Instalacion IPCOP

INSTALACIN DE UN
ROUTER/APPLIANCE CON
FUNCIONES DE FIREWALL, VPN,
PROTECCIN DE ATAQUES,
ANTISPAM Y ANTIVIRUS
PERIMETRAL
CON IPCOP
Jos A. Alfrez Snchez

www.alferez.es
Instalacin de router con funciones de firewall, vpn, proteccin de ataques, antispam y antivirus perimetral.
ndice
1. Introduccin ........................................................................................... 3
2. Objetivos y requisitos del proyecto......................................................... 5
3. Soluciones comerciales existentes .......................................................... 6
4. Instalacin .............................................................................................. 7
4.1 Sistema Base ..................................................................................... 7
4.1.1 Instalacin............................................................................. 8
4.1.2 Configuracin ..................................................................... 23
4.1.2.1 SSH .......................................................................... 24
4.1.2.2 Shutdown.................................................................. 25
4.1.2.3 Dynamic DNS........................................................... 26
4.1.2.4 Time Server .............................................................. 28
4.1.2.5 Intrusion Detection ................................................... 29
4.1.2.6 Port Forwarding ........................................................ 30
4.1.2.7 Firewall Options ....................................................... 31
4.1.2.8 Log Settings .............................................................. 32
4.2 Addons............................................................................................ 33
4.2.1 Instalacion de Addons ......................................................... 34
4.2.2 Advanced Proxy.................................................................. 36
4.2.3 URL Filter .......................................................................... 38
4.2.4 Update Acelerator ............................................................... 41
4.2.5 Zerina OpenVPN ................................................................ 42
4.2.6 Copfilter.............................................................................. 45
4.2.7 Block Out Traffic................................................................ 52
5. Logs ..................................................................................................... 67
6. Mantenimiento ..................................................................................... 74
7. Actualizacin del IPCop....................................................................... 75
8. Bibliografa .......................................................................................... 76
Autor: Jos A Alfrez Snchez
www.alferez.es
Pgina 2 de 76
1. Introduccin
A da de hoy y en este mundo de las telecomunicaciones e Internet
en el que todos estamos inmersos an hay personas que creen que
.a
lfe
re
z.
es
Internet est ah y que viene slo. Estas personas desconocen el

funcionamiento de un router, para que sirven, para que lo usan, como
funcionan, por qu su nombre
El router toma su nombre de su funcin de enrutador de paquetes, es

el encargado de encaminar los paquetes que recibe hacia su destino.
Un router es un dispositivo que encamina trfico desde una red

conectada a uno de sus puertos hacia otra red conectada en otro de sus
puertos. El router es un dispositivo que trabaja a nivel de red.
Para ello necesita:
- Saber la direccin de destino: a dnde va la informacin que necesita

ser encaminada?
w
w
- Identificar las fuentes de la informacin a ser encaminada: Cul es

origen de la informacin?
- Descubrir las rutas: Cules son las posibles rutas iniciales, o

caminos, a los destinos de inters?
- Seleccionar rutas: Cul es el mejor camino para el destino que se
requiere?
- Mantener y verificar la informacin de routing: Est la informacin
sobre el camino hacia el destino, actualizada?
www.alferez.es
Pgina 3 de 76
La informacin de routing que el router obtiene del administrador de

red o de otros routers, la sita en su tabla de rutas. El router se remitir a
esta tabla para decidir por qu interfaz se manda la informacin en base
a su direccin destino. Si la red destino est directamente conectada, el
.a
lfe
re
z.
es
router ya conoce qu interfaz debe utilizar. Si la red destino no est

directamente conectada, entonces el router debe aprender la mejor ruta
posible que debe utilizar para enviar los paquetes. Esta informacin
puede aprenderla de las siguientes maneras:
- Introducida manualmente por el administrador de red (routing

esttico)
- Recogida a travs de procesos de routing dinmico activados en los

routers.
Existe la posibilidad de no utilizar equipos dedicados, opcin que
puede ser la ms adecuada para redes locales o redes con un trfico

limitado, y usar software que implemente los protocolos de red antes
mencionados. Para dar funcionalidad de enrutador a un PC u otros
w
w
ordenadores embebidos con sistemas operativos unix-like como pueden

ser GNU/Linux o BSD, es suficiente con aadirle al menos dos
interfaces de red y activar el soporte de enrutamiento en el ncleo. Si se
desea promocionarle la funcionalidad de un enrutador completo, y que
soporte diversos protocolos de red o funcionalidades.
En el momento en que dotamos a nuestro router de funcionalidades y

medidas de seguridad, lo convertimos en un Appliance.
www.alferez.es
Pgina 4 de 76
Un Appliance no es ms que un dispositivo fsico (en nuestro caso un

ordenador) que se encarga de controlar todo lo que pasa por el desde el
exterior hacia el interior o viceversa.
.a
lfe
re
z.
es
2. Objetivos y requisitos del proyecto
El objetivo de este proyecto es que nos construyamos nuestro propio

router/appliance a nuestro gusto y con las funcionalidades que
deseemos.
Para ello usaremos un ordenador como ya hemos comentado antes

para este fin.
Este equipo no tiene por qu ser un equipo nuevo ni potente, ya que
podemos darle utilidad a algn viejo equipo que tengamos olvidado en

el trastero.
w
w
Hay algunos requisitos bsicos para este equipo:

2 Tarjetas de red mnimo.
512 Mb de memoria ram recomendado.
HD Ide.
Monitor y teclado (slo para la instalacin).

Router externo (siempre que la conexin no venga por red
Ethernet, ej. ADSL)
www.alferez.es
Pgina 5 de 76
3. Soluciones comerciales existentes

Como todo en esta vida ya est inventado no vamos a descubrir nada
nuevo. Estos dispositivos existen con distintos nombres, distintas
precios.
.a
lfe
re
z.
es
marcas comerciales, distintas funcionalidades y por supuesto distintos
Todos estos Appliances estn fabricados sobres ordenadores

enrackables de 1U o en mini equipos, guardando una esttica discreta.
Estos son algunos de los muchos dispositivos del mercado:

Marca
McAfee
Modelo
Precio
Secure
3000
Imagen
Internet
Gateway
3100
Panda
WatchWard
Integra
300
3400
Firebox
5500
w
w
X5500e
IBM
Astaro
Proventia
MFS
MX3006
Security
4000
3000
Gateway
220
www.alferez.es
Pgina 6 de 76
A estos precios tenemos que aadirles las licencias anuales para

actualizacin y de los mdulos, ya que aqu se paga por usuarios que
tengan acceso.
.a
lfe
re
z.
es
4. Instalacin
4.1 Sistema Base
Como sistema base usaremos un sistema Linux compacto que
ya nos trae instalado todo lo que necesitamos. Este sistema es
funcional por si mismo, en el momento de instalarlo y configurarlo

ya tendremos el 60 % de nuestro sistema operativo.
Para esta funcin usaremos un proyecto de creado por Jack
Beglinger bajo licencia GPL llamado IPCOP.
Para obtenerlo es bastante con acceder a la web y bajarnos la
w
w
versin que deseemos.
Actualmente tenemos disponible hasta la 1.4.21 aunque para
instalarla usaremos la 1.4.15 que es la ms estndar para instalar los

addons o expansiones que necesitaremos para completar nuestro
proyecto y despus actualizaremos hasta la ms reciente.
Nos descargaremos la ISO desde la web de ipcop

(www.ipcop.org) y la grabaremos en un CD para comenzar la
instalacin.
www.alferez.es
Pgina 7 de 76
4.1.1 Instalacin
.a
lfe
re
z.
es
Lo primero que veremos al arrancar el equipo es esta pantalla:
w
w
Tras pulsar Enter nos pedir el idioma:
Aqu debemos dejarlo en Ingls, pues se ha comprobado que

despus puede darnos fallo durante la configuracin, y tampoco hay
que configurar tanto como para preocuparse por el idioma.
www.alferez.es
Pgina 8 de 76
.a
lfe
re
z.
es
Nos preguntar desde donde vamos a instalar.
Nos avisar que va a proceder a borrar las particiones y a
eliminar todo lo que se encuentra en el disco duro. Con este proceso
hay que tener cuidado porque una vez aceptado nos quedaremos sin
w
w
los datos existentes en el disco duro.
www.alferez.es
Pgina 9 de 76
Nos pregunta si tenemos algn backup de configuracin y como no
.a
lfe
re
z.
es
es el caso seleccionamos Skip.
Ahora nos configurar el interfaz GREEN que es el
corresponde con la red local, nos da la opcin de seleccionar

manualmente el controlador o que l busque automticamente
w
w
(recomendado pulsar Probe).
www.alferez.es
Pgina 10 de 76
.a
lfe
re
z.
es
En nuestro caso nos ha detectado la tarjeta de red.
w
w
Nos pide que configuremos los parmetros IP de la tarjeta.
www.alferez.es
Pgina 11 de 76
Finalizado la configuracin de la red local (GREEN) se realiza

la instalacin y nos da la enhorabuena por tener parte del proceso
.a
lfe
re
z.
es
cumplido,
Nos pide la configuracin de teclado. En este caso si podemos
w
w
seleccionar el teclado es (espaol).
www.alferez.es
Pgina 12 de 76
.a
lfe
re
z.
es
Configuracin de zona horaria
w
w
Nos pedir el nombre de la maquina y el grupo de trabajo
www.alferez.es
Pgina 13 de 76
.a
lfe
re
z.
es
Es posible que nuestro Router se conecte directamente por una
tarjeta RSDI, este sistema ya est antiguo, por lo que desactivamos
w
w
dicha opcin.
www.alferez.es
Pgina 14 de 76
El prximo paso nos pide que sigamos configurando y
.a
lfe
re
z.
es
seleccionamos el tipo de red.
El siguiente paso es de los ms importantes, porque como ya
hemos visto IPCop diferencia las conexines de red por color:

GREEN -> Red Local
RED -> Internet
Blue -> Wireless
w
w
Orange -> DMZ
En nuestro caso vamos a seleccionar GREEN + RED, puesto
que vamos a tener por un lado el router conectado a la puerta RED y
la red local en GREEN y en caso de querer tener red wireless lo

haremos mediante puntos de acceso conectado a esa red GREEN.
www.alferez.es
Pgina 15 de 76
.a
lfe
re
z.
es
Volvemos a la pantalla de opciones de configuracin y debemos
escoger ahora la opcin de asignar tarjetas de red, puerto que
w
w
tenemos un tipo nuevo de red sin tener asociado ninguna tarjeta.
www.alferez.es
Pgina 16 de 76
En esta pantalla nos muestra lo anteriormente comentado,
.a
lfe
re
z.
es
tenemos asignada una tarjeta a GREEN pero ninguna a RED.
Tras realizar la bsqueda y detectar la segunda tarjeta nos
indica que podemos asignrsela slo a RED que es la que no tena
w
w
ninguna.
www.alferez.es
Pgina 17 de 76
Volvemos a la pantalla de seleccin y seguimos por orden para
.a
lfe
re
z.
es
asignar direcciones.
La red
GREEN
ya
le
habamos asignado
direccin
w
w
anteriormente, ahora debemos hacerlo a RED.
www.alferez.es
Pgina 18 de 76
Podemos asignarla de varios tipos segn la conexin que

vayamos a realizar, pero lo mejor es ponerla esttica. Y asignarle una
direccin ip segn el rango que tengamos en el router, no siendo
.a
lfe
re
z.
es
nunca este rango igual al que asignamos a GREEN.
Una vez tenemos configurado los parmetros IP de RED volvemos
w
w
con Done.
www.alferez.es
Pgina 19 de 76
.a
lfe
re
z.
es
Continuamos asignando DNS y puerta de enlace.
Tras configurar los DNS introducimos la direccin del Router
w
w
como puerta de enlace.
www.alferez.es
Pgina 20 de 76
Finalizamos con Done, ya que configuremos o no el DHCP
.a
lfe
re
z.
es
nos lo va a pedir despus.
Como he comentado anteriormente nos pide si queremos activar el

