Implantación de técnicas de seguridad remoto · wifi, tanto de SSID como de IP, el equipo tendrá...

Implantación de técnicas de seguridad remoto

2013

Adrián de la Torre López adriandelator.wordpress.com

16/03/2013

Servicios de red e internet Profesor: José Sanchez-Migallón Alumno: Adrián de la Torre López

Tema 3

Servidores de acceso remoto

06/03/2013 Página 2

1- Configurar un router de acceso inalámbrico CISCO Linksys WRT54GL Aquí se muestra la configuración del router, se muestra la Ip y la gateway de la interfaz del router hacia el exterior, configuración de la red externa, (Internet Setup) y en el apartado Network Setup la configuración de la red interna.

Y activamos DHCP para dar direcciones a equipos de la red interna.


Tema 3


06/03/2013 Página 3

Aquí se muestra la seguridad que hemos puesto a la red wifi, seguridad WPA2 Enterprise AES, por el puerto 1812, con clave “clave” para la comunicación entre router y servidor.


Tema 3


06/03/2013 Página 4

2.- Configurar router inalámbrico Linksys WRT54GL en modo seguro: (Cambia el SSID por defecto y desactivar el broadcasting SSID, deshabilitar DHCP, cambiar nombre de usuario y contraseña, activar el filtrado de MAC, WPA2, cifrado TKIP+AES). Para acceder a la interfaz de configuración del router, una vez conectados en router y el pc y configurada la tarjeta de red (en este caso por DHCP), accedemos al navegar y nos dirigimos a la dirección 192.168.1.1, nos parecerá una ventana donde nos pedirá usuario y contraseña (admin, admin).

A continuación accederemos a la pantalla principal de la interfaz de configuración:


Tema 3


06/03/2013 Página 5

Lo primero será cambiarle el nombre de identificador de la WLAN y desactivar el broadcast de SSID, para ello nos dirigimos a la pestaña Wireless, y en la casilla correspondiente a SSID le ponemos el nombre que queramos:

A continuación desactivamos el DHCP del router para que no de direcciones ip, para ello nos dirigimos a la pestaña Setup y en la parte media aparece la configuración de red (network setup) y deshabilitamos el DHCP.


Tema 3


06/03/2013 Página 6

Para cambiar la contraseña y usuario del router nos dirigimos a la pestaña Administration y en las parte de configuración de Local Router Access cambiamos el usuario y contraseña:

A continuación le damos a la pestaña Save Settings, nos parecerá una pantalla donde introducir la contraseña y usuario nuevos:

Le damos a aceptar y con esto cambiamos la contraseña. Ahora empezamos con el filtrado de MAC, d esta manera solo podrán conectarse a la wiki aquellos equipos con las MAC que configuremos, para ello nis dirigimos a la pestaña Wireless > Wireless MAC filter, aparece la siguiente ventana le damos activar (enable), nos aparecerán dos nuevas lines, seleccionamos la segunda (permit only).


Tema 3


06/03/2013 Página 7

A continuación le damos al botón Edit MAC Filter List, nos parecerá una nueva ventana donde introduciremos las direcciones MAC que queremos permitir.


Tema 3


06/03/2013 Página 8

Ahora configuramos la contraseña de la wifi, para ello nos dirigimos a la pestaña Wireless > Wireless Security, en la cual elegimos el modo de seguridad (WPA2), algoritmos de encriptación (TKIP-AES), y la contraseña:

Con esto acabamos la configuración básica del router. Ahora comprobamos si funciona, si intentamos entrar con un usuario cuya MAC no se encuentre en la lista de filtrado no podemos conectarnos a la red, pero si lo intentamos con un usuario cuya MAC este en nuestra lista si conectara, como nuestro router tiene deshabilitado el broadcast de la wifi, tanto de SSID como de IP, el equipo tendrá que configurar la conexión de forma manual y la tarjeta de red dentro de la red donde se encuentre el router. La siguiente pantalla pertenece a la configuración manual de la wifi.


Tema 3


06/03/2013 Página 9

Una vez conectados a la red, hacemos un ping a la direccion del router y comprobamos que hay conexión:


Tema 3


06/03/2013 Página 10

3- Simulación de un entorno de red con servidor RADIUS CISCO en el simulador Packet Tracer.

El escenario es el siguiente:

Procedemos a configurar las interfaces esta primera es del servidor DNS.


Tema 3


06/03/2013 Página 11

Vemos que resolución de nombres tiene el DNS:


Tema 3


06/03/2013 Página 12

Ahora configuramos el servidor RADIUS con su direccionamiento IP.

Ponemos como cliente el router NAS donde se indica la contraseña que compartirán ambos y además en el servidor RADIUS creamos los usuarios que pueden acceder a la red.


Tema 3


06/03/2013 Página 13

Configuramos el punto de acceso:

Le ponemos el nivel de seguridad WPA2 y la clave compartida que tienen entre el router y el servidor RADIUS.


Tema 3


06/03/2013 Página 14

A la hora de acceder con un usuario tendremos que configurar en el cliente que nivel de seguridad tiene, el usuario y contraseña que tiene dado de alta el servidor.


Tema 3


06/03/2013 Página 15

Por ultimo solo queda comprobar que hay conectividad y además que podemos acceder a Internet.


Tema 3


06/03/2013 Página 16

CISCO CCNA Security 1.1. Laboratorio Lab-3-A; Acceso administrativo seguro utilizando AAA y RADIUS (WinRadius en

Windows XP) Lo primero que hacemos es ir programa le damos a Settings, Database y despues pulsamos “configure ODBC auto”:

Ahora en “operation” seleccionamos “add user”:


Tema 3


06/03/2013 Página 17

A continuacion le damos a Settings->System y le cambiamos la IP al servidor RADIUS y la clave secreta:

Ahora vamos al radiustest.exe para la comprobación de las configuraciones:

Vemos que accede a la perfección de forma local.


Tema 3


06/03/2013 Página 18

Bien ahora vamos al router Linksys y configuramos la seguridad inalámbrica, le indicamos seguridad WPA2 Enterprise y le ponemos la dirección IP del servidor RADIUS y la clave secreta(debe ser la misma en router y servidor RADIUS), algoritmo AES:

Ahora configuramos el cliente inalámbrico con los protocolos adecuados, pero al intentar logear vemos el siguiente error:

Este error es debido a que en versiones posteriores a Windows Vista viene desactivado este método de autenticación, por lo demás estos serian todos los pasos necesarios.


Tema 3


06/03/2013 Página 19

Instalación de un servidor RADIUS bajo GNU/LINUX (freeradius) , para autenticar conexiones que provienen de un punto de acceso CISCO AIRONET 1130AG Entramos al punto de acceso vía consola y configuraremos esta interfaz Radio:

A continuación configuramos la interfaz cableada para poder administrar el punto de acceso:


Tema 3


06/03/2013 Página 20

Ahora nos situamos en el navegador web y ponemos usuario y contraseña.

Accedemos al punto de acceso:


Tema 3


06/03/2013 Página 21

Ahora Configuraremos la interfaz Radio para poder acceder vía web:

Ahora en la interfaz elegiremos el método de cifrado que puede ser TKIP o AES según sea el caso:


Tema 3


06/03/2013 Página 22

Después levantamos la interfaz y la ponemos como punto de acceso:

Elegimos el canal 3 en este caso para que no tengamos conflicto con otras conexiones inalámbricas en nuestra red:


Tema 3


06/03/2013 Página 23

Bien, ahora en EXPRESS SECURITY elegimos WPA y ponemos los datos del servidor RADIUS, IP y clave compartida:

Ahora en el servidor RADIUS en este caso hemos usado un zentyal, editamos el clients.conf y añadimos el router:


Tema 3


06/03/2013 Página 24

Ahora añadimos los usuarios en este caso el usuario vicente:

Ahora reiniciamos el servidor radius y procedemos a configurar el cliente para que autentique a través del punto de acceso:


Tema 3


06/03/2013 Página 25

Con los puertos por defecto no funciona asique tenemos que cambiar el puerto 1812 por el 1645 y el puerto 1813 por el 1646, para ello tenemos que modificarlos en el fichero /etc/services:


Tema 3


06/03/2013 Página 26

Cuando nos conectemos con un cliente radius, podemos ver en el fichero /var/log/freeeradius/radius.log, que el usuario se ha autenticado correctamente por el puerto 1645.


Tema 3


06/03/2013 Página 27

Instalación de un servidor RADIUS bajo GNU/LINUX (freeradius) , para autenticar conexiones que provienen de un router de acceso CISCO Linksys WRT54GL. Aquí se muestra la configuración del router, se muestra la Ip y la gateway de la interfaz del router hacia el exterior, configuración de la red externa, (Internet Setup) y en el apartado Network Setup la configuración de la red interna.

Y activamos DHCP para dar direcciones a equipos de la red interna.


Tema 3


06/03/2013 Página 28

Y aquí se muestra la seguridad que hemos puesto a la red wifi, seguridad WPA2 Enterprise AES, por el puerto 1812, con clave “clave” para la comunicación entre router y servidor, esta configuración es la necesaria para que el router utilice radius como método de autentificación.

Lo siguiente que vamos a hacer es instalar el paquete freeradius en el servidor.

Ahora nos metemos en /etc/freeradius y modificamos el fichero users y introducimos los usuarios y las contraseñas para poder acceder a la red wifi mediante radius, estos son los usuarios radius.


Tema 3


06/03/2013 Página 29

Ahora desde el mismo directorio modificamos el archivo clients.conf y ponemos la Ip del router la contraseña que comparten y el nombre del SSID de la red.

Esta es la configuración de validación por usuarios a una red wifi mediante radius en texto plano. La configuración que se debe realizar en el cliente radius es la siguiente: Configuración de usuario Radius

1. La configuración con Windows 7 es muy parecida a la de Windows XP, por lo que voy a

intentar ser breve. Lo primero que haremos es acceder al Panel de control | Redes e

Internet | Administrar redes inalámbricas y pulsamos sobre el botón Agregar, tal y como

se muestra en la siguiente imagen.

2. En la ventana que se abre, crearemos un nuevo perfil de red de forma manual. Para ello,

pulsaremos en el área señalada en rojo de la siguiente imagen:


Tema 3


06/03/2013 Página 30

3. Ahora, introduciremos el Nombre de la red inalámbrica (SSID del punto de acceso), en

nuestro caso FPINFORMATICA y en el Tipo de seguridad seleccionaremos WPA2-

Entreprise. Por último, en el Tipo de cifrado elegiremos el valor AES. El resto de opciones

de la ventana las dejaremos como están.

4. El siguiente paso, consiste en Cambiar la configuración de conexión, para ello sólo

tenemos que pulsar el correspondiente enlace, señalado en rojo en la siguiente ventana.


Tema 3


06/03/2013 Página 31

5. Lo primero que hacemos, en la pestaña Seguridad de la ventana que se nos abre, es

pulsar en el botón Configuración. Después desmarcamos la casilla Validad un

certificado de servidor, y al igual que en XP, pulsamos configurar y desmarcamos la

opción de utilizar el usuario de Windows para validarnos. Aceptamos y Aceptamos, para

volver a la ventana inicial (izquierda de la imagen).

6. En el último paso, pulsaremos sobre el botón Configuración avanzada y añadiremos las

credenciales de nuestro usuario RADIUS(usuario1), para que conecte de forma automática

a la red. Una vez que aceptemos, y cerremos todas las ventanas abiertas, sólo nos queda

conectarnos a la red WiFi y listo.


