Carrion: /* Instalación de webmin e shorewall en dserver2 */

2016-10-16T14:41:21Z

Instalación de webmin e shorewall en dserver2

Página nueva

[[Image:00_Servizos_Virtualizacion_Escenarios_Semana_02_f.jpg|500px]]

O que imos facer neste escenario é virtualizar o servidor ''dserver2'', que realiza as funcións de router. Isto vainos permitir aplicar nun caso práctico e entender mellor o funcionamento dos modos de conexión en VirtualBox, xa que este servidor fai unha función similar á que realiza o propio VirtualBox cando nunha máquina conectamos unha tarxeta de rede en modo NAT ou rede NAT.

Este escenario está extraído do seguinte esquema de rede, no que se virtualiza este mesmo servidor sobre Xen Server:

[[Image:2asir_1213_Proxecto_Final_Esquema.png|500px]]

== Renomear e agrupar as máquinas do escenario ==

Facendo uso da funcionalidade de VirtualBox de crear grupos de máquinas, imos agrupar todas as máquinas que van intervir neste escenario para facilitar o seu manexo.

<gallery caption="Renomear e agrupar as máquinas do escenario" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_01.jpg| Imos á configuración de ''dserver1''...
Image:Sv_2013_router_02.jpg| para cambiarlle o nome por ''dserver3''.
Image:Sv_2013_router_03.png| Tamén renomeamos a máquinas de Windows Server como ''wserver3'', para que tamén coincida o seu nome co do escenario.
Image:Sv_2013_router_04.jpg| Agora imos agrupar as máquinas que van intervir no escenario. Picamos co botón dereito sobre unha delas e seleccionamos a opción de '''Agrupar'''.
Image:Sv_2013_router_05.jpg| Renomeamos o grupo, para chamalo '''Escenario 2.F'''.
Image:Sv_2013_router_06.jpg| Arrastramos ao grupo todas as máquinas que imos utilizar.
Image:Sv_2013_router_07.jpg| Vista do grupo coas máquinas xa incluídas.
</gallery>

== Configurar as tarxetas de rede das máquinas ==

Como segundo paso, imos engadir nas máquinas os adaptadores necesarios e os modos de conexión de cada unha. Se revisamos o escenario, veremos que todos os adaptadores estarán en modo de rede interna excepto o adaptador 1 da máquina ''dserver2'' que estará en modo ponte.

Agora ben, non todos os adaptadores estarán na mesma rede interna. Dado que queremos simular dúas LANs distintas (a que leva por nome '''LAN''' e a que leva de nome '''DMZ'''), imos definir dúas redes internas diferentes, ás que lle poremos ese nome. Desa forma, os adaptadores que están conectados a unha rede interna teñen conexión entre si, pero non terán conexión cos que están conectados a outra rede interna.

<gallery caption="Configurar as tarxetas de rede das máquinas" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_08.png| Na máquina ''dserver2'', que é a que vai simular o router, habilitaremos tres tarxetas de rede. O adaptador 1 en modo ponte.
Image:Sv_2013_router_09.png| O adaptador 2 en modo de rede interna, conectada á rede ''lan''.
Image:Sv_2013_router_10.png| O adaptador 3 en modo de rede interna, conectada á rede ''dmz''.
Image:Sv_2013_router_10b.png| Vista das propiedades de rede da máquina ''dserver2'' cos tres adaptadores.
Image:Sv_2013_router_10c.png| Os dous servidores que virtualizaremos, ''dserver3'' e ''wserver3'' terán os dous un adaptador en modo de rede interna, conectados á rede ''dmz''.
Image:Sv_2013_router_10d.png| ''wserver3'' igual que ''dserver3''.
Image:Sv_2013_router_10e.png| Os dous clientes que imos virtualizar tamén terán un adaptador en modo de rede interna, pero neste caso conectados á rede ''lan''.
Image:Sv_2013_router_10f.png| ''uclient'' igual que ''wclient''.
</gallery>

== Instalación de webmin e shorewall en ''dserver2'' ==

Imos ver os pasos a seguir para configurar a máquina ''dserver2'' para que realice as funcións que se reflicten no escenario. O obxectivo deste curso non é afondar na configuración de servizos de rede en Debian, así que intentaremos propoñer unha configuración o máis sinxela posible. Utilizaremos a ferramenta de administración de sistemas GNU/Linux [http://www.webmin.com webmin], que nos permitirá configurar o servizo de ruteo e devasa da máquina sen ter que manipular directamente os ficheiros de configuración.

Por iso imos instalar en primeiro lugar esta ferramenta na máquina ''dserver2'', xunto co módulo '''[http://shorewall.net shorewall]''' que nos permitirá configurar as regras da devasa de forma máis accesible.

<gallery caption="Instalación de webmin e shorewall en ''dserver2''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_11.png| Arrancamos a máquina ''dserver2'' e iniciamos sesión co usuario ''root'' (contrasinal ''abc123.'')
Image:Sv_2013_router_12.png| Co comando '''ifconfig''' podemos ver a dirección IP que a máquina tomou automaticamente por DHCP na interface que ten conectada en modo ponte. Se non houbese un servidor DHCP na rede, habería que configurar a dirección IP de forma manual. Nun apartado posterior no que se explica a [[Escenario 2.F: Configuración dun router virtualizado con Debian#Configuración das interfaces de rede|configuración das interfaces de rede das distintas máquinas do escenario]] pódense ver os pasos da configuración das interfaces en ''dserver3'' para ver como facelo.
Image:Sv_2013_router_13.png| Dado que a máquina ''dserver2'' ten instalado o servidor ssh, agora que sabemos a súa dirección IP podemos conectarnos con un cliente ssh dende o ''host'' ou outro equipo da rede, xa que isto nos facilitará copiar e pegar os comandos que vaimos introducindo (se o ''host'' é un equipo Windows podemos utilizar o programa [http://www.putty.org putty] como cliente ssh).<br> Ollo que nas novas versións de ssh non deixa, por defecto, iniciar sesión co usuario root. Por tanto podemos iniciar sesión co usuario dadmin (abc123.) e unha vez no servidor pasarse a root con '''su -'''. Tamén se pode editar o ficheiro /etc/ssh/sshd-config tal como se indica en: https://debiantalk.wordpress.com/2015/04/27/debian-8-no-root-login-via-ssh/
Image:Sv_2013_router_13A.png| Asegurarse de que están comentadas as sources do CD-ROM ('''nano /etc/apt/sources.list'''). E actualizar a lista dos paquetes: '''apt-get update'''
Image:Sv_2013_router_14.jpg| Descargamos o paquete do webmin para debian, co comando ''wget http://prdownloads.sourceforge.net/webadmin/webmin_1.820_all.deb'' (Descargaremos e instalaremos a última versión, independentemente da versión que aparece na imaxe)
Image:Sv_2013_router_15.png| Instalamos unha serie de paquetes necesarios para poder instalar o webmin. Introducimos o comando: ''apt-get install libnet-ssleay-perl libauthen-pam-perl libio-pty-perl libapt-pkg-perl apt-show-versions''
Image:Sv_2013_router_16.png| Instalamos o webmin, introducindo o comando ''dpkg -i webmin_1.820_all.deb''
Image:Sv_2013_router_17.png| E por último, instalamos o shorewall, introducindo o comando ''apt-get install shorewall''
Image:Sv_2013_router_18.jpg| Xa podemos conectarnos ao webmin instalado en ''dserver2''. Webmin é un servizo de administración remota que ''corre'' no porto 10000 e ao que pode accederse con un navegador usando unha conexión segura (''https''). Así que no ''host'' ou en calquera equipo da rede abrimos un navegador e introducimos como dirección https://IP_dserver2:10000. Aparecerá o aviso do navegador debido a que o certificado de seguridade non é fiable, cousa totalmente normal. Engadimos unha excepción...
Image:Sv_2013_router_19.png| Confirmamos a excepción...
Image:Sv_2013_router_20.png| e xa podemos ver a páxina de inicio de sesión de Webmin, na que nos ''loguearemos'' co usuario ''root'' e contrasinal ''abc123.''
Image:Sv_2013_router_21.jpg| Xa estamos na páxina de inicio de Webmin, e o que podemos facer para deixar a ferramenta personalizada é cambiar o idioma, xa que por defecto ven en Inglés. Picamos dentro da categoría '''Webmin''' en '''Change Language and Theme'''.
Image:Sv_2013_router_22.jpg| En '''Webmin UI language''' activamos '''Personal choice''' e seleccionamos '''Spanish''' (desafortunadamente, non contamos con tradución ao galego).
Image:Sv_2013_router_23.jpg| Recargamos a páxina e xa temos dispoñible toda a interface en castelán.
</gallery>

== Configuración das interfaces de rede ==

Neste apartado imos abordar a configuración IP de todas as máquinas virtuais que forman o escenario. Cada unha delas será diferente xa que contamos con unha máquina Windows 7 (''wclient''), unha máquina Ubuntu (''uclient''), unha máquina Windows 2012 Server (''wserver3'') e dúas máquinas debian pero unha delas configurarémola co webmin (''dserver2'') e a outra manipulando directamente os ficheiros de configuración (''dserver3'').