DHCP, en nuestro caso no lo haremos, pero podemos hacerlo ms
w
w
adelante.
www.alferez.es
Pgina 21 de 76
Nos pedir que introduzcamos las contraseas para Root,
.a
lfe
re
z.
es
Admin y Backup.
w
w
Finalizado esto ya tendremos nuestra base de IPCOP instalada
www.alferez.es
Pgina 22 de 76
4.1.2 Configuracin
Una vez tengamos el sistema instalado, nos queda configurar los
parmetros bsicos para que funcione correctamente y poder realizar la
.a
lfe
re
z.
es
instalacin de addons que necesitaremos ms adelante.
Toda esta configuracin la haremos desde otra maquina de la red

local atancando al servidor mediante explorador web a la direccin
https://IPDELIPCOP:445
w
w
Nos encontraremos una web como esta:
En la que deberemos pulsar en Connect y acceder con el usuario
admin. que configuramos anterioremente.
www.alferez.es
Pgina 23 de 76
4.1.2.1 SSH
Lo primero que debemos configurar es el servidor SSH para poder
subir los paquetes que vamos a necesitar.
.a
lfe
re
z.
es
Dentro del men System vamos a encontrarnos con el modulo SSH
w
w
ACCESS y debemos activarlo, dejndolo de la siguiente forma:
Si nos fijamos nos indica que el puerto de conexin es el 222 en vez
del tpico 22 que realmente usa ssh.
www.alferez.es
Pgina 24 de 76
4.1.2.2 Shutdown
Este mdulo lo encontraremos en el men System. Nos da la opcin
de reiniciar o apagar el equipo instantneamente, pero tambin nos da la
.a
lfe
re
z.
es
opcin de programar este proceso.
Aunque no es algo obligatorio para que nuestro dispositivo funcione,
es recomendable que se programe un reinicio a horas que nadie est

usndolo.
Nosotros vamos a configurar un reinicio a las 5:00 am diario.
Con esto conseguimos que tanto la memoria, como las conexiones de
w
w
red, como la particin Swap se reinicien y no acumule entre varios das.
www.alferez.es
Pgina 25 de 76
4.1.2.3 Dynamic DNS
Este mdulo lo encontraremos en el men Services. Es muy til para

atacar al sistema desde fuera para configurar servidores detrs de l (FTP,
.a
lfe
re
z.
es
Web, VPN,)
Este mdulo no es ms que un cliente que actualiza la direccin ip
que tengamos en ese momento (en caso de ser ip dinmica)

transformndola en un nombre ms fcil de recordar y entender.
Para usarlo debemos darnos de alta en alguna de las webs que nos
permiten esta opcin. En nuestro caso usaremos los servicios de

Dyndns.com.
Una vez accedamos a la web nos demos de alta un usuario, nos

pedir que seleccionemos el nombre y dominio para su uso. Con estos
datos procederemos a configurar nuestro servicio en el IPCop.
w
w
Lo primero que tenemos que hacer para que no nos de fallo es
marcar la opcin de Guess the real public IP ya que estamos detrs de un

router y la direccin RED no es la externa, despus tendremos que
minimizar las actualizaciones y salvar.
www.alferez.es
Pgina 26 de 76
Lo siguiente es introducir los datos que hemos obtenido de la web y
w
w
.a
lfe
re
z.
es
aadirla.
www.alferez.es
Pgina 27 de 76
4.1.2.4 Time Server

Este mdulo lo encontraremos en el men Services. Aqu podremos
configurar la fecha y hora correcta en nuestro sistema.
.a
lfe
re
z.
es
No tiene una utilidad imprescindible para el funcionamiento ni es
requisito indispensable para cualquier otro servicio, pero si es de gran

utilidad que la fecha y hora sean siempre correctas, ya que en caso de
necesitar visualizar los logs nos podemos perder si no tenemos estos datos
correctamente configurados.
Nos da la opcin de actualizar estos datos manualmente o de

configurarlo
para
que
actualice
desde
un
servidor
de
Internet
(recomendado). En nuestro ejemplo le hemos puesto para que actualice

desde
el
servidor
de
la
universidad
de
Valencia
(hora.uv.es)
automticamente cada semana. Adems tiene la opcin de que sea servidor
w
w
interno horario para nuestra red GREEN.
www.alferez.es
Pgina 28 de 76
4.1.2.5 Intrusion Detection

Este mdulo lo encontraremos en el men Services. La funcin de
este mdulo no es otra que la de denegar el paso por el IPCop de cdigo
malicioso, ya sea desde Internet (RED) a nuestra red local (GREEN) o
.a
lfe
re
z.
es
viceversa.
Lo que impide es que se realicen ataques a travs de l. Para esto se
apoya en unas tablas de ataques que obtiene a travs de la web

www.snort.org. Tendremos que darnos de alta (gratuito) y una vez
tengamos cuenta, acceder a nuestros datos y solicitar el OINK Code para
introducirlo en la configuracin de nuestro IPCop.
La bajada y aplicacin de las lista de reglas debemos hacerla
w
w
manualmente.
www.alferez.es
Pgina 29 de 76
4.1.2.6 Port Forwarding

Este mdulo lo encontraremos en el men Firewall. Desde este
apartado configuraremos la redireccin de puertos que deseemos desde
.a
lfe
re
z.
es
Internet (RED) hacia nuestra red local (GREEN).
Podemos abrir estos puertos para cualquiera o para una IP en

concreto, definindola en Source IP.
Desde aqu daremos acceso a nuestro servidor web, ftp, desde el
w
w
exterior en caso de disponer de alguno.
www.alferez.es
Pgina 30 de 76
4.1.2.7 Firewall Options

Este mdulo lo encontraremos en el men Firewall. Desde este
apartado podemos impedir que nuestro sistema responda a las peticiones de
Ping formuladas ya sean desde Internet (RED) o desde cualquier interface
w
w
.a
lfe
re
z.
es
que disponga el IPCop.
www.alferez.es
Pgina 31 de 76
4.1.2.8 Log Settings