Tema 3


06/03/2013 Página 32

Autenticación de usuarios basado en bases de datos. Para poder realizar freeradius con mysql tendremos que instalar en el sistema operativo ubuntu server 10.04 lo siguiente: - php5 - MySqlServer - phpMyAdmin - Apache2

Una vez instalado lo anterior procedemos a la instalación del paquete freeradius y freeradius con mysql. Podemos ver que está instalado.


Tema 3


06/03/2013 Página 33

Ahora nos vamos al fichero radius.conf y descomentamos la línea que viene "$Include sql.conf".

Después accedemos a mysql y creamos una base de datos y un usuario con contraseña "inves" con todos los privilegios.


Tema 3


06/03/2013 Página 34

Utilizando el usuario radius, o el que se haya designado para utilizar la base de datos recién creada, inserta en la base de datos que acaba de crear con los esquemas incluidos con freeradius, insertamos las tablas correspondientes a la base de datos radius, estas tablas están ubicadas en forma de fichero ".sql" en el directorio /etc/freeradius/sql/mysql.

Para ver las tablas creadas entramos en la base de datos.


Tema 3


06/03/2013 Página 35

Ahora editamos el archivo sql.conf y configuramos los setting para la conexión con el servidor de mysql

Y descomentamos la línea readclient=yes.


Tema 3


06/03/2013 Página 36

Luego editamos el archivo: /etc/freeradius/sites-available/default y descomentamos la variable "sql" en las secciones de: authorize{}, accounting{}, session{} y posth-auth{} esto para traer los datos desde las tablas en la base de datos "radius" para ello: nano /etc/freeradius/sites-available/default.

Ahora creamos los usuarios en la base de datos radius de mysql, más en concreto en la tabla radcheck, estos usuarios serán con los que nos tendremos que autentificar para tener acceso a la red wifi.


Tema 3


06/03/2013 Página 37

Para comprobar que se han creado los usuarios ejecutamos el siguiente comando:

Para comprobar que los usuarios son validos para el funcionamiento ejecutamos el siguiente comando:


Tema 3


06/03/2013 Página 38

En el fichero clients.conf, ubicado en el directorio /etc/freeradius, añadimos al final la siguiente línea, en la cual indicaremos la ip del router, que validara usuarios radius para la wifi, la contraseña compartida por el router, el servidor mysql y el SSID de la red.

A continuación nos dirigimos al fichero inner_tunnel, ubicado en el directorio /etc/freeradius/sites-availables, descomentamos la línea que pone "sql" en la parte de authorize{} y post-auth{}.


Tema 3


06/03/2013 Página 39

Con esta configuración tendremos accesos a nuestra red wifi autenticándonos como usuarios radius dado de altas en una base de datos mysql. La configuración del cliente raidus será la siguiente:

1. La configuración con Windows 7 es muy parecida a la de Windows XP, por lo que voy a

intentar ser breve. Lo primero que haremos es acceder al Panel de control | Redes e

Internet | Administrar redes inalámbricas y pulsamos sobre el botón Agregar, tal y como

se muestra en la siguiente imagen.

2. En la ventana que se abre, crearemos un nuevo perfil de red de forma manual. Para ello,

pulsaremos en el área señalada en rojo de la siguiente imagen:


Tema 3


06/03/2013 Página 40

3. Ahora, introduciremos el Nombre de la red inalámbrica (SSID del punto de acceso), en

nuestro caso FPINFORMATICA y en el Tipo de seguridad seleccionaremos WPA2-

Entreprise. Por último, en el Tipo de cifrado elegiremos el valor AES. El resto de opciones

de la ventana las dejaremos como están.

4. El siguiente paso, consiste en Cambiar la configuración de conexión, para ello sólo

tenemos que pulsar el correspondiente enlace, señalado en rojo en la siguiente ventana.


