Extender la red – Fundamentos de redes 5

EXTENDER LA RED – INTRODUCCIÓN AL REDIRECCIONAMIENTO DE PUERTOS

El redireccionamiento de puertos es un componente esencial en las aplicaciones conectadas y en los servicios de Internet. Sin el redireccionamiento de puertos, las aplicaciones y los servicios como los servidores web estarían disponibles únicamente para los dispositivos dentro de la misma red directa.

Toma el diagrama inferior como ejemplo. Dentro de esta red, el servidor con dirección IP “192.168.1.10” ejecuta un servidor web en el puerto 80. Solo las otras dos computadoras de esta red tendrán acceso a él (es lo que se conoce como intranet).

Si el administrador quisiera hacer accesible el sitio web al público (usando Internet), debería implementar el redireccionamiento de puertos, como en el diagrama inferior:

Con este diseño, la Red #2 será capaz de acceder al servidor web ejecutado en la Red #1 usando la dirección IP pública de la Red #1 (82.62.51.70)

Es sencillo confundir el redireccionamiento de puertos con el comportamiento de un cortafuegos (tecnología sobre la que hablaremos más adelante). Sea como sea, a estas alturas solo hace falta comprender que el redireccionamiento abre puertos específicos (recuerda cómo funcionan los paquetes). En comparación, los cortafuegos determinan si el tráfico puede viajar a través de esos puertos (incluso si esos puertos están abiertos por el redireccionamiento).

El redireccionamiento de puertos se configura en el router de la red.

Contesta las preguntas

• ¿Cuál es el nombre del dispositivo que se usa para configurar el redireccionamiento de puertos?

CORTAFUEGOS 101

Un cortafuegos es un dispositivo dentro de una red que es responsable de determinar qué tráfico puede entrar y salir de la misma. Piensa en un cortafuegos (firewall) como una seguridad fronteriza de la red. Un administrador puede configurar un cortafuegos para permitir o denegar el tráfico entrante o saliente de una red basándose en numerosos factores como:

• ¿De dónde procede el tráfico? (¿Tiene el cortafuegos instrucciones de aceptar/denegar tráfico de una red específica?)
• ¿Hacia dónde va el tráfico? (¿Tiene el cortafuegos instrucciones de aceptar/denegar tráfico destinado a una red específica?)
• ¿Hacia qué puerto va el tráfico? (¿Tiene el cortafuegos instrucciones de aceptar/denegar el tráfico destinado únicamente al puerto 80?)
• ¿Qué protocolo utiliza el tráfico? (¿Tiene el cortafuegos instrucciones de aceptar/denegar tráfico que use UDP, TCP o ambos?)

Los cortafuegos realizan inspección de paquetes para determinar las respuestas a estas preguntas.

Podemos encontrar cortafuegos de todos los tamaños y formas. Desde piezas de hardware dedicadas a ello (a menudo se encuentran en redes grandes como las de negocios) que pueden manejar una magnitud de datos de routers residenciales (¡como en tu casa!) o software como Snort, los cortafuegos pueden categorizarse hasta en cinco categorías.

Cubriremos las dos categorías primarias de cortafuegos en la siguiente tabla:

Categoría del Cortafuegos	Descripción
Con estado	Este tipo de cortafuegos utiliza toda la información de una conexión; en lugar de inspeccionar cada paquete individual, este cortafuegos determina el comportamiento de un dispositivo basándose en la conexión al completo. Este cortafuegos consume bastantes recursos en comparación con los cortafuegos sin estado porque la decisión se toma de forma dinámica. Por ejemplo, un cortafuegos podría permitir las primeras partes de un handshake TCP que luego fallaría. Si una conexión de un host es defectuosa, bloqueará todo el dispositivo.
Sin estado	Este tipo de cortafuegos utiliza un conjunto estático de reglas para determinar si los paquetes individuales son aceptables o no. Por ejemplo, un dispositivo enviando un paquete defectuoso no significa necesariamente que se tenga que bloquear todo el dispositivo. Aunque estos cortafuegos usan muchos menos recursos que su alternativa, son mucho más tontos. Por ejemplo, estos cortafuegos solo son efectivos si las reglas están definidas en ellos. Si una regla no coincide exactamente, es efectivamente inútil. De todos modos, estos cortafuegos son geniales a la hora de recibir grandes cantidades de tráfico de un conjunto de hosts (como un ataque de Denegación de Servicio Distribuida – DDoS).

