Conceptos y ejemplos Manual de Referencia de ScreenOS Volumen 10: Sistemas virtuales Versión 5.3.0, Rev. B Juniper Networks, Inc. 1194 North Mathilda Avenue Sunnyvale, CA 94089 USA 408-745-2000 www.juniper.net Número de pieza: 093-1668-000-SP, Revisión B Copyright Notice Copyright © 2005 Juniper Networks, Inc. All rights reserved. Juniper Networks and the Juniper Networks logo are registered trademarks of Juniper Networks, Inc. in the United States and other countries. All other trademarks, service marks, registered trademarks, or registered service marks in this document are the property of Juniper Networks or their respective owners. All specifications are subject to change without notice. Juniper Networks assumes no responsibility for any inaccuracies in this document or for any obligation to update information in this document. Juniper Networks reserves the right to change, modify, transfer, or otherwise revise this publication without notice. FCC Statement The following information is for FCC compliance of Class A devices: This equipment has been tested and found to comply with the limits for a Class A digital device, pursuant to part 15 of the FCC rules. These limits are designed to provide reasonable protection against harmful interference when the equipment is operated in a commercial environment. The equipment generates, uses, and can radiate radio-frequency energy and, if not installed and used in accordance with the instruction manual, may cause harmful interference to radio communications. Operation of this equipment in a residential area is likely to cause harmful interference, in which case users will be required to correct the interference at their own expense. The following information is for FCC compliance of Class B devices: The equipment described in this manual generates and may radiate radio-frequency energy. If it is not installed in accordance with Juniper Network’s installation instructions, it may cause interference with radio and television reception. This equipment has been tested and found to comply with the limits for a Class B digital device in accordance with the specifications in part 15 of the FCC rules. These specifications are designed to provide reasonable protection against such interference in a residential installation. However, there is no guarantee that interference will not occur in a particular installation. If this equipment does cause harmful interference to radio or television reception, which can be determined by turning the equipment off and on, the user is encouraged to try to correct the interference by one or more of the following measures: Reorient or relocate the receiving antenna. Increase the separation between the equipment and receiver. Consult the dealer or an experienced radio/TV technician for help. Connect the equipment to an outlet on a circuit different from that to which the receiver is connected. Caution: Changes or modifications to this product could void the user's warranty and authority to operate this device. Disclaimer THE SOFTWARE LICENSE AND LIMITED WARRANTY FOR THE ACCOMPANYING PRODUCT ARE SET FORTH IN THE INFORMATION PACKET THAT SHIPPED WITH THE PRODUCT AND ARE INCORPORATED HEREIN BY THIS REFERENCE. IF YOU ARE UNABLE TO LOCATE THE SOFTWARE LICENSE OR LIMITED WARRANTY, CONTACT YOUR JUNIPER NETWORKS REPRESENTATIVE FOR A COPY. Writer: Kristine Conley Editor: Lisa Eldridge ii Contenido Acerca de este volumen v Convenciones del documento .......................................................................... v Convenciones de la interfaz de línea de comandos (CLI) .......................... vi Convenciones para las ilustraciones ........................................................ vii Convenciones de nomenclatura y conjuntos de caracteres ..................... viii Convenciones de la interfaz gráfica (WebUI) ............................................ ix Documentación de Juniper Networks ............................................................... x Capítulo 1 Sistemas virtuales 1 Vista general .................................................................................................... 1 Objetos Vsys .................................................................................................... 3 Crear un objeto Vsys y administrador........................................................ 3 Establecer un enrutador virtual predeterminado para Vsys ....................... 5 Enlazar las zonas a un enrutador virtual compartido ................................. 5 Iniciar sesión como administrador Vsys........................................................... 6 Capítulo 2 Clasificar el tráfico 9 Vista general .................................................................................................... 9 Clasificar el tráfico ..................................................................................... 9 Clasificar el tráfico de tránsito .................................................................10 Interfaces compartidas y dedicadas......................................................... 14 Interfaces dedicadas ......................................................................... 14 Interfaces compartidas...................................................................... 15 Importar y exportar interfaces físicas............................................................. 17 Importar una interfaz física a un sistema virtual...................................... 17 Exportar una interfaz física de un sistema virtual .................................... 18 Capítulo 3 Clasificar el tráfico según VLAN 19 Vista general .................................................................................................. 19 VLAN ....................................................................................................... 20 VLANs con Vsys....................................................................................... 20 Definir subinterfaces y etiquetas VLAN .......................................................... 22 Comunicación entre sistemas virtuales .......................................................... 25 Capítulo 4 Clasificar el tráfico según IP 29 Vista general .................................................................................................. 29 Designar un rango IP al sistema raíz .............................................................. 30 Configurar la clasificación del tráfico según IP ............................................... 31 Índice ........................................................................................................................IX-I Contenido iii Conceptos y ejemplos, Manual de Referencia de ScreenOS iv Contenido Acerca de este volumen El Volumen 10: Sistemas virtuales describe los sistemas virtuales, las interfaces dedicadas y compartidas y la clasificación de tráfico según la VLAN y la IP. Este volumen contiene los siguientes capítulos: El Capítulo 1, “Sistemas virtuales,” abarca los sistemas virtuales, objetos y tareas administrativas. El Capítulo 2, “Clasificar el tráfico,” explica cómo ScreenOS ordena el tráfico. El Capítulo 3, “Clasificar el tráfico según VLAN,” explica la clasificación de tráfico basado en VLAN para sistemas virtuales. El Capítulo 4, “Clasificar el tráfico según IP,” explica la clasificación de tráfico basado en IP para sistemas virtuales. Convenciones del documento Este documento utiliza distintos tipos de convenciones, que se explican en las siguientes secciones: “Convenciones de la interfaz de línea de comandos (CLI)” en la página vi “Convenciones para las ilustraciones” en la página vii “Convenciones de nomenclatura y conjuntos de caracteres” en la página viii “Convenciones de la interfaz gráfica (WebUI)” en la página ix Convenciones del documento v Conceptos y ejemplos, Manual de Referencia de ScreenOS Convenciones de la interfaz de línea de comandos (CLI) Las siguientes convenciones se utilizan para presentar la sintaxis de los comandos de CLI en ejemplos y en texto. En ejemplos: Los elementos entre corchetes [ ] son opcionales. Los elementos entre llaves { } son obligatorios. Si existen dos o más opciones alternativas, aparecerán separadas entre sí por barras verticales ( | ). Por ejemplo: set interface { ethernet1 | ethernet2 | ethernet3 } manage significa “establecer las opciones de administración de la interfaz ethernet1, ethernet2 o ethernet3”. Las variables aparecen en tipo cursiva. set admin user nombre1 password xyz En texto: NOTA: vi Convenciones del documento Los comandos aparecen en tipo negrita. Las variables aparecen en tipo cursiva. Para escribir palabras clave, basta con escribir los primeros caracteres que permitan al sistema reconocer de forma inequívoca la palabra que se está introduciendo. Por ejemplo, es suficiente escribir set adm u kath j12fmt54 para que el sistema reconozca el comando set admin user kathleen j12fmt54. Aunque este método se puede utilizar para introducir comandos, en la presente documentación todos ellos se representan con sus palabras completas. Acerca de este volumen Convenciones para las ilustraciones Las siguientes figuras conforman el conjunto básico de imágenes utilizado en las ilustraciones de este manual. Figura 1: Imágenes en las ilustraciones del manual Sistema autónomo Red de área local (LAN) con una única subred (ejemplo: 10.1.1.0/24) Dispositivo de seguridad general Internet Dominio de enrutamiento virtual Rango de direcciones IP