Tema 3


06/03/2013 Página 41

5. Lo primero que hacemos, en la pestaña Seguridad de la ventana que se nos abre, es

pulsar en el botón Configuración. Después desmarcamos la casilla Validad un

certificado de servidor, y al igual que en XP, pulsamos configurar y desmarcamos la

opción de utilizar el usuario de Windows para validarnos. Aceptamos y Aceptamos, para

volver a la ventana inicial (izquierda de la imagen).

6. En el último paso, pulsaremos sobre el botón Configuración avanzada y añadiremos las

credenciales de nuestro usuario RADIUS, para que conecte de forma automática a la red.

Una vez que aceptemos, y cerremos todas las ventanas abiertas, sólo nos queda

conectarnos a la red WiFi y listo.


Tema 3


06/03/2013 Página 42

Instalación de un servidor RADIUS en Zentyal para autenticar conexiones que provienen de un router de acceso Linksys WRT54GL. El primer paso es instalar el servidor radius en Zentyal para ello: #apt-get install freeradius A continuación editaremos el fichero /etc/freeradius/clients.conf y añadiremos la línea con la dirección del router, la clave compartida y el SSID.

Ahora añadiremos los usuarios para autenticar, en este caso añadiremos el usuario "adrian" en el fichero /etc/freeradius/users.


Tema 3


06/03/2013 Página 43

Bien a continuación iremos al router Linksys y en las opciones de seguridad inalámbrica añadiremos la dirección ip del servidor radius, la clave compartida y los protocolos de autenticación:

Ahora en el cliente nos conectaremos a la red, creando el perfil adecuado para nuestro cifrado y utilizando los mismos pasos que siempre hemos usado en radius.


Tema 3


06/03/2013 Página 44

Busca información sobre EDUROAM y elabora un breve informe sobre dicha infraestructura.

Eduroam (contracción de education roaming) es el servicio mundial de movilidad segura desarrollado para la comunidad académica y de investigación. eduroam persigue el lema "abre tu portátil y estás conectado".

El servicio permite que estudiantes, investigadores y personal de las intituciones participantes tengan conectividad Internet a través de su propio campus y cuando visitan otras instituciones participantes.

Podemos ver las instituciones que esta compuesta EDUROAM.

En total suman 123 instituciones y centros del CSIC conectados hasta la fecha.

Algunas de ellas son:

Anella Científica (ANELLA)

o BSC (Barcelona Supercomputing Center)

o CBUC (Consorci de Biblioteques Universitàries de Catalunya)

o CESCA (Centre de Serveis Científics i Acadèmics de Catalunya)

o CTTC (Centre Tecnològic de Telecomunicacions de Catalunya)

o ESMUC (Escola superior de música de Catalunya)

o EUSS (Escola Universitària Salesiana de Sarrià)

o I2CAT (Fundació i2CAT)

o ICFO (Institut de Ciències Fotòniques)

o

Consejo Superior de Investigaciones Científicas (CSIC)

o CAJAL (Instituto Cajal)

o CBM (Centro de Biología Molecular)

o CCHS (Centro de Ciencias Humanas y Sociales)

o CCMA (Centro de Ciencias Medioambientales)

o CCMA_ICA (Instituto de ciencias agrarias)

o CCMA_IRN (Instituto de recursos naturales)

o CEAB (Centro de Estudios Avanzados de Blanes)

o CICIC (Centro de Investigaciones Científicas Isla de La Cartuja)

o CID (Centro de Investigación y Desarrollo)

o CIDE (Centro de Investigaciones sobre Desertificación)

o CMIMA (Centro Mediterráneo de Investigaciones Marinas y Ambientales)

o CNB (Centro Nacional de Biotecnología)

o CNM_IMB (Instituto de Microelectronica de Barcelona)

o CNM_IMM (Instituto de Microelectrónica de Madrid)

o EEZA (Estación experimental de zonas áridas)

