Archive for the 'INEM' Category

Proxy caché con ISA Server 2004 y DHCP

Como deje a medio comentar el otro día, habíamos configurado el cliente y el servidor DNS de modo que, con un alias llamado “WPAD” apuntando a la máquina con ISA Server el cliente en modo “Detección automática de proxy” se autoconfigurase. Pero claro, vemos más cómodo configurarlo por DHCP, pues configuramos el servidor DHCP de Windows de modo que dé IP’s desde 10.10.0.115 a 10.10.0.120 por ejemplo. En la opciones de la “zona” (no me acuerdo de como se llamaba exactamente, y lo tengo en la punta de la lengua), delegación creo recordar, asignamos la opción “router”, “dns” y creamos una nueva llamada “WPAD” que luego explicaré.
En la opción router pondremos el la IP privada del ISA Server, en nuestro caso es 10.10.0.215, en servidores DNS pondremos los de la academia, que son 192.168.0.2 y 192.168.0.1. la nueva “pción” que añadiremos se llamará WPAD, cuyo identificador sera 252, del tipo “cadena” y cuya cadena será:
http://10.10.0.215/wpad.dat

Lo que hace es, que el cliente al pedir por difusión al servidor DHCP (cualquiera) IP, este le asignará una IP, una gateway, unos DNS y un “alias” WPAD, de modo que el explorador sepa por que puerto conectarse al proxy del ISA Server.

A ver que hornada nueva os traigo el próximo día, agur.

Primeros pasos con ISA Server 2004

Muy buenas, hace unos días que no posteo, pero ahora tengo material nuevo 🙂

Microsoft ISA Server 2004, que ISA Server viene a significar Internet Security and Aceleration Server. Bueno, lo primero al instalarlo, que hicimos una gochada, os comento.
Bien, redes privadas de clase A, B y C el ISA Server la determina como privadas, evidentemente, pero… ¿Qué hacemos cuando la supuesta IP Pública es una IP Privada como 192.168.16.117? Facil, fuimos en su intuitiva interfaz gráfica y modificamos la tabla LAT, Local Address Table, donde quitamos todos los rangos de IP’s y introducimos solo un rango desde 10.10.0.0 a 10.10.255.255. Para tener un cliente “desde fuera” usamos VMware y un XP con la red en modo host only, e modo que nos quedó así:
IP Pública del ISA: 192.168.16.117
IP privada del ISA: 10.10.0.215
IP del XP: 10.10.0.115

Por defecto, y algo que me gustó mucho, es que la regla por defecto es denegar todo, eso deja aislado todo el tráfico, pues si necesitamos navegar desde el server, tenemos que crear una regla para que desde el host local se pueda acceder a la red externa mediante protocolo HTTP.
Con la instalación inicial ISA Server usa el modo SecureNAT, es decir, un NAT normal y corriente, y tiene otros 2 modos, el modo firewall y otro que no recuerdo. El modo firewall aún no hemos llegado a él, peor os puedo adelantar que hay que instalar en el cliente un cliente firewal, lo que hace que solo sirva para maquinas Windows. Este metodo tiene sus ventajas y sus desventajas.
Ventajas: La seguridad que ofrece al controlar mediante usuarios, contenidos… etc
Desventajas: Solo equipos con Windows.

Más cosas que me gustan del ISA Server es que, como comente antes, puede hacer reglas diferentes para diferentes usuarios, o permitir una regla a unos y a otros denegarla. Imaginad esta ventaja unido a un servidor paralelo que hace de controlador de dominio (Active Directory). Tendríamos una red de 50 equipos cliente, con un ISA Server que haría de salida a internet y un controlador de dominio en la red. Los clientes inician sesión en el controlador de dominio remotamente (O Localmente modificando la directiva de seguridad, aunque no me parece seguro) y con el cliente firewall podrían conseguir que el ISA trabajase contra el, autentificando usuarios y todo.