dinámicas (DIP) Zona de seguridad Interfaz de la zona de seguridad Equipo de escritorio Equipo portátil Blanca = Interfaz de zona protegida (ejemplo = zona Trust) Negra = Interfaz de zona externa (ejemplo = zona Untrust) Interfaz de túnel Dispositivo de red genérico (ejemplos: servidor NAT, concentrador de acceso) Servidor Túnel VPN Concentrador (hub) Enrutador Teléfono IP Conmutador Convenciones del documento vii Conceptos y ejemplos, Manual de Referencia de ScreenOS Convenciones de nomenclatura y conjuntos de caracteres ScreenOS emplea las siguientes convenciones relativas a los nombres de objetos (como direcciones, usuarios administradores, servidores de autenticación, puertas de enlace IKE, sistemas virtuales, túneles de VPN y zonas) definidos en las configuraciones de ScreenOS: Si una cadena de nombre tiene uno o más espacios, la cadena completa deberá estar entre comillas dobles ( “ ); por ejemplo: set address trust “local LAN” 10.1.1.0/24 Cualquier espacio al comienzo o al final de una cadena entrecomillada se elimina; por ejemplo, “ local LAN ” se transformará en “local LAN”. Los espacios consecutivos múltiples se tratan como uno solo. En las cadenas de nombres se distingue entre mayúsculas y minúsculas; por el contrario, en muchas palabras clave de CLI pueden utilizarse indistintamente. Por ejemplo, “local LAN” es distinto de “local lan”. ScreenOS admite los siguientes conjuntos de caracteres: NOTA: viii Convenciones del documento Conjuntos de caracteres de un byte (SBCS) y conjuntos de caracteres de múltiples bytes (MBCS). Algunos ejemplos de SBCS son los juegos de caracteres ASCII, europeo y hebreo. Entre los conjuntos MBCS, también conocidos como conjuntos de caracteres de doble byte (DBCS), se encuentran el chino, el coreano y el japonés. Caracteres ASCII desde el 32 (0x20 en notación hexadecimal) al 255 (0xff); a excepción de las comillas dobles ( “ ), que tienen un significado especial como delimitadores de cadenas de nombres que contengan espacios. Una conexión de consola sólo admite conjuntos SBCS. La WebUI admite tanto SBCS como MBCS, según el conjunto de caracteres que admita el explorador. Acerca de este volumen Convenciones de la interfaz gráfica (WebUI) Una comilla angular ( > ) muestra la secuencia de navegación a través de WebUI, a la que puede llegar mediante un clic en las opciones de menú y vínculos. La siguiente figura muestra la siguiente ruta para abrir el cuadro de diálogo de configuración de direcciones—Objects > Addresses > List > New: Figura 2: Navegación de WebUI Para llevar a cabo una tarea en la WebUI, en primer lugar debe acceder al cuadro de diálogo apropiado, donde podrá definir objetos y establecer parámetros de ajuste. El conjunto de instrucciones de cada tarea se divide en ruta de navegación y ajustes de configuración: La siguiente figura muestra la ruta al cuadro de diálogo de configuración de direcciones con los siguientes ajustes de configuración de muestra: Objects > Addresses > List > New: Introduzca los siguientes datos y haga clic en OK: Address Name: addr_1 IP Address/Domain Name: IP/Netmask: (seleccione), 10.2.2.5/32 Zone: Untrust Figura 3: Ruta de navegación y ajustes de configuración Convenciones del documento ix Conceptos y ejemplos, Manual de Referencia de ScreenOS Documentación de Juniper Networks Para obtener documentación técnica sobre cualquier producto de Juniper Networks, visite www.juniper.net/techpubs/. Para obtener soporte técnico, abra un expediente de soporte utilizando el vínculo “Case Manager” en la página web http://www.juniper.net/support/ o llame al teléfono 1-888-314-JTAC (si llama desde los EE.UU.) o al +1-408-745-9500 (si llama desde fuera de los EE.UU.). Si encuentra algún error u omisión en este documento, póngase en contacto con nosotros a través de la siguiente dirección de correo electrónico: techpubs-comments@juniper.net x Documentación de Juniper Networks Capítulo 1 Sistemas virtuales Este capítulo abarca los sistemas virtuales, objetos y tareas administrativas. Contiene los siguientes temas: “Vista general” en esta página “Objetos Vsys” en la página 3 “Crear un objeto Vsys y administrador” en la página 3 “Establecer un enrutador virtual predeterminado para Vsys” en la página 5 “Enlazar las zonas a un enrutador virtual compartido” en la página 5 “Iniciar sesión como administrador Vsys” en la página 6 Vista general Se puede dividir lógicamente un sistema de seguridad de Juniper Networks único en varios sistemas virtuales para proporcionar servicios a múltiples usuarios independientes (multi-tenant). Cada sistema virtual (vsys) es un dominio de seguridad único y puede ser administrado por sus propios administradores (denominados “administradores de sistema virtual o administradores vsys) quienes pueden personalizar su dominio de seguridad estableciendo sus propios libros de direcciones, listas de usuarios, servicios personalizados, VPN y directivas. Sin embargo, únicamente un administrador de nivel raíz puede establecer opciones de seguridad de cortafuegos, crear administradores de sistema virtual y definir interfaces y subinterfaces. NOTA: Para ver qué plataformas tienen esta funcionalidad hay que remitirse a la documentación de marketing de Juniper Networks. Para obtener más información sobre los diversos niveles de administración que admite ScreenOS, consulte “Niveles de administración” en la página 3-31. Los sistemas virtuales de Juniper Networks admiten dos tipos de clasificaciones del tráfico: según la VLAN y según la IP; ambas pueden funcionar concurrentemente o en modo exclusivo. Vista general 1 Conceptos y ejemplos, Manual de Referencia de ScreenOS Un vsys admite los siguientes tres tipos de interfaces para sus zonas Untrust y Trust: Tipos de interfaces de la zona Untrust Tipos de interfaces de la zona Trust Interfaz física especializada Interfaz física especializada Subinterfaz (con el etiquetado VLAN como un medio para entroncar1 tráfico entrante y saliente) Subinterfaz (con etiquetado VLAN) Interfaz compartida (física, subinterfaz, interfaz redundante, interfaz agregada) con el sistema raíz Interfaz física compartida con el sistema raíz (y clasificación2 del tráfico según IP) 1.Para obtener información sobre los conceptos de etiquetado VLAN y entroncamiento, consulte “Clasificar el tráfico según VLAN” en la página 19. 2.Para obtener más información sobre la clasificación del tráfico según la IP, consulte “Clasificar el tráfico según IP” en la página 29. Se puede vincular uno, dos o los tres tipos de interfaces antes mencionados a una zona de seguridad concurrentemente. Se pueden también vincular varias interfaces de cada tipo a una zona. Figura 4: Enlaces de zona e interfaz con Vsys trust-vr untrust-vr (enrutador virtual a nivel de raíz compartido) Finance DMZ Trust Mail interfaz compartida por raíz y vsys1 sistema raíz Untrust Eng vsys1-vr Trust-vsys1 vsys1 subinterfaz dedicada a vsys2 vsys2 vsys3 Interfaz física dedicada para vsys3 vsys2-vr Trust-vsys2 vsys3-vr Trust-vsys3 2 Vista general Capítulo 1: Sistemas virtuales Objetos Vsys El administrador raíz o administrador de lectura/escritura de nivel raíz debe realizar las siguientes tareas para crear un objeto vsys: NOTA: Definir un sistema virtual Definir uno o más administradores vsys (opcional) Un administrador de nivel raíz puede definir un administrador vsys con privilegios de lectura/escritura y un administrador vsys con privilegios de sólo lectura por vsys. Seleccionar el enrutador virtual que se quiera que utilice el vsys para sus zonas Trust-vsysname, Untrust-Tun-vsysname y Global-vsysname Después de crear un objeto vsys, es necesario realizar, como administrador de nivel raíz, otras configuraciones para convertirlo en un vsys funcional. Se deben configurar subinterfaces o interfaces para el vsys y probablemente enrutadores virtuales compartidos y zonas de seguridad compartidas. Las siguientes configuraciones dependen de si el vsys está destinado a clasificaciones del tráfico según VLAN o según IP o una combinación de ambas. Tras completar estas configuraciones, se puede salir del sistema virtual y permitir que un administrador vsys, si está definido, acceda y comience a configurar direcciones, usuarios, servicios, VPNs, rutas y directivas. Crear un objeto Vsys y administrador En este ejemplo, un administrador de nivel raíz crea tres objetos vsys: vsys1, vsys2 y vsys3. Para vsys1, se crea el administrador vsys Alice con la contraseña wIEaS1v1. Para vsys2, se crea el administrador vsys Bob con la contraseña pjF56Ms2. Para vsys3, no se define un administrador vsys. En su lugar, se acepta el administrador que el dispositivo de seguridad genera automáticamente. En el caso de vsys3, el dispositivo de seguridad crea el administrador “vsys_vsys3” con la contraseña “vsys_vsys3”. NOTA: Sólo un administrador de nivel raíz puede crear un perfil de administrador vsys (nombre de usuario y contraseña). Ya que el dispositivo de seguridad utiliza los nombres de usuario para determinar el vsys al cual pertenece el usuario, el administrador del vsys no puede cambiar los nombres de usuario. Sin embargo, los administradores del vsys pueden (y deben) cambiar sus contraseñas. Los nombres de los vsys, de los administradores y de las contraseñas distinguen mayúsculas y minúsculas. “Vsys abc” es distinto de “vsys ABC”. Para vsys1 y vsys2, se utiliza el enrutador virtual predeterminado. Para vsys3, se escoge el untrust-vr de nivel raíz compartible. Tras crear un vsys mediante