<gallery caption="Configuración das interfaces de rede en ''dserver2''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_24.jpg| Neste caso imos facer a configuración IP deste equipo mediante o webmin. Dentro do apartado de '''Rede''', picamos en '''Configuración de Rede'''.
Image:Sv_2013_router_25.jpg| Entramos no apartado de '''Interfaces de Rede'''
Image:Sv_2013_router_26.jpg| É moi importante prestar atención a que esta páxina se divide en dúas pestanas: '''Interfaces Activas Agora''' e '''Interfaces Activadas en Tempo de Arranque''', e sempre teremos que facer os cambios nesta última (que é a que vemos por defecto), xa que senón os cambios non perdurarán cando se reinicie a máquina virtual. Veremos que só hai unha interfaz configurada, ''eth0'', por DHCP. Picamos sobre ela para poñerlle a dirección que lle corresponde no escenario. Fixarse antes en que na columna de '''Activar ao inicio''' pon que non, parámetro que teremos que cambiar para que a interfaz se active de forma automática.
Image:Sv_2013_router_27.jpg| No parámetro '''Activate at boot''' marcamos que '''Si''', e en '''IPv4 addess''' marcamos '''Static configuration'''. Introducimos a dirección IP e máscara que corresponde segundo o escenario (pero cada quen usará unha dirección IP que pertenza a rede que englobe ao ''host'') e salvamos.
Image:Sv_2013_router_28.jpg| Agora imos engadir outra interfaz de rede, xa que no equipo xa existen dúas interfaces máis (pódense ver co comando '''ifconfig -a''') que son ''eth1'' e ''eth2'', pero non están configurados. Picamos en '''Agregar unha nova interfaz'''.
Image:Sv_2013_router_29.jpg| Poñemos como nome da interfaz ''eth1'', marcamos que se active no inicio (''Activate at boot''->''Si''), e marcamos '''Static configuration''' en '''IPv4 address''' para introducir a dirección IP e máscara que se indican no escenario (fixarse que estamos usando unha dirección IP de clase B con máscara de clase C xa que estamos definindo subredes). Picamos en '''Crear e Aplicar'''.
Image:Sv_2013_router_30.jpg| E o mesmo imos facer con ''eth2''. Picamos en '''Agregar unha interfaz'''.
Image:Sv_2013_router_31.jpg| Introducimos os datos da interfaz segundo o escenario (de novo estamos facendo subredes na rede de clase C). Picamos en '''Crear y Aplicar'''.
Image:Sv_2013_router_32.jpg| Seleccionamos a interfaz ''eth0'', que é o único cambio que aínda non está aplicado, e picamos no botón de '''Apply Selected Interfaces'''. Neste momento o webmin deixará de responder, xa que acabamos de cambiar a dirección IP da interfaz pola que nós nos estabamos conectado co navegador (era 10.0.0.11 e pasa a ser 10.1.69.1). Así que teremos que cambiar a dirección do navegador para poñer https://10.1.69.1:10000
Image:Sv_2013_router_33.jpg| E xa debemos ter acceso ao webmin.
</gallery>

