Segmentacion de Ancho de Banda

Antecedentes.

En muchas empresas, cyber, o lugares con acceso a Internet sucede el fenómeno, cuando un usuario quiere ingresar a la Web y realizar ciertas tareas (transacciones en linea, revisar correos, paginas de consulta, etc.) se encuentra que la navegación se torna muy lenta y se pregunta ¿qué esta pasando?. Sorpresa que en el mismo lugar otros usuarios están descargando programas, música, vídeos, etc. Y por estos y mas motivos segmentar el ancho de banda para los usuarios es una buena elección.

Objetivos.

El objetivo de aplicar segmentación de ancho de banda por paquetes, es asignar a los usuarios y parte de la red un mínimo y máximo del ancho de banda (Kb). Con esto evitamos el abuso de los usuarios al momento de navegar en la red y nos aseguramos que la red no se congestione.

Los Requerimientos.

Para realizar esta configuración necesitamos:

• Tener instalado y funcionando el Shorewall
• Realizar un script el cual contendrá la programación.

Diagrama Conceptual.

En estos diagrama se muestra un esquema como quedara segmentada nuestra red.

Diagrama cola TC WAN.

Diagrama cola TC LAN

Manos a la obra.

Paso 1.

En esta parte declaramos nuestras variables.

OK="\033[1;0m [ \033[00;32mOK \033[1;0m]\033[0m" e
cho -e "Generacion de colas: $OK"
### Interfaces ###
DEVWAN="eth0" #WAN
DEVLAN="eth1" #LANTC=/sbin/tc

Paso 2.
Aqui indicamos que se realice un flush de politicas existentes

tc qdisc del root dev $DEVWAN
tc qdisc del root dev $DEVLAN
echo OK hasta aqui

Paso 3.
Declaramos a los padres del árbol de la WAN

####PADRES WAN
$TC qdisc add dev $DEVWAN root handle 1: htb default 1 r2q 10
$TC class add dev $DEVWAN parent 1: classid 1:1 htb rate 1000Kbit ceil 1000kbit
$TC class add dev $DEVWAN parent 1:100 classid 1:100 htb rate 1000Kbit ceil 1000Kbit

Nota:
root: la raíz del árbol
parent: el padre
classid: el hijo
htb: tipo de cola
rate: especifica el mínimo Kb
ceil: especifica el máximo Kb

Paso 4.
Definimos a los hijos del árbol WAN.

#HIJOS-WAN
$TC class add dev $DEVWAN parent 1:100 classid 1:201 htb rate 100Kbit ceil 100Kbit prio 0
$TC class add dev $DEVWAN parent 1:100 classid 1:301 htb rate 4Kbit ceil 4Kbit prio 0
$TC class add dev $DEVWAN parent 1:100 classid 1:401 htb rate 10Kbit ceil 800Kbit prio 0
$TC class add dev $DEVWAN parent 1:100 classid 1:501 htb rate 500Kbit ceil 500Kbit prio 0

Paso 5.
En esta parte enlazamos las direcciones IP con las marcas de los paquetes, que seran definidos aqui y en el tcrules del shorewall.

#REGISTRAR-WAN
$TC filter add dev $DEVWAN protocol ip parent 1: handle 201 fw classid 1:201
$TC filter add dev $DEVWAN protocol ip parent 1: handle 301 fw classid 1:301
$TC filter add dev $DEVWAN protocol ip parent 1: handle 401 fw classid 1:401
$TC filter add dev $DEVWAN protocol ip parent 1: handle 501 fw classid 1:501