la WebUI, se permanece en el nivel raíz. Introducir el recién creado vsys requiere un paso más: Vsys: Haga clic en Enter (para el sistema virtual que se desee introducir). Objetos Vsys 3 Conceptos y ejemplos, Manual de Referencia de ScreenOS Aparecen las páginas WebUI del sistema introducido, con el nombre del vsys encima de la parte central de la imagen, Vsys:Nombre. Cuando se crea un vsys mediante la CLI, inmediatamente se entra al sistema recién creado. (Para entrar a un vsys existente en el nivel raíz, utilice el comando enter vsys cadena_nombre). Cuando se introduce un vsys, la entradilla (prompt) del comando CLI cambia para incluir el nombre del sistema en el que ahora se ejecutan los comandos. WebUI 1. Vsys1: Vsys > New: Introduzca los siguientes datos y haga clic en OK: Vsys Name: vsys1 Vsys Admin Name: Alice Vsys Admin New Password: wIEaS1v1 Confirm New Password: wIEaS1v1 Virtual Router: Create a default virtual router: (seleccione) 2. Vsys2: Vsys > New: Introduzca los siguientes datos y haga clic en OK: Vsys Name: vsys2 Vsys Admin Name: Bob Vsys Admin New Password: pjF56Ms2 Confirm New Password: pjF56Ms2 Virtual Router: Create a default virtual router: (seleccione) 3. Vsys3: Vsys > New: Introduzca los siguientes datos y haga clic en OK: Vsys Name: vsys3 Virtual Router: Select an existing virtual router: (seleccione), untrust-vr CLI 1. Vsys1: ns-> set vsys vsys1 ns(vsys1)-> set admin name Alice ns(vsys1)-> set admin password wIEaS1v1 ns(vsys1)-> save ns(vsys1)-> exit NOTA: Tras ejecutar los comandos, se debe ejecutar un comando save antes del comando exit o el dispositivo de seguridad perderá los cambios. 2. Vsys2: ns-> set vsys vsys2 ns(vsys2)-> set admin name Bob ns(vsys2)-> set admin password pjF56Ms2 ns(vsys2)-> save ns(vsys2)-> exit 4 Objetos Vsys Capítulo 1: Sistemas virtuales 3. Vsys3: ns-> set vsys vsys3 vrouter share untrust-vr ns(vsys3)-> save Establecer un enrutador virtual predeterminado para Vsys Cuando un administrador del nivel raíz crea un objeto vsys, automáticamente el vsys dispone de los siguientes enrutadores virtuales para su uso: Todos los enrutadores virtuales de nivel raíz compartidos, como el untrust-vr Del mismo modo que un vsys y el sistema raíz comparten la zona Untrust, también comparten el untrust-vr y cualquier otro enrutador virtual definido en el nivel raíz como compartible. Su propio enrutador virtual De forma predeterminada, a un enrutador virtual de nivel vsys se le llama vsysname-vr. Se puede también personalizar su nombre para darle mayor significado. Éste es un enrutador virtual vsys específico que, de forma predeterminada, mantiene la tabla de enrutamiento de la zona Trust-vsysname. Los enrutadores virtuales de nivel vsys no pueden ser compartidos. Se puede seleccionar cualquier enrutador virtual compartido o el enrutador virtual de nivel vsys como enrutador virtual predeterminado para un vsys. Para cambiar el enrutador virtual predeterminado, entre en el vsys y utilice el siguiente comando CLI: set vrouter nombre default-vrouter. Si un administrador de nivel raíz desea que todas las zonas vsys estén en el dominio de enrutamiento untrust-vr (por ejemplo, si todas las interfaces vinculadas a la zona Trust -vsys_name están en modo de ruta) puede prescindir del vsys_name-vr cambiando los enlaces de la zona de seguridad de nivel vsys del vsys_name-vr al untrust-vr. Para obtener más información sobre enrutadores virtuales, consulte “Enrutamiento” en la página 7-13. NOTA: Esta versión de ScreenOS admite enrutadores virtuales definidos por el usuario dentro de un sistema virtual. Enlazar las zonas a un enrutador virtual compartido Cada sistema virtual (vsys) es un único dominio de seguridad y puede compartir zonas de seguridad con el sistema raíz y tener sus propias zonas de seguridad. Cuando un administrador de nivel raíz crea un objeto vsys, automáticamente se crean o heredan las siguientes zonas: Todas las zonas compartidas (heredadas del sistema raíz) La zona Null compartida (heredada del sistema raíz) La zona Trust-vsys_name La zona Untrust-Tun-vsys_name La zona Global-vsys_name Objetos Vsys 5 Conceptos y ejemplos, Manual de Referencia de ScreenOS NOTA: Para obtener más información sobre cada uno de estos tipos de zonas, consulte “Zonas” en la página 2-25. Cada vsys puede soportar también zonas de seguridad adicionales definidas por el usuario. Se pueden vincular estas zonas a cualquiera de los enrutadores virtuales compartidos definidos en el nivel raíz o al enrutador virtual dedicado a este vsys. Para crear una zona de seguridad para un vsys denominado vsys1, utilice cualquiera de los siguientes procedimientos: WebUI Vsys > Enter (para vsys1) Network > Zones > New: Introduzca los siguientes datos y haga clic en OK: Zone Name: (escriba un nombre para la zona) Virtual Router Name: (seleccione un enrutador virtual de la lista desplegable) Zone Type: Layer 3 CLI ns-> enter vsys vsys1 ns(vsys1)-> set zone name name_str ns(vsys1)-> set zone vrouter vrouter ns(vsys1)-> save El número máximo de zonas de seguridad que un vsys o el sistema raíz puede contener está limitado sólo por el número de zonas de seguridad disponibles en el nivel de dispositivo. Un único vsys puede consumir todas las zonas de seguridad disponibles si el administrador raíz o un administrador de lectura/escritura de nivel raíz las asigna todas a ese vsys en concreto. A la inversa, si todos los sistemas virtuales comparten zonas de seguridad de nivel raíz y no utilizan ninguna zona de nivel vsys definida por el usuario, entonces todas las zonas de seguridad están disponibles para uso de nivel raíz. NOTA: El número total de zonas de seguridad definidas por el usuario (o “personalizadas”) en el nivel de dispositivo es la suma del número de zonas personalizadas de nivel raíz, definidas por una o más claves de licencia de zona y el número de zonas personalizadas permitidas por la clave de licencia de vsys. Iniciar sesión como administrador Vsys Los administradores del Vsys entran a sus vsys directamente, a diferencia de los administradores de nivel raíz, que entran a sus vsys desde el nivel raíz. Cuando un administrador de vsys sale de un vsys, la conexión se corta inmediatamente; sin embargo, cuando los administradores de nivel raíz salen de un vsys, salen al sistema raíz. El siguiente ejemplo muestra cómo acceder a un vsys como administrador vsys, cambiar la contraseña y finalizar la sesión. 6 Iniciar sesión como administrador Vsys Capítulo 1: Sistemas virtuales En este ejemplo, un administrador vsys accede al vsys1 introduciendo su nombre de inicio de sesión jsmith y contraseña Pd50iH10 asignados. Cambia la contraseña a I6Dls13guh y finaliza la sesión. NOTA: Los administradores de vsys no pueden cambiar sus nombres de inicio de sesión (nombres de usuario) ya que el dispositivo de seguridad utiliza esos nombres, que deberán ser únicos entre todos los administradores del vsys, para enrutar la conexión de inicio de sesión al vsys apropiado. WebUI 1. Inicio de sesión En el campo URL del explorador, introduzca la dirección IP de la interfaz de la zona Untrust para vsys1. Cuando aparezca el cuadro de diálogo Network Password, introduzca los datos siguientes y haga clic en OK: User Name: jsmith Password: Pd50iH10 2. Cambio de contraseña Configuration > Admin > Administrators: Introduzca los siguientes datos y haga clic en OK: Vsys Admin Old Password: Pd50iH10 Vsys Admin New Password: I6Dls13guh Confirm New Password: I6Dls13guh 3. Finalización de la sesión Haga clic en Logout, situado en la parte inferior de la columna del menú. CLI 1. Inicio de sesión Desde la partición de información de la línea de comandos de una sesión de Secure Command Shell (SCS), Telnet o HyperTerminal, se introduce la dirección IP de la interfaz de la zona Untrust de vsys1. Acceda con los siguientes nombres de usuario y contraseña: 2. User Name: jsmith Password: Pd50iH10 Cambio de contraseña set admin password I6DIs13guh save 3. Finalización de la sesión exit Iniciar sesión como administrador Vsys 7 Conceptos y ejemplos, Manual de Referencia de ScreenOS 8 Iniciar sesión como administrador Vsys Capítulo 2 Clasificar el tráfico Este capítulo explica cómo ScreenOS ordena el tráfico. Contiene las siguientes secciones: “Vista general” en esta página “Clasificar el tráfico” en la página 9 “Clasificar el tráfico de tránsito” en la página 10 “Interfaces compartidas y dedicadas” en la página 14 “Importar y exportar interfaces físicas” en la página 17 “Importar una interfaz física a un sistema virtual” en la página 17 “Exportar una interfaz física de un sistema virtual” en la página 18 Vista general ScreenOS debe clasificar cada paquete que recibe para su entrega al sistema virtual (vsys) apropiado. Un dispositivo de seguridad recibe dos tipos de tráfico de usuario, que clasifica de dos formas diferentes: Tráfico destinado a una dirección IP dentro del mismo sistema, como tráfico de VPN encriptado y tráfico destinado a un MIP o VIP Tráfico destinado a una dirección IP fuera del dispositivo Clasificar el tráfico Para el tráfico destinado a un objeto (VPN, MIP o VIP) del sistema de seguridad, éste determina el vsys al que pertenece el tráfico mediante la asociación del objeto con el vsys en el que se configuró. Vista general 9 Conceptos y ejemplos, Manual de Referencia de ScreenOS Figura 5: Asociación de VPN, MIP y VIP ethernet1/2, zona Untrust – El sistema raíz, vsys1, vsys2 y vsys3 comparten esta interfaz. El tráfico entrante llega a una interfaz compartida. RAÍZ Puesto que el objeto VPN se configuró en el vsys1, el tráfico enviado para dicho objeto pertenece al vsys1. Puesto que el objeto MIP se configuró en el vsys2, el tráfico enviado para dicho objeto pertenece al vsys2. Puesto que el objeto VIP se configuró en el vsys3, el tráfico enviado para dicho objeto pertenece al vsys3. VPN VSYS1 MIP VSYS2 VIP VSYS3 El tráfico entrante también puede llegar al vsys a través de túneles VPN; sin embargo, si la interfaz de salida es una interfaz compartida, no se puede crear un túnel VPN AutoKey IKE para un vsys y el sistema raíz hacia el mismo punto remoto. Clasificar el tráfico de tránsito Para el tráfico dirigido a una dirección IP más allá del dispositivo de seguridad (también conocido como “tráfico de tránsito”), el dispositivo utiliza técnicas posibles gracias a la clasificación del tráfico según VLAN y según IP. La clasificación del tráfico según VLAN utiliza etiquetas VLAN en el encabezado de la trama para identificar el sistema al que pertenece el tráfico entrante. La clasificación del tráfico según IP utiliza las direcciones IP de origen y destino de los encabezados de los paquetes IP para identificar el sistema al que pertenece el tráfico. El proceso que utiliza el dispositivo de seguridad para determinar el sistema al que pertenece un paquete comprende los siguientes pasos: NOTA: El etiquetado VLAN requiere el uso de subinterfaces. Una subinterfaz debe estar dedicada a un sistema, en contraste con una interfaz compartida, que es compartida por todos los sistemas. 1. Clasificación del tráfico por interfaz de entrada/IP de origen El dispositivo de seguridad comprueba si la interfaz de entrada es dedicada o compartida. NOTA: Para obtener más información sobre interfaces dedicadas y compartidas, consulte “Interfaces compartidas y dedicadas” en la página 14. a. Si la interfaz de salida está dedicada a un vsys (por ejemplo “v-i”), el dispositivo de seguridad asocia el tráfico con el sistema al que está dedicada la interfaz. b. Si la interfaz de entrada es compartida, el dispositivo de seguridad utiliza la clasificación por IP para comprobar si la dirección IP de origen está asociada a un vsys en concreto. 10 Vista general Si la dirección IP de origen no está asociada a un vsys en concreto, la clasificación por IP de entrada falla. Capítulo 2: Clasificar el tráfico Si la dirección IP de origen está asociada a un vsys en concreto, la clasificación por IP de entrada tiene éxito. Figura 6: Paso 1: Clasificación del tráfico de IP de origen e interfaz de entrada Comprobar la interfaz de entrada ¿Interfaz compartida? No Asociar el paquete con el ingreso de vsys de interfaz (“v-i”) No Fallo al clasificar por interfaz entrada/IP origen Sí Comprobar si se clasifica por IP origen ¿Se clasifica por IP origen? Sí Asociar paquete con vsys IP clasificado (“v-i”) * El protocolo de autenticación extensible sobre LAN (EAPOL) es un protocolo descrito en IEEE 802.1X. Se creó para encapsular los mensajes EAP para transportar a través de la red de área local. 2. Clasificación del tráfico por interfaz de salida/IP de destino El dispositivo de seguridad comprueba si la interfaz de salida es compartida o dedicada. a. Si la interfaz de salida está dedicada a un vsys (por ejemplo “v-e”), el dispositivo de seguridad asocia el tráfico con el sistema al que está dedicada la interfaz. b. Si la interfaz de salida es compartida, el dispositivo de seguridad utiliza la clasificación por IP para comprobar si la dirección IP de destino está asociada a un vsys en concreto. Si la dirección IP de destino no está asociada a un vsys en concreto, la clasificación por IP de salida falla. Vista general 11 Conceptos y ejemplos, Manual de Referencia de ScreenOS Si la dirección IP de destino está asociada a un vsys en concreto, la clasificación por IP de salida tiene éxito. Figura 7: Paso 2: Clasificación del tráfico por interfaz de salida/IP de destino Comprobar intefaz de salida ¿Interfaz compartida? No Asociar el paquete con la salida de vsys de interfaz (“v-e”) No Fallo al clasificar por interfaz salida/IP destino Sí Comprobar si se clasifica por IP destino ¿Se clasifica por IP destino? Sí Asociar el paquete con vsys IP clasificado (“v-e”) * El protocolo de autenticación extensible sobre LAN (EAPOL) es un protocolo descrito en IEEE 802.1X. Se creó para encapsular los mensajes EAP para transportar a través de la red de área local. 3. Asignación del tráfico al vsys Basándose en el resultado de las clasificaciones del tráfico según la interfaz de entrada/IP de origen (E/O) o la interfaz de salida/IP de destino (S/D), el dispositivo de seguridad determina el vsys al que corresponde el tráfico. a. Si la clasificación del tráfico E/O tiene éxito, pero la clasificación del tráfico S/D falla, el dispositivo de seguridad utiliza el conjunto de directivas y la tabla de rutas del vsys asociados a la interfaz de entrada o a la dirección IP de origen (un vsys llamado “v-e”, por ejemplo). La clasificación del tráfico E/O es particularmente útil cuando se permite tráfico saliente desde un vsys hacia una red pública como Internet. 12 Vista general Capítulo 2: Clasificar el tráfico b. Si la clasificación del tráfico S/D tiene éxito, pero la clasificación del tráfico E/D falla, el dispositivo de seguridad utiliza el conjunto de directivas y la tabla de rutas del vsys asociado a la interfaz de salida o a la dirección IP de destino (un vsys llamado “v-s”, por ejemplo). La clasificación del tráfico S/D es particularmente útil cuando se acepta tráfico entrante para uno o más servidores de un vsys procedente de una red pública como Internet. c. Si ambas clasificaciones tienen éxito y los sistemas virtuales asociados son los mismos, el dispositivo de seguridad utiliza el conjunto de directivas y la tabla de rutas de ese vsys. Se pueden utilizar ambas clasificaciones del tráfico E/O y S/D para permitir tráfico desde direcciones específicas en una zona a direcciones específicas en otra zona del mismo vsys. d. Si ambas clasificaciones tienen éxito, los sistemas virtuales asociados son distintos y las interfaces están vinculadas a la misma zona de seguridad compartida, el dispositivo de seguridad utiliza primero el conjunto de directivas y la tabla de rutas del vsys E/O, y después los del vsys S/D. ScreenOS admite tráfico intrazonal entre vsys cuando el tráfico tiene lugar en la misma zona compartida. El dispositivo de seguridad aplica primero el conjunto de directivas y la tabla de rutas de “v-e”, devuelve el tráfico a la interfaz Untrust y después aplica el conjunto de directivas y la tabla de rutas de “v-s”. Este tráfico intrazonal sería el normal en una sola empresa que utilizase una zona interna compartida con distintos sistemas virtuales para distintos departamentos internos y quisiera permitir el tráfico entre los diferentes departamentos. e. NOTA: Si ambas clasificaciones tienen éxito, los sistemas virtuales asociados son diferentes y las interfaces están vinculadas a distintas zonas de seguridad, el dispositivo de seguridad descarta el paquete. ScreenOS no admite tráfico interzonal entre vsys entre zonas de seguridad compartidas. No puede utilizar una zona personalizada en lugar de la zona Untrust. f. Si ambas clasificaciones tienen éxito, los sistemas virtuales asociados son diferentes y las interfaces de entrada y salida están vinculadas a zonas dedicadas a distintos sistemas virtuales, el dispositivo de seguridad aplica primero el conjunto de directivas y la tabla de rutas del “v-e”. Después devuelve el tráfico a la interfaz Untrust y aplica el conjunto de directivas y la tabla de rutas del “v-s”. (Consulte “Comunicación entre sistemas virtuales” en la página 25). ScreenOS admite tráfico interzonal entre vsys entre zonas de seguridad dedicadas. g. Si ambas clasificaciones fallan, el dispositivo de seguridad descarta el paquete. Vista general 13 Conceptos y ejemplos, Manual de Referencia de ScreenOS Figura 8: Paso 3: Asignación del tráfico al vsys ¿Éxito con clase E/O? No ¿Éxito con clase S/D? No Descartar paquete Sí Sí Usar el conjunto de directivas “v-e” y la tabla de rutas ¿Éxito con clase S/D? No Usar el conjunto de directivas y la tabla de rutas del vsys “v-e”. Sí ¿Mismo vsys? No ¿Zona compartida? Aplicar el conjunto de directivas y la tabla de rutas del vsys “v-e” y después los del “v-s”. Sí Sí Usar el conjunto de directivas y la tabla de rutas del vsys “v-e”/“v-s”. No ¿Tráfico intrazonal? No Descartar paquete Sí Aplicar el conjunto de directivas y la tabla de rutas “v-i” de vsys y luego aplicar el conjunto de directivas y la tabla de rutas “v-e” de vsys * El protocolo de autenticación extensible sobre LAN (EAPOL) es un protocolo descrito en IEEE 802.1X. Se creó para encapsular los mensajes EAP para transportar a través de la red de área local. Interfaces compartidas y dedicadas El tráfico entrante a las interfaces dedicadas y compartidas se clasifica de manera diferente. Interfaces dedicadas Un sistema, virtual o raíz, puede tener varias interfaces o subinterfaces dedicadas exclusivamente a su uso particular. Estas interfaces no pueden ser compartidas por otros sistemas. 14 Vista general Capítulo 2: Clasificar el tráfico Se puede hacer que una interfaz esté dedicada a un sistema como se indica a continuación: NOTA: Cuando se configura una interfaz física, subinterfaz, interfaz redundante o interfaz agregada en el sistema raíz y se vincula a una zona no compartible, la interfaz queda dedicada al sistema raíz. Cuando se importa una interfaz física o agregada a un vsys y se vincula a una zona Untrust compartida o a la zona Trust-vsys_name, dicha interfaz pasa a ser dedicada al vsys. Cuando se configura una subinterfaz en un vsys, pertenece al vsys. Cuando un sistema tiene una subinterfaz dedicada, el dispositivo de seguridad debe emplear la clasificación del tráfico según VLAN para distribuir adecuadamente el tráfico entrante. Interfaces compartidas Un sistema, virtual o raíz, puede compartir una interfaz con otro sistema. Para que una interfaz pueda ser compartida, se debe configurar en el nivel raíz y vincularla a una zona compartida de un enrutador virtual compartido. De forma predeterminada, el VR predefinido untrust-vr es un enrutador virtual compartido y la zona predefinida Untrust es una zona compartida. Por consiguiente, un vsys puede compartir cualquier interfaz física, subinterfaz, interfaz redundante o interfaz agregada del nivel raíz que se vincule a la zona Untrust. Para crear una interfaz compartida en una zona distinta de la zona Untrust, se debe definir la zona como compartida en el nivel raíz. Para ello, la zona debe estar en un enrutador virtual compartido, como el untrust-vr u otro enrutador virtual de nivel raíz que se defina como compartible. Después, cuando se vincula una interfaz de nivel raíz a la zona compartida, automáticamente pasa a ser una interfaz compartida. NOTA: Para que esté disponible la opción de zona compartida, el dispositivo de seguridad debe operar en la capa 3 (modo de ruta), lo que significa que se debe asignar previamente una dirección IP al menos a una interfaz de nivel raíz. Para crear un enrutador virtual, es necesario obtener una clave de licencia vsys, que capacita para definir sistemas virtuales, enrutadores virtuales y zonas de seguridad para su uso en un vsys o en el sistema raíz. Un enrutador virtual compartido admite zonas de seguridad de nivel raíz compartibles y no compartibles. Se puede definir una zona de nivel raíz vinculada a un enrutador virtual compartido como compartible o no. Cualquier zona de nivel raíz que se vincule a un enrutador virtual compartido y se defina como compartible pasa a ser una zona compartida, disponible para ser utilizada también por otros sistemas virtuales. Vista general 15 Conceptos y ejemplos, Manual de Referencia de ScreenOS Cualquier zona de nivel raíz que se vincule a un enrutador virtual compartido y se defina como no compartible permanece como una zona dedicada para uso exclusivo del sistema raíz. Si se vincula una zona de nivel vsys al enrutador virtual dedicado a ese vsys o a un enrutador virtual compartido creado en el sistema raíz, la zona permanece como zona dedicada, disponible para uso exclusivo del vsys para el que se creó. Una zona compartida admite interfaces compartidas y dedicadas. Cualquier interfaz de nivel raíz que se vincule a una zona compartida pasa a ser una interfaz compartida, disponible para ser utilizada también por los sistemas virtuales. Cualquier interfaz de nivel vsys que se vincule a una zona compartida permanece como interfaz dedicada, disponible sólo para uso del vsys para el que se creó. Una zona no compartible sólo puede ser utilizada por el sistema en el que se creó y sólo admite interfaces dedicadas para dicho sistema. Todas las zonas de nivel vsys son no compartibles. Para crear una interfaz compartida, se debe crear un enrutador virtual compartido (o utilizar el predefinido untrust-vr), crear un zona de seguridad compartida (o utilizar la zona predefinida Untrust) y después vincular la interfaz a la zona compartida. Se pueden realizar los tres pasos en el sistema raíz. Las opciones de la WebUI y la CLI son las siguientes: 1. Para crear un enrutador virtual compartido: WebUI Network > Routing > Virtual Routers > New: Seleccione la opción Shared and accessible by other vsys y haga clic en Apply. CLI set vrouter name name_str set vrouter name_str shared (No se puede modificar un enrutador virtual compartido para hacerlo no compartido a menos que primero se borren todos los sistemas virtuales. Sin embargo, se puede cambiar un enrutador virtual de no compartido a compartido cuando se desee). 2. Para crear una zona compartida, proceda como se indica a continuación en el nivel raíz: WebUI NOTA: En el momento de publicar esta versión, sólo se puede definir una zona compartida mediante CLI. CLI set zone name name_str set zone zone vrouter sharable_vr_name_str set zone zone shared 16 Vista general Capítulo 2: Clasificar el tráfico 3. Para crear una interfaz compartida, proceda como se indica a continuación en el nivel raíz: WebUI Network > Interfaces > New (o Edit para una interfaz que ya existe): Configure la interfaz y vincúlela a una zona compartida, a continuación haga clic en OK. CLI set interface interface zone sharable_vr_name_str Cuando dos o más sistemas virtuales comparten una interfaz, el dispositivo de seguridad debe emplear la clasificación del tráfico según IP para distribuir adecuadamente el tráfico entrante. (Para obtener más información sobre la clasificación del tráfico según IP, incluyendo un ejemplo que muestre cómo configurarlo para varios vsys, consulte “Clasificar el tráfico según IP” en la página 29.) Importar y exportar interfaces físicas Se pueden dedicar una o más interfaces físicas a un vsys. En realidad, se importa una interfaz física del sistema raíz a un sistema virtual. Después de la importación de la interfaz física a un vsys, el vsys tiene su uso exclusivo. NOTA: Antes de poder importar una interfaz a un sistema virtual, debe estar en la zona Null en el nivel raíz. Importar una interfaz física a un sistema virtual En este ejemplo, un administrador raíz importa la interfaz física ethernet4/1 a vsys1. Se asocia a la zona Untrust y se asigna la dirección IP 1.1.1.1/24. WebUI 1. Introducir vsys1 Vsys: Haga clic en Enter (para vsys1). 2. Importar y definir la interfaz Network > Interfaces: Haga clic en Import (para ethernet4/1). Network > Interfaces > Edit (para ethernet4/1): Introduzca los siguientes datos y haga clic en OK: Zone Name: Untrust IP Address/Netmask: 1.1.1.1/24 3. Salir de vsys1 Haga clic en el botón Exit Vsys (en la parte inferior de la columna de menú) para volver al nivel raíz. CLI 1. Introducir vsys1 ns-> enter vsys vsys1 Importar y exportar interfaces físicas 17 Conceptos y ejemplos, Manual de Referencia de ScreenOS 2. Importar y definir la interfaz ns(vsys1)-> set interface ethernet4/1 import ns(vsys1)-> set interface ethernet4/1 zone untrust ns(vsys1)-> set interface ethernet4/1 ip 1.1.1.1/24 ns(vsys1)-> save 3. Salir de vsys1 ns(vsys1)-> exit Exportar una interfaz física de un sistema virtual En este ejemplo, se vincula la interfaz física ethernet4/1 a la zona Null en el vsys1 y se le asigna la dirección IP 0.0.0.0/0. Después se exporta la interfaz ethernet4/1 al sistema raíz. WebUI 1. Introducir vsys1 Vsys: Haga clic en Enter (para vsys1). 2. Exportar la interfaz Network > Interfaces > Edit (para ethernet4/1): Introduzca los siguientes datos y haga clic en OK: Zone Name: Null IP Address/Netmask: 0.0.0.0/0 Network > Interfaces: Haga clic en Export (para ethernet4/1). (La interfaz ethernet4/1 está disponible ahora para su uso en el sistema raíz o en otro vsys). 3. Salir de vsys1 Haga clic en el botón Exit Vsys (en la parte inferior de la columna de menú) para volver al nivel raíz. CLI 1. Introducir vsys1 ns-> enter vsys vsys1 2. Exportar la interfaz ns(vsys1)-> unset interface ethernet4/1 ip ns(vsys1)-> unset interface ethernet4/1 zone ns(vsys1)-> unset interface ethernet4/1 import This command will remove all objects associated with interface, continue? y/[n] y ns(vsys1)-> save (La interfaz ethernet4/1 está disponible ahora para su uso en el sistema raíz o en otro vsys). 3. Salir de vsys1 ns(vsys1)-> exit 18 Importar y exportar interfaces físicas Capítulo 3 Clasificar el tráfico según VLAN Este capítulo explica la clasificación de tráfico basado en VLAN para sistemas virtuales. Contiene los siguientes temas: “Vista general” en esta página “VLAN” en la página 20 “VLANs con Vsys” en la página 20 “Definir subinterfaces y etiquetas VLAN” en la página 22 “Comunicación entre sistemas virtuales” en la página 25 Vista general Con la clasificación del tráfico según VLAN, un dispositivo de seguridad utiliza el etiquetado VLAN para dirigir el tráfico a las diversas subinterfaces vinculadas a los diferentes sistemas. De forma predeterminada, un vsys tiene dos zonas de seguridad, una zona Untrust compartida y su propia zona Trust. Cada vsys puede compartir la interfaz de la zona Untrust con el sistema raíz y con otros sistemas virtuales. Un vsys puede también tener su propia subinterfaz o una interfaz física dedicada (importada del sistema raíz) vinculada a la zona Untrust. NOTA: ScreenOS admite VLANs compatibles con la norma IEEE 802.1Q VLAN. Se puede dedicar una interfaz física a un sistema virtual importándola del sistema raíz al sistema virtual. (Consulte “Importar y exportar interfaces físicas” en la página 17). Cuando se utilizan interfaces físicas, el etiquetado VLAN no es necesario para el tráfico en dicha interfaz. Vista general 19 Conceptos y ejemplos, Manual de Referencia de ScreenOS VLAN La Figura 9 muestra las clases de tráfico de VLAN. Cada VLAN se une a un sistema a través de una subinterfaz. Si un vsys comparte la interfaz de la zona Untrust con el sistema raíz y tiene una subinterfaz vinculada a su zona Trust-vsys_name, el