24 junio, 2024

Configuracion del Firewall,

1234@irouter>$ firewalls

 Permite definir y visualizar la configuración actual  de firewall. Dicho elemento controla el trafico de paquetes  que entra  y sale en una  determinada conexión de red. Cada  interfaz  podrá disponer de un conjunto  diferente  de reglas de filtrado  para  determinados flujos de paquetes  objetivo.

Firewall

1234@irouter>firewalls$ add name <value> interface <value> type <value>

 La siguiente  tabla  muestra información  sobre los diferentes  conjuntos  de reglas de filtrado  que se llevaran  a cabo  en el sistema.  Además permite  la creación de nuevos  conjuntos  de reglas  de filtrado.

Nombre

Se trata del  nombre  que  identificará a al  conjunto  de  reglas  de  filtrado  que  afectarán a  una determinada interfaz.

Interfaz

Define la interfaz  sobre  la que se aplicara  el conjunto  de reglas de filtrado.  Debe tratarse de una interfaz  previamente definida.

all  Establece  que el conjunto  de reglas de filtrado  afectará a toda  las interfaces  del router.

Tipo

Define si el conjunto  de reglas de filtrado  afecta al trafico de paquetes  entrante o saliente  para la interfaz  previamente establecida.

in  El conjunto  de reglas de filtrado  afecta  al trafico de paquetes  entrante para  la interfaz  previamente  definida.

out El conjunto  de reglas de filtrado  afecta al trafico de paquetes  saliente  para  la interfaz  previamente  definida.

Configuración de  Información  de  firewall

1234@irouter>firewalls$ firewall <value>

Permite configurar  el conjunto  de reglas de filtrado  que realizarán la función de firewall en el sistema.  Básicamente permite  añadir nuevas  reglas de filtrado  para  una determinada interfaz.

Nombre

1234@irouter>firewalls>firewall1$ name <value>

 Se trata del nombre  que identificará al conjunto  de reglas  de filtrado  para  una  determinada interfaz.

Configuración

1234@irouter>firewalls>firewall1$ set-firewall interface <value> type <value>

Interfaz

Define la interfaz  sobre  la que se aplicar´a  el conjunto  de reglas de filtrado.  Debe tratarse de una interfaz  previamente definida.

all  Establece  que el conjunto  de reglas de filtrado  afectar´a a toda las interfaces  del router.

Tipo

Define si el conjunto  de reglas de filtrado  afecta al trafico de paquetes  entrante o saliente  para la interfaz  definida.

in  El conjunto  de reglas de filtrado  afecta  al trafico de paquetes  entrante para  la interfaz  previa- mente  definida.

out El conjunto  de reglas de filtrado  afecta al trafico de paquetes  saliente  para  la interfaz  previa- mente  definida.

Accion por defecto

1234@irouter>firewalls>firewall1$ default-action <value>

 Define la acción por defecto  en caso de que no exista  ninguna  regla de filtrado  definida  para un determinado trafico de paquetes.  Básicamente se pueden  seleccionar dos acciones por defecto, aceptar los paquetes  (opción Permit) o bien rechazarlos  (opción Drop).

drop La  acción  por  defecto  es rechazar  los paquetes   para  los que  no  exista  ninguna  regla  de filtrado.

permit La acción  por  defecto  es aceptar los paquetes  para  los que  no exista  ninguna  regla  de filtrado.

Reglas

1234@irouter>firewalls>firewall1$ add rule <value>

 Añade una nueva regla de filtrado no nula al firewall. La evaluación de las reglas es descendente.

Nombre

Se trata del nombre  que deseemos asignar  a una determinada regla de filtrado.  A continuacion podremos configurar los diferentes atributos que defininan el comportamiento de la regla de filtrado. Se recomienda  un  nombre  explicativo  que permita identificar  claramente el tipo  de filtrado  que realiza.

Configuracion de  Regla

1234@irouter>firewalls>firewall1$ rule <value>

Permite la configuración  de la regla de filtrado  definida por dicho nombre.  La configuracion de

dicha regla consistirá en definir los siguientes  atributos: protocolo,  tipo de acción, tipo de rechazo,tipo de ICMP,  dirección IP actual,  mascara  origen, puerto  inicial de origen, puerto  de origen final, dirección ip destino,  mascara  destino,  puerto  inicial de destino,  puerto  final de destino y si se desea habilitar dicha regla.

Regla de  configuracion

1234@irouter>firewalls>firewall1>rule1$ set-rule protocol <value> action <value>reject-type <value>

Protocolo

Define el protocolo que se verá afectado por la regla de filtrado definida. La regla de filtrado puede afectar  a Any (afecta  a todos),  ICMP  (Internet Control  Message Protocol), TCP  (Transmission

Control  Protocol), UDP  (User Datagram Protocol) y TCP-UDP.

any La regla definida afecta  a todos los protocolos icmp La regla definida afecta  al protocolo ICMP tcp La regla definida afecta  al protocolo  TCP

udp La regla definida afecta  al protocolo  UDP

tcp-udp La regla definida afecta  al protocolo  TCP-UDP

Acción

Permite definir la acción que llevará a cabo la regla de filtrado sobre el trafico de paquetes  objetivo.

