lunes, 10 de diciembre de 2012

Iptables con squid ventajas de combinar los dos

Bien vamos a platicar acerca de lo que es squid un servidor proxy el cual permite filtrar el tráfico desde y hacia nuestra red.

Para los administradores de la red siempre termina siendo un dolor de cabeza el hecho de que los usuarios siempre se estén dando mañas para poder burlarse la red, por lo cual es u dolor de cabeza y en cierta forma es un reto el hecho de que siempre estan buscando nuevas formas de burlarse la red, por lo cual es un reto nuevo cada vez que eloos buscan una forma por que tienes que estar buscando como bloquearles ese acceso que ellos han abierto.

A este concepto se le denomina puerta trasera.

Una puerta trasera no es más que la apertura de uno o más puertos en nuestro servidor lo cual le permite el paso a todo el tráfico sin necesidad de que éste pase a traves del servidor proxy, simplemente se brinca esas reglas para que no pueda pasar a traves de squid.

Bien ademas de que con iptables el denegar las páginas con esta aplicación es un poco más complicado, ademas de que nuestra lista de reglas sería más grande lo cual implicaría que al momento de reiniciar los servicios este ya se inicie debido a que la lista es demasiado grande.

Tomando en cuenta eso debemos de realizar el siguiente análisi rápido para esta situación:

En primer lugar que es lo que quiero que mis usuarios no visiten páginas indebidas (nunca falta el que se la pasa viendo videos porno y esas cosas), además de aquellos sitios lo cuales existen los videojuego y demás basura que hay en internet.

Segundo el tráfico que hago con iptables tengo de redireccionarlo hacia un determinado puerto; est se hace con la intención de que el tráfico que esté o que vaya a pasar hacia la red nuestro servidor lo analize y pueda realizar un filtrado, hay que recordar que la mayor parte del tráfico que pasa en la red es por los puerto 80 que es el tráfico web normal y el puerto 443 para las conexiones seguras.

Para la regla de iptables debemos de agregar la siguiente:

iptables -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

Recordemos que la interfaz eth1 es por que conectamos hacia nuestra red de área local, nada mas adapten esa regla dependiendo de la interfaz que ustedes estén utilizando.

Además de esta regla debemos de hacer modificaciones en el archivo de squid primero debemos de buscar la siguiente regla

http_port 170.70.1.1:3128 transparent

depués de esto debemos de recargar el servicio de squid

service squid reload

si les aparecen errores deberan de poner el siguiente comando para que aparezca la linea de lo errores

squid -z 5

y les aparecerán todos lo errores que estén en su archivo de configuración.

Con esto deberan ya de estar realizando el filtrado con squid.ya debe de estar configurado squid si no es así entonces ya después escribiré otro articulo más completo.


Este tutorial lo pongo de esta forma ya que

lunes, 26 de noviembre de 2012

TCP/IP y UDP

Bien vamos a revisar un poco de conceptos de redes; en este caso vamos a revisar los dos protocolos que son base para las comunicaciones en internet el protocolo TCP y UDP.

Si bien estos dos protocolosson base para las comunicaciones de paquetes a traves de una red debido a que estos trabajan sobre la capa 3 del modelo de referencia OSI el cual ya se ha vuelto parte importante actualmente para los estándares y demas soluciones que han salido actualmente.

Bien el protocolo TCP no puede actuar solo; veamoslo de esta forma, el protocolo tcp se va a encargar de enviar una solicitud, poner un acuerdo de sincronización de paquetes el cuel es un acuerdo entre dos host para poder enviar lo paquetes de una menra optima y sin contratiempos, en esta caso se toman factores como es el ancho de banda, porcentaje de tráfico que exista en la red, numero de dispositivos por lo que tenga que pasar en este caso numero de solicitudes de tengan. El protocolo tcp la funcion que hace es establecer eun circiuto virtual, el cual da la seguridad y garantía de que el paquete llegue de forma segura hacia el destino. En el caso de esta garatía se demoninan acuses de recibo (acknologements), los cuales se encargan de notificarles a los dispositivos que el paquete llegó de forma correcta y sin errores, si no sucede esto lo que hace es volver a enviar de nuevo ese paquete para que el equipo receptor pueda armar el rompecabezas sin que e falten piezas.

Por otro lado esta e protocolo IP el cual únicamente se encarga de realizar la transportación del paquete hacia su destino sin realizar un analisis ni tener un acuse de recibo. Por eso se relacionan estos dos protocolos el tcp y el ip ya que con la unión de estos dos protocolos se puede realizar una comunicación más efectiva.

En cuanto al protocolo UDP este se encarga de enviar especificamente el paquete sin la necesidad de cerciorarse que el paquete llego completo o incompleto, de hecho esa es la gran difererncia entre estos dos protocolos.

Pero veamos donde realmente se utilizan estos dos protocolos:

TCP/IP: Básicamanente se utiliza en lo que páginas web o conexiones seguras (SSL) ya que se necesita ver un sitio completo, pero lo cual el texto o las imágenes no son tan pesadas para la transmisión de datos.

UDP: Este protocolo se utiliza básicamente para lo que le denominan streaming de audio y video lo que es envio de paquetes con mayor prioridad, ya que este protocolo como su trama es más corta, no tiene que estar realizando tanto análisis de los paquetes como tcp/ip, por ejemplo cuando se utiliza telefonía IP en el caso de cuando levantamos al auricular y hacemos una llamada en el otro extremo te contestan, tu lo escuchas rápidamente lo cual debe de ser muy rapido y por lo consiguiente el análisis también, por esta razon es que el protolo UDP se utiliza en este tipo de streaming ya que le da prioridad a los paquetes.

Otro ejemplo también es el hecho de que hay sitios que ya te ofrecen el servicio de streaming digamos que gratuito, lo cual está configurado por defecto con el protocolo UDP lo cual hace que el video se vea en tiempo real, aquellas transmisiones de video que sean en tiempo real se utiliza este protocolo, pero tambien cab aclarar que es este caso si no cuentas con un ancho de banda óptimo entonces puede que no se vea tan en tiempo real el video ya que depende mucho del ancho de banda que tengas contratado, no sin antes contra también la cantidad de tráfico que tengas en tu red o en el sector donde te encuentres.

Asi podras tener 100 megas de velocidad pero si tienes muchos usuarios conectados entre si a esos 100 megas lógicamente que no te van a servir ni para el arranque.

Bueno nos vemos después comentando en otro blog gracias, hasta pronto


jueves, 22 de noviembre de 2012

Warriors of the net

Es un video donde se representa de forma grafica la forma de como funciona la super carretera de la información.

Este video me agrada mucho debido a que la forma de como muestran la transición del modelo de referencia OSI desde la capa 7 hasta la capa 1 y despues pasa viajando a traves de los medios o dispositivos intermedios como lo manejan ahora algunos autores, los cuales muestra y llama la atención del funcionamiento básico representado en modo ilustrativo como es que viajan los datos a traves de la red.

Bueno sin mas que decir por el dia de hoy los dejo con el video para que los disfruten en español.



miércoles, 21 de noviembre de 2012

Volvi de nuevo 


Una vez mas he regresado con mi blog apenas temine un articulo y ya voy con otro (creo que ya me gusto).

Bueno esta vez vengo con una noticia no se si sea buena o mala pero una cosa si es cierto y muchos autores de articulos en internet que no los cito por que no recuerdo de tantos articulos y post que estuve buscando en varios foros.

De antemano les agradezco el haber hecho el aporte a cada uno por la solución al problema de las redes sociales.

Como primer punto voy a comenzar por decir que la red social de facebook.com la verdad es un dolor de cabeza ya que bloquearlo es un reverendo relajo ¿Pero por que?, bueno simplemente es por la razon de que el facebook utiliza el protocolo que utilizan los bancos que es el 443 (https), con eso tienes un dolor de cabeza para que mas, antes utilizaba squid sin cache debido a ciertos problemas que ahorita no recuerdo pero las reglas que ponen en squid tienen un cierto detalle que pase por alto, hasta la de mil me di cuenta.

Cual es ese detalle bueno precisamente el puerto 443 squid lo deja abierto en su configuración por defecto, debido a esto cuando tu pones tus reglas de acceso bloqueando el facebook este automaticamente te permitia el acceso por que el puerto 443 esta abierto.

Si se te ocurre cerrar ese puerto en SQUID simplemente no puedes tener acceso a lo que es correo que utilizen ese puerto o en su caso los bancos por que no puedes accesar por medio de ese puerto para poder realizar transferencias (que por cierto por poco y dejo a todos mis comañeros de trabajo sin nomina incluyendome jejejejeje).

Bueno cual fue la solucion pues quitar squid ademas de otros factores que me tuvieron que orillar a realizarlo e implementat iptables.

