Hola bienvenido en otro video del curso Microtia de principiante experto en este video vamos a estar
trabajando con furbol vamos a explorar las opciones de Facebook que tenemos en un micro.
Son todas iguales para cualquier modelo.
Eso no se preocupen vamos a estar viendo las opciones que tienen por ejemplo el connection tracking
Filter Nat roll mangual y adre y listo.
Vamos a ser viendo un poco cada una y mas adelante en clases avanzadas estaremos profundizando en cada
una de ellas viendo ejemplos ya mas avanzados vamos a ir a nuestro sitio.
1 FIJENSE QUE LOS Windows no los tengo aprendidos para evitar la posibilidad de daño.
Solamente prendo los routers porque no vamos a usarlos Windows.
Por ahora vamos a 6 1
y el fervor lo tenemos en hype Farigola dentro de fãtbol tenemos todas estas opciones vamos a empezar
por el conexion tracking o sean conexiones si vamos tracking vamos a ver tres opciones.
Auto no es el modo automático activa el conexion tracking cuando hay alguna regla desarboló NAT que
se esté utilizando y si ninguna se está utilizando el conexión tracking se apaga.
Esto es para reducir en momentos ociosos el consumo de recursos del router podremos ponerlo en si y
dejarlo siempre activo pero si lo ponemos no estamos anulando todas las opciones de filtro y Nat que
tengamos sin conexión tracking no está prendido no hay firewall bien vamos a ver la opción de filtrar
el árbol de Linux se basa a través del árbol Democràtic se basa en Linux con lo cual si saben utilizar
o tienen experiencia o conocen y petabytes van a notar muchas similitudes y es precisamente por eso
porque está basado en el árbol de Linux si queremos agregar una regla de fãtbol tenemos que hacer clic
en Más y existen tres cadenas que podemos operar forward input output.
La regla de forward en Filter aplica a todo el tráfico que quiere atravesar el router ya sea de nuestra
LAN hacia Internet o de Internet hacia la LAN crearemos reglas de forward entonces por ejemplo para
filtrar el acceso de negar el acceso a ciertos sitios por ejemplo Facebook o Twitter.
Las reglas de input son las reglas que van hacia el router ya sea desde la LAN o desde el exterior.
Esta regla capta el tráfico que va contra el equipo que lo quiere atravesar sino que quiere acceder
a las reglas de input las vamos a estar utilizando para hacer el jardín.
Vamos a proteger el equipo con reglas de input y las reglas de output son las inversas de input son
las salientes desde el router no desde nuestra LAN que atraviesa el router sino desde el router por
ejemplo nuestro router consulta DNS externos si nosotros ponemos a nuestro micro TIC como nuestro servidor
DNS y en el micro etc. Tenemos los DNS de Google.
Nosotros le hacemos consultas al microchip y el microchip se las hace a Google para obtener la respuesta
y luego nos la devuelve.
Ese tráfico es output porque no estamos atravesando el router para buscar las consultas DNS en Google
sino que se las hacemos al router y el router se las hace a Google en nuestro caso.
Esto es tráfico output
existen unas pocas reglas que es muy recomendable tenerlas siempre en cada router y son las siguientes
dentro de la cadena FORWARD
grande un poco esto
vamos a poner en la opción de conexión Strait rindamos established y Leitte.
Esto quiere decir si la conexión está establecida o está relacionada con una conexión que ya está establecida
la vamos a aceptar.
Con esto lo que vamos a lograr es que la conexión que está establecida o que sea relacionada con una
establecida sea persistente y luego vamos a agregar una segunda regla también de tipo forward que tire
dropped o abandone las conexiones con un estado Inválido.
De esta manera vamos a filtrar un poco las conexiones de tipo forward para quedarnos solamente con las
establecidas o las related y las que son inválidas las descartamos para ahorrar recursos en nuestro
equipo.
De la misma manera vamos a agregar
para la cadena input establecidas y related las aceptamos fijense que los hace vienen con una tilde
verde como yo estoy conectado al router fíjense que ya tiene tráfico a esta regla yo estoy generando
tráfico de tipo input al estar conectado con el inbox y lo podemos ver ácana conexión tracking
no podemos distinguir por el puerto.