<gallery caption="Configuración das interfaces de rede en ''dserver3''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_33b.png| Neste caso, na máquina non temos o webmin instalado, así que imos facer a configuración IP da súa interfaz directamente nos ficheiros de configuración. O ficheiro de configuración básico das interfaces de rede en Debian é '''/etc/network/interfaces''', así que imos editar este ficheiro co editor ''nano''.
Image:Sv_2013_router_33c.png| Contido inicial do ficheiro, onde podemos ver que a interfaz ''eth0'' está configurada por DHCP.
Image:Sv_2013_router_33d.png| Na imaxe vese o contido que imos deixar no ficheiro, engadindo a interfaz na liña '''auto...''' para que se active automticamente e establecendo unha configuración IP estática, cos datos de dirección e máscara indicados no escenario. A porta de enlace predeterminada (''gateway'') para este equipo será a dirección IP da interfaz ''eth2'' de ''dserver2''. É moi importante revisar ben a sintaxe de todo o que se introduciu no ficheiro para que a configuración se aplique correctamente.
Image:Sv_2013_router_33db.png| Só nos falta indicar os servidores de DNS, que se introducen no ficheiro '''/etc/resolv.conf'''. Editamos este ficheiro....
Image:Sv_2013_router_33dc.png| E introducimos os servidores de DNS, que serán os que teña configurado o equipo ''host''. Cada quen debe introducir os do seu equipo.
Image:Sv_2013_router_33e.png| Detemos e iniciamos o servizo de rede cos comandos '''/etc/init.d/networking stop''' e '''/etc/init.d/networking start'''. Convén comprobar co comando '''ifconfig''' que a configuración se aplicou correctamente.
Image:Sv_2013_router_33f.png| Tamén imos comprobar que temos conectividade co equipo ''dserver2''. É normal que non teñamos conexión co ''host'' nin a Internet, xa que ''dserver2'' non está facendo as funcións de ruteo e NAT.
</gallery>

<gallery caption="Configuración das interfaces de rede en ''wserver3''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_33g.png| Neste caso a configuración é similar a que temos feito en apartados anteriores sobre ''wclient''. Na lista de adaptadores de rede, picamos sobre o único que ten o equipo e seleccionamos a opción de '''Propiedades'''.
Image:Sv_2013_router_36.png| Facemos dobre clic sobre o '''Procolo de Internet (TCP/IP) versión 4''' e introducimos na ventá os datos de dirección IP e máscara que se indican no escenario. A porta de enlace predeterminada será de novo a dirección IP da interfaz ''eth2'' de ''dserver2'', e os servidores DNS os mesmos que o ''host''.
Image:Sv_2013_router_37.png| Abrimos unha ventá de '''Símbolo do sistema''' para facer un ''ping'' e comprobar a conectividade con ''dserver2'' e ''dserver3''
Image:Sv_2013_router_38.png| Perfecto!!
</gallery>

<gallery caption="Configuración das interfaces de rede en ''wclient''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_39.jpg| Neste caso, para comprender mellor o funcionamento da rede interna en VirtualBox, imos poñerlle á interfaz antes unha dirección IP dentro da mesma LAN que ''dserver2'' e ''wserver3'' ¿Teremos conectividade entre elas???
Image:Sv_2013_router_40.png| A resposta é que non, porque aínda que todas as interfaces destas máquinas están en modo de rede interna, están conectadas a redes internas diferentes (a de esta máquina á rede ''lan'' e as das outras dúas á rede ''dmz''), así que están conectados e ''switchs ficticios'' distintos e que non teñen conexión física entre si, como se refricte no escenario.
Image:Sv_2013_router_41.jpg| Agora si poñemos os datos que se corresponden co escenario,
Image:Sv_2013_router_42.png| e temos conexión coa interfaz ''eth1'' de ''dserver2'', xa que esa interfaz si que está en modo de rede interna e conectada á rede ''lan''.
</gallery>

<gallery caption="Configuración das interfaces de rede en ''uclient''" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_43.jpg| E por últimoa introducimos a configuración IP para este equipo segundo os datos do escenario. Gardamos os cambios,
Image:Sv_2013_router_44.png| e podemos comprobar que temos conectividade co equipo ''wclient'' e ''dserver2''. Perfecto!!
Image:Sv_2013_router_45.png| Pero non temos conectividade cos equipos que están na rede ''dmz'', xa que ''dserver2'' non ten activado o servizo de ruteo e polo tanto non reenvía os paquetes que esta máquina lle está mandando ao seu destino. Imos ver como podemos solucionalo...
</gallery>

== Activación servizo de ruteo ==

Utilizando o webmin, imos activar o servizo de enrutamento na máquina ''dserver2'' para poder ter conexión entre as máquinas que están nas dúas redes (''lan'' e ''dmz''):

<gallery caption="Activar o servizo de ruteo na MV Debian" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_46.jpg| Dentro da ferramenta de '''Configuración de Rede''', picamos na opción de '''Ruteo e gateways'''.
Image:Sv_2013_router_47.jpg| Establecemos como porta de enlace predeterminada (''Router por defecto'') para este equipo a mesma que estea usando o equipo ''host'' para conectarse a Internet. Neste caso, 10.0.0.1. Na opción de '''¿Actuar como router?''' indicamos que si.
Image:Sv_2013_router_48.jpg| Picamos no botón de '''Aplicar configuración''', pero neste caso (bug do webmin) con isto non conseguimos realmente activar xa o servizo de routeo na máquina. Se reiniciásemos a máquina virtual xa se activaría, pero imos ver como podemos activar o cambio sen ter que reiniciar.
Image:Sv_2013_router_49.jpg| No propio webmin, imos á ferramenta de '''Comandos de consola''' (dentro do apartado de '''Otros''') e introducimos o comando: '''sysctl -p'''. Picamos no botón de '''Executar comando''' para executar este comando no sistema.
Image:Sv_2013_router_50.png| Vemos o resultado do comando, que xa activa o enrutamento.
Image:Sv_2013_router_51.png| Agora podemos comprobar que dende ''uclient'' podemos acceder a ''dserver3''. Ben!!
Image:Sv_2013_router_52.png| Pero... ¿podemos acceder a un equipo da rede real (o router de saída a Internet, por exemplo)?... Non... ¿Por que? Porque ''dserver2'' non está facendo a función de NAT, e polo tanto un equipo como ''uclient'' que ten unha dirección IP privada non pode acceder a unha rede pública (aínda que a rede 10 sexa unha rede privada, neste caso para os equipos que están nas redes ''lan'' e ''dmz'', é como se fose pública. Revisar a teoría sobre [[Conceptos_básicos_de_redes:_OSI,_TCP/IP,_MAC,_Enderezo_IP,_switch,_router,_porto,_NAT,_...#NAT.2C_Network_Address_Traslation|NAT]]). O mesmo pasará co resto das máquinas que están nas redes ''lan'' e ''dmz''.
Image:Sv_2013_router_53.png| E aínda temos outro problema... Dende o equipo ''dserver3'' podemos acceder ao equipo ''uclient'' ¿Debe ser así? Seguindo as regras da devasa, suponse que non se deberían permitir conexións que intenten entrar na rede interna, xa que é a rede que queremos protexer do exterior. A única rede accesible dende o exterior debería ser en todo caso a [http://es.wikipedia.org/wiki/Zona_desmilitarizada_%28inform%C3%A1tica%29 zona desmilitarizada] ou dmz, que é na que se atopan equipos que prestan servizos accesibles dende Internet (chamados comunmente [http://es.wikipedia.org/wiki/Bastion_host bastións]). Imos agora a resolver todo isto...
</gallery>

== Configuración da devasa e activación de NAT ==

Para resolver as dúas problemáticas que acabamos de detectar no apartado anterior, imos configurar a devasa no equipo ''dserver2'' e activar a función de NAT. Utilizaremos para iso o módulo de ''shorewall'' de webmin, que nos facilitará a configuración de [http://es.wikipedia.org/wiki/Netfilter/iptables iptables], que é o módulo de Linux que xestiona as regras da devasa.

<gallery caption="" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_54.png| De momento o módulo de ''Shorewall'' non aparece en ningunha das categorías do webmin, xa que foi instalado despois. Picamos na opción de '''Refresh Modules''' para que webmin busque se ten novos módulos instalados e os engada na categoría correspondente.
Image:Sv_2013_router_55.jpg| Atoparemos agora dentro da categoría de ''Rede'' o módulo de '''Cortafuegos Shoreline'''. Entramos nel. De momento o módulo está parado (fixarse en que temos o botón de ''Iniciar el Cortafuegos''), pero se intentamos inicialo veremos que nos da un erro, debido a que é necesario establecer unha configuración básica para podelo facer.
Image:Sv_2013_router_56.jpg| En primeiro lugar, teremos que definir as zonas de rede que vai xestionar a devasa, que non son máis que nomes lóxicos para as distintas redes ás que se conecta. Picamos en '''Zonas de rede'''.
Image:Sv_2013_router_57.jpg| Vemos que non hai ningunha zona definida. Picamos en '''Agregar unha nova zona de rede'''.
Image:Sv_2013_router_58.jpg| Poñemos un ID da zona (''lan''), seleccionamos como tipo ''IPv4'' e picamos no botón de '''Crear'''. Esta zona representa a conexión coa rede ''lan'' do escenario.
Image:Sv_2013_router_59.png| Así teremos que definir as zonas ''wan'' (que representa a rede pública) e ''dmz'' (que representa a rede ''dmz'' do escenario). Tamén teremos que definir unha zona de tipo ''Firewall system'', que representa ao propio equipo. Neste caso chamámoslle ds2. Recoméndase seguir estes nomes xa que teñen que ser nomes curtos e hai moitos caracteres inválidos.
Image:Sv_2013_router_60.jpg| Agora temos que asociar as interfaces de rede do equipo ás zonas. Picamos en '''Interfaces de rede'''.
Image:Sv_2013_router_61.jpg| Non hai ningunha interface. Agregamos...
Image:Sv_2013_router_62.jpg| Introducimos o nome dunha interface de rede do equipo, neste caso ''eth0''. Esta interface é a que se conecta á rede pública, así que seleccionamos como zona asociada '''wan'''. Deixamos o resto das opcións por defecto e picamos en '''Crear'''.
Image:Sv_2013_router_63.png| Ao final temos que ter asociadas as tres interfaces ''eth0'', ''eth1'' e ''eth2'' ás zonas ''wan'', ''lan'' e ''dmz'' respectivamente.
Image:Sv_2013_router_64.jpg| O terceiro paso é definir a política por defecto da devasa; é dicir, como se vai comportar a nivel xeral. Aquí haberá que ter en conta dúas cuestións: primeiro que todo posible tráfico que poida manexar o equipo (da rede ''lan'' á rede ''wan'', da rede ''wan'' á rede ''dmz'', etc.) debe estar incluído nalgunha política, xa que se non a devasa non sabería que facer con el. E segundo que as políticas son as pautas básicas que rexen o comportamento da devasa, que logo afinaremos máis concretamente coas regras. As regras teñen prioridade sobre as políticas, así que a devasa mirará primeiro se ao paquete se lle pode aplicar unha regra, e se non é así, aplicaralle unha das políticas por defecto que teña definidas.
Image:Sv_2013_router_65.jpg| Non hai políticas definidas. Agregamos unha.
Image:Sv_2013_router_66.jpg| As políticas simplemente teñen unha zona orixe, unha zona de destino e unha acción a tomar. Por exemplo, neste caso estamos dicíndolle á devasa que todo o que vaia de calquera sitio á zona ''wan'' (recórdese que a devasa ten asociada a zona ''wan'' á interface ''eth0'') o acepte.
Image:Sv_2013_router_67.png| A configuración da devasa é unha decisión moi delicada e dependerá moito do nivel de seguridade e restricións que queiramos aplicar na nosa rede, pero unha opción para este caso podería ser deixar estas dúas políticas. Acéptase todo o que vaia á ''wan'', e o resto rexéitase. Nótese que a orde na que se definen as políticas son moi importantes (por iso hai botóns para subilas e baixalas), xa que se aplican se arriba a abaixo. Por exemplo, se neste caso situásemos a segunda regra como primeira, executaríase sempre, xa que encaixa con calquera tráfico.
Image:Sv_2013_router_69.jpg| Por último, imos introducir algunhas regras para afinar o comportamento da devasa antes de iniciala (Ollo!! Non se debe iniciar a devasa neste momento xa que deixaremos de ter acceso ao webmin dende o host... Pénsese por que).
Image:Sv_2013_router_70.jpg| Agregamos unha nova regra.
Image:Sv_2013_router_71.jpg| Como podemos ver, as regras ofrecen criterios moito máis específicos para poder indicar á devasa que tipo de tráfico se debe aceptar e cal non (protocolo, IP de orixe e destino, porto de orixe e destino, etc.). Con este regra indicámoslle que acepte o tráfico que vaia ao propio equipo con protocolo TCP ao porto 10000 (que é o porto no que ''corre'' o webmin).
Image:Sv_2013_router_72.png| Podemos deixar estas regras: Permitimos o acceso ao webmin, os ''pings'' dende a ''lan'' á ''dmz'' e acceder dende a ''lan'' ao porto 22 da máquina ''dserver3''. En función dos servizos que quixésemos ter accesibles nos servizos da ''DMZ'' dende a ''lan'' ou dende Internet iríamos engadindo máis regras. A orde nas regras tamén é moi importante, aínda que neste caso non se solapan unhas coas outras.
Image:Sv_2013_router_73.jpg| Por fin!! Xa podemos iniciar a devasa (Agora se se cometeu algún erro na configuración a devasa non arrancará, neste caso revísese as zonas, interfaces, políticas e regras definidas).
Image:Sv_2013_router_74.jpg| As opcións que aparecen agora de manexo da devasa indican que está iniciado.
Image:Sv_2013_router_75.png| Imos comprobar o resultado. Dende ''uclient'' podemos facer un ping e conectarnos por ssh a ''dserver3''.
Image:Sv_2013_router_76.png| Pero dende ''dserver3'' non podemos acceder a ''uclient''... Perfecto!! A ''lan'' está protexida pola devasa.
Image:Sv_2013_router_77.png| Aínda temos un problema por solucionar, xa que ''uclient'' non pode conectarse á rede pública; falta activar NAT no router ''dserver2''.
Image:Sv_2013_router_78.jpg| Farémolo no mesmo shorewall, no apartado de '''Enmascaramento'''.
Image:Sv_2013_router_79.jpg| Agregamos unha nova regra de enmascaramento (xa que o imos facer é ''enmascarar'' unha rede privada sobre unha interface pública que ten o router).
Image:Sv_2013_router_80.jpg| Como interface de saída seleccionamos ''eth0'', que é a interface pública do router. Como rede a enmascarar, seleccionamos a subrede na interface ''eth1'', que é a rede ''lan''. O resto das opcións deixámolas como están.
Image:Sv_2013_router_81.png| Engadimos outra regra igual pero para enmascarar a subrede na interface ''eth2'', que é a rede ''dmz'' (esta rede tamén é privada e se non non terá acceso á rede pública).
Image:Sv_2013_router_82.jpg| Aplicamos a configuración, e....
Image:Sv_2013_router_83.png| Agora si!! Xa temos os dous problemas resoltos.
</gallery>

* Pero.... ¿todo isto non se sae un chisco do obxecto do curso? Ademais de xogar de forma máis profunda cos modos das interfaces de rede en VirtulBox, o router que acabamos de simular é precisamente o que VirtualBox implementa cando configuramos unha interfaz de rede dunha máquina virtual por NAT ou rede NAT. Nese caso, é VirtualBox o que fai de router, con NAT, pero ademais tamén implementa o servidor DHCP e DNS (nós ímonos quedar aquí). Con isto preténdese así que quede máis claro todo este proceso, e entender a virtualización da rede que implementa VirtualBox.

== Reenvío de portos ==

Para rematar, imos facer co noso router virtualizado a mesma función que VirtualBox permite coas tarxetas en modo NAT e rede NAT co reenvío de portos. Recórdese que isto permite acceder a un porto da máquina virtual mediante o reenvío dun porto da máquina ''host''.

O equivalente neste caso sería redirixir un porto libre de ''dserver2'' a un servizo por exemplo duha máquina da ''DMZ''. Imos coller o servizo de ssh de ''dserver3'':

<gallery caption="Reenvío de portos coa MV Debian" widths="350" heights="300px" perrow="2">
Image:Sv_2013_router_84.jpg| Primeiro teremos que modificar a regra que só permitía acceder a este servizo dende a zona ''lan'', para poñer como zona orixe ''calquera''.
Image:Sv_2013_router_85.jpg| Creamos unha regra de tipo ''DNAT'' (Destination NAT), que redirixe o tráfico que veña da zona ''wan'' e vaia á zona ''dmz'', concretamente ao porto 22 do equipo 192.168.69.2, co protocolo TCP os paquetes que reciba para o porto 22222 (este será o porto de ''dserver2'' que será redirixido ao servidor ssh de ''dserver3'').
Image:Sv_2013_router_86.jpg| Vista de como quedan as dúas regras. Aplicamos os cambios no shorewall.
Image:Sv_2013_router_87.png| E xa podemos acceder dende un equipo da rede pública (por exemplo dende o ''host'') por ssh ao porto 22222 da máquina ''dserver2'' usando a súa dirección IP pública. Unha vez dentro executamos o comando '''ifconfig''' para saber en que máquina estamos realmente; a dirección IP indica que estamos en ''dserver3''.
</gallery>

-- [[Usuario:Antonio|Antonio de Andrés Lema]] e [[Usuario:Carrion|Carlos Carrión Álvarez]] --

Escenario 2.F: Configuración dun router virtualizado con Debian - Historial de revisiones

Carrion: /* Instalación de webmin e shorewall en dserver2 */