¿Cómo configurar de forma Segura, un Grupo de Trabajo, para compartir una conexión al Internet?

Los Grupos de Trabajo como sugerimos en el articulo anterior , son para no mas de 10 computadores . No por ello dejan de ser importantes y hay que cuidar todos los aspectos de seguridad, al igual que en el mar no hay barco grande, en Internet no hay red pequeña. Una red pequeña o grupo de trabajo,  puede sufrir los mismos ataques o quizás ataques peores que una red grande. 

Con esto en mente, hay diversas formas de conectar de forma segura un grupo de trabajo, aquí solo vamos a describir una de ellas.

Para comenzar, en este escenario no tenemos un dispositivo de firewall físico o de hardware entre el MODEM de banda ancha, o la Conexión PPoE , o el MODEM ADSL, o una conexión telefónica discada o una conexión ISDN o una conexión Wireless (que está de moda). El medio para conectarse a Internet es muy diverso.

El dispositivo de firewall físico puede ser útil para filtrar el tráfico que usted quiere que alcance a su red. El mismo dispositivo que le conecta a Internet puede tener esa función. En este escenario no tenemos uno.

Lo que si tenemos es un PC con Windows XP Professional o Windows Server 2003 con SP1 (Aquí se va a describir el caso de un PC con Windows XP Professional), que además posee 2 tarjetas de red .

También hemos configurado un Modelo Clásico para Compartir Archivos y Carpetas.

Ver el artículo anterior , para cambiar el Modelo.

Vamos a DESCONECTAR los cables que van a ambas tarjetas de red. Ambas tarjetas muestran una X Roja indicando que están desconectadas.

Primero, conectamos el cable que va desde la tarjeta de red hacia el dispositivo que nos presta la conexión a Internet y vamos a renombrar el Icono que nos sirve de interface para la tarjeta de red con el nombre de INTERNET , para ello vamos a abrir la ventana Conexiones de Red , en Inicio – botón derecho sobre - Mis sitios de red  – Propiedades .

Allí, vamos a ver las conexiones LAN ó los Iconos de las tarjetas de red, nos vamos a posicionarnos con un Clic, sobre el Icono LAN que indique que esta Conectado (ya que anteriormente desconectamos las dos tarjetas), y presionando la tecla F2 vamos a cambiar el Nombre de la tarjeta a INTERNET .  Para ver posteriormente si la tarjeta esta conectada a simple vista sin entrar en la Ventana Conexiones de Red , con el botón derecho, sobre el Icono ahora llamado INTERNET – Propiedades y al final de la pagina, hay dos Opciones, marque la 1era y la 2da que dicen:

[  ] Mostrar icono en el área de notificación al conectarse
[  ] Notificarme cuando esta conexión tenga conectividad limitada ó nula.

Luego ejecutamos un procedimiento un ligeramente diferente con la segunda tarjeta de red. Conectamos el cable que va desde la segunda tarjeta de red a nuestro SWITCH o HUB y renombramos la segunda tarjeta de red como INTRANET . (Estos nombres son opcionales, usted puede utilizar los que mas le convengan).

Verificamos dos cosas: Primero que nuestra tarjeta de red Interna o INTRANET esté enlazada con los servicios de red . En la Ventana Conexiones de Red   - Menú – Opciones Avanzadas – Configuración Avanzada . En la Sección Conexiones – nos aseguramos que la tarjeta de red INTRANET este al principio , si no lo esta, la puede mover con las flechas al lado derecho. Y que en la sección – Enlaces para INTRANET , estén MARCADAS las opciones:

[ ? v ] Compartir impresoras y archivos para redes Microsoft.
[v ] Cliente para redes Microsoft.

Y segundo, que la tarjeta de red INTERNET , al seleccionarla tenga DESMARCADAS las Opciones de Enlaces para INTERNET ,

[ ?  ] Compartir impresoras y archivos para redes Microsoft.
[  ] Cliente para redes Microsoft.

Ahora vamos a proteger la conexión con el FIREWALL de WINDOWS de todo el tráfico de red entrante a EXCEPCIÓN de los servicios y programas que se especifiquen.

Para abrir la ventana Firewall de Windows , con el botón derecho sobre los Iconos de Red del Área de Notificación, seleccionar Cambiar configuración de Firewall de Windows

En la Ventana Firewall de Windows , asegúrese que el Botón radial, - Activado (recomendado) esta marcado.

 

En la pestaña Excepciones , puede permitir el tráfico de red que cause un programa, en el botón [ Agregar programa ], o un puerto TCP/UDP en particular en el Botón [ Agregar puerto ] y modificar o eliminar una Excepción con los Botones

[ Modificar ] y [ Eliminar ].

 ¿Para que nos sirve esto? Si usted es o va a ser un asiduo visitante del TECHNET de su país o de los Estados Unidos, usted necesita agregar los puertos 5900 a 5920 y pedirle a su ISP que también los abra, para poder disfrutar sin problemas de los Webcast . Si usted quiere acceder de forma remota a el equipo que estamos configurando con dos tarjetas de red, con Escritorio Remoto y recibir o hacer invitaciones de Asistencia Remota , debe agregar el Puerto 3389 .

En la siguiente pestaña – Opciones Avanzadas , la Sección Configuración de conexión de red, le permite habilitar o deshabilitar, (lo ultimo no se recomienda), el Firewall de Windows para una conexión de red en particular. También permite seleccionar una conexión de la lista y con el botón [ Configuración ] definir excepciones personalizadas para cada conexión de red.

 En la Sección – Registro de seguridad – botón [ Configuración ], puede seleccionar las Opciones de Registro y el Tamaño para el archivo de Log C:\WINDOWS\pfirewall.log , allí puede ver el trafico de red, permitido y denegado.

En la Sección – ICMP , puede elegir entre las distintas opciones para responder a las solicitudes externas de información a través del comando ping a su computador. Por defecto no se permite ninguna. Se recomienda activarlas solo para efectos de solución de problemas , luego desactivarlas otra vez .

Ahora vamos a Compartir la Conexión a Internet , utilizando el ICS , o Internet Connection Sharing , que nos permite conectar múltiples computadores ( ICS Clients ) al Internet, utilizando una sola conexión a Internet que esta hospedada en el Computador que posee las 2 tarjetas de red ( ICS Host ).

El ICS Host , es el único computador que es visible desde Internet ya que es el único computador que posee una Dirección IP Pública en su tarjeta de red externa o INTERNET o en la conexión PPP ó PPoE, los demás computadores ICS Clients , están ocultos, y no accesibles desde el Internet y utilizan Direcciones IP PRIVADAS del rango 192.168.0.0/24.

Para configurar ICS , botón derecho sobre los Iconos de red del Área de Notificación, y Seleccionar – Abrir Conexiones de Red .

Para los Usuarios que tienen Conexiones Discadas (Dial-Up) :

Botón Derecho sobre el Icono de la Conexión Discada – Propiedades – Pestaña Opciones Avanzadas – En la Sección Conexión compartida a Internet marque la Opción [ v ] Permitir a usuarios de otras redes conectarse a través de la conexión a Internet de este equipo . 

En Conexión de Red Doméstica , seleccione la tarjeta de red INTRANET , esto permite configurar su tarjeta de red INTRANET de forma automática con la dirección IP 192.168.0.1 , y comienza a prestar el servicios de red DHCP , asignándole a cada equipo conectado al SWITCH ó HUB, una dirección IP Dinámica y PRIVADA del mismo rango.

Marque la Opción , [ v ] Establecer una conexión de acceso telefónico cada vez que un equipo en mi red intente tener acceso a Internet. Cada vez que un usuario en la red haga una petición al Internet la conexión de acceso telefónico ejecuta la conexión en caso de que tenga opciones de desconexión por tiempo o por tráfico.

La Opción   [   ] Permitir a usuarios de otras redes controlar ó deshabilitar la conexión compartida a Internet , no se recomienda ya que no hay forma de limitarla a los usuarios Administradores.

 

Esta conexión compartida esta limitada a una sola SUBRED y a 254 computadores desde el punto de vista del numero de direcciones IP que puede soportar, desde el punto de vista de funcionalidad, depende del ancho de banda, de los servicios que este prestando el computador y del Sistema Operativo que se este utilizando Windows XP Professional ó Windows Server 2003. ( Yo he conectado hasta 12 computadores ICS Client con Windows XP Professional y el ICS Host también con Windows XP Professional) 

Para los Usuarios que tienen conexiones Directas a Internet :

Si usted tiene una conexión directa a Internet, haga un clic con el Botón Derecho del Mouse sobre el Icono de la Tarjeta de Red llamada INTERNET – Propiedades – Pestaña Opciones Avanzadas, en la Sección

Conexión compartida a Internet, marque:

[ v ] Permitir a usuarios de otras redes conectarse a través de la conexión a Internet de este equipo.