La regla de filtrado puede permitir dicho flujo de paquetes  (PERMIT), rechazarlo  (REJECT), o bien descartarlo (DROP).

drop El valor Drop establece  que la acción de la regla de filtrado  consiste en descartar el flujo de paquetes  definido en la regla.

permit El  valor  Permit establece  que  la  acción de  la  regla  de  filtrado  es permitir el flujo de paquetes  definido en la regla.

reject El valor Reject establece que la acción de la regla de filtrado consiste en rechazar  el flujo de paquetes  definidos en la regla.

A diferencia de la opción Drop, esta opción permite  establecer un  tipo  de rechazo:  

icmp-net-unreachable, icmp-host-unreachable, icmp-proto-unreachable, icmp-port-unreachable, icmp-net-prohibited, icmp-host-prohibited y tcp-reset

Tipo de  rechazo

Permite seleccionar el tipo de rechazo que sufre el flujo de paquetes  objetivo  cuando  la accion de la regla de filtrado  se trata de Reject.  

Los tipos de rechazo posibles son los siguientes: icmp-net- unreachable (red  inaccesible),  icmp-host-unreachable (host  inaccesible),  icmp-proto-unreachable (protocolo   inaccesible),  icmp-port-unreachable (puerto  inaccesible),  icmp-net-prohibited,  icmp- host-prohibited y tcp-reset

icmp-net-unreachable  Envía un icmp de red inalcanzable.

icmp-host-unreachable Envía un icmp de host inalcanzable.

icmp-proto-unreachable Envía un icmp de protocolo  inalcanzable.

icmp-port-unreachable Envía un icmp de puerto  inalcanzable.

icmp-net-prohibited Enváa un icmp de red prohibida.

icmp-host-prohibited Envía un icmp de host prohibido.

tcp-reset Envía un RST de tcp.

Tipo de  ICMP

1234@irouter>firewalls>firewall1>rule1$ icmp-type <value>

Establece  el tipo  de ICMP.  El  Protocolo  de Mensajes  de Control  de Internet o ICMP  (por sus  siglas  de  Internet Control  Message  Protocol) es el sub  protocolo  de  control  y  notificacion de errores  del Protocolo  de Internet (IP).  Como  tal,  se usa  para  enviar  mensajes  de error,  in- dicando  por  ejemplo  que un  servicio determinado no est´a  disponible  o que un  router  o host  no puede  ser  localizado.  El  sistema  permite   seleccionar  los  siguientes  tipos  de  ICMP:  any,  echo- reply, destination-unreachable, network-unreachable, host-unreachable, protocol-unreachable, port- unreachable, fragmentation-needed, source-route-failed, network-unknown, host-unknown, network prohibited, host-prohibited, TOS-network-unreachable, TOS-host-unreachable, comunication-prohibited, host-precedence-violation, precedence-cutoff,  source-quench,  redirect,  network-redirect, host-redirect, TOS-network-redirect, TOS-Host-redirect, echo-request, router-advertisement,  router-solicitation, time-exceeded, ttl-zero-during-transit,  ttl-zero-during-reassembly, parameter-problem, ip-header- bad, required-option-missing, timestamp-request, timestamp-reply, address-mask-request y address- mask-reply.

any

Establece  como tipo de ICMP  cualquiera.

echo-reply

Establece  como tipo de ICMP  echo-reply.  Echo Reply (Respuesta de Eco) en el protocolo ICMP  suele ser un mensaje  generado  como contestación a un mensaje  Echo Request (peticion  de Eco).

destination-unreachable

Establece  como  tipo  de  ICMP  destination-unreachable.  El  mensaje significa que el router  considera  inalcanzable  el destino.

network-unreachable

Establece  como tipo de ICMP  network-unreachable. El mensaje  significa que la red actualmente es inalcanzable.

host-unreachable

Establece  como tipo  de ICMP  host-unreachable. El mensaje  significa que el host es actualmente inalcanzable.

protocol-unreachable

Establece  como tipo de ICMP  protocol-unreachable. El mensaje significa que el protocolo  utilizado  (tcp,  udp…)  es inalcanzable.

port-unreachable

Establece  como tipo  de ICMP  port-unreachable. El mensaje  significa que el puerto  es actualmente inalcanzable.

fragmentation-needed

Establece  como tipo  de ICMP  fragmentation-needed. El mensaje  significa que el paquete  necesita  ser fragmentado, pero  el bit  de -No fragmentar- se encuentra activo.

source-route-failed

Establece  como tipo  de ICMP  source-route-failed. Ha fallado el encamina- miento exigido en origen: se ha especificado el camino/enrutado que deben seguir los paquetes y uno de los puntos  de la ruta  no est´a disponible

network-unknown

Establece  como tipo  de ICMP  network-unknown. Dirección de destino  desconocida. El mensaje  significa que no existe una ruta  para  una determinada red.

host-unknown

Establece  como tipo  de  ICMP  host-unknown. Host  de  destino  desconocido  El mensaje  significa que no existe una ruta  para  un determinado host.

network-prohibited

Establece  como tipo de ICMP  network-prohibited. El mensaje significa que no dispone de permiso para  el envío de paquetes  a la red.

host-prohibited

Establece  como tipo de ICMP  host-prohibited. El mensaje significa que no dispone de permiso para  el envío de paquetes  al host.

