Hágalo: Proteger su Windows 2000 Server con filtros TCP/IP
Protección de servidores Windows 2000 de piratas informáticos internos mediante filtros TCP/CP
Como administrador de red, su primera prioridad es proteger su servidor de piratas informáticos internos y externos. Probablemente tenga uno o más cortafuegos para proteger su red interna de piratas informáticos externos, pero ¿qué hace con los piratas informáticos internos? Ya conoce los que he descrito: usuarios curiosos o maliciosos que intentan ir a lugares o hacer cosas que no deberían.
Aunque puede llegar a los extremos para instalar un firewall interno, puede lidiar rápidamente con la mayoría de los alborotadores internos configurando el filtrado TCP/IP. En esta función diaria, te mostraré cómo se hace.
Cómo funciona el filtrado TCP/IP
El filtrado de paquetes TCP/IP de Windows 2000 le permite bloquear todo el tráfico de red entrante a menos que lo permita explícitamente. Permite el tráfico según el protocolo y el número de puerto, o simplemente por el número de protocolo.
Los protocolos más comunes son el Protocolo de control de transmisión (TCP) y el Protocolo de datagramas de usuario (UDP). TCP se utiliza cuando es necesario garantizar la entrega de paquetes. La desventaja de usar TCP es el tráfico de red adicional en forma de reconocimientos para garantizar que los paquetes lleguen a su destino. Trate los paquetes TCP como correo registrado. Cuando se le envía una carta certificada, debe firmar para confirmar que ha recibido la carta. Si el remitente del correo certificado no recibe su confirmación, se le enviará otra carta hasta que firme la carta o haya transcurrido el plazo predeterminado.
UDP es un protocolo más ligero y no garantiza la entrega de paquetes. Utiliza menos paquetes en la red porque no requiere reconocimiento por parte del receptor. Trate UDP como correo normal. Cuando se le envía un correo regular, permanece en su buzón. El remitente no sabe si la recibió o si la carta se perdió en el correo. Algunos servicios basados en TCP/IP, como DNS, utilizan tanto TCP como UDP.
Los números de puerto pueden variar de 0 a 65.535. Los números de puerto del 0 al 1024 se denominan números de puerto conocidos. Algunos de los servicios y puertos más comunes son:
- FTP-21
- Red remota – 23
- SMTP-25
- Sistema de nombres de dominio – 53
- HTTP-80
- KERBEROS v5 — 88
- Música popular – 110
- RPC—135
- Servicio de nombres NETBIOS – 137
- IMAP—143
- SNMP-161
- LDAP-389
- HTTPS: 443
- Ganar — 1512
Cada computadora con Windows 2000 tiene una lista de números de puerto conocidos registrados con la Autoridad de Números Asignados de Internet (IANA). Puede encontrar esta lista buscando el archivo SERVICIOS en %SYSTEMROOT%\SYSTEM32\DRIVERS\ETC. SERVICIOS enumera el nombre del servicio, el número de puerto, el protocolo y una breve descripción del servicio. Puede usar esta lista para determinar qué puertos y protocolos bloquear.
Habilitar filtrado TCP/IP
En Windows 2000, los filtros TCP/IP se aplican a todas las interfaces de red. Por ejemplo, no puede simplemente permitir el tráfico HTTP entrante en la interfaz de red externa de una computadora, sino permitir todo el tráfico en su interfaz de red interna. Antes de utilizar los filtros TCP/IP, debe saber qué tipos de tráfico de red desea permitir. Depende de las capacidades de la computadora.
Para habilitar el filtro TCP/IP, haga clic con el botón derecho en Mis sitios de red y haga clic en Propiedades. Haga clic con el botón derecho en Conexión de área local y haga clic en Propiedades. Cuando aparezca la pantalla Propiedades, haga doble clic en Protocolo de Internet (TCP/IP). Haga clic en el botón Avanzado y luego en Opciones. Haga doble clic en Filtrado TCP/IP.Luego verá una pantalla como la siguiente Figura A.
| Figura A |
 |
| Puede habilitar el filtrado TCP/IP mediante el cuadro de diálogo Filtrado TCP/IP. |
Marque la casilla de verificación Activar filtrado TCP/IP (todos los adaptadores). La configuración predeterminada para Windows 2000 es permitir todo el tráfico entrante. Agregue un filtro haciendo clic en el botón Agregar debajo del encabezado correspondiente: Puerto TCP, Puerto UDP o Protocolo IP. Introduzca la información del puerto en el cuadro de diálogo correspondiente que aparece. Cuando haya terminado, haga clic en Aceptar cuatro veces. Debe reiniciar su computadora para habilitar el filtro.
Por ejemplo, suponga que desea configurar un filtro TCP/IP para su servidor de correo electrónico para permitir el tráfico de correo electrónico pero bloquear HTTP y otros servicios TCP/IP. Configurará Windows 2000 para permitir los siguientes filtros:
- SMTP: puerto TCP 25
- DNS – Puerto TCP y UDP 53
- POP3: puerto TCP 110
- IMAP TCP—Puerto 143
Su pantalla de filtrado TCP/IP se verá como Figura B.
| Figura B |
 |
| Ejemplo de pantalla de filtrado TCP/IP para un servidor de correo electrónico. |
Prueba y resolución de problemas de filtros
Después de habilitar los filtros apropiados, pruebe para asegurarse de que puede acceder a su computadora. Por ejemplo, para un servidor de correo electrónico, pruebe el servidor configurando Outlook Express para enviar y recibir correo electrónico mediante POP, IMAP y SMTP. También pruebe para asegurarse de que no puede acceder a la computadora usando protocolos restringidos. Por ejemplo, si no permite la comunicación Telnet, intente usar Telnet para acceder a la computadora.
Si tiene problemas para acceder a su computadora, el filtro TCP/IP puede ser demasiado restrictivo. Intente deshabilitar todos los filtros e intente acceder a la computadora. Dependiendo de la aplicación que esté ejecutando en su computadora, necesitará puertos adicionales para que la aplicación funcione correctamente.