La Opción   [   ] Permitir a usuarios de otras redes controlar ó deshabilitar la conexión compartida a Internet , no se recomienda ya que no hay forma de limitarla a los usuarios Administradores.

Note que la primera Sección de las Opciones Avanzadas es Firewall de Windows, es una forma adicional de Acceder la Ventana Firewall de Windows discutida con anterioridad en este artículo.

Al final de las propiedades de las tarjetas de red hay un Asistente para Configuración de Red, que les permite de forma asistida configurar una conexión a Internet, hay que correr el asistente en cada computador.

Si usted tiene dudas acerca de la información que leyó aquí, por favor haga su pregunta en la página de la Comunidad del Technet Venezuela , y así se beneficia toda la comunidad, no solo la comunidad de Venezuela, sino toda la región andina, y toda Latinoamérica, ya que estamos en constante comunicación.

Próximamente, describiremos paso a paso y en varias partes, como configurar un Grupo de Trabajo con un Servidor Windows Server 2003, que además presta los Servicios de Red DHCP, DNS, WINS y Enrutamiento y Acceso Remoto, para dar acceso a Internet.

Estos artículos nos dan una idea de cómo ir llevando a un cliente desde una situación sin servidor hasta una situación con Small Business Server 2003 o Windows Server 2003 con Active Directory, pasando por situaciones intermedias, donde el Servidor existente no tiene capacidad para soportar Active Directory o  no tiene el HW necesario para ejecutar SBS 2003 con SQL e ISA Server, pero debe dársele al cliente una solución que le permita seguir operando y conociendo las ventajas de tener un sistema operativo robusto, y por supuesto buscar la oportunidad de negocio para que en un futuro mediato se escale el cliente a la solución PYME SBS 2003 ó a la Solución Corporativa Windows Server 2003.

Espero les sea de utilidad, y que los motive a participar con sus preguntas en las comunidades TECHNET.

En Resumen

1.- Si utiliza un dispositivo de Firewall Físico, mejor…!!!

2.- Debe utilizar dos tarjetas de red e identificarlas cambiando los nombres de las interfases a INTERNET e INTRANET, y permitir ver los Iconos de las Interfases en el Área de notificación..

3.- Cambiar el modelo para compartir archivos e impresoras a clásico (Los usuarios se autentican como ellos mismos)

4.- Una tarjeta de red va conectada al dispositivo de acceso a Internet y la otra tarjeta de red va al SWITCH ó HUB.

5.- Verificar el enlace de la tarjeta de red INTRANET con los servicios de RED. Debe aparecer al principio de la lista, debe tener los servicios de compartir archivos e impresoras y cliente para redes Microsoft, MARCADOS.

6.- Verificar que la tarjeta de red INTERNET tenga los servicios de compartir archivos e Impresoras y cliente para redes Microsoft, DESMARCADOS.

7.- Proteger la conexión compartida a Internet, activando el Firewall de Windows.

8.- Crear excepciones para permitir el tráfico ENTRANTE a PROGRAMAS y a PUERTOS TCP y UDP específicos.

9.- Crear excepciones para cada una de las Interfaces por separado.

10.- Controlar el tráfico de paquetes ICMP.

11.- Configurar el registro de eventos en el archivo pfirewall.log

12.- Compartir la conexión a Internet para los usuarios:

       Con conexión a Internet discada, PPP ó PpoE.

       Con conexión directa a Internet.

13.- La tarjeta de red INTRANET es configurada automáticamente con la dirección IP 192.168.0.1 y se encarga de prestar el servicio DHCP, ofreciendo direcciones IP privadas. Recuerde configurar los clientes para obtener una dirección IP automática o dinámica.

14.- El único computador que tiene una dirección IP Publica es el ICS Host, también es el único computador que es visible desde Internet.

15.- Existe un asistente para configurar conexiones compartidas a Internet al final de las propiedades de la tarjeta de red, hay que correrlo en cada computador para configurar el ICS Host y los ICS Clients.