Previo PC6 - Jorge González

Vista previa del material en texto

Facultad de Ingeniería Redes de Datos Seguras
______________________________________________________________________________________________________________
Universidad Nacional Autónoma de México
Facultad de Ingeniería
Redes de Datos Seguras
Grupo: 03 - Semestre: 2023-1
Previo Práctica Complementaria 6 y 7:
Firewall básico y Configuración básica de una comunicación de Voz IP.
Fecha de entrega: 07/12/2022
Profesora:
M.C. María Jaquelina López Barrientos
Alumno:
Téllez González Jorge Luis
1. Mencione la definición de red local y red externa.
Una LAN, abreviatura para Local Area Network (Red de Área Local), es una red que cubre un área geográfica pequeña, como hogares, oficinas y grupos de edificios, mientras que una WAN, abreviada de Wide Area Network (Red de Área Amplia), es una red que cubre áreas geográficas más grandes que pueden abarcar todo el mundo.
Un ejemplo de una WAN ampliamente utilizada es Internet, que es una colección de decenas de miles de redes que conecta decenas de miles de millones de dispositivos. Las redes de área local utilizan predominantemente la tecnología Ethernet, que es un protocolo de red que dicta cómo se transmiten los datos a través de los medios físicos, siendo el medio más común el cableado UTP.
Las redes de área local pueden usar dispositivos de Capa 1 y Capa 2; los dispositivos de Capa 1 incluyen Hubs y repetidores, por otra parte, los dispositivos de Capa 2 que se pueden usar son switches y bridges. Mientras que las LAN usan dispositivos de Capa 1 y Capa 2, las WAN operan usando dispositivos de Capa 3 como switches multicapa y routers.
Figura 1. Red de área local conectada a una WAN. Nótese el Firewall intermediario para la protección de la red interna.
2. ¿Qué es un Firewall?
El firewall es, por definición, una especie de organismo de inspección conectado entre Internet u otra red y el equipo local. Verifica los derechos de acceso de los programas y los equipos remotos en ambas direcciones. La configuración del firewall determina si los programas instalados en un ordenador pueden acceder a Internet y a la inversa. El firewall también regula la comunicación entre el ordenador y otros equipos dentro de una red.
Los firewalls proveen a un equipo o una red local de equipos de protección contra los peligros que acechan desde Internet u otras redes. Esas amenazas suelen ser, por ejemplo, software malicioso, también conocido como malware. Se trata de virus o programas espía (spyware) que pueden infectar o introducirse en un ordenador o incluso una red interconectada de computadoras para recopilar datos sensibles, modificarlos o alterar ciertas funciones de los equipos conectados a una red específica.
3. Mencione las características de un Firewall con reglas de entrada.
Un firewall no reconoce en principio si el acceso de una fuente a la red interna es hostil o inofensivo, únicamente supervisa los accesos a la PC de una red y viceversa. El firewall decide entonces si uno de esos accesos entraña peligro en función de una serie de reglas preestablecidas.
· Derechos de acceso de direcciones IP desconocidas: los intentos de acceso por parte de otros equipos de la red se identifican mediante la dirección IP y, en principio, se bloquean por defecto. Si se desea realizar un intercambio de datos, se puede permitir de forma manual o añadir la dirección IP como excepción para que la próxima vez se permita el acceso sin consultarlo previamente.
· Consultar el acceso de programas en línea: al instalar programas que están disponibles en línea, también debería configurarse la confirmación manual. De este modo, se puede estar seguro de que se instala el archivo deseado y reconocer de inmediato si un sitio web que no es de confianza intenta infectar un ordenador con software malicioso.
· Visibilidad en las redes: se puede configurar la visibilidad de un equipo en redes concretas. Se recomienda ocultar cualquier equipo en las redes públicas (como puntos de acceso WiFi en aeropuertos o cafeterías) para protegerlo frente a intentos de acceso no autorizados. 
· Bloqueo de contenido del sitio web activo: algunas tecnologías para la visualización de contenido dinámico en sitios web (vídeos o animaciones gráficas), como las aplicaciones Microsoft ActiveX o Adobe Flash, siempre se utilizan de forma indebida para propagar malware porque el contenido se ejecuta localmente en el ordenador del usuario. La ejecución de ese contenido se puede bloquear desde el principio.
