CentOS 5 - Cortafuegos de Puerta de Enlace en Casa con Servidor DHCP para Compartir Conexiones

CentOS 5 - Cortafuegos de Puerta de Enlace en Casa con Servidor DHCP para Compartir Conexiones

Versión 1.0
Autor: Cameron Camp
Última edición: 16 de enero de 2008

Si estás tratando de configurar una red doméstica, probablemente quieras establecer una computadora que enfrente el perímetro conectada a tu módem DSL/Cable, y luego poner todas tus computadoras detrás de esa caja de cortafuegos para mantenerlas seguras. Este tutorial te mostrará cómo usar una única conexión externa en la computadora de puerta de enlace (usando el cortafuegos Iptables), y una segunda conexión interna en la misma caja para que puedas conectar las computadoras en el interior de tu hogar/oficina a ella, y darles automáticamente IP’s cuando las conectes (usando el servidor DHCP). Iptables puede ser muy complicado, solo configuraremos un cortafuegos básico, puedes agregar más seguridad más tarde sin romper las cosas. En Linux hay muchas maneras de hacer esto, esta es, con suerte, lo suficientemente simple y te enseñará lo básico. Hice esto en una caja CentOS 5, aunque funcionaría en variantes de Debian con solo ligeras modificaciones. Durante este tutorial estoy conectado como root, lo cual generalmente NO deberías hacer, pero hace que el tutorial sea más simple, pero si prefieres hacerlo de manera más segura, agrega “sudo” antes de cada comando y funcionará.

Las computadoras en el interior de tu oficina también podrán comunicarse entre sí, por lo que puedes conectar impresoras, computadoras y compartir conexiones de red a través del switch también. También puedes configurar cosas en tu caja de servidor de puerta de enlace más tarde, como una unidad de respaldo de red para todas tus computadoras usando Samba de manera relativamente simple. Hay mucha expandibilidad en esta configuración, pero lo mantendremos simple por ahora.

Lo primero que hay que hacer en tu servidor de puerta de enlace es configurar y habilitar Iptables, el cortafuegos predeterminado que viene con CentOS. Le diremos que permita el tráfico saliente desde tu interfaz eth1 hacia Internet. Tienes que agregar una entrada de Iptables, guardarla y reiniciar Iptables.

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE  
service iptables save  
service iptables restart

Ahora tenemos que decirle al núcleo que comience a permitir el reenvío para que la regla funcione:

echo 1 > /proc/sys/net/ipv4/ip_forward

Esto solo funcionará hasta que reinicies, así que hagámoslo permanente, usando tu editor de elección, agrega la siguiente línea a /etc/sysconfig/network:

FORWARD_IPV4=YES

Ahora tenemos que configurar un servidor DHCP para otorgar las IP’s a las computadoras en el interior de la LAN. Hacemos eso instalando el servidor DHCP de esta manera:

yum install dhcp

Por defecto, se creará un archivo de muestra de DHCP que editaremos y luego reemplazaremos por el real:

cd /usr/share/doc/dhcp-whateverversionyouhave/  
vi dhcpd.conf.sample

Puedes cortar/pegar el que estoy usando, o simplemente editar el tuyo para adaptarlo a tus necesidades. Una palabra de precaución, tu red podría ser diferente a la mía. Este archivo dará a tus computadoras internas un rango de IP’s desde 192.168.0.128 hasta 192.168.0.254 con una máscara de subred de 255.255.255.0, cámbialo para adaptarlo a tus necesidades. También tendrás que hacer que la información de IP coincida en eth1 con una IP estática más tarde si usas tus propios valores aquí.

ddns-update-style none; # manténlo simple por ahora
ignore client-updates;  # aquí también
DHCPARGS=eth1;          # le dice qué interfaz escuchar
subnet 192.168.0.0 netmask 255.255.255.0 {
# --- puerta de enlace predeterminada
       option routers                  192.168.0.1;   # puerta de enlace en tu interfaz interna eth1
       option subnet-mask              255.255.255.0; # máscara de subred
       option domain-name              "example.com" # nombre de dominio dado al cliente
       option domain-name-servers      209.242.10.10; # la IP de los servidores de nombres de tu ISP que estás usando
       option time-offset              -18000;        # Hora estándar del Este - establece según lo que tengas
       range 192.168.0.128 192.168.0.254;             # el rango de IP's que recibirán tus clientes
       default-lease-time 21600;                      # cuánto tiempo los clientes mantendrán la misma IP
       max-lease-time 43200;
       # queremos que el servidor de nombres aparezca en una dirección fija
       host ns {
               next-server ns1.ispserver.net;         # cambia a los servidores de nombres de tu ISP
               hardware ethernet 00:09:5B:8E:05:67;   # hardware MAC
               fixed-address 209.242.10.10;           # IP del servidor de nombres de tu ISP
      }
}

Ahora haz una copia de seguridad de tu archivo de configuración dhcp actual y copia el que acabas de crear sobre él:

mv /etc/dhcpd.conf /etc/dhcpd.conf.old  
cp dhcpd.conf.sample /etc/dhcpd.conf

Ahora reiniciamos el servidor DHCP (después de verificar la configuración en busca de errores, si hay errores, los encontrarás listados en /var/log/messages) para que los cambios surtan efecto

service dhcpd configtest  
service dhcpd restart

Ahora tenemos que configurar la interfaz eth1 (interna) para que coincida con lo que acabamos de hacer en el servidor DHCP, así que edita el archivo /etc/sysconfig/network-scripts/ifcfg-eth1 para que se vea algo así:

DEVICE=eth1
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.0.1
NETMASK=255.255.255.0
GATEWAY=10.1.10.43

Tendrás que editar al menos la IP de GATEWAY, esa es solo la IP de mi interfaz eth0, cámbiala por la IP de tu eth0, que puedes averiguar ejecutando:

ifconfig

Debería decir algo como: eth0 inet addr:10.1.10.43, esa es la que quieres.

A continuación, tienes que decirle a tu computadora que escuche la solicitud DHCP que viene a través de la red interna. Cuando una computadora cliente busca una dirección DHCP, envía un estallido a cualquiera que escuche que tiene una dirección IP de 255.255.255.255, así que tienes que decirle a tu servidor DHCP que escuche esa IP:

route add -host 255.255.255.255 dev eth1

Así que ahora probamos la configuración. Deberías poder ir a una de las computadoras cliente, conectarla al switch donde está conectada tu puerta de enlace (en mi caso, un barato switch Netgear de $30 modelo # FS608) y debería encontrar una IP usando tu nuevo servidor DHCP, y deberías poder navegar por Internet.

También deberías configurar tu cortafuegos para bloquear más cosas de las que hemos hecho en este tutorial para mantener seguras tus computadoras internas, lo cual puedes hacer usando la herramienta de configuración ejecutando:

setup

para decirle al cortafuegos qué bloquear. Una regla general es bloquear todo y luego solo permitir lo que necesitas, pero puedes leer sobre eso en otros lugares en profundidad si lo deseas.