Este mdulo lo encontraremos en el men Logs. Desde este apartado
configuraremos las opciones de los logs.
.a
lfe
re
z.
es
Lo ms importante es el nivel de detalle y sobre todo que el orden

sea inverso, para que las ultimas entradas en el log sean las primeras en
aparecer.
Adems podemos redireccionar estos logs a un servidor en caso que
w
w
dispongamos de alguno destinado a este fin.
www.alferez.es
Pgina 32 de 76
4.2 Addons
Los addons no son ms que paquetes o aplicaciones de terceros que
se implementa a nuestro sistema para interactuar con l aportando
.a
lfe
re
z.
es
caracteristicas o funcionalidades nuevas que no trae el sistema base.
La instalacin de estos paquetes es muy simple, y siempre es igual.
Necesitaremos la aplicacin WinSCP para conectarnos a nuestro sistema
pos SFTP y pasarle los paquetes que necesitemos, adems de la aplicacin
Putty para atacarla por SSH en modo consola. Estas aplicaciones son
gratuitas y podemos bajarlas desde Internet.
Una vez las tengamos instalada en el equipo que estamos usando

para administrar nuestro IPCop procederemos a configurarla.
Para ello necesitaremos la direccin IP, usuario (root) y password as

como el puerto ssh y el marcar el tipo de conexin ssh. Recordemos que
w
w
nuestro puerto ssh es el 222.
www.alferez.es
Pgina 33 de 76
4.2.1 Instalacion de Addons

Una vez lo tengamos tenemos que usar el winscp para conectarnos
como root con el IPCop y pasamos el fichero que nos hemos descargado
w
w
.a
lfe
re
z.
es
del addon comprimido.
Una vez pasado el fichero nos conectamos con el Putty tambin
como root y ejecutamos lo siguiente:
tar zxvf ./nombreficherocomprimido
www.alferez.es
Pgina 34 de 76
Esto nos crear una carpeta segn el addon descomprimido, aunque

en ocasiones no la crea (como es el caso del Zerina), y descomprime en el
directorio actual (/root/). Para realizar la instalacin debemos acceder a
dicha y ejecutar el fichero de instalacin (normalmente install o setup) de la
.a
lfe
re
z.
es
siguiente manera:
cd nombredirectorio
./setup
Con esto ya tendremos el addon instalado y tan slo nos quedar
configurarlo. La instalacin de los addons es igual para todos, ahora tan
w
w
slo nos queda realizar la configuracin.
www.alferez.es
Pgina 35 de 76
4.2.2 Advanced Proxy

Debemos bajarnos la ultima versin desde www.advproxy.net, en
nuestro caso es la 3.0.2 y realizar la instalacin como hemos visto en el
.a
lfe
re
z.
es
apartado anterior.
Una vez tengamos la instalacin realizada accederemos a la
w
w
configuracin a travs de web en el men Services.
Common Settings: Parmetros generales
Debemos activar Enabled on GREEN y Transparen on GREEN.

Upstream Proxy: Proxy de subida
Log Settings: Configuracin de logs
Debemos activarlo para registrar si se produce algn error.
Cache management: Configuracin de Cache
Destination Ports: Puertos de destino
www.alferez.es
Pgina 36 de 76
Network Base Access Control: Control de acceso de red

Debemos indicar la IP si queremos que algn equipo no pase por el
Proxy o si deseamos denegar el acceso.
.a
lfe
re
z.
es
Time Restriction: Restriccin horaria

Indicamos el periodo horario y los das que queremos que funcione,
por ejemplo que slo est operativo en el horario laboral.
Transfer Limit: Limitacin de transferencia.
Download throttling: Limite de velocidad y de cantidad.
Podemos limitar que los equipos no naveguen a mas velocidad o no

puedan acceder pasado un caudal.
MIME type filter: Bloqueo de contenido MIME
Web Browser: Bloqueador de navegadores.
w
w
Privacy: Privacidad
URL Filter: Configurador del Addon UrlFilter.
Update Acelerator: Configurador del Addon Update Acelerador.
Access Restriction: Configurador de restricciones de Acceso.
www.alferez.es
Pgina 37 de 76
4.2.3 URL Filter

Debemos bajarnos la ultima versin desde www.urlfilter.net, en
.a
lfe
re
z.
es
apartado anterior.
w
w
Lo primero que debemos hacer es actualizar la base de datos de
direcciones, para ello nos vamos al apartado URL Filter maintenance y

configuramos las actualizaciones.
Le indicamos que se actualice desde alguno de los sitios que
aparecen en la lista (Recomiendo el de la Universidad de Toulouse),

guardamos la configuracin y le damos a que actualice ahora (Update
www.alferez.es
Pgina 38 de 76
Now), este proceso tarda un poco pero nos daremos cuenta que ha
terminado de actualizar cuando en la barra del navegador deje de transferir
la pgina.
.a
lfe
re
z.
es
Una vez est actualizado volvemos a cargar la pgina y nos aparece

un listado mucho mayor en Block Categories, ahora es cuestin de gustos
la seleccin de las categoras a bloquear.
Otro apartado importante es el de las Custom List, aqu podemos

forzar manualmente direcciones web que queremos o no que se accedan.
Debemos tener en cuenta que por defecto estas listas estn desactivadas por
lo que si queremos activarlas debemos marcar la casilla correspondiente.
En File Extension Blocking podemos bloquear las extensiones de

distintos tipos de archivos, impidiendo que se descargen. Estos archivos
son los relacionados con archivos ejecutables, audio y video y ficheros

comprimidos.
w
w
En Local File Redirection tenemos la opcin de subir al IPCop los
ficheros que ms se descarguen, consiguiendo que en vez de descargarse

cuando alguien lo pida, sea l quien lo sirva.
En Network Based Access Control podemos indicar que equipos
van a saltarse la configuracin del URL Filter y cuales no van a tener

acceso a nada.
En Time Based Access Control podemos restringir por tiempo de

uso.
www.alferez.es
Pgina 39 de 76
En Block Page Settings configuramos el mensaje de acceso

denegado que le saldr a los usuarios cuando intenten acceder a una web
que no tienen permitido.
.a
lfe
re
z.
es
En Advanced Settings configuraremos las opciones avanzadas que

nos da, pero no por ello menos importantes. Aqu es donde debemos activar
la lista de expresiones, que nos active el SafeSearch (para que los
buscadores no muestren resultados que tenemos bloqueados) o activar los
w
w
logs.
www.alferez.es
Pgina 40 de 76
4.2.4 Update Acelerator
Debemos bajarnos la ultima versin desde www.advproxy.net, en