Contesta las preguntas

• ¿En qué capas del modelo OSI operan los cortafuegos?
• ¿Qué categoría de cortafuegos inspecciona toda la conexión?
• ¿Qué categoría de cortafuegos investiga los paquetes de forma individual?

PRÁCTICA – CORTAFUEGOS

Despliega el sitio estático adjunto en esta tarea. ¡Debes configurar correctamente el cortafuegos para prevenir al dispositivo de una sobrecarga para recibir la flag!

Contesta las preguntas

• ¿Cuál es la flag?

BÁSICOS DE VPN

Una Red Privada Virtual (VPN) es una tecnología que permite a los dispositivos en redes separadas comunicarse de forma segura creando una ruta dedicada entre ellos a través de Internet (conocida como túnel). Los dispositivos dentro de este túnel forman su propia red privada.

Por ejemplo, solo los dispositivos dentro de la misma red (como una red de negocios) pueden comunicarse directamente. Sin embargo, una VPN permite a dos oficinas estar conectadas. Veamos el diagrama inferior, donde podemos observar tres redes:

• Red #1 (Oficina #1)
• Red #2 (Oficina #2)
• Red #3 (Dos dispositivos conectados a través de VPN)

Los dispositivos conectados a la Red #3 continúan formando parte de las Redes #1 y #2, pero también se juntan para crear una red privada (Red #3) en la que solo se pueden comunicar los dispositivos conectados a esta VPN.

Veamos algunos de los otros beneficios de usar una VPN en la tabla inferior:

Beneficio	Descripción
Permite conexión entre redes en distintas localizaciones geográficas	Por ejemplo, un negocio con múltiples oficinas encontrará beneficioso el uso de VPNs, ya que esto significa que se puede acceder desde otra oficina a los recursos como los servidores o las infraestructuras.
Ofrece privacidad	La tecnología VPN usa encriptado para proteger los datos. Esto significa que solo pueden ser comprendidos por los dispositivos emisor y receptor, algo que lo hace invulnerable al sniffing. Este encriptado es útil en lugares como redes WiFi públicas, donde no se proporciona encriptado por parte de la red. Puedes usar una VPN para proteger tu tráfico y que otros no puedan verlo.
Ofrece anonimato	Periodistas y activistas dependen de VPNs para reportar de forma segura los problemas globales en países donde la libertad de expresión está controlada. Normalmente, tu tráfico puede ser visto por tu ISP y otros intermediarios y puede ser rastreado. El nivel de anonimato que proporciona una VPN es como mínimo igual que el de otros dispositivos de la red que respetan la privacidad. Por ejemplo, una VPN que registra todos tus datos/historial es esencialmente lo mismo que no usar ninguna VPN.

TryHackMe usa una VPN para conectar a nuestras máquinas vulnerables sin hacerlas directamente accesibles desde Internet. Esto significa que:

• Puedes interactuar de forma segura con nuestras máquinas.
• Los proveedores de servicios como los ISPs no piensan que estés atacando a otra máquina en Internet (lo cual iría en contra de los términos del servicio).
• La VPN proporciona seguridad a TryHackMe ya que las máquinas vulnerables no son accesibles desde Internet.

La tecnología VPN ha mejorado con los años. Exploremos algunas tecnologías VPN existentes:

Tecnología VPN	Descripción
PPP	Esta tecnología se usa por PPTP (explicado más abajo) para permitir la autenticación y proporcionar encriptado a los datos. Las VPNs funcionan mediante el uso de una clave privada y un certificado público (similar a SSH). La clave privada y el certificado deben coincidir para que se conecte. Esta tecnología no es capaz de salir de una red por sí misma (no enrutable).
PPTP	El Protocolo Punto a Punto (PPTP) es la tecnología que permite a los datos de PPP viajar y dejar una red. PPTP es muy sencillo de configurar y está soportado por la mayoría de los dispositivos. Tiene, sin embargo, un cifrado débil en comparación con otras alternativas.
IPSec	Internet Protocol Security (IPSec) encripta los datos usando el marco de trabajo de Internet Protocol (IP)existente. IPSec es difícil de configurar en comparación a sus alternativas; sin embargo, si se hace bien, ofrece el encriptado más fuerte y está soportado por muchos dispositivos.

Contesta las preguntas

• ¿Qué tecnología VPN solo encripta y proportiona la autenticación de los datos?
• ¿Qué tecnología VPN usa el marco de trabajo IP?

DISPOSITIVOS DE RED LAN

¿Qué es un Router?

Es tarea del router conectar redes y pasar los datos entre ellas. Para ello utiliza el enrutamiento (de ahí su nombre).

Enrutamiento es el nombre que se le da al proceso de viajar los datos por las redes. El enrutamiento implica la creación de una ruta entre redes para que esos datos se puedan entregar correctamente. Los routers operan en la capa 3 del modelo OSI. A menudo incluyen una interfaz interactiva (como una página web o una consola) que permite a un administrador configurar varias reglas como el enrutamiento de puertos o el cortafuegos.

El enrutamiento es útil cuando los dispositivos están conectados por distintas rutas, como en el ejemplo inferior, donde se toma la ruta más óptima:

Los routers son dispositivos dedicados y no realizan las mismas funciones que los switches.

Podemos ver que la red del ordenador A está conectada a la red del ordenador B por dos routers en medio. La pregunta es: ¿qué ruta tomará? Distintos protocolos decidirán qué ruta debería tomar, pero esos factores incluyen:

• ¿Qué ruta es la más corta?
• ¿Qué ruta es la más fiable?
• ¿Qué ruta es más rápida (cobre o fibra)?

¿Qué es un Switch?

Un switch es un dispositivo de red dedicado responsable de proporcionar un medio de conexión a múltiples dispositivos. Los switches pueden facilitar que varios dispositivos (desde 3 hasta 63) usando cables Ethernet.

Los switches pueden operar tanto en la capa 2 como en la capa 3 del modelo OSI. Sin embargo, los switches que operan en la capa 2 no pueden operar en la capa 3.

Toma como ejemplo el switch de capa 2 del diagrama inferior. Estos switches remitirán tramas (recuerda que éstas ya no son paquetes que el protocolo IP ha eliminado) en los dispositivos conectados usando su dirección MAC.

Estos switches son los únicos responsables de enviar tramas al dispositivo correcto.

Ahora, vayamos a los switches de capa 3. Estos switches son más sofisticados que los de capa 2, ya que pueden tomar algunas de las responsabilidades de un router. Como su nombre indica, estos switches enviarán tramas a dispositivos (como hace la capa 2) y enrutarán paquetes a otros dispositivos usando el protocolo IP.

Echémosle un ojo al diagrama inferior de un switch de capa 3 en acción. Podemos ver que hay dos direcciones IP:

• 192.168.1.1
• 192.168.2.1

Una tecnología llamada VLAN (Virtual Local Area Network) permite a dispositivos específicos dentro de una red dividirse virtualmente. Esta división significa que pueden beneficiarse de cosas como una conexión de Internet, pero son tratados de forma separada. Esta separación de la red proporciona seguridad, ya que esto significa que las reglas impuestas determinan cómo se comunican los dispositivos específicos con los demás. Esta segregación se muestra en el diagrama inferior:

En el contexto del diagrama anterior, el “Departamento de Ventas” y el “Departamento de Contabilidad” podrán acceder a Internet, pero no pueden comunicarse el uno con el otro (aunque estén conectados al mismo switch).

Contesta las preguntas

• ¿Cuál es el verbo para la acción que realiza un router?
• ¿Cuáles son las dos capas distintas de switches? Sepáralas con una coma: LayerX,LayerY

PRÁCTICA DE EXTENDER LA RED – SIMULADOR DE RED

Despliega el sitio adjunto a esta tarea. Experimenta con el simulador de red. El simulador desglosará todos los pasos que debe dar un paquete para llegar del punto a al b. Intenta enviar un paquete TCP desde computer1 hasta computer2 para revelar la flag.

Contesta las preguntas

• ¿Cuál es la flag del simulador de red?
• ¿Cuántas entradas de handhsake hay en el log de la Red?

Esta room es solo para usuarios suscritos a la plataforma. Acceso al contenido original de TryHackMe: https://tryhackme.com/jr/extendingyournetwork