handle: cabecera
Paso 6.
Realizamos los pasos del 3-5 pero para la red LAN

####$DEVLAN
$TC qdisc add dev $DEVLAN root handle 2: htb default 1 r2q 10
$TC class add dev $DEVLAN parent 2: classid 2:100 htb rate 10Mbit ceil 100Mbit
$TC class add dev $DEVLAN parent 2:100 classid 2:1 htb rate 10Mbit ceil 100Mbit #HIJOS-LAN
$TC class add dev $DEVLAN parent 2:100 classid 2:201 htb rate 100Kbit ceil 100Kbit prio 0
$TC class add dev $DEVLAN parent 2:100 classid 2:301 htb rate 4Kbit ceil 4Kbit prio 0
$TC class add dev $DEVLAN parent 2:100 classid 2:401 htb rate 600Kbit ceil 800Kbit prio 0
$TC class add dev $DEVLAN parent 2:100 classid 2:501 htb rate 500Kbit ceil 500Kbit prio 0
#REGISTRAR-LAN
$TC filter add dev $DEVLAN protocol ip parent 2: handle 201 fw classid 2:201
$TC filter add dev $DEVLAN protocol ip parent 2: handle 301 fw classid 2:301
$TC filter add dev $DEVLAN protocol ip parent 2: handle 401 fw classid 2:401
$TC filter add dev $DEVLAN protocol ip parent 2: handle 501 fw classid 2:501 ####FINSCRIPT

Nota: Todo dentro de un mismo script.
-------------------------------------------------------------------------------------------------
Paso 7.
En este punto editamos el archivo "tcrules" ubicado en:

# vi /etc/shorewall/tcrules

Grabamos dentro del vi ":wq".

Paso 8.
Una vez grabado reiniciamos el servicio.

# service shorewall restart

Paso 9.
Ejecutamos nuestro script.

# ./archivo

Pruebas.

Para verificar que la cola TC de la red WAN fue creada.

# tc -s -d qdisc show dev eth0

Para verificar que la cola TC de la red LAN fue creada.

# tc -s -d qdisc show dev eth1

Recomendaciones.

• Antes de ejecutar el script verificar que este en texto unix (#dos2unix ).
• Dar permisos de ejecución al script.
• Verificar que el shorewall este funcionando correctamente.
• Realizar un diagrama de como quedara segmentada nuestra red.
  

Configuración de impresora zebra

Antecedentes

Muchas personas no saben cuál es la configuración correcta que debería tener una impresora de códigos de barra, por lo que se pasa desconfigurando y a medida que pasa el tiempo puede dañar los sesores de la misma.

Objetivo
Saber cual es la correcta configuracion que debe tener la impresora para que sea 100% eficiente, y no tener que configurarla a cada momento.

CONFIGURACIÓN DE IMPRESORA ZEBRA

Tipo de papel.

• Label to marks

Este tipo de papel es el que tiene una línea negra atrás del papel

• Label to gaps

Este tipo de papel tiene un espacio entre etiquetas que es de 0.25cm llamado gaps

Comencemos

Abrimos la zebra designer con una etiqueta pre-diseñada, nos dirigimos hacia el botón imprimir y cojemos la opción de configuración impresora… como observamos en la imagen.

Tendremos la siguiente pantalla, aquí solo debemos modificar las 2 siguientes solapas:

En la primera solapa: Opciones debemos modificar los siguientes parámetros:

Velocidad: 8.3

Oscuridad: 10

Estos parámetros indican la velocidad en la que va a imprimir la zebra y la oscuridad de tinta.

En la segunda solapa: Configuración avanzada, aquí le indicamos a la impresora zebra el tipo de papel que vamos a utilizar, en nuestro caso el tipo de papel que vamos a utilizar es gaps.

Modificamos los siguientes parámetros en configuraciones de multimedia:

Elegimos la opción transferencia térmica tipo de medida: Label to gaps

En la parte de abajo damos clic en el botón calibrar.

En ese momento la impresora dará un reconocimiento del papel y se comenzará a calibrarse.

Una vez hecho esto ya se podrá imprimir n veces sin que se me descuadre el formato.

RESTAURAR VALORES POR DEFECTO DE LA IMPRESORA ZEBRA

Existen 2 formas de hacerlo:

PRIMERA FORMA:

Nos dirigimos hacia impresoras y faxes donde se encuentra nuestra impresora y damos clic derecho y clic en propiedades.

Nos aparecerá una pantalla, similar a la que tenemos a continuación, allí debemos ubicarnos en la solapa printer --> advances --> tools, damos clic en el botón tools…

Aquí mandamos una señal a la impresora para que las configuraciones se restauren por defecto, escribimos el siguiente comando: ^default, damos clic en el botón send y listo ya la impresora fue restaurada.

