http://wiki.lordwektabyte.cat/index.php?action=history&feed=atom&title=ASIX%2FM11%2FUF2%2FPT1%2F3 2026-05-05T01:16:58Z Historial de revisió per a aquesta pàgina del wiki MediaWiki 1.34.0 http://wiki.lordwektabyte.cat/index.php?title=ASIX/M11/UF2/PT1/3&diff=5138&oldid=prev 2020-04-15T11:31:13Z

<p>Guillem ha mogut <a href="/index.php?title=M11/UF2/PT1/3&amp;action=edit&amp;redlink=1" class="new" title="M11/UF2/PT1/3 (encara no existeix)">M11/UF2/PT1/3</a> a <a href="/wiki/ASIX/M11/UF2/PT1/3" title="ASIX/M11/UF2/PT1/3">ASIX/M11/UF2/PT1/3</a> sense deixar una redirecció: Crear subnivell ASIX</p> <table class="diff diff-contentalign-left" data-mw="interface"> <tr class="diff-title" lang="ca"> <td colspan="1" style="background-color: #fff; color: #222; text-align: center;">← Versió més antiga</td> <td colspan="1" style="background-color: #fff; color: #222; text-align: center;">Revisió del 11:31, 15 abr 2020</td> </tr><tr><td colspan="2" class="diff-notice" lang="ca"><div class="mw-diff-empty">(Cap diferència)</div> </td></tr></table>

Guillem http://wiki.lordwektabyte.cat/index.php?title=ASIX/M11/UF2/PT1/3&diff=2916&oldid=prev 2018-11-27T21:02:28Z

<p>Es crea la pàgina amb «==Configuració interfícies PfSense== Engegarem les 3 màquines virtuals: pfSense, Ubuntu Desktop i CentOS. Per defecte, pfSense accepta configuració via web des de...».</p> <p><b>Pàgina nova</b></p><div>==Configuració interfícies PfSense==<br /> Engegarem les 3 màquines virtuals: pfSense, Ubuntu Desktop i CentOS. Per defecte, pfSense accepta configuració via web des de la interfície LAN; per tant, la configuració des de la web es faran des de l'Ubuntu desktop. El Firewall també configura per defecte les interfícies LAN i WAN de manera automàtica, mentre que la 3a interfície l'hem de configurar nosaltres manualment després d'haver fet la instal·lació utilitzant la consola:<br /> {{imatge|M11UF2PT12.png}}<br /> <br /> Triarem l'opció 1 per a configurar les interfícies:<br /> {{imatge|M11UF2PT13.png}}<br /> <br /> Escollirem les interfícies corresponents a cada zona, verificarem els canvis i acceptarem<br /> {{imatge|M11UF2PT14.png}}<br /> <br /> Ara tenim la interfície ''OPT1'' engegada però sense configurar.<br /> {{imatge|M11UF2PT15.png}}<br /> <br /> Escollirem la opció 2 per a configurar-ne la IP d'acord amb l'enunciat<br /> {{imatge|M11UF2PT16.png}}<br /> <br /> Una vegada fet, se'ns mostrarà un missatge informatiu amb la nova adreça assignada<br /> {{imatge|M11UF2PT17.png}}<br /> <br /> En aquest punt tenim les targetes de xarxa del pfSense configurades.<br /> {{imatge|M11UF2PT18.png}}<br /> <br /> ==Configuració de les regles del tallafoc==<br /> La gestió del Firewall es farà des de la ''WebGUI'', accessible des de la zona LAN; on nosaltres hi tenim l'Ubuntu Desktop virtual<br /> {{imatge|M11UF2PT19.png}}<br /> <br /> Podem començar canviant el nom de la interfície ''OPT1'' per un nom més adequat per a identificar-lo. Farem clic al seu nom, del panell de la dreta:<br /> {{imatge|M11UF2PT110.png}}<br /> <br /> I dins la configuració, editarem la ''Description'' per dir-li que la volem anomenar '''DMZ'''<br /> {{imatge|M11UF2PT111.png}}<br /> <br /> Una vegada fet aquest canvi podem passar a crear les regles per a la zona LAN. Ho farem des de ''Firewall''{{fletxadreta}}''Rules'' al panell superior<br /> {{imatge|M11UF2PT112.png}}<br /> <br /> ===Zona LAN===<br /> Escollirem la interfície que volem modificar les regles; en aquest cas la LAN. Veurem com ja hi ha unes regles predefinides.<br /> {{imatge|M11UF2PT113.png}}<br /> <br /> Si ens fixem amb les regles, veiem com les predefinides ja permeten qualsevol comunicació que s'origini a la LAN cap a qualsevol xarxa destí. Aquest comportament el podem comprovar si fem un ping al servidor de la DMZ (192.168.0.2) i fem un ping a qualsevol altra adreça d'Internet (e.g. 185.107.107.253):<br /> {{imatge|M11UF2PT114.png}}<br /> <br /> ===Zona WAN===<br /> En aquesta zona haurem de prohibir les connexions ''WAN''{{fletxadreta}}''LAN'' però deixar passar les comunicacions entre ''WAN''{{fletxadreta}}''DMZ''; de manera que la DMZ sigui accessible des d'Internet mentre que la xarxa interna quedi protegida.<br /> <br /> Afegirem doncs, dues regles:<br /> {{imatge|M11UF2PT116.png||thumb|La primera per a '''permetre''' el trànsit amb origen qualsevol adreça amb destí xarxa DMZ com a conjunt}}<br /> {{imatge|M11UF2PT115.png||thumb|La segona '''prohibirà''' el trànsit entre qualsevol adreça i la LAN}}<br /> <br /> La llista de regles quedarà així:<br /> {{imatge|M11UF2PT117.png}}<br /> <br /> ====Prova ping WAN{{fletxadreta}}DMZ====<br /> Haurem d'afegir primer una ruta estàtica al host Fedora per tal que envïi cap a la interfície WAN del PfSense els paquets destinats a la xarxa 192.168.1.0/24 i 192.168.0.0/24 (LAN i DMZ del PfSense, respectivament)<br /> &lt;source&gt;<br /> ip route add 192.168.1.0/24 via 192.168.7.53<br /> ip route add 192.168.0.0/24 via 192.168.7.53<br /> &lt;/source&gt;<br /> <br /> Aleshores els pings entre Fedora i CentOS de la DMZ seran possibles:<br /> &lt;source&gt;<br /> [guillem@guillemasix29 ~]$ ping 192.168.0.2 -c 3<br /> PING 192.168.0.2 (192.168.0.2) 56(84) bytes of data.<br /> 64 bytes from 192.168.0.2: icmp_seq=1 ttl=64 time=0.208 ms<br /> 64 bytes from 192.168.0.2: icmp_seq=2 ttl=64 time=0.432 ms<br /> 64 bytes from 192.168.0.2: icmp_seq=3 ttl=64 time=0.476 ms<br /> <br /> --- 192.168.0.2 ping statistics ---<br /> 3 packets transmitted, 3 received, 0% packet loss, time 86ms<br /> &lt;/source&gt;<br /> <br /> ====Prova ping WAN{{fletxadreta}}LAN====<br /> Ping directe entre Fedora i Ubuntu Desktop de la LAN es bloquejaran:<br /> &lt;source&gt;<br /> [guillem@guillemasix29 ~]$ ping 192.168.1.2 -c 3<br /> PING 192.168.1.2 (192.168.1.2) 56(84) bytes of data.<br /> <br /> --- 192.168.1.2 ping statistics ---<br /> 3 packets transmitted, 0 received, 100% packet loss, time 31ms<br /> &lt;/source&gt;<br /> <br /> ===Zona DMZ===<br /> En aquesta zona hem de permetre la comunicació cap a l'exterior però bloquejar l'accés a la LAN. Per a implementar-ho, podem fer-ho de dues maneres diferents:<br /> *'''Creant dues regles: ''' una per a bloquejar l'accés DMZ{{fletxadreta}}LAN i una per a permetre l'accés DMZ{{fletxadreta}}''any'' (en aquest ordre)<br /> {{imatge|M11UF2PT118.png|Resultat final de les regles a la zona DMZ per a la primera solució}}<br /> <br /> *'''Aprofitant el paràmetre ''Gateway'' que PfSense ens ofereix: ''' de manera que permetrem el trànsit de la DMZ cap a la Gateway de la WAN; de manera que el trànsit DMZ{{fletxadreta}}LAN no es contempli en cap regla i, per tant, es bloquegi.<br /> {{imatge|M11UF2PT119.png|Resultat final de les regles a la zona DMZ per a la segona solució}}<br /> <br /> En ambdós casos aconseguim el mateix efecte; encara que sigui més senzilla la segona opció (regla única), potser queda més explícita la prohibició DMZ{{fletxadreta}}LAN si implementem la primera opció i no cal accedir a opcions avançades per a definir la passarel·la cap on permetrem l'accés.<br /> <br /> ====Prova ping====<br /> *'''Solució 1'''<br /> {{imatge|M11UF2PT120.png||thumb|'''Permès''' des de CentOS cap a 185.107.107.253 mentre que es ''bloqueja'' quan es va cap a Ubuntu Desktop (LAN)}}<br /> <br /> *'''Solució 2'''<br /> Si ens hi fixem, veiem una diferència amb l'altra opció: el paquet ICMP destinat a la LAN no queda bloquejat pel firewall sinó que acaba morint per TTL ja que s'envia a través de la gateway de la WAN i, per tant, el host on s'envia aquest paquet no es trobarà mai perquè es tracta d'una adreça privada.<br /> {{imatge|M11UF2PT121.png||thumb|Podem veure com canvia el comportament del paquet ICMP}}</div>

Guillem