o IAI (Instituto de Automática Industrial)

http://eduroam.bsc.es/

http://www.cesca.cat/ca/comunicacions/eduroam

http://www.cesca.cat/ca/comunicacions/eduroam

http://eduroam.cttc.es/info_es.html

http://www.esmuc.cat/Serveis/Informatica/Connexio-a-la-xarxa-wifi-mitjancant-eduroam

http://www.euss.es/eduroam

http://fi2.cat/eduroam

http://www.icfo.es/eduroam-en.htm

http://wifi.csic.es/

















Tema 3


06/03/2013 Página 45

o IATA (Instituto de Agroquímica y Tecnología de Alimentos)

o IBMB (Instituto de Biología Molecular de Barcelona)

o SGAI (Secretaría General Adjunta de Informática)

o UCB (Unidad de Coordinación de Bibliotecas del CSIC)

Rede de Ciencia e Tecnoloxía de Galicia (RECETGA)

o CESGA (Centro de Supercomputación de Galicia)

o UDC (Universidade da Coruña)

o USC (Universidade de Santiago de Compostela)

o UVIGO (Universidade de Vigo)

Red Informática Científica de Andalucía (RICA)

o CICA (Centro Informático Científico de Andalucía)

o UAL (Universidad de Almería)

o UCA (Universidad de Cádiz)

o UCO (Universidad de Córdoba)

o UGR (Universidad de Granada)

o UHU (Universidad de Huelva)

o UJAEN (Universidad de Jaén)

o UMA (Universidad de Málaga)

o UNIA (Universidad Internacional de Andalucía)

o UPO (Universidad Pablo de Olavide)

o US (Universidad de Sevilla)

CEMFI (Centro de Estudios Monetarios y Financieros)

CIEMAT (CIEMAT)

DEUSTO (Universidad de Deusto)

EHU (Universidad del País Vasco)

I2BASQUE (I2BASQUE)

RedIRIS (RedIRIS)

UA (Universidad de Alicante)

ULPGC (Universidad de las Palmas de Gran Canaria)

UM (Universidad de Murcia)

UMH (Universidad Miguel Hernández)

UNAV (Universidad de Navarra)

UNAVARRA (Universidad Pública de Navarra)

UNED (Universidad Nacional de Educación a Distancia)

UNICAN (Universidad de Cantabria)

De forma internacional esta situado en:





http://www.cesga.es/eduroam

http://www.udc.es/eduroam

http://www.usc.es/eduroam

http://eduroam.uvigo.es/

http://www.cica.es/

http://inalambrica.ual.es/eduroam.htm

http://www.uca.es/ucAir

http://sinhilos.uco.es/

http://csirc.ugr.es/informatica/RedUGR/CVI/Eduroam/

http://www.uhu.es/sic/servicios/conexionainternet/eduroam/

http://www.ujaen.es/sci/redes/eduroam

https://www.sci.uma.es/wifi/

http://www.unia.es/wifi

http://www.upo.es/wifi-html/wifi.html

http://www.reinus.us.es/

http://www.cemfi.es/eduroam.asp

http://www.ciemat.es/eduroam

http://eduroam.deusto.es/

http://www.ehu.es/eduroam

http://www-es.i2basque.es/index.php/EDUROAM

http://www.rediris.es/eduroam

http://www.ua.es/wifi

http://eduroam.ulpgc.es/

http://www.um.es/atica/eduroam/configuracion

http://www.umh.es/wireless

http://www.unav.es/SI/servicios/red/eduroam.html

http://wifi.unavarra.es/

http://www.uned.es/wifi

http://www.unican.es/WebUC/Unidades/SdeI/servicios/red/eduroam/

Implantación de técnicas de seguridad remoto · wifi, tanto de SSID como de IP, el equipo tendrá...

Documents

Transcript of Implantación de técnicas de seguridad remoto · wifi, tanto de SSID como de IP, el equipo tendrá...