NAT, DMZ, servidores y la red privada de una empresa

Buenas de nuevo. Hoy de tarde fue brutal, nunca trabajé tanto, en serio. Bermejo nos mando un ejercicio bastante peculiar, os explico:

Imaginad que tenemos una empresa con conexión a internet. Ésta pasa por un router que a la vez hace funciones de cortafuegos, por lo tanto este cortafuegos, de ahora en adelante “Router externo”, tiene una IP pública y una privada que es 172.16.0.254. En esta red 172.16.0.0/16 y sin haber subredes, es la zona desmilitarizada (DMZ) donde se encuentra un servidor Web con acceso SSH (172.16.0.1), un servidor DNS (172.16.0.2) y una máquina con “Escritorio remoto de Windows 2003” (172.16.0.3). Después de esta zona DMZ, hay aún otra red, la de los ordenadores de la empresa en sí, montaba en 10.0.0.0/24. Los equipos son 10.0.0.1, 10.0.0.2 y 10.0.0.3.
Estos clientes tienes que poder navegar, recibir correo y demás, y a la vez estar protegidos de internet.
Por otra parte, los clientes 1 y 3 pueden acceder al servidor DNS, escritorio remoto y a la Web del servidor, pero no a SSH. El otro equipo, el equipo 2, con IP 10.0.0.2/24, tendría prohibido el acceso a escritorio remoto. SSH como es un servicio privilegiado, solo una IP debería poder acceder a él y es la IP 192.168.16.114 (Si, es privada, pero luego el explico).

Como veis es algo lioso, hoy hemos terminado casi lo que comprende la zona privada (DMZ y Clientes). Nos falta pasarle unos filtros en Windows 2003, con políticas por defecto DROP (perdón, denegar xD) y permitir solo lo que queremos.

El router externo tendrá que hacer prerouting con el puerto 22 y permitir navegar y demás. El prerouting se usaría para que un ssh -p 22 usuaario@IPPublica, le llebase hasta el servidor interno de la red donde el servidor SSH está corriendo.

El tema de por qué el Cliente externo que ha de estar solamente autorizado a conectar a SSH , tenga una IP 192.168.16.114 es la siguiente. El esquema en clase está así:

Internet –> 212.x.x.x || EISO (Enrrutador de la academia) || 192.168.x.x (En nuestor caso, aula 16, sería 192.168.16.1) –> 192.168.16.254 || Router externo || 172.16.0.254 –> DMZ en 172.16.0.0/16 –> 172.168.0.253 || Router Interno || 10.0.0.253 –> Clientes en 10.0.0.0/24

Bien, así, desde 192.168.16.114 se tendrá que pasar por el Router externo para acceder a la DMZ.

Muy útil y entretenido, solo le falta uan cosa, hacerlo bajo la SuSE Enterprise y sí, lo haremos 😀

Agur

Anuncios

Las opiniones reflejadas en este blog son personales o ni siquiera son opiniones, y bajo ningún concepto representan las estrategias, opiniones o posturas de mi empresa actual, ni de ninguna en las que he trabajado, así como tampoco de ninguno de los clientes o proveedores de todas ellas.
La información se proporciona como está, sin garantías de ninguna clase, y no otorga ningún derecho. Los comentarios pertenecen a sus autores y bajo ningún concepto el autor del blog se hará responsable de los mismos.

Categorías

Archivos


A %d blogueros les gusta esto: