Linux como enrutador para una PYME

CASO DE ESTUDIO 2

Linux como enrutador para una PYME

1. Contexto del caso

En una empresa típica del tipo PYME, el uso de Linux como un enrutador tiene una serie de ventajas, incluyendo bajo costo y flexibilidad, también, un enrutador Linux se puede utilizar para hacer mucho más que un simple enrutamiento.

Analicemos el siguiente ejemplo aplicado a un PYME:

[pic 1]

1. Configuración del enrutador

La red anterior se diseño para una PYME con un área de ventas, un área de contabilidad, departamentos ejecutivos y de TI, como se ilustra en el diagrama.

Para una mejor comprensión de la red, se han colocado tres SW pertenecientes a tres redes separadas, uno para los departamentos de ventas y de contabilidad, uno para las oficinas ejecutivas, y otro para el departamento de TI. Por lo general, un SW administrable se utiliza en este caso para crear tres VLAN separadas.

A continuación se describe la red:

• Se cuenta con una conexión a Internet de banda ancha. El proveedor nos asignó la dirección IP 1.1.1.1 para nuestro enrutador y enruta la red clase C 1.1.2.0/24 a través de la dirección IP de nuestro enrutador (1.1.1.1). El módem se inserta en eth0, que está configurada de forma estática con la dirección IP 1.1.1.1, máscara de red 255.255.255.252, y la puerta de enlace predeterminada 1.1.1.2, que es el servidor NAT que está conectado directamente al enrutador.
• El enrutador Linux cuenta con cuatro tarjetas FastEthernet. Además del enrutamiento de paquetes IP, también se ejecuta el servicio Apache para nuestra aplicación de intranet y el servicio Samba, por lo que actúa como un enrutador, un servidor de intranet, y un servidor de archivos.
• El departamento de TI tiene, además del administrador de TI, uno o más administradores de red. Tienen una red independiente y el servidor web y servidor de correo (que es una sola máquina Linux) reside en la misma red. El servidor web y el correo electrónico necesitan una dirección IP pública, y todos los empleados del departamento TI tienen direcciones IP estáticas públicas. Con la idea de añadir más servidores en el futuro, nos reservamos una subred de 64 host, la primera de clase C, 1.1.2.0/26, de modo que le asignamos a eth1 en nuestro enrutador Linux la dirección IP 1.1.2.1, máscara de red 255.255.255.192, y configuramos el servidor web y de correo con la dirección 1.1.2.2, máscara de red 255.255.255.192, y la puerta de enlace predeterminada 1.1.2.1. A esta red la llamaremos, zona DMZ.
• La red del departamento ejecutivo contiene los equipos de todos los gerentes de la empresa. Ellos expresaron su necesidad de contar con la menor restricción posible para las aplicaciones de chat especiales, etc (y también el intercambio de archivos). Le asignamos una subred de 32 hosts de clase C, para ellos, la red 1.1.2.64/27. Le asignamos la dirección IP pública estática 1.1.2.65, máscara de red 255.255.255.224 en eth2 de nuestro enrutador Linux, y le asigna estáticamente las direcciones IP de la 1.1.2.66 a la 1.1.2.94 con máscara de red 255.255.255.224 puerta de enlace predeterminada y 1.1.2.65.
• Las ventas y los departamentos de contabilidad tienen una gran red, ya que la empresa tiene un gran número de agentes de ventas. Esta es la parte de la red que requiere la mayor parte de nuestra atención ya que normalmente las ventas es el departamento con la mayor parte de los problemas de TI. Vamos a ejecutar DHCP en nuestro enrutador Linux para servir a nuestros clientes en eth3. Hemos creado la dirección IP privada 192.168.1.1 con máscara 255.255.255.0 en eth3 y dar a nuestros clientes, a través de DHCP, direcciones IP privadas entre 192.168.1.2 y 192.168.1.254, máscara de red 255.255.255.0 y puerta de enlace predeterminada 192.168.1.1.
• Esta es nuestra empresa ahora, con tres redes más pequeñas. En el siguiente paso definiremos la política de seguridad.

1. Definición de la Política de Seguridad

La red de nuestro departamento de TI es nuestra zona DMZ, porque nuestro personal consta de usuarios experimentados en TI y saben cómo proteger sus computadoras. Al servidor Web y de correo se deben acceder desde cualquier lugar, así que debe abrirse el puerto TCP 80 para el acceso a Internet, los puertos TCP 110 y 25 para el correo, y también necesitamos acceso vía SSH. Tenemos que ser capaces de acceder a los servidores de Linux en la red mediante SSH, desde los ordenadores del departamento de TI, así como de algunas direcciones IP públicas que tenemos en casa.

El servidor de intranet debe ser solo accesible desde las computadoras de la oficina, y será necesario que funcione como un servidor de archivos también. Los dos servidores operan en la misma máquina, pero nos estamos refiriendo aquí a los servicios, cuando decimos "servidor".

El departamento ejecutivo debe ser capaz de “acceder a cualquier cosa” en Internet, por lo que de alguna forma se asemeja a la zona DMZ, pero puede ser que desee crear algunas restricciones para ellos:

• Denegar el acceso de personas ajenas a la red ejecutiva, para que puedan ver sus archivos compartidos (archivos compartidos vía NetBIOS, carpetas compartidas, etc)
• Utilice un proxy transparente para denegarles el acceso a archivos .pif y .scr

A las PC de los departamentos de ventas y contabilidad se les permite hacer lo siguiente:

• Navegar por la Web, pero no para descargar archivos .pif, .scr, .exe, .zip y .rar, y no visitar sitios de contenido pornográfico.
• Acceso al puerto HTTPS TCP 443 para banca por Internet.
• Enviar y recibir correo electrónico utilizando el servidor de correo de la compañía.
• El acceso a los servidores de intranet y de archivos.

1. Gestión de las aplicaciones

En nuestro caso, el servidor proxy Squid debe hacer lo siguiente:

• Será utilizado como proxy transparente.
• Denegar archivos peligrosos (.pif y .scr) para los gerentes, pero permitir todo lo demás para ellos.
• Denegar archivos peligrosos y sitios pornográficos para las áreas de ventas y de  contabilidad, pero permitir todo lo demás.

La solución a este problema es ordenar las listas de acceso en el archivo squid.conf.

En primer lugar, para que sea capaz de utilizar Squid como proxy transparente, tenemos que establecer lo siguiente en el archivo squid.conf:

httpd_accel_host virtual

httpd_accel_port 80

httpd_accel_with_proxy on

httpd_accel_uses_host_header on

A continuación, deberá configurar las ACL para los gerentes, ventas y contabilidad, y las ACL para denegar los archivos maliciosos, descargas, y sitios pornográficos:

...