4. ¿Qué es un servidor de red?
El término servidor tiene dos significados de acuerdo al contexto en el que se use: el primero hace referencia a un equipo de cómputo que pone recursos a disposición por medio de una red, y el segundo se refiere al programa que funciona en dicho ordenador para proveer de servicios (generalmente bajo la arquitectura cliente-servidor). En consecuencia aparecen dos definiciones de servidor:
· Servidor (hardware): un servidor basado en hardware es una máquina física integrada en una red informática en la que, además del sistema operativo, funcionan uno o varios servidores basados en software. Una denominación alternativa para un servidor basado en hardware es "host" (término en inglés para "anfitrión"). En principio, todo ordenador puede usarse como "host" con el correspondiente software para servidores.
· Servidor (software): un servidor basado en software es un programa que ofrece un servicio especial que otros programas denominados clientes (clients) pueden usar a nivel local o a través de una red. El tipo de servicio depende del tipo de software del servidor. La base de la comunicación es el modelo cliente-servidor y, en lo que concierne al intercambio de datos, entran en acción los protocolos de transmisión específicos del servicio.
5. ¿Para qué sirve el servicio ICMP?
El Protocolo de control de mensajes de Internet (ICMP) es un protocolo en la capa de red que utilizan los dispositivos de red para diagnosticar problemas de comunicación en la red. El ICMP se utiliza principalmente para determinar si los datos llegan o no a su destino a su debido tiempo. El protocolo ICMP se suele utilizar en dispositivos de red, como los enrutadores. El ICMP es crucial para informar de errores y realizar pruebas, pero también puede utilizarse en ataques de denegación de servicio distribuido (DDoS).
El objetivo principal del ICMP es informar sobre errores. Cuando dos dispositivos se conectan a través de Internet, el ICMP genera errores para compartirlos con el dispositivo emisor en caso de que alguno de los datos no haya llegado a su destino previsto. Por ejemplo, si un paquete de datos es demasiado grande para un enrutador, este descartará el paquete y enviará un mensaje ICMP de vuelta a la fuente original de los datos.
Un uso secundario del protocolo ICMP es llevar a cabo diagnósticos de red; las utilidades de terminal más utilizadas, traceroute y ping, funcionan ambas con ICMP. La utilidad traceroute se utiliza para mostrar la ruta de enrutamiento entre dos dispositivos de Internet. La ruta de enrutamiento es el camino físico real de los enrutadores conectados por el que debe pasar una solicitud antes de llegar a su destino. El trayecto entre un enrutador y otro se conoce como "salto", y una traceroute también informa del tiempo necesario para cada salto en el camino. Esto puede ser útil para determinar las fuentes de retraso de la red.
Figura 2. ICMP provee capacidades de trazabilidad y diagnóstico de red.
6. ¿Para qué sirve el comando access-list 101 deny icmp any any host-unreachable?
Este comando deniega el protocolo ICPM o ping del equipo cliente al servidor y se utiliza para evitar ataques de denegación de servicio.
7. ¿Para qué sirve el comando access-list 101 permit tcp any any eq www?
Permite el uso de los protocolos de comunicaciones como HTTP, Telnet, SMTP´, POP3 y FTP. Esta configuración permite el tráfico TCP con valores de puerto de destino que coincidan con datosFTP (puerto 20 y 21), , POP3 (puerto 110), SMTP (puerto 25), Telnet (puerto 23) y WWW (puerto 80). De esta forma, el comando permite el tráfico TCP de un cliente hacia un servidor.
8. ¿Para qué sirve el comando ip access-group 101 in?
Para controlar el acceso a una interfaz, se utiliza el comando de configuración de la interfaz ip access-group. Para quitar el grupo de acceso especificado, se utiliza la forma no de este comando.
ip access-group {access-list-number | name}{in | out}
no ip access-group {access-list-number | name}{in | out}
En donde:
· access-list-number: Número de una lista de acceso. Este es un número decimal del 1 al 199.
· name: Nombre de una lista de acceso IP según lo especificado por un comando ip access-list.