Además de seguridad, aporta el sistema caché, que escucha en el puerto 8080, así que en navegador tendríamos que configurarlo a mano. Otro método manual de asignar el proxy sería, peor que aún no he probado, modificando la directiva de seguridad del Controlador de Dominio, donde los clientes inician sesión. Los metodos automáticos que hemos visto, hay 2, fue el método mediante DNS, de modo que el servidor DNS tenga un ALIAS de nombre WPAD que apunte a la maquina ISA Server. Ahora en el cliente, pensado para Internet Explorer, marcamos la casilla “Explorar proxy automáticamnete” (O similar, no recuerdo). Esto, junto que tenemos como DNS primario al controlador de dominio, hará la consulta por DNS y sabrá a donde ir. Pero para que realmente funcione hay que descubrir el puerto 80 del ISA Server para que funcione como proxy transparente en la red 10.10.0.0. Según la documentación de Microsoft, no es recomendable tener ISA Server instalado… anda que… con cambiarlo de puerto sirve. El otro método es mediante DHCP que ya os comentaré.

Bueno, me gusta, ahora pensando algo parecido pero con alternativas libres… sería factiblñe IPTables con flash para controlar acceso de uid y gid, un servidor NIS y el fabuloso Squid? Espero vuestros comentarios.

Saludos

DNS y Servidor de correo en 2003

No se si alguna vez lo habeis hecho, pero da puto asco. Somos 14 maquinas en el aula, de las cuales la 192.168.16.109 y 192.168.16.106 eran serviodres DNS maestros. Los demás haciamos de servidores esclavos. Todos teniamos servidor POP3 y SMTP, y con un magnifico cliente de correo como Outlook Express. Un avez todo montado, todos podiamos enviarnos correos menos uno, yo, que podía enviar peor no recibir. Después de probear 50 veces, configurarlo como los demás, etc etc seguía sin tirar. Parece ser que “esto” nada más que le soplas, casca. Vamos, que donde este Postfix y Bind9…

Tengo descanso, me he desahogado, ahora voy a leer más a fondo en barrapunto la noticia de la pasarela de correo basada en OpenBSD, que me gustaría porbarla peor me da que exige mucho.

Ah, si teneis equipos viejo de los que os quereis desacer, mandadme un correo a gura_caleya en elgura.com y hablamos.

Agur

Lista de acceso en routers Cisco

Hoy es lo que hemos hecho de tarde, listas de acceso en Cisco 2600. En resumidas cuentas, un cortafuegos.
Tenemos las listas de acceso standarrd que solo permiten especificar la red/IP de origen. Tenemos por otro lado las ACL extendidas, que además de permitir añadir comentarios, permiten seleciconar origen, destino, protocolo, puerto… etc. La verdad que los señores de Cisco Systems se complican demasiado la vida en el IOS, con lo facil que es IPTables…
En fin, ahora toca seguridad en redes, segimos con criptografiía y tal, en el descando voy a jugar una partida al counter.

Agur

NAT, DMZ, servidores y la red privada de una empresa

Buenas de nuevo. Hoy de tarde fue brutal, nunca trabajé tanto, en serio. Bermejo nos mando un ejercicio bastante peculiar, os explico:

Imaginad que tenemos una empresa con conexión a internet. Ésta pasa por un router que a la vez hace funciones de cortafuegos, por lo tanto este cortafuegos, de ahora en adelante “Router externo”, tiene una IP pública y una privada que es 172.16.0.254. En esta red 172.16.0.0/16 y sin haber subredes, es la zona desmilitarizada (DMZ) donde se encuentra un servidor Web con acceso SSH (172.16.0.1), un servidor DNS (172.16.0.2) y una máquina con “Escritorio remoto de Windows 2003” (172.16.0.3). Después de esta zona DMZ, hay aún otra red, la de los ordenadores de la empresa en sí, montaba en 10.0.0.0/24. Los equipos son 10.0.0.1, 10.0.0.2 y 10.0.0.3.
Estos clientes tienes que poder navegar, recibir correo y demás, y a la vez estar protegidos de internet.
Por otra parte, los clientes 1 y 3 pueden acceder al servidor DNS, escritorio remoto y a la Web del servidor, pero no a SSH. El otro equipo, el equipo 2, con IP 10.0.0.2/24, tendría prohibido el acceso a escritorio remoto. SSH como es un servicio privilegiado, solo una IP debería poder acceder a él y es la IP 192.168.16.114 (Si, es privada, pero luego el explico).