.a
lfe
re
z.
es
apartado anterior.
w
w
Este mdulo es muy simple, su funcin es tener una cach de
archivos con idea de no estar bajando el mismo fichero varias veces.
La configuracin es muy simple, pues con la configuracin que trae
por defecto nos vale.
Lo que si podemos configurar es el tamao del disco que queremos

usar para ese fin.
www.alferez.es
Pgina 41 de 76
4.2.5 Zerina OpenVPN
Debemos bajarnos la ultima versin desde www.zerina.de, en

nuestro caso es la 0.9.7a14 y realizar la instalacin como hemos visto en el
.a
lfe
re
z.
es
apartado anterior.
w
w
configuracin a travs de web en el men VPN.
Lo primero que debemos hacer es generar el cerficado del propio
servidor, para ello nos en el apartado que aparece marcado como 1

pinchamos en Generate Root/Host Certificates.
www.alferez.es
Pgina 42 de 76
Una vez que tengamos ese certificado generado podremos configurar

el segundo apartado. Lo primero es activar OpenVPN sobre el interface
RED para que podamos conectarnos desde Internet. En Local VPN
HostName pondremos el nombre que dimos de alta en Dynamic DNS y
.a
lfe
re
z.
es
activaremos la compresin LZO.
Lo siguiente es generar los cerficados para clientes, este apartado es
muy simple, ya que con indicar el nombre y la contrasea, todo lo dems
ya est configurado segn los parmetros indicados en el certificado de

Root.
Una vez que tengamos el cliente creado nos aparecer en la lista su

nombre, descripcin y nos dar opcin a descargarlo:
nos permitir directamente
w
w
Si pinchamos sobre el icono
descargarnos el paquete de configuracin para el cliente.
Para conectarnos por VPN necesitaremos una aplicacin llamada
OpenVPN GUI que nos permite realizar conexiones VPN hacia
servidores OpenVPN como el que acabamos de instalar en nuestro IPCop.

Esta aplicacin nos la podemos descargar desde www.openvpn.se.
www.alferez.es
Pgina 43 de 76
Una vez instalada esta aplicacin debemos descomprimir el paquete

de configuracin que obtuvimos del IPCop en la carpeta C:\Archivos de
.a
lfe
re
z.
es
Programa\OpenVPN\Config
Con todo esto instalado y configurado tan slo nos queda darle doble
clic al icono
que nos apareci en la barra de tareas y ponerle la
contrasea que introducimos al dar de alta al cliente.
Si todo es correcto el icono cambiar a este estado
y esto nos
indicar que ya estamos conectados a la VPN como si fuese un equipo ms
w
w
de la red.
Lgicamente esto se debe instalar y configurar en un equipo de fuera
de la red y conectado a Internet.
www.alferez.es
Pgina 44 de 76
4.2.6 Copfilter
Debemos bajarnos la ultima versin desde www.copfilter.de, en
nuestro caso es la 0.84beta3a y realizar la instalacin como hemos visto en
.a
lfe
re
z.
es
el apartado anterior.
configuracin a travs de web, slo que en este caso nos aparecer el men
w
w
Copfilter y desde aqu tendremos varios apartados.
www.alferez.es
Pgina 45 de 76
.a
lfe
re
z.
es
STATUS: Servicios que tenemos activos
EMAIL: Configuracin del correo del administrador del sistema para

recibir todos los mensajes que Copfilter necesite avisarle.
w
w
Es la primera opcin que debemos activar.
www.alferez.es
Pgina 46 de 76
MONITORING: Configuracin del sistema de monitoreo, en caso de
w
w
.a
lfe
re
z.
es
que alguno de los servicios falle, vuelve a activarlo.
www.alferez.es
Pgina 47 de 76
POP3 FILTER: Configuracin del escaner de correo entrante, aqu

debemos activarlo en el interface GREEN, adems de
varias opciones como modificar el Asunto del correo,
renombrar los adjuntos peligrosos,...
.a
lfe
re
z.
es
Uno de los puntos ms importantes es el tema de la

puntuacin para el spam (Score is greater than) ya que
el correo recibe una puntuacin segn varias reglas y

si supera la puntuacin que le indiquemos lo
w
w
introducir en Cuarentena.
SMTP FILTER: Es la misma configuracin que vimos para Pop3
pero esta vez para el correo saliente.
www.alferez.es
Pgina 48 de 76
HTTP FILTER: Desde aqu configuraremos el filtro web para activar
.a
lfe
re
z.
es
el antivirus.
En caso de acceder a alguna web con virus
w
w
recibiremos una pantalla como esta:
www.alferez.es
Pgina 49 de 76
FTP FILTER: Desde aqu podremos activar el filtro para FTP aunque
esta tarea ralentizar la descarga ftp, ya que los
ficheros ftp suelen ser grandes.
.a
lfe
re
z.
es
ANTISPAM: Desde aqu configuraremos los parmetros del

antispam como la puntuacin que consideramos
vlida para que sea spam o los tipos de reglas que
w
w
queremos que use.
www.alferez.es
Pgina 50 de 76
ANTIVIRUS: Desde aqu podremos configurar las opciones del

antivirus y configurar sus actualizaciones (No es
recomendable que estas actualizaciones sean ms
.a
lfe
re
z.
es
recientes de 24 horas).
TEST & LOGS: Aqu podremos realizar distintos test para comprobar que
w
w
las configuraciones que hemos realizado son vlidas y que el antivirus se
activa cuando debe o que el antispam detecta los correos correctamente.
www.alferez.es
Pgina 51 de 76
4.2.7 Block Out Traffic

