Ninguno" para que no les aparezcan opciones y los usuarios no tengan opción de continuar.




Bloquearemos la URL www.facebook.com y crearemos una categoría llamada Redes Sociales.


Cuando los usuarios intenten ingresar observaran el motivo del bloqueo y la pagina estará bloqueada.



Ahora bloquearemos por extensión y denegaremos que los usuarios descarguen contenido .exe


Probaremos bajandonos el firefox.
  
Nos dirá que no podemos continuar por el tipo de extensión.

 Si volvemos a la pagina principal podemos ver algunos de los logs del proxy.


Ahora comenzaremos la configuración del Firewall.

Configurando el Firewall.

Para configurar el Firewall podemos basarnos en las reglas de las anteriores publicaciones tales como:



En este simplemente les mostrare una regla básica de denegación de HTTP y permisión por defecto.

Comenzamos con denegar la salida de la LAN hacia cualquier pagina HTTP.


 Ahora permitiremos todo por defecto.


Estas son nuestras reglas habilitadas.


Si ingresamos mediante HTTP sera denegada la solicitud pero podremos ingresar mediante HTTPS, FTP, consultas DNS y PING, además todo estará permitido.



Con esto habremos explorado un poco el Untangle, aunque faltara muchísimo por observar en esta gran herramienta, espero que con lo que les mostré hayan aprendido un poco, cualquier duda no duden en comentar ;).

Rutas Por Defecto CISCO

El dia de hoy les hablare un poco de rutas estaticas o by default, estas rutas son utilizadas en los routers cuando no se conoce una ruta hacia un destino determinado, es como la opcion que tomaria un paquete de no saber hacia donde dirigirse.
 
Demostrare esto en una topología básica de Packet Tracer en la cual queremos sin utilizar ningun protocolo de enrutamiento hacer llegar un paquete desde un host pasando por 3 routers hasta otro host.
 
Lo primero a hacer es montar dicha topologia, elegimos los 3 routers y los arrastramos al area de trabajo.


Ahora elegimos 2 PC.


Ahora pondremos los cables seriales entre los routers y los FastEthernet en los host.



Les puse entonces las etiquetas de las IP de cada subred, asumiendo entonces que el PC de la izquierda va a tener la IP 192.168.1.2 y el router la 192.168.1.1, el router0 tendrá la 192.168.30.1 y el router1 la 192.168.30.2 y así sucesivamente.


 Comenzamos configurando la IP de los host de la siguiente manera.


Ahora configuraremos los routers, los comandos que utilice en cada uno de ellos son los siguientes.

ROUTER 0
(Primero configuramos la interfaz FastEthernet)
Router>enable
Router#configure terminal
Router(config)#interface fastEthernet 0/0
Router(config-if)#ip address 192.168.1.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit

(Ahora configuramos la interfaz Serial teniendo en cuenta que todas las interfaces que estén antecedidas en su nombre con el símbolo de un reloj serán las DCE es decir que necesitan Clock Rate para poder configurarse).

Router(config)#interface serial 2/0
Router(config-if)#ip address 192.168.30.1 255.255.255.0
Router(config-if)#clock rate 56000
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 serial 2/0

 
(Con esto quedara configurado el primer router, observamos que lo único que hicimos diferente fue el comando "ip route 0.0.0.0 0.0.0.0 serial X/X" con el que definimos las rutas por defecto, esto significa que el se ira para cualquier IP con cualquier mascara de subred por la interfaz que designemos, es decir que como el siguiente router tiene 2 interfaces serial debemos introducir el comando para cada una de las interfaces).


ROUTER 1
Router>enable
Router#configure terminal
Router(config)#interface serial 2/0
Router(config-if)#ip address 192.168.30.2 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 serial 2/0
Router(config)#ip route 0.0.0.0 0.0.0.0 serial 3/0


Router(config)#interface serial 3/0
Router(config-if)#ip address 192.168.40.1 255.255.255.0
Router(config-if)#clock rate 56000
Router(config-if)#no shutdown
Router(config-if)#exit



ROUTER 2
Router>enable
Router#configure terminal
Router(config)#interface serial 2/0
Router(config-if)#ip address 192.168.40.2 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#ip route 0.0.0.0 0.0.0.0 serial 2/0


Router(config)#interface fastEthernet 0/0
Router(config-if)#ip address 192.168.2.1 255.255.255.0
Router(config-if)#no shutdown

NOTA: Estos comandos son básicos, si no entienden uno de estos espero que no duden en dejar un comentario con su pregunta ;)

Ahora todos los puntos de las interfaces se pondran verdes, lo que quiere decir que estan encendidas.


Finalmente para probar que si funciona enviaremos un paquete desde el host 1 al host 2 para ver si llega y como podemos ver en la imagen el envio sera satisfactorio.


Les adjunto 1 link donde podran encontrar esta topologia para Packet Tracer y otra con 10 routers a manera de prueba.


Espero que les haya servido y no duden en preguntar! ;)

 
Licencia Creative Commons
Este obra está bajo una licencia Creative Commons Atribución-NoComercial-SinDerivadas 2.5 Colombia.