· in: Filtra los paquetes entrantes.
· out: Filtra en paquetes salientes.
9. ¿Cuál es la diferencia entre un Firewall perimetral y uno local?
Existen firewall software instalados en un ordenador que se limitarán a autorizar o bloquear los intentos de conexión a o desde una aplicación, pero no serán capaces de trabajar con el conjunto de lo que ocurre en una red local. Por otra parte, existen firewall perimetrales instalados como un equipo más de la red por donde se hace pasar todo el tráfico de la red para que este sea analizado. Se tienen 3 tipos de firewall perimetrales:
· Firewalls tradicionales integrados en el router: Analizan el origen y destino de una conexión (IP y puerto). Son muy fáciles de configurar, pero ofrecen una protección muy limitada, ya que solo trabajan en capa 2 y 3 del protocolo OSI.
· Firewalls dedicados básicos: Clásico servidor Linux con funciones de firewall, que brinda un nivel de seguridad comparable a un firewall en el router, ya que trabajan bien en capa 2 y 3 del protocolo OSI, pero no suelen tener un soporte de firmas de tráfico que les permita elevar la gestión a las capas superiores. Ofrecen alguna funcionalidad adicional y ayudan a que no sufra tanto el rendimiento del router. Mantienen la facilidad de configuración.
· Gestores unificados de amenazas UTM: Aquí se engloban firewalls como Fortinet-Fortigate, con capacidad de gestionar todas las capas del protocolo OSI. Recopilan firmas de tráfico y otras estrategias para identificar no solo el origen y destino del tráfico, sino el cometido de ese tráfico: ¿A qué aplicación pertenece? ¿Para qué se usará? ¿Qué ha ocurrido en la red en el periodo X de tiempo? ¿Incluye un ejecutable?
Figura 3. Los firewall perimetrales ofrecen un control más granular del tráfico en una red.
10. Investigue cuáles son los diferentes tipos de VLAN que se pueden implementar en una RED.
· Basadas en puertos: Las VLAN basadas en puertos consisten en una agrupación basada en los puertos físicos dentro de un switch o un apilamiento de varios switches. La asignación de los equipos a la VLAN se realizará con base en los puertos a los que están conectados de forma física. 
Esta configuración representa la forma más básica de implementar VLANs. Las primeras implementaciones de esta metodología definían la pertenencia a la red virtual por grupos de puertos (por ejemplo, los puertos 1,2,3,7 y 8 sobre un switch forman la VLAN A, mientras que los puertos 4,5 y 6 forman la VLAN B). Además, en la mayor parte de los casos, las VLANs podían ser construidas sobre un único switch.
· Basadas en direcciones MAC: La clasificación de VLAN basada en la dirección MAC permite que los paquetes se clasifiquen según su dirección MAC de origen. Esta estrategia busca superar las limitaciones de las VLANs basadas en puertos. Operan agrupando estaciones finales en una VLAN con base en sus direcciones MAC. Dado que las direcciones MAC (Media Access Control) se encuentran implementadas directamente sobre las tarjetas de red de cada equipo (NIC), las VLANs basadas en direcciones MAC permiten a los administradores de la red el mover una estación de trabajo a una localización física distinta en la red y mantener su pertenencia a la VLAN. De este modo, las VLANs basadas en MAC pueden ser vistas como una VLAN orientada al usuario.
· Basadas en protocolo: También denominadas como VLANs de Capa 3, este tipo de redes virtuales consideran como principio de clasificación el tipo de protocolo que utiliza un equipo para determinar la pertenencia a una VLAN. Es importante mencionar que, aunque utilizan información de la capa 3 para la asignación, no constituyen ni forman parte del proceso de encaminamiento característico de los protocolos de enrutamiento. 
	Estas redes se segmentan de la red principal de acuerdo al tipo de tráfico que transmiten cada una de ellas. Por ejemplo, se puede tener una VLAN dedicada exclusivamente a comunicar equipos que usan TCP/IP, mientras que otra puede tener equipos que usen IPX.