Esta es la IP del router y el puerto 8 2 9 9 y esta es mi IP y fíjense el flag established quiere decir
que esta conexión la va a conservar la va a aceptar y a conservar y luego vamos a hacer la pertinente
pero con las inválidas input invalide drop.
Recuerden los firewall operan evaluando una por una las reglas que tenemos establecidas de manera tal
que si tuvieramos mas ir marchando una por una y con la primera que se encuentran Mazz listo ya esta
no sigue procesando y aplicará lo que diga esa regla y vamos a agregar dos mas para la cadena de OUTPUT
estas son las 6 reglas básicas que todo router debe tener.
Si nosotros quisiéramos ver solamente algún tipo de cadena podemos seleccionar acá todas dinamicas forward
input output y estáticas estáticas es la opuesta dinámica y si solo queremos verlas de forward miramos
solo las de forward solo las de input ponemos input y así con todas.
Ahora qué otras opciones tenemos adentro de filtro.
Podemos especificar la IP de origen de destino o una sub Net.
Podremos poner por ejemplo toda mi sub Net de esta manera
el tipo de protocolo que queremos examinar para tomar una decisión por ejemplo TCP podemos especificar
algún puerto de origen o destino o en import si tanto origen como destino marché con el puerto 80.
Podemos especificar la interface si viene por la interfaz 1 o si sale por la interfaz.
5.
Esta configuración así no es válida si yo le aplico nos dice que está mal.
Estas son sólo las voy marcando para que vean interface list
es la lista de interfaces por ejemplo
podremos tener acá dentro de interfaces interfaz Lisseth crear una interface que diga que se llama Internet
y luego vamos a agregar a la lista de internet la de T1.
Y si tuviéramos más conexiones de internet podemos ir agregando varias
y ahí tendríamos una lista un nombre que conglomeración tres interfaces.
Entonces en el firewall podríamos hacer una sola regla que junte a esas tres interfaces utilizando listas
de interfaces tanto de input como si el tráfico entra por esta interfase.
Esta lista de interfaces os sale por esta lista de interfaces.
Luego podemos identificar si el tráfico que está cruzando en este caso del fãtbol tiene alguna marca.
Esto lo vamos a ver acá en mangle
Mangal Chace los adelantos de ahora marca paquetes para un procesamiento posterior.
Podemos marcar paquetes.
Podemos marcar conexiones marcar rutas o especificar una tabla de ruteo en particular.
Todo eso lo podamos hacer desde mangle
conexión tipo
esto es los conocidos Nat Geo Alpert y el estado de conexión que es lo que estuvimos viendo hasta ahora.
Las dos que no vimos ómnium se hizo una conexión nueva TCP sin por ejemplo un antro a queda una conexión
que todavía no está cargada ni la conexión Trac y luego el NAT Staiti.
Podríamos filtrar y si llega a ser de tipo Destination NAT o Surt NAT o negarlo cuando nosotros fijense
que todas las opciones tienen ese cuadradito adelante lo que hace este Cuadradito es negar todo lo que
hay acá.
Por ejemplo si yo pongo esta regla estoy diciendo todo lo que sea de origen.
Sub Net.
Ahora si yo digo si yo tildo ese cuadradito la regla pasa a decir todo lo que no tiene como origen esas
son todas las opciones tienen un operador de negación disponible todas
bien.
Luego está la parte básica acá podremos poner todas las reglas que queremos identificar y luego la acción
Accept agregar a una lista
de direcciones de destino a destination to address List o a sus padres list es agregar las PC de origen
a una lista de direcciones por ejemplo si yo pongo la red entera y digo examinarme bien lacadena forward
toda el Lory todas.
Todo el tráfico que coincida con este zurzan es que es una red entera y si tienes algún Mazz agregame
esa IP que está cruzando a la address List y PD Milán.
Este es el nombre de la lista por ejemplo es un ejemplo.
Vamos a verlos más adelante.
Drop Rope la conexión FastTrack Connection la marca para que no la procese de nuevo no hay conexión
tracking es una funcionalidad de micro tick Jump es para ordenar las reglas.
