Empresa Servicios Internet - Cortafuegos en OpenBSD con Autenticación de Usuarios Authpf SSH Wateway Pasarela Red

Productos y Servicios

Soporte técnico

Contratación

Zona Distribuidores

La Empresa

INTERNET
Diseño Web Comercio electrónico Promoción en Internet Hospedaje & Dominio Servicios Añadidos
E-COMMERCE
Características de nuestra solución E-commerce.
PRESUPUESTOS

SER DISTRIBUIDOR
Distribuidores
PREGUNTAS FRECUENTES

Documentos de Seguridad

Consultas

Cortafuegos en OpenBSD con Autenticacion de Usuarios.

Firewall en OpenBSD, esta implementación es totalmente operativa, lo que no quiere decir que sea la solución definitiva.

Se cede al dominio público siempre y cuando se mantengan los créditos.

El firewall con dos tarjetas de red y en este caso no tenemos Proxy

Fichero: etc/pf.conf

# Cortafuegos en OpenBSD v3.7 por Drainet-Internet
# http://www.drainet.com - isanchez@drainet.com
# Diciembre 2007

# Fichero /etc/pf.conf

# Definición de macros
# Ejemplo, direcciones no ruteables
private="{ 10.0.0.0/8, 172.16.0.0/12, 224.0.0.0/4, 240.0.0.0/5, 255.255.255.255/32, 0.0.0.0/8 }"

# Interfaces
ext_if="rl0"				# Interfaz conectada a internet
int_if="rl1"				# Interfaz conectada a la red local
loop="lo0"		      		# Interfaz loopback

# Redes, si la conexión es por ppp o cable módem sin router las dos subredes pueden tener
# la misma dirección
ext_net="192.168.0.0/16"		# Subred conectada a la interfaz externa
lan_interna="192.168.177.0/16"	# Subred conectada a la interfaz interna

# Hots
int_firewall="192.168.177.1"		# Dirección ip de la interfaz interna (Puerta de enlace 						# de la Red Corporativa)
#ext_server="192.168.177.51"		# Dirección ip del servidor externo (mejor en DMZ, una 						# tercera tarjeta de red, con otro número de subred)
						  	
ignacio="192.168.177.2"			# Dirección ordenador con S.O. CentOS (R. Corporativa)
factu="192.168.177.3"			# Dirección orden. con S.O Windows XP (R. Corporativa)

# Services
# Servicios que ofrecemos de cara a internet
# Ninguno 
# Servicios que permitimos en las Red Corporativa
servi_tcp="{ > 1024, 113, 20, 21, 22, 25, 80, 110, 53, https }"
servi_udp="{ 53 }"
 
# Tablas,
# Usuarios Privilegiados
#table <privips> persist
#table <a_banda_ignacio> const { 192.168.177.2 }
#table <a_banda_factu> const { 192.168.177.3 }

# Opciones
set optimization normal			# Tiempo medio de ruptura de conexiones
set block-policy return			# Las peticiones a puertos block son devueltas
set skip on $loop				# No tratar el dispositivo loopback con pf

# Normalización del tráfico
scrub in on $ext_if all 		# Los paquetes fragmentados son re ensamblados

# Control de ancho de banda
#altq on $ext_if cbq bandwidth 1Mb queue { a_banda_ignacio, a_banda_factu }
#queue a_banda_ignacio bandwidth 50% priority 5 cbq (default)
#queue a_banda_factu bandwidth 50% priority 4 cbq (red)

# NAT
# Mapeamos la red interna hacia el exterior a través de la interfaz de red externa
nat on $ext_if from $lan_interna to any -> $ext_if

# Si utilizamos conexión ppp, se puede poner el último $ext_if, así ($ext_if)

# Filtrado
# Bloqueamos todo por defecto, denegación total, con un block all, puede ser suficiente 
block in on $ext_if all
block out on $ext_if all
block in on $int_if all
block out on $int_if all

# Antispoof, para las interfaces externa e interna
antispoof quick for { $int_if, $ext_if }

# Bloqueo de las direcciones no ruteables
block drop in quick on $ext_if inet from $private to any
block drop out quick on $ext_if inet from any to $private

# Todo tráfico ICMP esta bloqueado (ver consecuencias de esta acción), (no permitimos Ping)
pass in quick on $ext_if proto icmp all keep state

# Solamente pasarán los paquetes en cuyo contenido este el servicio indicado en $servi_tcp            #pasaran por el cortafuegos, tanto de TCP como de UDP
pass out on $ext_if inet proto tcp from $ext_if to any port $servi_tcp modulate state
pass out on $ext_if inet proto udp from $ext_if to any port $servi_udp keep state

# Dejamos que entren conexiones desde la red interna hacia ssh
# De dos ordenadores de la red interna
pass in on $int_if inet proto tcp from $ignacio to any port ssh modulate state
pass in on $int_if inet proto tcp from $factu to any port ssh modulate state
#pass in on $int_if inet proto tcp from $servidor_interno to any port ssh modulate state