TOS-network-unreachable

Establece  como tipo de ICMP  TOS-network-unreachable. El men- saje  significa que  la red  fue inalcanzable  debido  a una  mala  configuración del TOS  en el paquete. Los bits del campo de tipo de servicio (TOS)  son un conjunto  de cuatro  indicadores de un bit de la cabecera de IP. Si uno de estos indicadores  de bit vale 1, un encaminador pue-de manipular el datagrama de forma diferente  del caso en el que ningún indicador  valiera  1. Cada  uno de los cuatro  bits tiene un proposito  diferente  y sólo uno de los bits de TOS puede valer 1 al mismo tiempo,  es decir, las combinaciones  no están permitidas. Estos  indicadores de bit se denominan de tipo de servicio porque permiten  que la aplicación que transmite los datos  informe a la red del tipo de servicio de red que requiere.  Las clases de servicios de red disponibles  son: Demora  mínima, Rendimiento máximo, Fiabilidad máxima y Coste mínimo

TOS-host-unreachable

Establece  como tipo  de ICMP  TOS-host-unreachable. El mensaje  significa que el host fue inalcanzable  debido al TOS en el paquete.

communication-prohibited

Establece  como tipo de ICMP  communication-prohibited. El mensaje significa que la comunicación  se encuentra prohibida debido al filtrado  (firewall).

host-precedence-violation

Establece  como tipo de ICMP host-precedence-violation. El mensaje significa que el valor de precedencia  en el campo Tipo de servicio no está permitido.

precedence-cutoff

Establece  como  tipo  de  ICMP  precedence-cutoff.   El  mensaje  significa  que valor de precedencia  (prioridad) es más bajo que el mínimo permitido en la red.

source-quench

Establece  como tipo  de ICMP  source-quench.  El router  realiza  una  petición al emisor para  que reduzca  la tasa  de envío de paquetes.

redirect

Establece  como tipo  de ICMP  redirect.  Significa que se reenvíe el paquete  en una  ruta alternativa . Permite enviar  información sobre enrutado.

network-redirect

Establece  como tipo de ICMP  networl-redirect. Significa que se reenvíe el paquete  en una ruta  alternativa para  alcanzar  la red..

host-redirect

Establece  como tipo de ICMP  host-redirect. Significa que se reenvíe el paquete  en una ruta  alternativa par alcanzar  el host.

TOS-network-redirect

Establece  como tipo  de ICMP  TOS-network-redirect. Significa que  se reenvíe el paquete  en una ruta  alternativa para alcanzar  la red y con otro TOS al establecido.

TOS-host-redirect

Establece  como tipo de ICMP  TOS-host-redirect. Significa que se reenvíe el paquete  en una ruta  alternativa para  alcanzar  el host debido y con otro TOS al establecido.

echo-request

Establece  como tipo de ICMP  echo-request. El Echo Request  (Petición eco) es un mensaje  de control  que se envía a un host con la expectativa de recibir de ´el un Echo Reply (Respuesta eco).

router-advertisement 

Establece  como tipo de ICMP  router-advertisement. Se trata de un mensaje que avisa sobre la existencia  del enrutador

router-solicitation

Establece  como tipo  de ICMP  router-solicitation. Se trata de una  solicitud de existencia  del enrutador

time-exceeded

Establece  como tipo de ICMP time-exceeded. Indica que el tiempo se ha excedido.

ttl-zero-during-transit

Establece  como  tipo  de  ICMP  ttl-zero-during-transit. TTL  igual  a  0 durante el transito, por  lo que  al  paquete   se le ha  acabado  su  tiempo  de  vida  antes  de alcanzar  su destino

ttl-zero-during-reassembly

Establece como tipo de ICMP ttl-zero-during-reassembly. TTL igual a 0 durante el reensamblado. Si un paquete  ha sido fragmentado y durante su reensamblaje el TTL  llega a 0, se genera este error

parameter-problem

Establece  como tipo de ICMP  parameter-problem. Indica  que existen  problemas en los parámetros.

ip-header-bad

Establece  como tipo  de ICMP  ip-header-bad. Significa que la cabecera  IP se encuentra errónea.

required-option-missing

Establece  como tipo  de ICMP  required-option-missing. Faltan  opciones requeridas

timestamp-request

Establece  como tipo  de ICMP  timestamp-request. Realiza  una  petición de la hora en origen.

timestamp-reply

Establece  como tipo  de ICMP  timestamp-reply. Se trata de la respuesta  a la peticion  de hora

 

address-mask-request

Establece  como tipo de ICMP address-mask-request. Petición de máscara de red. Efectúa una peticion  para  saber qué máscara de red debe utilizar

address-mask-reply

Establece  como tipo de ICMP  address-mask-reply. Respuesta a la petición de mascara  de red.

Más en el la siguiente entrada….

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies