Router OS y MBR Introduccin al sistema operativo

Router. OS y MBR Introducción al sistema operativo Router. OS Mikrotik © Index 2005

Que es el Router. OS? El Router. OS es un sistema operativo y software que convierte a una PC en un ruteador dedicado, bridge, firewall, controlador de ancho de banda, punto de acceso inalámbrico o cliente y mucho mas… Ø El Router. OS puede hacer casi cualquier cosa que tenga que ver con tus necesidades de red, además de cierta funcionalidad como servidor. Ø Router. Board y Router. OS integrados en un solo producto: MBR. Ø Una total solución de control de tu red, versatil, eficaz. Ø © Index 2005

Estructura del Router. OS Ø Ø Ø Basado en kernel de Linux. Integrado en MBR, adicionalmente puede ejecutarse desde discos IDE o módulos de memoria flash. Diseño modular. Módulos actualizables. Interfase grafica amigable. © Index 2005

Características de Router. OS Ruteo. Estático o dinámico (RIP, OSPF, BGP), políticas de enrutamiento basadas en caracteristicas del paquete. Ø Bridging. Protocolo Spanning tree, interfaces múltiples bridge, firewall en el bridge (capa 2) Ø Servidores y clientes: DHCP, PPPo. E, PPTP, PPP, Relay de DHCP. Ø 500 conexiones de vpn sin necesidad de licenciamiento extra Ø Web-proxy, Cache de DNS Ø Gateway de Hot. Spot Ø Lenguaje interno de scripts Ø © Index 2005

Características del Router. OS Firewall integrado , configurable por cualquier caracteristica del paquete Ø Filtrado de paquetes por: Ø l l l Ø Origen, IP de destino Protocolos, puertos Contenidos (seguimiento de conexiones P 2 P) Puede detectar ataques de denegación de servicio (Do. S) l l Permite solamente cierto numero de paquetes por periodo de tiempo Que pasa enseguida si el limite es desbordado o sobrepasado © Index 2005

Interfaces del MBR 3 Ethernet 10/100, Gigabit Ø Interfaces virtuales: Bridge, VLANS, PPPo. E, L 2 TP, PPTP, Eo. IP. Ø Opcional en MBR: Inalámbrica (Atheros, Prism, CISCO/Aironet) modo AP, cliente, WDS Instalado en servidor: Ø l l l Síncronas: V 35, T 1, Frame Relay Asíncronas: Onboard serial, 8 -port PCI ISDN x. DSL Vo. IP (FXO, FXS) funcionalidad limitada de Gatekeeper. © Index 2005

Interfase bridge Ø Interfaces Bridge son anadidas con el comando: [Mikro. Tik] > /interface bridge add Puede haber mas de una interfase Bridge Ø Tu puedes Ø l l l Cambiar el nombre de la interfase Bridge; Habilitar el STP (Spanning Tree Protocol) y configurarlo Activar los protocolos a pasar de un bridge a otro. © Index 2005

Puertos de Bridge Cada Interfase puede ser configurada para ser miembro de un bridge Ø Interfaces inalámbricas en modo estación no pueden ser parte de un bridge. Ø Prioridad y costo de path pueden ser ajustadas para su uso con STP Ø © Index 2005

Enlaces VPN Oficina Regional M BR Ruteador MBR Router. OS Corporativo M BR © Index 2005 Bodega

Tecnologías VPN Ø PPTP con encriptación de 128 bit MPPE Ø L 2 TP Ø IPsec Ø Aplicaciones: l l Túneles permanentes entre ruteadores Concentrador de acceso PPTP para muchos clientes (estaciones de trabajo windows) y clientes mobiles (trabajo desde casa o viajando) © Index 2005

Túneles Eo. IP Protocolo propietario Mikro. Tik. Ø Encapsula frames de ethernet dentro de paquetes de IP protocolo 47. Ø Interfase Eo. IP soporta todas las funcionalidades de cualquier interfase Ethernet. Ø Túnel Eo. IP puede correr sobre cualquier conexión que soporte IP Ø Numero máximo de túneles de Eo. IP es de 65535 Ø © Index 2005

Eo. IP y “Bridging” Las Interfases Eo. IP puede ser “bridgeada” con cualquier otra interfase Eo. IP o Interfase Ethernet. Ø Uso principal de túneles Eo. IP es para transparentemente hacer bridge de redes remotas. Ø Protocolo Eo. IP no provee encriptación de datos, por tal manera debe correr sobre un túnel encriptado, ejemplo PPTP, L 2 TP o PPPo. E, si es requerida seguridad. Ø © Index 2005

Calidad de Servicio (Qo. S) Ø Varios tipos de l queue: RED, BFIFO, PCQ Ø Sencillo de aplicar!! Ø Queues mas complejos: l l Por protocolo, puerto, tipo de conexión, prioridad. Asignación de anchos de banda asegurados, por cualquier característica del paquete. © Index 2005

PCQ en Accion I Ø Pcq-rate=128000 2 ‘usuarios’ 4 ‘usuarios’ 128 k queue=pcq-down max-limit=512 k 128 k 7 ‘usuarios’ 73 k 73 k 128 k © Index 2005 128 k 73 k 73 k

PCQ en Accion II Ø Pcq-rate=0 1 ‘usuario’ 2 ‘usuarios’ 73 k 256 k 73 k queue=pcq-down max-limit=512 k 73 k 256 k 73 k © Index 2005

Herramientas de manejo de red Ø Router. OS ofrece un buen numero de herramientas : l l l Ping, traceroute Medidor de ancho de banda Contabilización de trafico SNMP Torch Sniffer de Paquetes © Index 2005

Win. Box GUI Ø Win. Box es una interfase grafica muy amigable usada para configurar el equipo. Ø winbox. exe es un pequeño programa que se ejecuta desde una estación de trabajo conectada al ruteador. Ø Winbox usa el puerto TCP 8291 para conectarse al ruteador Ø Comunicación entre el winbox y el ruteador esta encriptada © Index 2005

Actualizando el Router Ponga los archivos de las nuevas versiones en el router por medio de FTP usando modo binario de transmision y reinicie el router “/system reboot” Ø Alternativamente puedes usar la instrucción “/system upgrade” para transferir los archivos desde un server FTP o desde otro ruteador si los tienes ahí. Ø © Index 2005

Estructura de firewall © Index 2005

Principios del Firewall Las reglas de firewall están organizadas en cadenas (chains) Ø Reglas en cadenas son procesadas en el orden que aparecen Ø l l Ø Si una regla la cumple un paquete, la accion especificada es tomada Si el paquete no cumple la regla , o hay una acción=passthrough, la siguiente regla es procesada La acción de default para la cadena es hecha después de haber alcanzado el fin de la cadena © Index 2005

Por default hay 3 cadenas incluidas: input – procesa paquetes que tienen como destino el ruteador Ø output – procesa paquetes que son mandados por el mismo ruteador Ø forward – procesa trafico que ‘pasa’ a través del ruteador Ø Los usuarios pueden añadir sus propias cadenas de firewall y reglas a ellas Ø Reglas en las cadenas añadidas por el usuario pueden ser procesadas usando la opción=jump desde la cadena del usuario a otra regla en otra cadena © Index 2005 Ø

Acciones de las reglas de Firewall Ø Si una regla de firewall se cumple para un paquete, una de las siguientes acciones puede hacerse: l l l passthrough – action es ejecutada y la siguiente regla es procesada accept – paquete es aceptado drop – paquete es ignorado reject – paquete es ignorado y se le manda un mensaje ICMP al que lo mando jump – paquete es mandado para su procesamiento a otra cadena return – paquete es retornado a la tabla previa , desde donde fue recibido © Index 2005

Ejemplo de cadena definida por el usuario /ip firewall rule virus add protocol=tcp dst-port=135 -139 action=drop comment="Drop Blaster Worm" add protocol=udp dst-port=135 -139 action=drop comment="Drop Messenger Worm" add protocol=tcp dst-port=445 action=drop comment="Drop Blaster Worm" add protocol=udp dst-port=445 action=drop comment="Drop Blaster Worm" © Index 2005

Filtrado de virus conocidos Ø Paquetes iniciados por virus conocidos, pueden ser filtrados por reglas en alguna cadena definida por el usuario: /ip firewall rule virus add protocol=tcp dst-port=135 -139 action=drop comment="Drop Blaster Worm" add protocol=udp dst-port=135 -139 action=drop comment="Drop Messenger Worm" add protocol=tcp dst-port=445 action=drop comment="Drop Blaster Worm" add protocol=udp dst-port=445 action=drop comment="Drop Blaster Worm“ add protocol=tcp dst-port=4444 action=drop comment="Worm" add protocol=tcp dst-port=12345 action=drop comment="Net. Bus" © Index 2005

Jump a la cadena definida por el usuario Ø Jump a la cadena definida por el usuario desde las cadenas input y forward despues de las primeras dos reglas: add connection-state=established comment="Established connections" add connection-state=related comment="Related connections" add action=jump-target=virus comment=“Checando por virus“ … © Index 2005

Marcado de paquetes Ø Paquetes pueden cambiar sus parámetros iniciales, ejemplo, sus direcciones dentro del firewall, de la misma manera los paquetes pueden ser marcados para identificarlos después dentro del router © Index 2005

‘ Tracking’ de Conexiones Connection Tracking (CONNTRACK) es un sistema que crea una tabla de conexiones activas Ø Un status es asignado para cada paquete: Ø l l Invalid – paquete ya no forma parte de ninguna conexión conocida New – el paquete esta abriendo una nueva conexión Established – el paquete pertenece a una conexión establecida Related – el paquete crea una nueva conexión relativa a alguna conexion ya abierta El status no es necesario solamente para conexiones TCP. De cualquier manera ‘connection’ es considerada aquí como un intercambio de datos de dos vias Ø Status es usado en los filtros de firewall Ø CONNTRACK es usado para marcar los paquetes Ø CONNTRACK es necesario para hacer NAT Ø © Index 2005

Nat de origen SRC-NAT permite el cambio de dirección origen y puerto a la dirección local y puerto del ruteador (enmascaramiento), o algún otra dirección y puerto especificado Ø Aplicación típica de SRC-NAT es esconder una red privada detrás de una o mas direcciones publicas Ø La dirección origen trasladada debe pertenecer al ruteador, a menos que otras medidas sean tomadas para asegurar el uso de diferentes direcciones. Ø © Index 2005

Ejemplo de SRC-NAT Ø Especifique la dirección origen a ser enmascarada: /ip firewall src-nat add src-address=192. 168. 0. 0/24 action=masquerade Ø O, Especifique la interfase de salida, cuando enmascaramiento deba ser usado: /ip firewall src-nat add out-interface=Public action=masquerade © Index 2005

Laboratorio SRC-NAT Configura tu ruteador para enmascarar trafico originado desde tu red privada, cuando esta salga del ruteador por la interfase publica. Ø Usa el diagrama como guía Ø © Index 2005

DST-NAT Ø DST-NAT permite cambiar la dirección y el puerto del receptor a alguna otra dirección y puerto conocido localmente por el ruteador o se llegue a el vía ruteo Ø Típicamente usado para acceder servicios en una red privada desde direcciones publicas accediendo las direcciones publicas que enmascaran alguna red © Index 2005

Ejemplo de Destination NAT Ø Redireccione el puerto TCP 2323 al puerto 23 del router: /ip firewall dst-nat add protocol=tcp dst-address=10. 5. 51/32: 2323 action=redirect to-dst-port=23 Ø O, haga NAT al puerto interno (23) del server: /ip firewall dst-nat add protocol=tcp dst-address=10. 5. 51/32: 2323 action=nat to-dst-port=23 to-dst-address= 192. 168. 0. 250 © Index 2005

Laboratorio de DST-NAT Configura tu ruteador para trasladar paquetes con destino la ip publica y puerto 81 hacia la dirección interna y puerto 80 del servidor local Ø use el diagrama como guía Ø © Index 2005

Mas acerca de DST-NAT Ø DST-NAT permite mandar datos a algún servidor a otro servidor y puerto. Ø DST-NAT permite esconder varios servidores detrás de una dirección IP. Los servidores son seleccionados por puerto, o por algún otro parámetro, como origen del paquete, etc. © Index 2005