# Activamos Wateway de Autenticacion
anchor "authpf/*"

Fichero: etc/authpf/authpf.allow

Fichero: etc/authpf/authpf.message

Fichero: etc/authpf/authpf.problem

Fichero: etc/authpf/authpf.rules

Fichero: etc/usermgmt.conf
Cambiar estas dos lineas

Fichero: etc/login.conf

# $OpenBSD: login.conf,v 1.19 2005/02/07 08:33:05 otto Exp $

#
# Sample login.conf file.  See login.conf(5) for details.
#

#
# Standard authentication styles:
#
# krb5-or-pwd	First try Kerberos V password, then local password file
# passwd	Use only the local password file
# krb5		Use only the Kerberos V password
# chpass	Do not authenticate, but change users password (change
#		the kerberos password if the user has one, else change
#		the local password)
# lchpass	Do not login; change user's local password instead
# radius	Use radius authentication
# skey		Use S/Key authentication
# activ		ActivCard X9.9 token authentication
# crypto	CRYPTOCard X9.9 token authentication
# snk		Digital Pathways SecureNet Key authentication
# token		Generic X9.9 token authentication
#

# Default allowed authentication styles
auth-defaults:auth=passwd,skey:

# Default allowed authentication styles for authentication type ftp
auth-ftp-defaults:auth-ftp=passwd:

shell-default:shell=/bin/csh

#
# The default values
# To alter the default authentication types change the line:
#	:tc=auth-defaults:\
# to be read something like: (enables passwd, "myauth", and activ)
#	:auth=passwd,myauth,activ:\
# Any value changed in the daemon class should be reset in default
# class.
#
default:\
	:path=/usr/bin /bin /usr/sbin /sbin /usr/X11R6/bin /usr/local/bin:\
	:umask=022:\
	:datasize-max=256M:\
	:datasize-cur=75M:\
	:maxproc-max=128:\
	:maxproc-cur=64:\
	:openfiles-cur=64:\
	:stacksize-cur=4M:\
	:localcipher=blowfish,6:\
	:ypcipher=old:\
	:tc=auth-defaults:\
	:tc=auth-ftp-defaults:
	:shell=/usr/sbin/authpf

#
# Settings used by /etc/rc and root
# This must be set properly for daemons started as root by inetd as well.
# Be sure reset these values back to system defaults in the default class!
#
daemon:\
	:ignorenologin:\
	:datasize=infinity:\
	:maxproc=infinity:\
	:openfiles-cur=128:\
	:stacksize-cur=8M:\
	:localcipher=blowfish,8:\
	:shell=/bin/csh:\
	:tc=default:

#
# Staff have fewer restrictions and can login even when nologins are set.
#
staff:\
	:datasize-cur=75M:\
	:datasize-max=infinity:\
	:maxproc-max=256:\
	:maxproc-cur=128:\
	:ignorenologin:\
	:requirehome@:\
	:shell=/bin/csh:\
	:tc=default:

authpf:\
	:shell=/usr/sbin/authpf:\
	:tc=default:

Fichero: etc/ssh/sshd_config

#	$OpenBSD: sshd_config,v 1.70 2004/12/23 23:11:00 djm Exp $

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options change a
# default value.

Port 22
Protocol 2,1
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# HostKey for protocol version 1
HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 768

# Logging
#obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
PermitRootLogin yes

StrictModes yes
#MaxAuthTries 6

#RSAAuthentication yes
#PubkeyAuthentication yes
#AuthorizedKeysFile	.ssh/authorized_keys

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no
# similar for protocol version 2
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication yes
PermitEmptyPasswords no

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression yes
ClientAliveInterval 15
ClientAliveCountMax 3
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10

# no default banner path
#Banner /some/path

# override default of no subsystems
Subsystem	sftp	/usr/libexec/sftp-server

Fichero: etc/ssh/ssh_config

#	$OpenBSD: ssh_config,v 1.20 2005/01/28 09:45:53 dtucker Exp $

# This is the ssh client system-wide configuration file.  See
# ssh_config(5) for more information.  This file provides defaults for
# users, and the values can be changed in per-user configuration files
# or on the command line.

# Configuration data is parsed as follows:
#  1. command line options
#  2. user-specific file
#  3. system-wide file
# Any configuration value is only changed the first time it is set.
# Thus, host-specific definitions should be at the beginning of the
# configuration file, and defaults at the end.

# Site-wide defaults for some commonly used options.  For a comprehensive
# list of available options, their meanings and defaults, please see the
# ssh_config(5) man page.

Host *
#   ForwardAgent no
#   ForwardX11 no
#   RhostsRSAAuthentication no
#   RSAAuthentication yes
   PasswordAuthentication yes
#   HostbasedAuthentication no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/identity
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
   Port 22
   Protocol 2,1
#   Cipher 3des
   Ciphers aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc
   EscapeChar ~

Fichero: etc/shells

Fichero: etc/mygate
Nuestra puerta de enlace (router adsl)
Si conectamos con ppp o cable módem no hace falta este fichero

Añadir usuarios con el shell y grupo authpf
Desde el ordenador que quiera salir a internet, ssh usuario@nombre_cortafuegos.

No conectéis por ssh como root, añadir un usuario como administrador con grupo
wheel para administrar el cortafuegos.

SOLICITE INFORMACI?N SOBRE ESTE SERVICIO

NOMBRE :

EMAIL :

TEL?FONO :

COMENTARIO :

www.drainet.com

Atencion al cliente

Tlf. 942 83 08 83

Fax. 942 83 08 83



Quiero hacer un estudio mejorar mi posicionamiento promocionar mi Web en Internet.



Coral Torre de Obeso
OfiNorte
Virtual Hotel Torres de Somo
ONG Circulosolidariocantabria

Aviso legal

Drainet Internet Solutions - Santander [España]