Podemos poner acá otras cadenas con nombres propios que no sean ni forward ni input output.
Esto es para realizar el fãtbol log es una simple regla que loguearse vale lo mismo que poner una regla
y marcarle el logo podemos por un prefijo para identificar cuando miremos el log que sí tiene este prefijo
corresponde a esta regla Pastrán quiere decir bien Leela se llama Chea pero no hagas nada.
Seguí leyendo las reglas que siguen abajo.
Recuerden que el fútbol es secuencial y cuando alguna regla matches ya deja de mirar Pastur lo que le
diría es Okkhoy Shima Chea igual seguí para abajo leyendo no hace nada esta regla reject es como un
drop pero con un código distinto.
Critón esta no sabría decirles Eternit específica para un tipo de ataque de ese de nadie de Neil of
service.
Más adelante vamos viendo las características avanzadas y extras pero para poder entenderlas necesitamos
conocer un poco más sobre mi critic y algunos ejemplos que vamos a ir viendo más adelante.
Por ahora nos quedamos con general y las acciones posibles del Filter Nath en el Nath tenemos dos tipos
de opciones sus Nat y Destination NAT van a encontrar que esto es lo mismo que en el fãtbol no vamos
a explicarlo de vuelta tiene exactamente las mismas opciones pero las cadenas son distintas sus NAT
es la regla de Nat.
Para cambiar el origen
cuando queremos ir a Internet por ejemplo esta regla que tenemos de sus NAT que sale por la interface
1 su opción es enmascarar con la IP pública para poder navegar por internet básicamente sus Nat edita
la IPES surge la IP de origen para enmascarar la otra y su opuesto Destination NAT hace lo opuesto en
máscara o cambia la IP de destino.
Esta regla se utiliza para el port forwarding por ejemplo cuando nosotros tenemos alguien de Internet
por ejemplo un Sortzen no se van a sementera N.P a alguien desde esta IP pública quiere acceder a un
web server en nuestra LAN.
Supongamos que esta es nuestra fe pública desde este epé pública le van a querer pegar a esta IP en
el puerto 80 pero nuestro servidor está dentro de nuestra LAN en la red 192 168 00 24 entonces Destination
NAT dice que lo que esté viniendo a nuestra E.P. pública en el puerto 80 destino nuestra pública en
el puerto 80 podemos poner por ejemplo una de las opciones Axon Destination NAT y esto lo que hace es
cambiar la IP de destino y enmascare nuestra pública por ejemplo en nuestro web server por ejemplo Aloy
P3 puerto 80.
Esta es una forma de hacer por forwarding lo que quiero mostrarles con esto es que la acción de Destination
NAT es hacer algo con la IP de destino cuando vienen de afuera y cuando nosotros salimos lo que queremos
hacer es hacer algo en la Ashurst Nat trepe de origen.
Más adelante vamos a ver ejemplos de forwarding.
De hecho tengo programado en uno de los Windows Server un huevo Cervelo así que vamos a estar trabajando
con eso bien.
Bueno las únicas cadenas son estas dos.
Estas opciones son las mismas que en el Filter las mismas opciones aplican en Advanced y extra que las
vamos a ver después y en Nat lo que cambia son las acciones Accept en la misma agregar a esa AIPE de
origen donde destino a una address List o agregar SP de origen a una lista Destination y sus Destination
NAT es para enmascarar o cambiar la IP de destino como recién las contaba SAMP lo mismo que en el Filter
para ordenar las reglas log para Mac solamente bloquear el tráfico más.
Es como es la que usamos en la regla anterior es para enmascarar el tráfico que cumpla con estos requisitos.
Si sale por la interface 1 enmascarar máscara ID el tráfico con la IP que tenga esa interface que es
la de Internet
net map no estoy muy seguro de qué hace pero jamás lo usé.
Simplemente Macher la regla pero continuaba con las que siguen retired es una regla específica de micro
tick que es para redirigir el tráfico hacia sí mismo o sea hacia el router este es utilizado por ejemplo
si las computadoras tienen como DNS programados los DNS de Google entonces nosotros direc podemos decir
podríamos hacer algo así Destination NAT TCP 53 que es decir una consulta DNS podemos hacer un direct.