· Basadas en direcciones IP: De forma similar a las VLANs basadas en direcciones MAC, esta configuración de VLAN agrupa clientes pero ahora con base en la dirección IP de cada uno de ellos; de forma que a cada VLAN le corresponde un conjunto de direcciones IP.
11. Escriba cuáles son los comandos para establecer la contraseña de administrador en los dispositivos switch y router en Cisco Packet Tracer.
Switch/Router#enable
Switch/Router#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch/Router(config)#line console 0
Switch/Router(config-line)#password contraseña
Switch/Router(config-line)#login
Switch/Router(config-line)#exit
Switch/Router(config)#exit
12. ¿Cuál es la importancia de configurar un enlace troncal?
Un enlace troncal es un enlace punto a punto entre dos dispositivos de red que lleva más de una VLAN. Un enlace troncal de VLAN amplía las VLAN a través de toda la red. Cisco admite IEEE 802.1Q para coordinar enlaces troncales en las interfaces Fast Ethernet, Gigabit Ethernet y 10-Gigabit Ethernet.
Las VLAN no serían muy útiles sin los enlaces troncales de VLAN. Los enlaces troncales de VLAN permiten que se propague todo el tráfico de VLAN entre los switches, de modo que los dispositivos que están en la misma VLAN pero conectados a distintos switches se puedan comunicar sin la intervención de un router.
Un enlace troncal de VLAN no pertenece a una VLAN específica, sino que es un conducto para varias VLAN entre switches y routers. También se puede utilizar un enlace troncal entre un dispositivo de red y un servidor u otro dispositivo que cuente con una NIC con capacidad 802.1Q. En los switches Cisco Catalyst, se admiten todas las VLAN en un puerto de enlace troncal de manera predeterminada.
Figura 4. Enlaces troncales en una VLAN.
13. Analice los siguientes comandos que se utlizan en el router e indique a qué se hace referencia cada línea.
· Router0>enable: habilitar el modo EXEC con privilegios.
· Router0#configure terminal: entrar al modo de configuración global.
· Router0(config)#ip dhcp excluded-address gateway: exclusión de direcciones específicas como la del gateway.
· Router0(config)#ip dhcp pool nombre_servidor_dhcp: crea un pool con un nombre específico y configura el router con DHCPv4.
· Router0(dhcp-config)# network segmento_de_red máscara: define un rango de direcciones disponibles para la red y una máscara.
· Router0(dhcp-config)# default-router gateway: especifica si el router se usará para la transmisión de tráfico IP externo a una red local.
· Router0(dhcp-config)#option 150 ip gateway: especifica la dirección del servidor TFTP para la descarga de un archivo de configuración de imagen de Cisco Unified.
· Router0(dhcp-config)#exit: salir del modo EXEC.
14. Investigue qué comandos se deben utilizar para habilitar la seguridad de los puertos de un switch en cisco packet tracer, en modo dinámico.
Switch#enable
Switch#configure terminal
Switch(config-if)#switchport mode access
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security mac-address sticky
Switch(config-if)#switchport port-security maximum nº
Switch(config-if)#switchport port-security violation
{shutdown | protect | restrict}
Switch(config-line)#exit
Switch(config)#exit15. Investigue cuáles son los comandos para configurar la contraseña en modo EXEC privilegiado.
Switch/Router#enable
Switch/Router#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch/Router(config)#line console 0
Switch/Router(config-line)#password 123456789
Switch/Router(config-line)#login
Switch/Router(config-line)#exit
Switch/Router(config)#exit
16. Investigue para qué sirven los comandos ephone-dn y telephony-service.
Los parámetros de Cisco Unified CallManager Express se establecen para que los teléfonos IP puedan registrarse y comenzar a funcionar. Sin embargo, antes de comenzar a hacer y recibir llamadas, debe registrar los teléfonos IP específicos que desea en el sistema de Cisco CallManager Express. Un ephone-dn es una línea virtual, o extensión, por donde pueden realizarse conexiones de llamadas. Cada teléfono físico debe configurarse como un ephone en el router de Cisco CallManager Express para recibir soporte en el entorno de la LAN. 