SEGUNDA FORMA:

Esta forma es mas sencilla de hacerlo, simplemente apagamos la impresora y de allí la volvemos a prender teniendo presionado el botón de la impresora hasta que parpadee 3 veces, en ese momento toda configuración se borra y que da con la configuración de fábrica.

Configuración básica de shorewall

Antecedentes.
En muchas ocasiones nos hemos encontrado con nuestro Internet lento, nuestros archivos infectados de virus, hasta incluso con el robo de información confidencial, todo esto y más puede suceder si dejamos la puerta abierta a los cybercriminales, claro la puerta de la que estamos hablando se llama firewall, por eso aquí explicaré como configurar nuestro muro de defensa ante las amenazas del Internet.


Objetivo.
Para proteger nuestra red de los ataques de hackers, virus, y cybercriminales y  más, en linux contamos con una herramienta poderosa llamada Netfilter (iptables), ésta se encarga de dar paso a las conexiones que nosotros hayamos configurado como seguras, prácticamente el chaleco antibalas de nuestra red, aquí lo haremos con Shorewall.


Que es Shorewall?
Shorewall es una herramienta de alto nivel para configurar netfilter, el cual utiliza una serie de archivos donde especificamos nuestra configuración en pocas lineas. Shorewall convierte e integra nuestra configuración en las reglas iptables, lo recomiendo para implementar firewall complejo y en redes de entornos cambiantes.


Requerimientos.
Shorewall (version actual 4.4) para centos 5.6 como es nuestro caso podemos descargarlo desde Aquí


Gráfica de apreciación.

Manos a la obra.
Paso 1
Una vez descargado el archivo en modo gráfico lo podemos instalar dando doble clic, en la consola tipiamos lo siguiente:

#rpm -ivh shorewall-4.4.15.3-1.noarch.rpm

Nota: Para editar los archivos Utilizaremos el comando vi
i = insertar texto
Esc = detener edición
:wq = guardar los cambios
:q! = salir sin guardar cambios

Paso 2
Modificamos el archivo shorewall.conf ubicado dentro de /etc/shorewall/ buscamos el parametro STARTUP_ENABLE y cambiamos el valor por yes

#vi /etc/shorewall/shorewall.conf

STARTUP_ENABLED=Yes

Paso 3
Modificamos el archivo zones ubicado dentro de /etc/shorewall/ en este fichero definimos las zonas con las que trabajará shorewall (firewall, ipv4) de forma predeterminada encontraremos la zonal (fw) como firewall, aqui definiremos (net) para internet y (loc) para la red interna.

#vi /etc/shorewall/zones

# Shorewall version 4 - Zones File

#

# For information about this file, type "man shorewall-zones"

#

# The manpage is also online at

# http://www.shorewall.net/manpages/shorewall-zones.html

#

###########################################################

#ZONE   TYPE       OPTIONS     IN            OUT

#                              OPTIONS       OPTIONS

fw      firewall 

loc     ipv4

net     ipv4

Paso 4
Modificamos el archivo interfaces ubicado dentro de /etc/shorewall/ en este archivo definiremos las interfaces que trabajaran para internet y para la red interna. En caso de haber el servicio DHCP como cliente, servidor o intermediario, se debe especificar aquí.

#vi /etc/shorewall/interfaces

#

# Shorewall version 4 - Interfaces File

#

# For information about entries in this file, type "man shorewall-interfaces"

#

# The manpage is also online at

# http://www.shorewall.net/manpages/shorewall-interfaces.html

#

#############################################################

#ZONE   INTERFACE       BROADCAST       OPTIONS

net     eth0            detect          dhcp

loc     eth1            detect          dhcp

Interpretación:
1era Linea: La zona net (internet) va a estar en la eth0 se calcula la dirección de transmisión de forma automática y puede trabajar con DHCP.
2da Linea: La zona loc (red interna) va a estar en la eth1 se calcula la dirección de transmisión de forma automática y puede trabajar con DHCP.