Debemos bajarnos la ultima versin desde www.blockouttraffic.de,
en nuestro caso es la 3.0.0 y realizar la instalacin como hemos visto en el
.a
lfe
re
z.
es
apartado anterior.
La instalacin de este addon es un poco delicada a la vez que
complicada, ya que como su propio nombre indica su funcin es bloquear

todo el trfico saliente.
Este addon nos servir para bloquear todo lo que no salga por los
puertos que le indiquemos y debemos especificar tanto los rangos de

puertos, servicios y mquinas o grupos de mquinas que vamos a darle
acceso, por lo que si no desea realizar esta funcin les recomiendo que no
lo instalen, ya que si lo instalan y no lo configuran correctamente es posible
que no puedan acceder a la administracin de su IPCop.
w
w
configuracin a travs de web en el men Firewall. Nos aparecern dos
nuevas entradas:
www.alferez.es
Pgina 52 de 76
Lo primero que debemos hacer es configurar los parmetros

generales de configuracin. Para ello entramos en Block Outgoing
.a
lfe
re
z.
es
Traffic y nos saldr esta pantalla:
Como nos indica no tenemos definida la configuracin, por lo que
w
w
deberemos editarla y nos aparecer esta pantalla:
www.alferez.es
Pgina 53 de 76
En esta pantalla nos piden dos datos muy simples pero con los que
hay que tener mucho cuidado y es la MAC de administracin y el puerto
HTTPS.
.a
lfe
re
z.
es
En el lugar de la direccin MAC debemos indicar la direccin MAC

del ordenador que usaremos para administrarlo, ya que una vez activado y
si no se crea la regla ningn ordenador excepto este tendr acceso a la
administracin de nuestro IPCop.
Lgicamente debemos marcar la activacin de logs, ya que nos

puede ser til para detectar posibles fallos.
Otro punto importante es que hacer si no tenemos una regla

establecida y por defecto tiene REJECT pero es recomendable cambiarlo a
DROP, ya que si no existe regla lo mejor es denegarlo directamente.
Con estos puntos ya tenemos configurado nuestro BOT (Block Out

Traffic) pero lgicamente no tenemos ninguna regla definida as que
w
w
debemos hacerlo por partes.
www.alferez.es
Pgina 54 de 76
CREACIN DE SERVICIOS:
Lo primero que debemos hacer es entrar en Advanced BOT Config

y nos aseguramos que tenemos activo el Service Settings, por lo que nos
.a
lfe
re
z.
es
aparecer una pantalla como la siguiente:
w
w
Debemos crear uno a uno los siguientes servicios:
Service Name: Ping

Protocol: ICMP
ICMP Type: All ICMP Types
Service Name: COPFILTER Antivirus

Ports: 8110
Protocol: TCP
www.alferez.es
Pgina 55 de 76
Service Name: COPFILTER ftp

Ports: 2121
Protocol: TCP
.a
lfe
re
z.
es
Service Name: COPFILTER smtp

Ports: 10025
Protocol: TCP
Service Name: IPCOP ssh

Ports: 222
Protocol: TCP
Service Name: IPCOP https

Ports: 445
Protocol: TCP
Service Name: IPCOP proxy

Ports: 800
w
w
Protocol: TCP
Con estos puertos lo que hemos creado han sido los servicios de
administracin y acceso ofrecidos por el IPCop y COPFILTER ya que si
no tampoco tendramos acceso.
El siguiente paso es realizar grupos de servicios, ya que nos ser ms
fcil despus agrupar por grupos que individualmente.
www.alferez.es
Pgina 56 de 76
Para esto nos cambiamos ha Service Grouping y mediante el

formulario creamos los siguientes grupos con los siguientes servicios:
Administracin
IPCOP ssh (Custom)
.a
lfe
re
z.
es
IPCOP https (Custom)

Internet
Smtp
Smtps
Pop3
Pop3s
Imap
Imaps
Domain
Ping (Custom)
https
http
ftp
Ntp
Servicios
Domain
w
w
IPCOP Proxy (Custom)
COPFILTER Antivirus (Custom)

COPFILTER ftp (Custom)
COPFILTER smtp (Custom)
Los servicios que estn marcados como Custom son los que hemos
creado anteriormente.
www.alferez.es
Pgina 57 de 76
.a
lfe
re
z.
es
Creado los grupos nos debera quedar as:
A la hora de crear las reglas tenemos dos opciones, o aplicamos las
reglas a todo la red GREEN o creamos equipo por equipo y hacemos
grupos. Esta ltima opcin aunque aade ms complicacin a la hora de
w
w
configurar, pero aadimos mayor seguridad a nuestra red, ya que si alguien

conectase no tendra salida a Internet.
En nuestro ejemplo vamos a configurar equipo por equipo de las dos
maneras posibles, aadindolo por direccin IP o por direccin MAC (lo
que aade una seguridad extra a la ya existente).
www.alferez.es
Pgina 58 de 76
Para esto tenemos que cambiar a Address Settings y dar de alta

equipo por equipo, teniendo que saber con anterioridad cada uno de los
equipos que tenemos en la red con su direccin IP o direccin MAC.
.a
lfe
re
z.
es
Para aadir los equipos tendremos que hacerlo mediante el

formulario que tenemos, seleccionando previamente si queremos IP o
MAC:
En caso de que seleccionemos direccin MAC dejaremos en blanco

el campo Netmask, en caso de usar direccin IP en Netmask
introduciremos 255.255.255.255, ya que no queremos que aumente el

rango ip.
w
w
Este es un ejemplo con las dos opciones:
El equipo Aplicaciones2 est dado de alta por direccin IP, mientras
que Informatica est dado de alta con MAC.
www.alferez.es
Pgina 59 de 76
Una vez que tengamos dado de alta los equipos vamos a organizarlos
.a
lfe
re
z.
es
por grupos. Para ello accedemos al apartado Adress Groupoing.
Como se puede ver en la imagen se han creado varios grupos y se

han ido asignando los equipos que hemos seleccionado.
w
w
Con este apartado ya hemos terminado de configurar nuestro Block
Out Traffic, ahora tan slo nos queda aadir las reglas que deseemos, para
eso nos vamos al men Firewall y entramos en el apartado BLOCK
OUTGOING TRAFFIC.
La primera regla que vamos a registrar es para que cuando
realicemos una conexin VPN podamos acceder a la red GREEN sin

complicaciones, para ello crearemos estas dos reglas:
www.alferez.es
Pgina 60 de 76
Para crearlas pulsamos sobre el boton NEW RULE y en la

