INFORME DE LABORATORIO No.

FIREWALL

FACULTAD DE INGENIERIA

DEPARTAMENTO DE AUTOMATICA Y ELECTRONICA

José Estrada González Código: 2070704

Carlos Andrés Aguilar Código: 2066340

Introducción firewall examina si la comunicación es

entrante o saliente y dependiendo de su
En este trabajo se buscara familiarizarse
dirección puede permitirla o no.
con la configuración del servicio firewall,
en este caso especifico emplearemos una
solución de software libre y de fácil Marco Teórico
acceso llamada shorewall, esta es una
Shorewall (Shoreline Firewall): Es una
herramienta robusta y extensible de alto
robusta y extensible herramienta de alto
nivel para la configuración de muros
nivel para la configuración de muros
cortafuegos, Shorewall no permanece en
cortafuegos. Shorewall solo necesita se le
memoria como un demonio; lee su
proporcionen algunos datos en algunos
configuración, la valida y efectúa los
ficheros de texto simple y éste creará las
cambios necesarios en Netfilter para
reglas de cortafuegos correspondientes a
desaparecer después. A continuación
través de iptables. Shorewall puede
daremos información importante para
permitir utilizar un sistema como muro
entender el funcionamiento del firewall.
cortafuegos dedicado, sistema de
Firewall: es simplemente un filtro que múltiples funciones como puerta de
controla todas las comunicaciones que enlace, dispositivo de encaminamiento y
pasan de una red a la otra y en función servidor.
de lo que sean permite o deniega su
Iptables: es el nombre de la herramienta
paso. Para permitir o denegar una
de espacio de usuario (User Space, es
comunicación el firewall examina el tipo
decir, área de memoria donde todas las
de servicio al que corresponde, como
aplicaciones, en modo de usuario,
pueden ser el web, el correo o el IRC.
pueden ser intercambiadas hacia
Dependiendo del servicio el firewall
memoria virtual cuando sea necesario) a
decide si lo permite o no de acuerdo a las
través de la cual los administradores
especificaciones que se le dan en el
crean reglas para cada filtrado de
archivo de configuración. Además, el
paquetes y módulos de NAT. Iptables es destino): es una técnica mediante la cual
la herramienta estándar de todas las se hace público un servicio desde una
distribuciones modernas de GNU/Linux. Red Privada. Es decir permite redirigir
puertos hacia direcciones IP de Red
Privada. El uso de esta técnica puede
Netfilter: es un conjunto de ganchos permitir a un usuario en Internet alcanzar
(Hooks, es decir, técnicas de un puerto en una Red Privada (dentro de
programación que se emplean para crear una LAN) desde el exterior a través de un
cadenas de procedimientos como encaminados (router) o muro
manejador) dentro del núcleo de cortafuegos donde ha sido habilitado un
GNU/Linux y que son utilizados para NAT.
interceptar y manipular paquetes de red.
Shorewall necesita de un demonio para
El componente mejor conocido es el
su arranque:
cortafuegos, el cual realiza procesos de
filtración de paquetes. Los ganchos son • # service shorewall start
también utilizados por un componente
Tipos de Firewall
que se encarga del NAT (acrónimo de
Network Address Translation o Existe una clasificación de acuerdo a la
Traducción de dirección de red). Estos forma como es implementado:
componentes son cargados como
módulos del núcleo. Hardware – dispositivo físico (host) con
un sistema operativo especial (reducido)
NAT (acrónimo de Network Address que posee dos o más interfaces de red
Translation o Traducción de dirección de servidor y en el cual se implementan las
red): también conocido como directivas de seguridad de la red.
enmascaramiento de IP, es una técnica Generalmente el equipo, posee una
mediante la cual las direcciones de interfaz gráfica (GUI) para la
origen y/o destino de paquetes IP son configuración de las reglas de manera
reescritas mientras pasan a través de un remota.
dispositivo de encaminamiento (router) o
muro cortafuegos. Se utiliza para Software – programa especial que se
permitir a múltiples anfitriones en una instala en un servidor para la
Red Privada con direcciones IP para Red implementación de las directivas de
Privada para acceder hacia una Internet seguridad de la red. Las reglas de
utilizando una sola dirección IP pública. seguridad se pueden configurar usando
una interfaz gráfica o la línea de
DNAT (acrónimo de Destination comandos (shell script). Además, el
Network Address Translation o programa se puede configurar como un
traducción de dirección de red de servicio.
 potencialmente la entrada o salida de
datos.
Existe una configuración especial
considerando su ubicación en la red:

Muro Cortafuegos – host que se • Ayuda a simplificar los trabajos de

encuentra entre la LAN e Internet, administración, una vez que se consolida
habitualmente posee 2 interfaces de red la seguridad auditando el uso del
y se dedica únicamente al filtrado de Internet. De esta manera el
paquetes. Se le denomina también administrador de red justifica el gasto
bastión de seguridad. que implica la conexión a Internet,
localizando con precisión los cuellos de
Gateway – (Pasarela) todo el tráfico de
botella potenciales del ancho de banda.
red - interno y externo, debe realizarse a
través de él.

Firewall Proxy – se implementa como • El firewall ofrece la posibilidad de

una aplicación independiente para cada monitorear la seguridad y si aparece
servicio, y en este caso es él quien alguna actividad sospechosa, generará
establece la conexión con el servidor una alarma ante la posibilidad de que
remoto en lugar del cliente. ocurra un ataque, reduciendo el riesgo
de que se produzca un ataque.
Ventajas del fiewall

• Administran los accesos provenientes

de Internet hacia la red privada. Sin un • El firewall crea una bitácora en donde
firewal, cada uno de los servidores se registra el tráfico más significativo que
propios del sistema se exponen al ataque pasa a través el.
de otros servidores en el Internet. Por
• Concentra la seguridad Centraliza los
ello la seguridad en la red privada
accesos
depende de la "dureza" con que el
firewall cuente. • Al poseer un firewall disminuimos la
posibilidad de tener los siguientes
• Administran los accesos provenientes
ataques.
de la red privada hacia el Internet.
Denegación de servicio (Denial of Service
• Permite al administrador de la red
- DoS)
mantener fuera de la red privada a los
usuarios no-autorizados (tal, como, Sondeo y exploración de los puertos
hackers, crakers y espías), prohibiendo lógicos.

Acceso a sitios y servicios no deseables.

Acceso a información confidencial. está desactivado, solo basta cambiar No
por Yes.

Desarrollo
STARTUP_ENABLED=Yes
Para iniciar la instalación del shorewall el
primer paso es descargar el rpm desde la
página http://www.shorewall.net/,
después de esto se debe proceder con la CLAMPMSS se utiliza en conexiones tipo
instalación, esta se lleva a cabo con la PPP (PPTP o PPPoE) y sirve para limitar el
línea. MSS (acrónimo de Maximum Segment
Size que significa Máximo Tamaño de
Segmento). Cambiando el valor No por
rpm –ivh shorewall-4.4.rpm Yes, Shorewall calculará el MSS más
apropiado para la conexión. Si se es
osado, puede también especificarse un
número en paquetes SYN. La
Dejamos todos los parámetros de
recomendación es establecer Yes si se
instalación por defecto, esto nos quiere
cuenta con un enlace tipo PPP.
decir que los archivos de configuración
quedan en la ruta /etc/shorewall.

CLAMPMSS=Yes
Para la configuración del servicio de
firewall hay que modificar algunos
parámetros que se encuentran en los
archivos de configuración, el primero de
estos archivos es el shorewall.conf que se
encuentra ubicado en la ruta
etc/shorewall/sorewall.conf.

En este archivo se modificaran 2

parametros, el STARTUP_ENABLED y el
CLAMPMSS. Figura 1. Configuración del archivo
shorewall.conf.

STARTUP_ENABLED se utiliza para

activar Shorewall. De modo predefinido
Para continuar con la configuración se
guardan los cambios realizados y se
procede a acceder al archivo zones
ubicado en la misma ruta que el archivo
anterior (/etc/shorewall).

