Firewall

Hola, espero puedas orientarme. Estoy configurando un firewall bajo linux. El escenario original es el siguiente: tengo un router cisco 2500 conectado por un modem de interfaz v32 a un par dedicado (ese es mi acceso a internet), la interfaz ethernet de este router va a un switch donde están dos servidores, un servidor web y un servidor de correo, el servidor web también es servidor DNS. Utilizan la ip del router como gateway.
Dispongo de 5 direcciones ip publicas, están usando una en el router y una en cada servidor; y con esta configuración todo trabaja sin problemas.
El plan es conectar mi maquina firewall bajo linux entre el router y el switch utilizando las dos ip publicas restantes disponibles como interfaces de entrada y salida del firewall.
Al conectar el firewall, tengo trafico saliente (envío correos y navego en internet) pero no se puede ver el sitio web ni enviar correos a mi servidor de correo desde internet.
¿Alguna idea de que pueda estar mal?, sospecho que tiene que ver con el servidor DNS que esta en el servidor web y queda detrás del firewall por lo que desde internet no lo ven .
Las preguntas son:
a. Como deben quedar las ip de cada maquina. (¿Coloco la interfaz de salida del firewall con alias de las direcciones del servidor web y de correo y los servodores nombrados con ip privadas y nat?)
b.Para utilizar el firewall, cual sera el gateway de los servidores de correo y web.
Desesperadamente necesito ayuda pues llevo tres semanas lidiando con el problema día y noche.

4 Respuestas

Respuesta
1
Vas por buen camino, lo que te están faltando es abrir el puerto 53 y redireccionarlo al server dns que tiene detrás del firewall, los mismo con los puertos 110 para el pop y 25 para el smtp y el 80 para el web, mi consejo, para que no se te compliquen demasiado las cosas es: ingresa a www.webmin.com, bajate la ultima version e instálalo en el linux, con este programa la administración del firewall se vuelve mucho más que sencilla. Espero que te sirva. Saludos.
P.D.: En tu lugar, las ips públicas se las dejaría al firewall, con reglas de redireccionamiento a tus equipos con ip privadas. Vas a ver que con el webmin te va a resultar bastante sencillo.
Respuesta
1
Es correcto. De otra forma te tocaría enrrutar hacia una maquina que lo sea. Es mejor dejar DNS en la maquina que esta al frente de Internet. Ten cuidado. Utiliza BIND 9 porque el anterior tiene exploits que deben ser parchados. Vigila el puerto 53 (DNS) y ponte atento con los posibles huecos que posea.
Suerte !
En primer lugar, el Cisco puede actuar como firewall. Puedes utilizar el enmascaramiento para direccionar tus IP publicas. Yo colocaría el DNS frente al firewall para trabajar mi resolución de nombres. En linux configuro IPTABLES haciendo nat y controlando el trafico saliente. Tu solución A es buena pero manejando muy bien el DNS. El gateway interno seria la dirección del servidor linux porque domina la lan y sale a internet. Colocaría detectores como Portsentry y ademas manejaría tripwire. Has un esquema de tu red antes de instalar Tripwire para verifcar el comportamiento posterior. Cuéntame como te va.
Respuesta
1
Veamos, en primer lugar y ya que dispones de suficientes ip's públicas, nada de NAT, solo te complicaría la vida.
Si lo he entendido bien tienes puesto la máquina firewall de forma que SIEMPRE hay que pasar por ella tanto si se intenta enviar correo como consultar dns o web por lo tanto, en principio, lo que deberías procurar es tener abierto en el firewall tanto por udp como por tcp los puertos de dns, web y correo. Confirmarme por favor que esto es así antes de continuar. Puertos 53,54,25,110,80...
Respuesta
1
Lo que no indicas claramente, es que si esa máquina firewall está conecta al router y del firewall se va al switch sin más cables entre el router y switch, o si está conectado al switch.
Si es el primer caso, por mucho que sólo se le asigne 2 ip, si está bloqueando en modo "por defecto" todo lo restante, también está bloqueando a las otras IP, aunque no tengas estristamente difinido el bloqueo.
Si bloqueas, debes hacerlo por IP, no por interfaz, ya que sino en esa situación estas bloqueando el tráfico, a fin de cuenta eso es parte del trabajo que espera de un firewall.
Hola. Vaya sorpresa que respondas un post de hace 4 años (la culpa es mía por no haberlo cerrado) pero ante todo muchas gracias. Te cuento: el problema se resolvió de la siguiente manera: se instaló una distribución debían sin modo gráfico y para administración de las iptables se utilizó shorewall (tiene modulo para webmin adicionalmente). En cuanto al modelo de conexión lo más adecuado es conectar el eqeuipo que haría las veces de firewall entre el router y el switch utilizando para esto dos tarjetas de red en el equipo firewall, de forma tal que el router quede "aislado" del switch. De otra forma (conectando todo al switch) tendrías problemas a nivel del protocolo arp y comportamiento errático en la red. En cuanto a bloquear por ip o por interfaz, eso depende, en escenarios sencillos es viable denir reglas sobre la interfaz, pero en configuraciones con enrutamiento complejo y múltiples ip por interfaz hay que hacer reglas por ip. Finalmente y con algunos conocimientos de más después de 4 años responderé mis propias preguntas (ja ja ja): La ip de las maquinas pueden dejarse de muchas maneras, utilizando nat y direccionamiento probado, o con las ip publicas en cada maquina, en este caso particular las deje las ip publicas en cada máquina (las máquinas tenían 2 interfaces de red y la segunda quedo con el direccionamiento privado) y para que salieran estando detrás del firewall utilice proxy sobre arp ( la ip de cada servidor se proyecta a la interfaz wan o publica del firewall). En cuanto a la segunda pregunta, obviamente el firewall será el gateway de los equipos que estén detrás de el (en ese escenario) y el punto 3 da para hablar mucho, pero simplemente digamos que es posible volver la configuración de zonas del DNS microsoft a un archi plano y este archivo tiene una estructura semejante a la de los archivos de zonas de bind por lo que la migración de dns de windows a linux es relativamente sencilla. Muchas gracias por contestar, este fue la primera vez que le pregunté algo a la comunidad y la respuesta fue tan buena que adopte la practica de contestar preguntas cuando algo podía aportar.

Añade tu respuesta

Haz clic para o

Más respuestas relacionadas