Paso 5
Modificamos el archivo policy ubicado dentro de /etc/shorewall/ en este archivo definiremos las políticas principales de acceso y bloqueo, se recomienda la siguiente configuración donde nuestro firewall tiene acceso a la internet y la red local  y el resto esta bloqueado:

#vi /etc/shorewall/policy

#

# Shorewall version 4 - Policy File

#

# For information about entries in this file, type "man shorewall-policy"

#

# The manpage is also online at

# http://www.shorewall.net/manpages/shorewall-policy.html

#

#########################################################

#SOURCE DEST    POLICY   LOG     LIMIT:       CONNLIMIT:

#                        LEVEL   BURST        MASK

fw      net     ACCEPT

fw      loc     ACCEPT

all     all     DROP

Paso 6
Modificamos el archivo masq ubicado dentro de /etc/shorewall/ en este fichero definiremos el enmascaramiento, es decir para que las consultas salgan a través de la única ip del firewall y viseversa.

#vi /etc/shorewall/masq

#

# Shorewall version 4 - Masq file

#

# For information about entries in this file, type "man shorewall-masq"

#

# The manpage is also online at

# http://www.shorewall.net/manpages/shorewall-masq.html

#

#######################################################

#INTERFACE SOURCE ADDRESS PROTO PORT(S) IPSEC MARK USER/

#                                                  GROUP

eth0      0.0.0.0/0

Paso 7
Modificamos el archivo rules ubicado dentro de /etc/shorewall/ en este fichero definiremos las reglas según nuestro requerimiento, en el siguiente ejemplo:

Las reglas del firewall nos permiten realizar consultas dns y navegar a través del proxy.

En la red interna pueden hacer ping hacia el internet, consultas dns, conectarse a un correo externo por el puerto 25 y 110, consultas https (web seguras) y navegar a través del proxy por el puerto 3128.

#vi /etc/shorewall/rules

#

# Shorewall version 4 - Rules File

#

# For information on the settings in this file, type "man shorewall-rules"

#

# The manpage is also online at

# http://www.shorewall.net/manpages/shorewall-rules.html

#

#########################################################

#ACTION      SOURCE    DEST      PROTO   DEST    SOURCE   

#                                        PORT    PORT(S)      

#Reglas del equipo Firewall (localhost)

ACCEPT       fw         fw       udp     53

ACCEPT       fw         fw       tcp     3128

#Reglas Red interna

ACCEPT       loc        net      icmp

ACCEPT       loc        fw       udp     53

ACCEPT       loc        net      tcp     25,110,443

ACCEPT       loc        fw       tcp     3128

#SECTION ESTABLISHED

#SECTION RELATED

#SECTION NEW

Si necesita dar paso a una ip en especial agrega :x.x.x.x donde las (x) es la direccion ip especifica ejemplo:

#Reglas Red interna y externa

ACCEPT    loc:192.168.0.5    net   tcp  9000

ACCEPT    net:186.68.158.89  fw    tcp  80

Interpretación:
1era línea: Desde la red local la ip 192.168.0.5 tiene salida al Internet por el protocolo tcp al puerto 9000.
2da Línea: Desde el Internet la ip 186.68.158.89 puede acceder al firewall en el protocolo tcp al puerto 80

o a su ves rangos de ips ejemplo:

#Reglas Red interna

ACCEPT    loc:192.168.0.5-192.168.0.10  net     9000

Interpretación:
Desde la red local las 192.168.0.5 hasta la 192.168.0.10 pueden acceder al Internet al puerto 9000

Si necesita trabajar con proxy transparente puede agregar la siguiente Linea.

#Redireccionamos hacia el Puerto del proxy (squid)

REDIRECT     loc        3128     tcp     80,8080

Paso 8

Iniciamos el servicio shorewall

#service shorewall start

Desactivamos iptables y activamos a shorewall en el incio automático

#chkconfig iptables off

#chkconfig shorewall on

No se preocupe que shorewall se encarga de levantar a iptables.


Para reiniciar el servicio utilice

#service shorewall restart

Listo tu red esta protegida.