vsys debe asociarse a una VLAN en la zona Trust-vsys_name. Si el vsys también tiene su propia subinterfaz vinculada a la zona Untrust, el vsys debe también asociarse a otra VLAN en la zona Untrust. Figura 9: Clases de tráfico de VLAN Conmutador compatible con VLAN interno A la VLAN1 (vsys1) A la VLAN2 (vsys2) A la VLAN3 (vsys3) Al enrutador externo Puerto troncal Zonas Trust por vsys y enrutadores virtuales por UNTRUST-VR RAÍZ vlan1 Trustvsys1 vlan2 Trustvsys2 vlan3 Trustvsys3 vsys1-vr Zona Untrust compartida VSYS1 Internet VSYS2 vsys2-vr VSYS3 Nota: Todos los sistemas virtuales se muestran compartiendo la interfaz de la zona Untrust. También pueden tener su propia subinterfaz o interfaz física dedicada. vsys3-vr Una subinterfaz procede de una interfaz física, que actúa como un puerto troncal. Un puerto troncal permite a un dispositivo de red de capa 2 agrupar tráfico de varias VLAN por un único puerto físico, clasificando los paquetes por la identidad de VLAN (VID) de los encabezados de las tramas. El entroncamiento VLAN permite a una interfaz física soportar varias subinterfaces lógicas, cada una de las cuales debe identificarse por una única etiqueta VLAN. El identificador de VLAN (etiqueta) de una trama ethernet entrante indica su correspondiente subinterfaz y por tanto el sistema de destino. Cuando se asocia una VLAN con una interfaz o subinterfaz, el dispositivo de seguridad automáticamente define el puerto físico como un puerto troncal. Cuando se utilizan VLAN en el nivel raíz en modo Transparente, se deben definir manualmente todos los puertos físicos como puertos troncales con el siguiente comando CLI: set interface vlan1 vlan trunk. VLANs con Vsys Cuando un vsys utiliza una subinterfaz (no una interfaz física dedicada) vinculada a la zona Trust-vsys_name, el conmutador interno y el enrutador interno de la zona Trust-vsys_name debe ser capaz de admitir VLAN. Si se crea más de una subinterfaz en una interfaz física, entonces se debe definir el puerto del conmutador de conexión como puerto troncal y asociarlo a todas las VLAN que lo utilicen. 20 Vista general Capítulo 3: Clasificar el tráfico según VLAN Cuando un vsys utiliza una subinterfaz (no una interfaz compartida o una interfaz física dedicada) vinculada a la zona Untrust compartida, el conmutador y el enrutador externos que reciben su tráfico entrante y saliente deben ser capaces de admitir VLAN. El enrutador etiqueta las tramas entrantes para que cuando lleguen al dispositivo de seguridad, éste pueda dirigirlas a la subinterfaz correcta. Aunque un vsys no puede estar en modo transparente, porque requiere direcciones IP de interfaz o subinterfaz únicas, el sistema raíz puede estar en modo transparente. Para que el sistema raíz pueda soportar VLANs aún operando en modo transparente, se utiliza el siguiente comando CLI para permitir a las interfaces físicas vinculadas a las zonas de seguridad de capa 2 actuar como puertos troncales: set interface vlan1 vlan trunk. Consulte Figura 10 para obtener un ejemplo de una VLAN con vsys. Hay tres tareas que un administrador de nivel raíz debe realizar para crear una VLAN para un vsys: 1. Entre en un vsys. 2. Defina una subinterfaz. 3. Asocie el vsys con una VLAN. Figura 10: Ejemplo de VLANs con Vsys Zona Untrust (Compartida) Dispositivos compatibles VLAN Enrutadores externos Conmutador externo Dispositivo de seguridad Conmutador interno Enrutadores internos LAN Zona Trust (raíz) Raíz Internet vlan1 vsys 1 Zona Trust-vsys1 vsys 2 vlan2 Zona Trust-vsys2 Nota: Un vsys puede compartir enrutadores con el sistema raíz o utilizar los suyos propios. Los conmutadores externo e interno deben ser compatibles VLAN si los sistemas virtuales tienen subinterfaces vinculadas a las zonas Untrust y Trust-vsys_name . NOTA: Cuando el sistema raíz está en modo transparente, no admite sistemas virtuales. No obstante, sí admite VLAN de nivel raíz, en modo transparente. Vista general 21 Conceptos y ejemplos, Manual de Referencia de ScreenOS Definir subinterfaces y etiquetas VLAN La subinterfaz de la zona Trust-vsys_name conecta un vsys a su VLAN interna. La subinterfaz de la zona Untrust conecta un vsys a la WAN pública, normalmente la Internet. Una subinterfaz tiene los siguientes atributos: NOTA: Una única ID VLAN (de 1 a 4095) Una dirección IP pública o privada (la dirección IP es privada de forma predeterminada) Una máscara de subred tipo A, B o C Una VLAN asociada Para obtener más información sobre direcciones IP públicas y privadas, consulte “Direcciones IP públicas” en la página 2-55 y “Direcciones IP privadas” en la página 2-56. Un vsys puede tener una única subinterfaz de zona Untrust y subinterfaces de zona multiple Trust-vsys_name. Si un sistema virtual no tiene su propia subinterfaz de zona Untrust, comparte la interfaz de zona Untrust del nivel raíz. Los dispositivos de seguridad también admiten subinterfaces, las VLAN a nivel raíz y las etiquetas VLAN que cumplen con IEEE 802.1Q. Figura 11: Subinterfaces de VLAN vsys1 comparte la interfaz de la zona Untrust con el sistema raíz. vsys2 y vsys100 tiene sus propias subinterfaces dedicadas vinculadas a la zona Untrust. Dispositivo de seguridad if = interfaz física sif = subinterfaz if El sistema raíz tiene una interfaz física y una subinterfaz vinculada a su zona Trust. vsys1 tiene tres subinterfaces vinculadas a su zona Trust-vsys1, cada una de las cuales lleva a una VLAN diferente. Internet sif vsys2 tiene dos subinterfaces vinculadas a su zona Trust-vsys2, cada una de las cuales lleva a una VLAN diferente. vsys100 tiene una subinterfaz vinculada a su zona Trust-vsys100. Nota: Todas las ID de LAN virtual deben ser únicas por interfaz física. sif Raíz if sif LAN VLAN.1 vsys1 sif sif sif VLAN.2 VLAN.3 VLAN.4 vsys2 sif sif VLAN.5 vsys100 sif VLAN.292 VLAN.6 Una etiqueta de VLAN es un bit añadido en el encabezado de la trama Ethernet que indica su pertenencia a una VLAN particular. Al vincular una VLAN a un vsys, la etiqueta también determina a qué vsys pertenece la trama, y por tanto, qué directiva se aplica a la trama. Si la VLAN no está vinculada a un vsys, se aplica a la trama el conjunto de directivas del sistema raíz del dispositivo de seguridad. 22 Definir subinterfaces y etiquetas VLAN Capítulo 3: Clasificar el tráfico según VLAN Un administrador de nivel raíz puede crear una VLAN, asignarle los elementos y vincularla a un vsys. La asignación de elementos a la VLAN puede realizarse por varios métodos (tipo de protocolo, dirección MAC, número de puerto), y queda fuera del ámbito de este documento. El administrador vsys, si existe, administra pues el vsys a través de la creación de direcciones, usuarios, servicios, VPNs y directivas. Si no hay administrador vsys, entonces un administrador de nivel raíz realiza estas tareas. NOTA: Si el administrador de nivel raíz no asocia una VLAN a un vsys, la VLAN opera dentro del sistema raíz del dispositivo de seguridad. Todas las subredes de un vsys deben ser inconexas; esto es, no debe haber direcciones IP superpuestas entre las subredes del mismo vsys. Por ejemplo: la subinterfaz1 (10.2.2.1 255.255.255.0) y la subinterfaz2 (10.2.3.1 255.255.255.0) son inconexas y enlazan con subredes admisibles. Sin embargo, las subredes con las siguientes subinterfaces se superponen y no son admisibles dentro del sistema vsys: subinterfaz1 (10.2.2.1 255.255.0.0) y subinterfaz2 (10.2.3.1 255.255.0.0). Los rangos de direcciones de las subredes de diferentes vsys pueden superponerse. En este ejemplo, se definen las subinterfaces y las etiquetas VLAN para los tres sistemas virtuales creados en “Crear un objeto Vsys y administrador” en la página 3: vsys1, vsys2 y vsys3. Las dos primeras subinterfaces son para dos sistemas virtuales privados que operan en modo NAT y la tercera subinterfaz para un sistema virtual público que opera en modo de ruta. Las subinterfaces son 10.1.1.1/24, 10.2.2.1/24 y 1.3.3.1/24. Las tres subinterfaces se crearán en ethernet3/2. Los tres sistemas virtuales comparten la zona Untrust y su interfaz (ethernet1/1; 1.1.1.1/24) con el sistema raíz. La zona Untrust está en el dominio de enrutamiento de untrust-vr. WebUI 1. Subinterfaz y etiqueta VLAN para vsys1 Vsys: Haga clic en Enter (para vsys1). Network > Interfaces > New Sub-IF (para ethernet3/2): Introduzca los siguientes datos y haga clic en OK: Interface Name: ethernet3/2.1 Zone Name: Trust-vsys1 IP Address/Netmask: 10.1.1.1/24 VLAN Tag: 1 NOTA: Se pueden definir sistemas virtuales para operar en modo de ruta o en modo NAT. El modo NAT es el predeterminado y no es necesario especificarlo al crear las dos primeras subinterfaces en este ejemplo. Definir subinterfaces y etiquetas VLAN 23 Conceptos y ejemplos, Manual de Referencia de ScreenOS 2. Subinterfaz y etiqueta VLAN para vsys2 Vsys: Haga clic en Enter (para vsys2). Network > Interfaces > New Sub-IF (para ethernet3/2): Introduzca los siguientes datos y haga clic en OK: Interface Name: ethernet3/2.2 Zone Name: Trust-vsys2 IP Address/Netmask: 10.2.2.1/24 VLAN Tag: 2 3. Subinterfaz y etiqueta VLAN para vsys3 Vsys: Haga clic en Enter (para vsys3). Network > Interfaces > New Sub-IF (para ethernet3/2): Introduzca los siguientes datos y haga clic en Apply: Interface Name: ethernet3/2.3 Zone Name: Trust-vsys3 IP Address/Netmask: 1.3.3.1/24 VLAN Tag: 3 Seleccione Interface Mode: Route, luego haga clic en OK. Haga clic en Exit Vsys para volver al nivel raíz. CLI 1. Subinterfaz y etiqueta VLAN para vsys1 ns-> enter vsys vsys1 ns(vsys1)-> set interface ethernet3/2.1 zone trust-vsys1 ns(vsys1)-> set interface ethernet3/2.1 ip 10.1.1.1/24 tag 1 ns(vsys1)-> save ns(vsys1)-> exit NOTA: Se pueden definir sistemas virtuales para operar en modo de ruta o en modo NAT. El modo NAT es el predeterminado y no es necesario especificarlo al crear las dos primeras subinterfaces en este ejemplo. 2. Subinterfaz y etiqueta VLAN para vsys2 ns-> enter vsys vsys2 ns(vsys2)-> set interface ethernet3/2.2 zone trust-vsys2 ns(vsys2)-> set interface ethernet3/2.2 ip 10.2.2.1/24 tag 2 ns(vsys2)-> save ns(vsys2)-> exit 3. Subinterfaz y etiqueta VLAN para vsys3 ns-> enter vsys vsys3 ns(vsys3)-> set interface ethernet3/2.3 zone trust-vsys3 ns(vsys3)-> set interface ethernet3/2.3 ip 1.3.3.1/24 tag 3 ns(vsys3)-> set interface ethernet3/2.3 route ns(vsys3)-> save ns(vsys3)-> exit 24 Definir subinterfaces y etiquetas VLAN Capítulo 3: Clasificar el tráfico según VLAN Comunicación entre sistemas virtuales Los elementos de una VLAN dentro de un vsys no tienen restricciones a la comunicación entre sí. Los elementos de las VLAN de sistemas virtuales diferentes no pueden comunicarse entre sí a menos que los administradores de los vsys participantes configuren directivas específicas para que ello sea posible. El tráfico entre las VLAN de nivel raíz opera con los parámetros establecidos por las directivas de nivel raíz. El tráfico entre las VLAN de sistemas virtuales opera con los parámetros establecidos por las directivas de los sistemas virtuales participantes. El dispositivo de seguridad sólo deja pasar el tráfico con permiso para salir del sistema virtual de origen y entrar en el sistema virtual de destino. En otras palabras, los administradores vsys de ambos sistemas virtuales deben configurar directivas que permitan al tráfico fluir en el sentido apropiado, saliente o entrante. NOTA: Los conjuntos de directivas del sistema raíz en los sistemas virtuales no se afectan entre sí. En este ejemplo, los administradores de vsys1 y vsys2 (consulte “Definir subinterfaces y etiquetas VLAN” en la página 22) configuran directivas para habilitar el tráfico entre una estación de trabajo (work_js con dirección IP 10.1.1.10/32) en VLAN 1 y un servidor (ftp_server con la dirección IP 10.2.2.20/32) en VLAN 2. La conexión es posible si se cumplen las dos condiciones siguientes: El administrador vsys de vsys1 ha configurado una directiva que permite el tráfico desde la estación de trabajo en Trust-vsys1 hacia el servidor en su zona Untrust. El administrador vsys de vsys2 ha configurado una directiva que permite el tráfico desde la estación de trabajo en su zona Untrust hacia el servidor en Trust-vsys2. Tenga en cuenta que el dispositivo de red frente a la interfaz interna del dispositivo de seguridad es un conmutador de capa 2. Esto obliga al tráfico desde VLAN 1 hacia VLAN 2 a pasar por el conmutador hacia el dispositivo de seguridad para el enrutamiento de capa 3. Si el dispositivo de red fuera un enrutador de capa 3, el tráfico entre VLAN1 y VLAN2 podría pasar por el enrutador, ignorando todas las directivas del dispositivo de seguridad. Los administradores de vsys1 y vsys2 también configuran las rutas correspondientes. La zona compartida Untrust está en el untrust-vr y las zonas Trust en vsys1 y vsys2. Comunicación entre sistemas virtuales 25 Conceptos y ejemplos, Manual de Referencia de ScreenOS Figura 12: Comunicación entre vsys Dispositivo de seguridad work_js 10.1.1.10/32 Vsys1 VLAN 1 Conmutador de capa 2 ftp_server 10.2.2.20/32 Vsys2 VLAN 2 WebUI 1. Vsys1 Direcciones Objects > Addresses > List > New: Introduzca los siguientes datos y haga clic en OK: Address Name: work_js IP Address/Domain Name: IP/Netmask: (seleccione), 10.1.1.10/32 Zone: Trust-vsys1 Objects > Addresses > List > New: Introduzca los siguientes datos y haga clic en OK: Address Name: ftp_server IP Address/Domain Name: IP/Netmask: (seleccione), 10.2.2.20/32 Zone: Untrust Rutas Network > Routing > Routing Entries > untrust-vr New: Introduzca los siguientes datos y haga clic en OK: Network Address / Netmask: 10.1.1.0/24 Next Hop Virtual Router Name: (seleccione); vsys1-vr Network > Routing > Routing Entries > vsys1-vr New: Introduzca los siguientes datos y haga clic en OK: Network Address / Netmask: 0.0.0.0/0 Gateway: (seleccione) Next Hop Virtual Router Name: (seleccione); untrust-vr 26 Comunicación entre sistemas virtuales Capítulo 3: Clasificar el tráfico según VLAN Directivas Policies > (From: Trust-vsys1, To: Untrust) New: Introduzca los siguientes datos y haga clic en OK: Source Address: Address Book Entry: (seleccione), work_js Destination Address: Address Book Entry: (seleccione), ftp_server Service: FTP-Get Action: Permit 2. Vsys2 Direcciones Objects > Addresses > List > New: Introduzca los siguientes datos y haga clic en OK: Address Name: ftp_server IP Address/Domain Name: IP/Netmask: (seleccione), 10.2.2.2/032 Zone: Trust-vsys2 Objects > Addresses > List > New: Introduzca los siguientes datos y haga clic en OK: Address Name: work_js IP Address/Domain Name: IP/Netmask: (seleccione), 10.1.1.10/32 Zone: Untrust Rutas Network > Routing > Routing Entries > untrust-vr New: Introduzca los siguientes datos y haga clic en OK: Network Address / Netmask: 10.2.2.0/24 Next Hop Virtual Router Name: (seleccione); vsys2-vr Network > Routing > Routing Entries > vsys2-vr New: Introduzca los siguientes datos y haga clic en OK: Network Address / Netmask: 0.0.0.0/0 Next Hop Virtual Router Name: (seleccione); untrust-vr Directivas Policies > (From: Untrust, To: Trust-vsys2) New: Introduzca los siguientes datos y haga clic en OK: Source Address: Address Book Entry: (seleccione), work_js Destination Address: Address Book Entry: (seleccione), ftp_server Service: FTP-Get Action: Permit Comunicación entre sistemas virtuales 27 Conceptos y ejemplos, Manual de Referencia de ScreenOS CLI 1. Vsys1 Direcciones set address trust-vsys1 work_js 10.1.1.10/32 set address untrust ftp_server 10.2.2.20/32 Rutas set vrouter untrust-vr route 10.1.1.0/24 vrouter vsys1-vr set vrouter vsys1-vr route 0.0.0.0/0 vrouter untrust-vr Directivas set policy from trust-vsys1 to untrust work_js ftp_server ftp-get permit save 2. Vsys2 Direcciones set address trust-vsys2 ftp_server 10.2.2.20/32 set address untrust work_js 10.1.1.10/32 Rutas set vrouter untrust-vr route 10.2.2.0/24 vrouter vsys2-vr set vrouter vsys2-vr route 0.0.0.0/0 vrouter untrust-vr Directiva de vsys2 set policy from untrust to trust-vsys2 work_js ftp_server ftp-get permit save Network > Zones > Edit (para Internal): Seleccione la casilla de verificación IP Classification, luego haga clic en OK. 28 Comunicación entre sistemas virtuales Capítulo 4 Clasificar el tráfico según IP Este capítulo explica la clasificación de tráfico basado en IP para sistemas virtuales. Contiene las siguientes secciones: “Vista general” en esta página “Designar un rango IP al sistema raíz” en la página 30 “Configurar la clasificación del tráfico según IP” en la página 31 Vista general La clasificación del tráfico según IP permite el uso de sistemas virtuales sin VLAN. En lugar de las etiquetas VLAN, el dispositivo de seguridad utiliza las direcciones IP para distribuir el tráfico, asociando una subred o un rango de direcciones IP a un sistema en concreto, raíz o vsys. Al utilizar exclusivamente la clasificación del tráfico según IP para distribuir el tráfico, todos los sistemas comparten lo siguiente: NOTA: El untrust-vr y un VR interno definido por el usuario La zona Untrust y una zona interna definida por el usuario Una interfaz de zona Untrust y una interfaz de zona interna definida por el usuario Aunque se utilice una clasificación del tráfico según VLAN para el tráfico interno, para el tráfico externo todos los sistemas usan la zona compartida Untrust y, a menos que un sistema tenga una interfaz dedicada, una interfaz de zona Untrust compartida. La utilización de una interfaz compartida en un lado y una interfaz dedicada (con etiquetado VLAN) en el otro constituye una propuesta híbrida. Las clasificaciones del tráfico según VLAN y según IP pueden coexistir simultáneamente en el mismo sistema o en sistemas diferentes. Vista general 29 Conceptos y ejemplos, Manual de Referencia de ScreenOS Figura 13: Clasificación del tráfico según IP Conmutador interno Al enrutador externo Puerto troncal Interfaz zona interno compartida 10.1.0.1/16 Interfaz de zona Untrust compartida 210.1.1.1/24 VR UNTRUST COMPARTIDO RAÍZ Zona Untrust compartida VSYS1 Internet A vsys1 A vsys2 A vsys3 VR INTERNO COMPARTIDO vsys1 10.1.1.0/24 vsys2 10.1.2.0/24 Zona interna compartida VSYS2 VSYS3 vsys3 10.1.3.0/24 Nota: Todos los sistemas comparten las zonas Untrust e internas, interfaces de las zonas Untrust e internas, untrust-vr e internal-vr. Designar un rango IP al sistema raíz Para designar una subred o un rango de direcciones IP al sistema raíz o a un sistema virtual previamente creado, se debe proceder como se indica a continuación en el nivel raíz: WebUI Network > Zones > Edit (para zona) > IP Classification: Introduzca los siguientes datos y haga clic en OK: System: (seleccione root o vsys_name_str) Address Type: (seleccione Subnet e introduzca ip_addr/mask, o seleccione Range e introduzca ip1_addr1 – ip2addr2) CLI set zone zone ip-classification net ip_addr/mask { root | vsys name_str } set zone zone ip-classification range ip1_addr1-ip1_addr2 { root | vsys name_str } Debido a que la clasificación del tráfico según IP requiere la utilización de una zona de seguridad compartida, los sistemas virtuales no pueden utilizar direcciones IP internas superpuestas, como sí es posible con la clasificación del tráfico según VLAN. También, debido a que todos los sistemas comparten la misma interfaz interna, los modos de funcionamiento de la interfaz deben ser NAT o modo de ruta; no se pueden mezclar los modos de ruta y NAT para distintos sistemas. En este sentido, el esquema de direccionamiento del planteamiento según IP no es tan flexible como el que permite el más comúnmente utilizado según VLAN. El compartir enrutadores virtuales, zonas de seguridad e interfaces es intrínsecamente menos seguro que utilizar un enrutador virtual interno, una zona de seguridad interna e interfaces internas y externas dedicados para cada vsys. Cuando todos los sistemas virtuales comparten las mismas interfaces, un 30 Designar un rango IP al sistema raíz Capítulo 4: Clasificar el tráfico según IP administrador vsys de un vsys puede utilizar el comando snoop para recopilar información sobre las actividades del tráfico de otros vsys. También, gracias a que la suplantación de IP es posible en el lado interno, recomendamos que se inhabilite la opción IP spoofing de SCREEN en la interfaz interna compartida. Para decidir qué esquema de clasificación del tráfico utilizar, se deben sopesar la facilidad de manejo ofrecida por la opción según IP por un lado y la mayor seguridad y flexibilidad de direccionamiento ofrecidos por la opción según VLAN por otro. Configurar la clasificación del tráfico según IP En este ejemplo, configurará la clasificación del tráfico según IP para los tres sistemas virtuales creados en “Crear un objeto Vsys y administrador” en la página 3. Se define el trust-vr como compartible. Se crea una nueva zona, denominada Internal y se la vincula al trust-vr. Después se configura la zona Internal como compartible. Se vincula ethernet3/2 a la zona compartida Internal, se asigna la dirección IP 10.1.0.1/16 y se selecciona el modo NAT. Se vincula ethernet1/2 a la zona compartida Untrust y se le asigna la dirección IP 210.1.1.1/24. La dirección IP de la puerta de enlace predeterminada de la zona Untrust es 210.1.1.250. Las dos zonas Internal y Untrust se encuentran en el dominio de enrutamiento compartido trust-vr. Las subredes y sus respectivas asociaciones a los vsys se muestran a continuación: 10.1.1.0/24 – vsys1 10.1.2.0/24 – vsys2 10.1.3.0/24 – vsys3 WebUI 1. Enrutadores virtuales, zonas de seguridad e interfaces Network > Routing > Virtual Routers > Edit (para el trust-vr): Seleccione la casilla de verificación Shared and accessible by other vsys y luego haga clic en OK. Network > Zones > New: Introduzca los siguientes datos y haga clic en OK: Zone Name: Internal Virtual Router Name: trust-vr Zone Type: Layer 3 Network > Zones > Edit (para Internal): Seleccione la casilla de verificación Share Zone, luego haga clic en OK. Network > Interfaces > Edit (para ethernet3/2): Introduzca los siguientes datos y haga clic en OK: Zone Name: Internal IP Address/Netmask: 10.1.0.1/16 Network > Interfaces > Edit (para ethernet1/2): Introduzca los siguientes datos y haga clic en OK: Configurar la clasificación del tráfico según IP 31 Conceptos y ejemplos, Manual de Referencia de ScreenOS Zone Name: Untrust IP Address/Netmask: 210.1.1.1/24 2. Ruta Network > Routing > Routing Entries > trust-vr New: Introduzca los siguientes datos y haga clic en OK: Network Address / Netmask: 0.0.0.0/0 Gateway: (seleccione) Interface: ethernet1/2 Gateway IP Address: 210.1.1.250 3. Clasificación según IP de la zona Trust Network > Zones > Edit (para Internal) > IP Classification: Introduzca los siguientes datos y haga clic en OK: System: vsys1 Address Type: Subnet: (seleccione); 10.1.1.0/24 Network > Zones > Edit (para Internal) > IP Classification: Introduzca los siguientes datos y haga clic en OK: System: vsys2 Address Type: Subnet: (seleccione); 10.1.2.0/24 Network > Zones > Edit (para Internal) > IP Classification: Introduzca los siguientes datos y haga clic en OK: System: vsys3 Address Type: Subnet: (seleccione); 10.1.3.0/24 Network > Zones > Edit (para Internal): Seleccione la casilla de verificación IP Classification, luego haga clic en OK. CLI 1. Enrutadores virtuales, zonas de seguridad e interfaces set vrouter trust-vr shared set zone name Internal set zone Internal shared set interface ethernet3/2 zone Internal set interface ethernet3/2 ip 10.1.0.1/16 set interface ethernet3/2 nat set interface ethernet1/2 zone untrust set interface ethernet1/2 ip 210.1.1.1/24 2. Ruta set vrouter trust-vr route 0.0.0.0/0 interface ethernet1/2 gateway 210.1.1.250 3. Clasificación según IP de la zona Trust set zone set zone set zone set zone save 32 Configurar la clasificación del tráfico según IP Internal Internal Internal Internal ip-classification net 10.1.1.0/24 vsys1 ip-classification net 10.1.2.0/24 vsys2 ip-classification net 10.1.3.0/24 vsys3 ip-classification Índice A administración, vsys .......................................................6 administradores ...............................................................1 cambiar contraseñas.............................................3, 7 tipos ............................................................................3 C clasificación del tráfico según IP..................................29 clasificación del tráfico según VLAN ............. 18, 19 a 28 claves software ...............................................................15 claves, vsys .....................................................................15 contraseñas del administrador, cambiar ..................3, 7 D direcciones, rangos superpuestos de.....................23, 30 E estándar VLAN IEEE 802.1Q ........................................19 F funcionales básicos, requisitos .......................................3 I interfaces ..........................................................................2 compartidas .......................................................15, 29 dedicadas ...........................................................14, 29 física, exportación desde vsys ...............................18 física, importación de vsys ....................................17 interfaces físicas exportación desde vsys ..........................................18 importación de vsys................................................17 M MIP, sistemas virtuales ....................................................9 modo transparente ..................................................20, 21 P puertos troncales ...........................................................20 puertos troncales, modo Transparente .......................20 S ScreenOS VR................................................................................5 zonas...........................................................................5 sistemas virtuales manejabilidad y seguridad de ................................31 VIP ...............................................................................9 subinterfaces ..................................................................22 configuración (vsys) ................................................22 creación (vsys) .........................................................22 varias por vsys .........................................................22 superpuestas, redes .......................................................23 T tráfico clasificación ........................................................9 a 17 según IP ....................................................................29 según VLAN ................................................18, 19 a 28 tráfico de tránsito, clasificación de vsys .......10 a 13 Transparente, modo ......................................................20 troncales, puertos ..........................................................20 V VIP .....................................................................................9 VLAN clasificación del tráfico según VLAN .......18, 19 a 28 comunicación con otra VLAN ..................17, 25 a 28 crear ..................................................................21 a 24 entroncamiento .......................................................20 etiqueta ...............................................................21, 22 modo transparente ...........................................20, 21 subinterfaces ............................................................22 VR ......................................................................................5 compartido, crear un ..............................................16 compartidos .............................................................15 VR compartidos .............................................................15 vsys administradores.........................................................6 claves ........................................................................15 objetos, crear .............................................................3 Z zonas .................................................................................5 compartidas .............................................................15 vsys .............................................................................5 zonas compartidas.........................................................15 zonas de seguridad consulte zonas Índice IX-I Conceptos y ejemplos, Manual de Referencia de ScreenOS IX-II Índice