siguiente pantalla introducimos los datos correspondiente a la regla que
.a
lfe
re
z.
es
vamos a necesitar.
Source:
Defatul Interface: GREEN (Interface Origen por defecto: Verde)
w
w
Default Networks: Any (Red Origen por defecto: Cualquiera)
Destination:
Default Interface: OpenVPN-RED (Interface Destino defecto: VPN)
Default Networks: Any (Red Origen por defecto: Cualquiera)
Con estos datos crearemos la regla para acceder desde GREEN hasta
la VPN y despus deberamos hacerlo a la inversa.
www.alferez.es
Pgina 61 de 76
El siguiente paso es dar acceso a cada grupo de usuarios que creamos

anteriormente tanto a Internet como a los servicios gestionados por el
w
w
.a
lfe
re
z.
es
IPCop.
En el ejemplo anterior lo que hacemos es dar a los equipos del grupo
GR_Administracion que provienen por la interface GREEN acceso al
IPCop y el uso de los servicios que hemos nombrado como Servicios.
www.alferez.es
Pgina 62 de 76
Para ello cumplimentamos los siguientes datos:

Source:
Default Interface: GREEN
Addess Group: GR_Administracion
.a
lfe
re
z.
es
Destinatiom:
IPCop Access
Use Service
Service Groups: Servicios
Este paso debemos repetirlo con cada uno de los grupos que
deseemos que tengan acceso a Internet, ya que mucho de los servicios
paran por l.
El siguiente paso es dar de alta los servicios que no son propios del
w
w
IPCop.
www.alferez.es
Pgina 63 de 76
El ejemplo anterior da acceso a los servicios de Internet que no

gestiona el IPCop. Los parmetros a cumplimentar seran los siguientes:
.a
lfe
re
z.
es
Source:
Default Interface: GREEN
Addess Group: GR_Administracion
Destinatiom:
Other Network/Outside
Default Interface: Red
Default Networks: Any
Use Service
w
w
Service Groups: Internet
www.alferez.es
Pgina 64 de 76
Adicionalmente todas las reglas del Block Out Traffic tienen una
.a
lfe
re
z.
es
serie de opciones avanzadas.
w
w
En esas opciones podemos indicar varias opciones adicionales,
adems de si queremos que se registren los logs y la accin a realizar

(Aceptar o denegar) tenemos la opcin de establecer una franja horaria y de
das en los que esas reglas van a estar activas (lgicamente la fecha y hora
del sistema deben ser correctas). Esta configuracin podemos realizarlas de

dos formas:
Indicando la franja de das del mes que queremos
Indicando los das de la semana que queremos
www.alferez.es
Pgina 65 de 76
A Parte de esto lo que si podemos aadirle es la franja horaria que

deseemos para esa regla.
Con todas las reglas creadas ya podemos aventurarnos a activar el
.a
lfe
re
z.
es
Block Out Traffic.
Si por cualquier causa no funcionase y no tuvisemos acceso a la
administracin (de aqu la importancia de que la direccin MAC estuviese

bien puesta) slo tenemos una opcin y es desinstalarlo.
Para desinstalarlo tendremos que hacerlo en modo consola desde el

propio IPCop. Para ello seguiremos los mismos pasos que para instalar el
mdulo pero en vez de usar el comando install usaremos unistall.
Este Addon guarda la configuracin incluso despus de desinstalarlo,
por lo que si volvemos a instalar tendremos la configuracin guardada,
pero el servicio no estar activado y podremos acceder a reconfigurarlo
w
w
antes de volver a activarlo.
www.alferez.es
Pgina 66 de 76
5. Logs
Para un administrador una de las herramientas ms importantes son
.a
lfe
re
z.
es
los logs.
En estos logs el administrador puede observar los movimientos que
va teniendo el ipcop. A travs de estos movimientos podremos saber en

todo momento lo que ha ocurrido o est ocurriendo.
Los logs que disponemos se dividen en estos:
Log Settings: Configuracin de Logs (Ya lo vimos anteriormente)
w
w
Log Summary Logs: Eventos de Kernel y estado de discos.
Proxy Log: Desde aqu podremos ver que pginas han visto cada
usuario en cualquier momento.
Firewall Logs: Registra los eventos de Firewall

IDS Logs: Eventos del Intrusion Detection
URL Filter Logs: Pginas que han sido bloqueadas por URL Filter
indicando la mquina y el motivo del bloqueo.
System Logs: Eventos del sistema.
www.alferez.es
Pgina 67 de 76
.a
lfe
re
z.
es
Proxy Logs:
Podemos filtrar desde Source IP la direccin de la mquina
w
w
que deseamos, adems del da y si queremos podemos aplicarle un
filtro para descartar contenido.
www.alferez.es
Pgina 68 de 76
.a
lfe
re
z.
es
Firewall Logs:
Nos aparecen los Eventos del Firewall con la direccin de
w
w
origen, destino, MAC y Puerto que usa.
www.alferez.es
Pgina 69 de 76
.a
lfe
re
z.
es
IDS Logs:
Nos muestra los eventos del Intrusion Detection (SNORT), nos
w
w
aparece la fecha y hora, as como el origen y destino adems del tipo
de ataque o amenaza que ha detectado.
www.alferez.es
Pgina 70 de 76
.a
lfe
re
z.
es
URL Filter:
Nos aparece la fecha, el motivo del bloqueo, la direccin IP
w
w
del usuario y la direccin de destino.
Nos permite filtrar tanto por categora como por la direccin
IP del usuario.
Un inconveniente que he podido observar es que normalmente

las pginas webs tienen imgenes llamadas tit_pagina, tit de ttulo y
el problema es que el lo traduce como tit de teta en ingles, por lo que
nos da un mensaje y lo bloquea como se puede ver en la imagen.
www.alferez.es
Pgina 71 de 76
.a
lfe
re
z.
es
System Logs
Es el logs ms genrico, ya que nos permite seleccionar sobre
w
w
el servicio que deseamos mostrar los logs de suceso.
Si pulsamos sobre Section nos muestra estas opciones de
servicios:
www.alferez.es
Pgina 72 de 76
NTP: Se muestran los sucesos del servidor horario.