Iptables es un cortafuegos que trabaja sobre sistemas operativos libres como linux y unix el cual trabaja sobre el kernel de la distribución, para permitir el trafico de hacia la red local o en su caso permitirlo.

Tengo poco tiempo trabajando con iptables, pero hay voy poco a poco entendiendole como ir aplicando reglas para bloquear o permitir el acceso al trafico de internet.

Bueno yo trabaje con iptables con centos debido a que la distribución ha sido estable y es un derivado de red hat (lo que antes trabajado yo), por lo que no me costo trabajo adaptarme a trabajar con este sistema operativo.

Facebook es mañoso con lo que he leido en internet, los creadores de las red social contrataron varios segmentos de rangos de direcciones ip´s por lo que es dificil (mas no imposible) el poder bloquearlo, debido a que es complicado conocer los segmentos que maneja, podemos definirlos a traves de la siguiente instruccion en el shell o consola o termianl si estas con linux o en el simbolo del sistema si estas con windows

ping facebook.com

A traves de este comando puede determiar la direccion ip que devuelve el dns cuando te responde con la direccion ip. Pero aqui esta el problema si tu le das varias veces esta instruccion notaras que el dominio de facebook.com te responde de varios segmentos de red publicas diferentes, lo cual puedes solucionar con la herramienta whois funciona con linux con windows no la he probado asi que no me consta que funcione; si alguien le funciona bueno no voy a discutir.

whois 66.220.149.88 

El unico detalle que este comando te manda un monton de información con respecto a los datos del dominio etc. etc., pero lo importante esta debajo el segmento de direcciones ip que tiene la red social, pero un problema es que no siempre te envia todos los segmentos que facebook tiene como tal asignados por que si tu bloqueas esos segmentos con iptables te sigue accesando de forma normal a la red social, pegando el grito en el cielo y haciendote la pregunta del millon pues como es posible.

Si tu revisas con otra herramienta que tambien es muy buena si la trabajas sobre linux (por que en windows hace cosas raras), es whireshark, una herramienta que te ayuda a monitorear el trafico que pasa a traves de tu servidor y como tiene que pasar por ahi por que es puerta de enlace o gateway pues esta herramienta revisa el trafico de origen y hacia que destino va.

Si notamos con esa herramienta pasa algo curioso que las solicitudes de facebook que entran a tu servidor hacia la red marca otro segmento distinto al que tu revisaste con ping o con whois que curioso no; me imagino que algo así ha de haber pensado los creadores que sucederia y pues por hay tienen otro segmento que tu ni habias notado. Es algo curioso pero bueno.

Despues de estar buscando en internet varias opciones de bloqueo de redes sociales tambien note que algo todavia mas curioso es que tienes que bloquear tanto en trafico de origen como de destino por que si nada mas aplicas una regla para trafico entrante o saliente sigue haciendo lo mismo y te sigues dando topes de cabeza.

Ya terminando con el quebradero de cabeza que me tuve que hacer me di cuenta que efectivamente si se puede realizar el bloqueo simplemente entendiendo que tienes que poner que el paquete coincida con la dirección facebook.com y tanto como de entrada como de salida y no permitirle por ningun puerto que se comunique, en este caso bloquear los 65535 puertos (son muchos pero bueno a mi me funcionó).

Ya depues de haber realizado un choro enorme voy a poner la regla que permite realizar esta parte que es la mas divertida bloquear las redes sociales a los usuarios que tengas.

Si estas manejando segmentos de red debes de ponerlos en la parte donde diga $REDINTERNA dependiendo de los segmentos que quieras que se bloquee la red social o si dices que todos de una vez unicamente sumariza tus segmentos y con eso asunto solucionado

Vamos al grano la regla es la siguiente


iptables -A FORWARD -s $REDINTERNA -m string --string "facebook.com" --dport 65535 -j DROP
iptables -A FORWARD -d $REDINTERNA -m string --string "facebook.com" --dport 65535 -j DROP

Y con esto aleluya aleluya bloqueas la red social en definitiva (wiiii que bonito es).

Por ejemplo si tienes la red 192.168.0.0/24 la regla quedaria de la siguiente forma

iptables -A FORWARD -s 192.168.0.0/24 -m string --string "facebook.com" --dport 65535 -j DROP
iptables -A FORWARD -d 192.168.0.0/24 -m string --string "facebook.com" --dport 65535 -j DROP

En caso de que no te acepte el sufijo de red deberas de poner la mascara completa de tu segmento de red para que la acepte.