Este archivo se utiliza para definir las

zonas que se administrarán con Figura 3. Configuración del archivo
Shorewall y el tipo de zona (firewall, interfaces.
ipv4). La zona fw está presente en el
fichero /etc/shorewall.conf como
configuración predefinida.
En esta configuración se agrega la
interfaz eth0 para la zona loc y se agrega
la interfaz eth1 para la zona net, creadas
anteriormente en el archivo zones,
además de esto en la parte de broadcast
se pone detect para que se calcule
automáticamente la dirección de
transmisión (broadcast) y en la parte de
OPTIONS se especifica la dirección de red
con la máscara de subred.
Figura 2. Configuración del archivo
zones.
Se guardan los cambios realizados y se
procede a modificar el fichero policy,
En este caso se crean nuevas zonas este se encuentra en la ruta
llamadas net y loc, que son de tipo ipv4. etc/shorewall, y en él se definen las
Se guardan los cambios y se procede a políticas por defecto para paquetes que
modificar el archivo interfaces que se viajan entre una zona hacia otra.
encuentra ubicado en la ruta /etc/
shorewall.

En el archivo interfaces se establecen las

interfaces de las zonas a ser tomadas en
cuenta por el firewall.
 En Shorewall no solo se puede configurar
con las numeraciones de los puertos,
Shorewall nos permite también
configurar los puertos según sea su
nombre o servicio que ofrece (DNS, FTP,
POP3, MySQL, SSH, VNC, Whois, Emule,
Figura 4. Configuración del archivo BitTorrent, etc).
policy.

En el archivo policy implementamos la

política de seguridad de denegar todo de
manera predeterminada y aceptar el
paso de paquetes seleccionados de
manera explícita.

Se guardan los cambios y se procede a

configurar el archivo rules ubicado en la Figura 5. Configuración del archivo rules.
misma ruta de los archivos anteriores,
este archivo es el más importante a la
hora de configurar shorewall ya que aquí Teniendo en cuenta la modificación en el
se definen las reglas que permitirán o arhivo politicy de negar todo en este
bloquearan el acceso a servicios o archivo debemos darle acceso a la zona
puertos desde y hacia zonas o el firewall. que queremos pase sin ser bloqueada
por el firewall, esto se hace agragando
una nueva línea en el archivo en cuestión
Antes de configurarlo hay que tener en en la cual se pone en los campos los
cuenta que las políticas por defecto son siguientes parametros, en ACTION se
DROP, por lo tanto nada pasa a ningún pone ACCEPT si se va a permitir o REJECT
lugar, no se podrá navegar ni siquiera el si se va a nega, en SOURCE se pone la
mismo fw, por lo tanto tenemos que ir a zona de origen, , en DEST se pone la zona
abriendo y permitiendo el acceso a varios de destino, en PROTO se consigna el
puertos según como sean los protocolo por el cual se establece la
requerimientos. conexión (tcp o udp), y en PORT se
escribe el número del puerto del
Conclusión

El firewall es muy práctico y útil ya que

nos permite agregar seguridad a nuestros
equipos y redes por medio de la
imposición de políticas de seguridad.

Los firewall’s no son una buena

herramienta si no se tienen bien
configurados, por el contrario una mala
configuración daría una sensación de
protección cuando en realidad se está
vulnerable, es por esto que se aconseja
poner la política de negar todo, y agregar
reglas para dejar pasar a las excepciones
que se consideren pertinentes según el
entorno.

Bibliografía

Presentación firewall
http://augusta.uao.edu.co/moodle/mod/
resource/view.php?id=40814

Practica firewall
http://augusta.uao.edu.co/moodle/mod/
resource/view.php?id=40815

http://www.linuxparatodos.net/portal/st
aticpages/index.php?page=como-
shorewall-3-interfaces-red

http://www.desarrolloweb.com/articulos
/513.php

http://www.shorewall.net/

http://www.racsa.co.cr/consejos_navega
cion/proteccion/firewalls/index.html