Con el uso de ephone-dn comando y palabra clave de línea dual que crea un ephone-dn en modo de línea dual. El motivo es contar con un puerto de voz y dos canales para manejar dos llamadas independientes. Este modo habilita las opciones de transferencia de llamadas, llamada en espera y conferencia. El comando telephony-service se utiliza para ingresar al modo de configuración telefónica y modificar, entre otros parámetros, el número máximo de teléfonos IP por plataforma, el número máximo de extensiones, evitar conexiones no autorizadas de teléfonos al sistema, entre otros.
Referencias
Standley, C. (2021). ¿Cuál es la diferencia entre una LAN y una WAN? Consultado el 06 de diciembre de 2022 desde: https://purple.ai/es/blogs/cual-es-la-diferencia-entre-una-lan-y-una-wan/
IONOS. (2020). El firewall: el guardián de la frontera entre tu ordenador y la red. Consultado el 06 de diciembre de 2022 desde: https://www.ionos.mx/digitalguide/servidores/seguridad/que-es-un-firewall/
IONOS. (2020). ¿Qué es un servidor? Consultado el 06 de diciembre de 2022 desde: https://www.ionos.mx/digitalguide/servidores/know-how/que-es-un-servidor-un-concepto-dos-definiciones/
Cloudflare. (s.f.). ¿Qué es el Protocolo de control de mensajes de Internet (ICMP)? Consultado el 06 de diciembre de 2022 desde: https://www.cloudflare.com/es-es/learning/ddos/glossary/internet-control-message-protocol-icmp/
CISCO. (s.f.). IP access group. Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/E-Learning/bulk/public/tac/cim/cib/using_cisco_ios_software/cmdrefs/ip_access-group.htm
CISCO. (2022). Configurar ACL de IP de uso general. Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/c/es_mx/support/docs/ip/access-lists/26448-ACLsamples.html
CISCO. (2022). Configurar y filtrar listas de acceso IP. Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/c/es_mx/support/docs/security/ios-firewall/23602-confaccesslists.html
Martín, J. (2016). Simulación de Firewall en Cisco Packet Tracer utilizando ACL. Consultado el 06 de diciembre de 2022 desde: https://www.youtube.com/watch?v=wdU9QELyI3k&ab_channel=Jos%C3%A9Mart%C3%ADn
Redes Locales. (s.f.). Tipos de VLANs. Consultado el 06 de diciembre de 2022 desde: https://sites.google.com/site/redeslocalesyglobales/4-configuracion-de-red/4-redes-de-area-local-virtuales-vlans/2-tipos-de-vlans
Castañares, I.C. (s.f.). 4.1 Conceptos de VLAN. Consultado el 06 de diciembre de 2022 desde: https://cursos.clavijero.edu.mx/cursos/069_cIII/modulo4/contenidos/tema4.1.5.html?opc=0
Reuter CCNA. (s.f.). Capítulo 3: VLAN. Consultado el 06 de diciembre de 2022 desde: https://www.reuter.com.ar/CCNA/CCNA2/mod3_ccna2/
Alba, E. (s.f.) Redes Locales Virtuales. Consultado el 06 de diciembre de 2022 desde: http://www.lcc.uma.es/~eat/services/rvirtual/rvirtual.html#link1
Sapalomera CCNA. (s.f.). Redes VLAN en un entorno conmutado múltiple. Consultado el 06 de diciembre de 2022 desde: https://www.sapalomera.cat/moodlecf/RS/2/course/module3/3.1.2.1/3.1.2.1.html
CISCO. (2020). Configuración de los parámetros de contraseña en un switch a través de la interfaz de línea de comandos (CLI). Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/c/es_mx/support/docs/smb/switches/cisco-small-business-300-series-managed-switches/smb5563-configure-password-settings-on-a-switch-through-the-command.html
CISCO. (2020). Ejemplo de configuración de Cisco CallManager Express/Cisco Unity Express. Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/c/es_mx/support/docs/voice-unified-communications/unity-express/62609-tdcmecue.html
CISCO. (2019). Configuración de Telnet, Consola y Contraseñas de Puerto AUX en Routers. Consultado el 06 de diciembre de 2022 desde: https://www.cisco.com/c/es_mx/support/docs/ios-nx-os-software/ios-software-releases-110/45843-configpasswords.html