SEGURIDAD EN UNIX Y REDES

200CAPÍTULO 12. CORTAFUEGOSFigura 12.2: Arquitectura DMZ.han de conectar campus o sucursales separadas geográficamente, edificios o laboratorios diferentes,etc. En esta situación es recomendable incrementar los niveles de seguridad de las zonas máscomprometidas (por ejemplo, un servidor donde se almacenen expedientes o datos administrativosdel personal) insertando cortafuegos internos entre estas zonas y el resto de la red. Aparte deincrementar la seguridad, firewalls internos son especialmente recomendables en zonas de la reddesde la que no se permite a priori la conexión con Internet, como laboratorios de prácticas: unsimple PC con Linux o FreeBSD que deniegue cualquier conexión con el exterior del campus vaa ser suficiente para evitar que los usuarios se dediquen a conectar a páginas web o chats desdeequipos no destinados a estos usos. Concretamente en el caso de redes de universidades sería muyinteresante filtrar las conexiones a irc o a muds, ya sea a nivel de aulas o laboratorios o a nivel detodo el campus, denegando en el router de salida de la red hacia INet cualquier tráfico a los puertos6667, 8888 y similares; aunque realmente esto no evitaría que todos los usuarios siguieran jugandodesde los equipos de la universidad – por ejemplo a través de un servidor que disponga de conexiónen otros puertos –, sí conseguiría que la mayor parte de ellos dejara de hacerlo.12.5 Caso de estudio: Firewall-1Quizás el cortafuegos más utilizado actualmente en Internet es FireWall-1, desarrollado por laempresa Check Point Software Technologies Ltd. (http://www.checkpoint.com). Incorpora unanueva arquitectura dentro del mundo de los cortafuegos: la inspección con estado (stateful inspection).Firewall-1 inserta un módulo denominado Inspection Module en el núcleo del sistemaoperativo sobre el que se instala, en el nivel software más bajo posible (por debajo incluso del nivelde red), tal y como se muestra en la figura 12.3; así, desde ese nivel tan bajo, Firewall-1 puedeinterceptar y analizar todos los paquetes antes de que lleguen al resto del sistema; se garantizaque ningún paquete es procesado por ninguno de los protocolos superiores hasta que Firewall-1comprueba que no viola la política de seguridad definida.