Qu es un Firewall?

FIREWALL

Cortafuegos

Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitindolas o prohibindolas segn las polticas de seguridad.

Dnde opera un Firewall?

Punto de conexin de la red interna con la red exterior

Zona Desmilitarizada (DMZ)

Tipos de Firewall
APLICACIN PRESENTACIN SESIN TRANSPORTE RED ENLACE FISICA protocolo + puerto IP MAC De filtrado de paquetes URL de HTTP De capa de aplicacin

OSI

Funciones posibles del Firewall (I)

NAT (Network Address Translation) 10.0.0.1

10.0.0.2

Funciones posibles del Firewall (I)

NAT (Network Address Translation) 10.0.0.1

10.0.0.2

Funciones posibles del Firewall (I)

NAT (Network Address Translation) 10.0.0.1

10.0.0.2

Funciones posibles del Firewall (II)

PROXY

La informacin solicitada al exterior es recuperada por el firewall y despus enviada al host que la requiri originalmente.

Funciones posibles del Firewall (II)

PROXY

La informacin solicitada al exterior es recuperada por el firewall y despus enviada al host que la requiri originalmente.

Funciones posibles del Firewall (II)

PROXY

La informacin solicitada al exterior es recuperada por el firewall y despus enviada al host que la requiri originalmente.

Funciones posibles del Firewall (III)

QOS

HTTP

HTTP

La LAN esta haciendo mucho uso de Intenet via HTTP y el firewall limita la salida para que por ejemplo los usuarios puedan recibir sin problemas su correo

Funciones posibles del Firewall (IV)

Balanceo de Carga

HTTP

HTTP

La LAN tiene dos vinculos con internet y el firewall distribuye la carga entre las dos conexiones.

Limitaciones del Firewall

No protege de ataques fuera de su rea No protege de espas o usuarios inconscientes No protege de ataques de ingeniera social No protege contra ataques posibles en la transferencia de datos, cuando datos son enviados o copiados a un servidor interno y son ejecutados despachando un ataque.

Implementacin
Hardware especfico configurable o bien una aplicacin de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red)

1) ACEPTAR

REGLAS
2) DENEGAR

Implementacin
Hardware especfico configurable o bien una aplicacin de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red)

IPTABLES (LINUX)

IPtables
IPTABLES= NETFILTER LINUX

Kernel

IPTables

Filtrado de paquetes Connection tracking NAT

Funcionamiento de IPtables
paquete IP

regla1

regla2

regla3

...

cadena 1

INPUT
cadenas bsicas OUTPUT FORWARD

... el usuario puede crear tantas como desee.

Funcionamiento de IPtables
paquete IP

regla1

regla2

regla3

...

cadena 1 regla1 regla2 regla3 ...

cadena 2
... enlace a otra cadena

Funcionamiento de IPtables
REGLAS

condiciones a matchear

DESTINO ACCEPT DROP QUEUE RETURN ... cadena definida por usuario

Funcionamiento de IPtables
REGLAS

condiciones a matchear protocolo IP origen IP destino puerto destino puerto origen flags TCP ...

DESTINO ACCEPT DROP QUEUE RETURN ... cadena definida por usuario

Funcionamiento de IPtables
paquete IP

...

cadena 1

...
. . . ...

cadena 2

cadena N

TABLA

Funcionamiento de IPtables
Hay tres tablas ya incorporadas, cada una de las cuales contiene ciertas cadenas predefinidas : FILTER TABLE responsable del filtrado cadenas predefinidas INPUT OUTPUT FORWARD

NAT TABLE

responsable de configurar las reglas de reescritura de direcciones o de puertos de los paquetes PREROUTING (DNAT) POSTROUTING (SNAT) OUTPUT (DNAT local) responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio; contiene todas las cadenas predefinidas posibles.

MANGLE TABLE

Funcionamiento de IPtables

Ejemplo de IPtables (I)

Queremos bloquear todos aquellos paquetes entrantes provenientes de la direccin IP 200.200.200.1. iptables -s 200.200.200.1 No estamos especificando qu hacer con los paquetes. Para esto, se usa el parmetro -j seguido por alguna de estas tres opciones: ACCEPT, DENY o DROP. iptables -s 200.200.200.1 -j DROP Necesitamos tambin especificar a qu chain o cadena vamos a aplicar esta regla. Para eso est el parmetro -A. iptables -A INPUT -s 200.200.200.1 -j DROP

Ejemplo de IPtables (II)

Si lo que buscamos es que a nuestra computadora le sea imposible comunicarse con la anterior, simplemente cambiaremos el INPUT por el OUTPUT, y el parmetro -s por el -d. iptables -A OUTPUT -d 200.200.200.1 -j DROP

Si quisiramos ignorar slo las peticiones Telnet provenientes de esa misma IP

iptables -A INPUT -s 200.200.200.1 -p tcp --puerto-destino telnet -j DROP

Si vamos a usar la computadora como router, deberemos setear la cadena de FORWARD para que tambin quede en ACCEPT. iptables -P FORWARD ACCEPT