DNS: Sucesos del cliente DNS
Update Transcript: Eventos del proceso de actualizacin
.a
lfe
re
z.
es
IPSec: Eventos del cliente IPSec.

SSH: Eventos del servidos SSH
Snort: Eventos del cliente Snort para el servicio Intrusion Detection

Login/Logout: Eventos de acceso al IPCop
IPCop: Eventos generales.
Cron: Eventos de tareas programadas.

Kernel: Eventos del Kernel.
RED: Eventos del Interface
w
w
DHCP Server: Eventos del servidor DHCP
www.alferez.es
Pgina 73 de 76
6. Mantenimiento
El mantenimiento que requiere IPCop es muy simple. Basta con
.a
lfe
re
z.
es
tener actualizado los mdulos y las bases de datos de los mismos.
Algunos mdulos como Advanced Proxy nos avisa ellos mismos
w
w
como se puede ver en esta imagen:
Para actualizar las bases de datos basta con actualizar manualmente
esos mdulos como pasa con Url Filter y Intrusin Detection.
El tema del copfilter es ms delicado, ya que hay muchos mdulos
que actualizar, pero se puede descargando el actualizador que se publica en

el foro:
http://copfilter.endlich-mail.de/viewforum.php?f=12
www.alferez.es
Pgina 74 de 76
7. Actualizacin del IPCop

Por suerte tenemos un mdulo que nos simplifica mucho este
w
w
.a
lfe
re
z.
es
proceso. Este mdulo podemos encontrarlo en el men System.
Las actualizaciones podemos realizarlas de dos formas:
Descargando y subiendo los paquetes manualmente.

Descargar los mdulos automticamente desde el interface
web y despus aplicar las actualizaciones (Recomendado)
Si decidimos realizar estas actualizaciones por el interface nos

aparecer un botn Download y una vez descargadas debemos aplicarlas
hasta actualizarlo hasta la ltima versin 1.4.21 que es la ltima.
www.alferez.es
Pgina 75 de 76
8. Bibliografa
La informacin que aqu se recopila ha sido obtenida de distintas
.a
lfe
re
z.
es
pginas de Internet y de la propia experiencia profesional.
Estas son algunas de las pginas:
www.ipcop.org
www.ipcops.com
www.copfilter.de
www.zerina.de
www.urlfilter.net
www.advproxy.net
www.blockouttrafic.de
w
w
copfilter.endlich-mail.de
www.alferez.es
Pgina 76 de 76

Instalacion IPCOP

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Instalacion IPCOP

Uploaded by

Copyright:

Available Formats

INSTALACIN DE UN

Jos A. Alfrez Snchez

Autor: Jos A Alfrez Snchez

Internet est ah y que viene slo. Estas personas desconocen el

El router toma su nombre de su funcin de enrutador de paquetes, es

Un router es un dispositivo que encamina trfico desde una red

Para ello necesita:

- Saber la direccin de destino: a dnde va la informacin que necesita

- Identificar las fuentes de la informacin a ser encaminada: Cul es

- Descubrir las rutas: Cules son las posibles rutas iniciales, o

- Seleccionar rutas: Cul es el mejor camino para el destino que se

Autor: Jos A Alfrez Snchez

La informacin de routing que el router obtiene del administrador de

router ya conoce qu interfaz debe utilizar. Si la red destino no est

- Introducida manualmente por el administrador de red (routing

- Recogida a travs de procesos de routing dinmico activados en los

Existe la posibilidad de no utilizar equipos dedicados, opcin que

puede ser la ms adecuada para redes locales o redes con un trfico

ordenadores embebidos con sistemas operativos unix-like como pueden

soporte diversos protocolos de red o funcionalidades.

En el momento en que dotamos a nuestro router de funcionalidades y

Autor: Jos A Alfrez Snchez

Un Appliance no es ms que un dispositivo fsico (en nuestro caso un

2. Objetivos y requisitos del proyecto

El objetivo de este proyecto es que nos construyamos nuestro propio

Para ello usaremos un ordenador como ya hemos comentado antes

Este equipo no tiene por qu ser un equipo nuevo ni potente, ya que

podemos darle utilidad a algn viejo equipo que tengamos olvidado en

Hay algunos requisitos bsicos para este equipo:

Monitor y teclado (slo para la instalacin).

Autor: Jos A Alfrez Snchez

3. Soluciones comerciales existentes

marcas comerciales, distintas funcionalidades y por supuesto distintos

Todos estos Appliances estn fabricados sobres ordenadores

Estos son algunos de los muchos dispositivos del mercado:

Autor: Jos A Alfrez Snchez

A estos precios tenemos que aadirles las licencias anuales para

4.1 Sistema Base

Como sistema base usaremos un sistema Linux compacto que

ya nos trae instalado todo lo que necesitamos. Este sistema es

funcional por si mismo, en el momento de instalarlo y configurarlo

Para esta funcin usaremos un proyecto de creado por Jack

Beglinger bajo licencia GPL llamado IPCOP.

Para obtenerlo es bastante con acceder a la web y bajarnos la

versin que deseemos.

Actualmente tenemos disponible hasta la 1.4.21 aunque para

instalarla usaremos la 1.4.15 que es la ms estndar para instalar los

proyecto y despus actualizaremos hasta la ms reciente.

Nos descargaremos la ISO desde la web de ipcop

Autor: Jos A Alfrez Snchez

Lo primero que veremos al arrancar el equipo es esta pantalla:

Tras pulsar Enter nos pedir el idioma:

Aqu debemos dejarlo en Ingls, pues se ha comprobado que

Autor: Jos A Alfrez Snchez

Nos preguntar desde donde vamos a instalar.

Nos avisar que va a proceder a borrar las particiones y a

eliminar todo lo que se encuentra en el disco duro. Con este proceso

los datos existentes en el disco duro.

Autor: Jos A Alfrez Snchez

Nos pregunta si tenemos algn backup de configuracin y como no

es el caso seleccionamos Skip.

Ahora nos configurar el interfaz GREEN que es el

corresponde con la red local, nos da la opcin de seleccionar