Como veis es algo lioso, hoy hemos terminado casi lo que comprende la zona privada (DMZ y Clientes). Nos falta pasarle unos filtros en Windows 2003, con políticas por defecto DROP (perdón, denegar xD) y permitir solo lo que queremos.

El router externo tendrá que hacer prerouting con el puerto 22 y permitir navegar y demás. El prerouting se usaría para que un ssh -p 22 usuaario@IPPublica, le llebase hasta el servidor interno de la red donde el servidor SSH está corriendo.

El tema de por qué el Cliente externo que ha de estar solamente autorizado a conectar a SSH , tenga una IP 192.168.16.114 es la siguiente. El esquema en clase está así:

Internet –> 212.x.x.x || EISO (Enrrutador de la academia) || 192.168.x.x (En nuestor caso, aula 16, sería 192.168.16.1) –> 192.168.16.254 || Router externo || 172.16.0.254 –> DMZ en 172.16.0.0/16 –> 172.168.0.253 || Router Interno || 10.0.0.253 –> Clientes en 10.0.0.0/24

Bien, así, desde 192.168.16.114 se tendrá que pasar por el Router externo para acceder a la DMZ.

Muy útil y entretenido, solo le falta uan cosa, hacerlo bajo la SuSE Enterprise y sí, lo haremos 😀

Agur

Me sale Windows 2003 por las orejas

Arf, estioy asqueado, ayer después de haber comido en “El descanso” e ir para clase, nos tocó clase con Bermejo. Como es de costumbre aún, estumimos dando NAT en Windows 2003. Vamos resumiendo, haciendo de pasarela de conexiones y haciendo de router, la primera se basaba en un equipo 10.0.0.2 pidiese a 192.168.16.169 (SuSE Enterprise 9) una web teniendo como puerta de enlace 10.0.0.1 (El router Windows 2003).
El otro método era poner tanto el servidor como el cliente en clase C (pero diferentes redes) y como gateway a 10.0.0.1 (el 2003). Luego el cliente (192.168.9.112) accedería a 192.168.9.216 (La interface 2 del router) y éste le redirigiese la petición al puerto 80 a 192.168.16.169 (El servidor web), vamos, como un router propiamente dicho hace.
En IPTAbles si no me equivoco elprimer caso sería POSTROUTING y el segundo PREROUTING.

Luego estuvimos con Angel, enrrutando los marávillosos Cisco 2600. Una estaba en Asturias, otro Cantabria, Galicia y León y teniamos que usar RIP v.2 para el encaminamiento entre ellos. El tema del enrrutamiento ya está terminado, empezaremos con algo nuevo pero no recuerdo lo que dijo, os informaré.

Hoy tenemos 6 horas con Bermejo, dijo que nos dejaría salir antes, a ver a que hora nos suelta y que coño haremos… sobre las 6 y media os escribiré algo.

Agur

Una tarde muy gocha

Buenas. No se si a causa del calor o de la falta de sexo, pero es impresionante las patochadas que se pueden decir (Versión literal)
Misa a Dani: ¿Eso que ye el jalf life? –> Como suena
Dani a Misa: No, es el Cunter estrike –> Idem

Bueno, al grano, son las 4 de la trade y he instalado en el ordenador de al lao una flamante SuSE Linux Enterprise Server 9, que me ha decepcionado en 1 cosa: Las actualizaciones de YOU son mediante suscripción. En la Pro no hace falta suscripción. Bueno, una pena, de todos modos a ver si me descargo un kernel nuevo y se lo compilo.

Hastaaa luego.


Las opiniones reflejadas en este blog son personales o ni siquiera son opiniones, y bajo ningún concepto representan las estrategias, opiniones o posturas de mi empresa actual, ni de ninguna en las que he trabajado, así como tampoco de ninguno de los clientes o proveedores de todas ellas.
La información se proporciona como está, sin garantías de ninguna clase, y no otorga ningún derecho. Los comentarios pertenecen a sus autores y bajo ningún concepto el autor del blog se hará responsable de los mismos.

Categorías

Archivos