Bueno con esto los dejo ya despues comentaré acerca de otras cosas gracias y nos vemos despues.

Las redes sociales

Hola de nuevo ya estoy aqui, en el blog de jareto ya tenia buen tiempo que no andaba yo por aqui hasta apenas.

Bueno vamos a comenzar platicando de algo que esta revolucionando la comunicacion de las personas y de como los usuarios mortales (personas que nada mas conocen el correo de hotmail y las redes sociales jejeje)
son la causa de los problemas que menos se pueden imaginar aquellos que esten familirizados con lo que estoy habalndo ya mas o menos se daran una idea.

Para empezar los usuarios mortales lo unico que entienden es que el internet es unicamente el facebook (lo menciono por que es el mas popular y el correo de hotmail ). Pero ultimamente notaron que por ejemplo en algunos navegadores como iexplorer mas especifico no se por que razon si tu le das hotmail.com no carga el sitio y ahora le tienes que introducir la direccion de login.live.com lo cual no me molesta, lo que encabrona es que el usuario te llame diciendo no tengo internet debido a que la pagina no carga correctamente. Ahora bien ese es un problema que por ejemplo no se como lo han resuelto en otros lugares de tranajo prohibirles el messenger es una buena medida debido a que a veces nada mas quita tiempo y a veces determinados jefes no tienen autoridad para decirle a la persona que deje esa cosa.

Ademas de que en momentos me ha sucedido de que no se respetan las politicas que uno establece debido a que los demas se ponen rebeldes al momento de tu establecer las politicas que quieres realizar.

Otra cosa son las redes sociales bueno ese es un punto a tratar no se si sea muy delicado o en su caso conflictivo ya que actualmente las redes sociales son lo mas novedoso que existe en internet, asi como hace un tiempo los blogs como este o en su caso myspace que para el caso viene siendo facebook pero con aplicaciones mas avanzadas.

En el caso de las redes sociales es un conflicto debido a que segun los expertos te ayuda a tener interacción con las demas personas y te extiende el ramo del conocimiento y no se que tanto dicen ellos.

Pero no se si ellos que parte vieron de las redes sociales pero lo que si les puedo decir es que un vicio que peor que las drogas debido a que los mas jovenes, las redes sociales es el chismografo de internet, suben fotos, videos o estupideces que es lo mas comun que encuentras, pero por ejemplo lo mas curioso de todo es que si un joven o adolecente toma una maquina lo primero que abre es su facebook, ya que no se por que se volvio como antes era el correo (que hasta la fecha muchos lo hacen y me incluyo) que lo primero que hacen es abrir el correo electronico, pero lo mas curioso de todo esto es que, los adolescentes lo ven como un medio de entretenimiento mas que un medio de información masiva; ya que inclusive el las clases lo primero que hacen es encender la computadora y ver si facebook para saber quien comento en el muro o quien le dio me gusta en alguna foto, o si sus amigos ya lo etiquetaron en cualquier foto o si dieron la ubicacion de donde se sacaron la foto. 

La verdad no lo veo como ellos dicen no es que sea negativo pero la verdad hay veces que las redes sociales se utilizan con otro fin y no con el fin que ellos estan argumentando.

No quiero ofender a nadie pero es mi opinion de lo que esta sucediendo y no lo estoy inventando lo veo dia con dia con los alumnos que interactuo todos los dias ahhhhh se me olvidaba lo mas curioso de todo esto es que todavia me preguntan ¿Por que no puedo entrar al facebook? a mi la verdad me da risa cuando me hacen esa pregunta.


Bueno tararé de estar mas seguido por aqui escribiendo algo para todos ustedes no vemos y hasta la proxima.

miércoles, 23 de mayo de 2012

Blog de jareto



las redes humanas en internet.

Vamos a comenzar con un poco acerca de mi: estudie lic. en informática en el instituto tecnologico superior de ciudad serdán. Actualmente trabajo como docente es esta institucion impartiendo materias de el area de redes para los alumnos de licenciatura en ingenieria.

Tambien soy administrador de la red de la institucion y trabajo como administrador del sitio moodle de la institucion.

He trabajado en la instalacion de la red del instituto, ademas de que he participado en la habilitacion en internet de varios sitios de la institución y ajenos a ella tambien. Sobre sistemas operativos linux y windows. Cuento con la capacitacion cisco ccna semestre 4.



Durante el transcurso de este blog hablare un poco de la experiencia con las redes que he tenido cuando incie en este ambito; espero les guste.