Asimismo fijense que no tenga opción de poner Chipe el direc es redirigir el tráfico hacia el micro
tick 53 de manera tal que el tráfico que quiere ir a un destino fuera de nuestras redes en internet
al puerto 53 lo redirige al puerto 53 del rutero y de esta manera forzamos que las consultas de nese
se las hagan al ruta
también vamos a ver un ejemplo de eso
Riptor y Shayne.
Realmente no las conozco y sus Nath es equivalente al Mascardi.
Pero fíjense que en el enmascaramiento yo no puedo especificar la IP.
Nosotros utilizamos máscara en la Etter 1 para que enmascare el trafico con esta IP la IP que tiene
el éter 1 pero si nosotros quisiéramos enmascarar el tráfico saliente con otra IP entonces tenemos que
usar sus Nat y Akashi podemos especificar la dirección IP para enmascarar nuestro origen
bien Mangal.
Como les comentaba es para marcar paquetes aca solamente se marcan paquetes o conexiones o tablas pero
no se toman acciones Nauta las reglas son las mismas pero cambian las cadenas tenemos forward input
output pero también tenemos post routing y routing que son estados previos y posteriores a la decision
de ruteo.
Luego Advanced extra son las mismas y cambian algunas opciones mandale sea mas avanzado vamos a tener
una clase solo dedicada a mangui
Rou es como Filter es para identificar trafico y tomar alguna opción como Accept Drop o pasu pero fíjense
que es más reducido la lista de opciones y también es más reducida la lista de general lo que tiene
en rojo es que las reglas que aplican aplican antes de que la conexión sea guardada en el conexión tracking.
De esta manera podríamos bloquear tráfico no deseado sin impactar al procesador del micro tick porque
no estaría dándonos por ejemplo un ataque de DBS una vez que llega la conexión tracking Akashi llenaría
el tracking con todos los ataques y aunque nosotros los identificaremos en el Filter y las bloqueamos
ya estarían consumiendo recursos hasta Rou lo que haría sería identificar Hydro perezas ataques antes
de que lleguen al corazón de manera tal que el CPU no se vería penalizado y address list es simplemente
eso una lista de direcciones nosotros ponemos una lista por ejemplo redes sociales y hasta podríamos
poner las IPES de las redes sociales para luego hacer algún trabajo por ejemplo de negar su su tráfico.
O también hace ya un tiempo mi critic permite poner DNS Zaca y micro Atic lo resuelve por nosotros
así podemos ir cargando
toda un conjunto de direcciones y pese a todo podemos también no necesariamente usar direcciones externas.
Queremos hacer una lista que se llame local y vamos poniendo acá todas las sopletes que tenemos en nuestra
compañía y acá las podemos ir filtrando.
Por ejemplo tenemos a una lista de todas nuestras IPES locales.
Entonces en lugar de hacer una o dos reglas por ejemplo de imput en lugar de venir acá y hacer una regla
que diga 192 168 00 borra 24 y otra regla que diga 172 16 00 o 24.
Imagínense si tuvieran 50 en lugar de hacer una regla por cada red.
Lo que hacemos es una sola y acá en Advanced invocamos
esa address List y con una sola regla en el árbol aplicaría a todas nuestras redes internas.
Nuevamente más adelante vamos a ir viendo las opciones que tenemos acá en Advanced
address List no hay mucho más que esto y protocolos de capa 7 ya se los había comentado podemos crear
red regular expressions expresiones regulares para identificar tráfico en base al contenido siempre
y cuando estén cursando por ejemplo HTTPS porque no podríamos ver el contenido.
Y luego está estas expresiones de capa 7.
También podemos venir y agregarlas acá en Advanced Advanced tienen muchas aplicaciones Layer 7 protocols
y acá pondríamos a Machar la regla con el protocolo de capa 7 que hayamos definido.
Así que bueno esto fue Farewell y un breve vistazo muy breve de sus opciones y qué podríamos hacer con
ellas.
A lo largo del curso vamos a estar viendo bastante sobre Farewell ya que es una de las dos cosas junto
con tuneles VPN que yo creo considero que son los más usados en microtia.
Muchas gracias y nos vemos en el siguiente video.