Seguridad de redes: Firewalls

Ingeniería Técnica en Informática de Gestión
Ampliación de Sistemas Operativos
− CONTENIDO −
Introducción 03
1 ¿Qué es un Firewall? 03
2 Amenazas de los Firewalls 05
3 Consejos para un Usuario Doméstico 05
• No minusvalore los peligros de la Red 06
• No minusvalore el atractivo de su ordenador para un atacante 06
• No sobrevalore a los atacantes 07
• No sobrevalore la fortaleza de su máquina 07
4 Características de un Firewall 07
4.1 Política de Seguridad 07
• Registro de Operaciones 07
• Interfaces 08
• Autenticación de Usuarios 08
• Correlación de Direcciones 09
• Restricciones de Día y Hora 10
• Control de la Carga 10
• Canalización 10
5 Tipos de Firewalls 10
• Filtrador de Paquetes 10
• Pasarelas a Nivel de Aplicación 11
• Pasarelas a Nivel de Redes 12
• Configuraciones de los Firewalls 12
6 Host Bastión 12
7 Integración con el Entorno 13
• Integración de los Firewalls con la Auditoria de la Intranet 13
• Integración de los Firewalls con los Controles de Acceso 14
• Integración de Firewalls con los navegadores WEB 14
8 Puertos y Servicios 14
• Servicios Internet integrados en UNIX 16
• Servicios de Transferencia de Archivos 17
1
• Servicios de Conexión 18
• Servicios de Información 18
9 Glosario de Términos relacionados con Firewall 19
Conclusiones 20
Referencias 21
Seguridad en Redes: Firewalls
Introducción
En la sociedad de hoy en día, el acceso a cualquier clase de información se ve facilitado por diferentes
tecnologías de conexión, con costos muy accesibles, que permiten interactuar local o remotamente con
diferentes centros de cómputos. Sin embargo, este acceso instantáneo a la información trae consigo muchas
dificultades en cuanto a la seguridad y privacidad de la información de una organización.
La red es usualmente la parte mas insegura de una organización. Por consiguiente, se deben desarrollar
políticas de seguridad para poder prevenir cualquier acceso no autorizado a la misma como pueden ser
hackers o usuarios de la misma red que no deberían tener acceso a ciertos recursos del sistema. Estas políticas
deben ser más exigentes sobretodo si dicha organización cuenta con un acceso a alguna red pública, como
puede ser Internet.
Los protocolos de comunicación TCP/IP, los más utilizados en Internet, en principio no fueron concebidos
para manejar comunicaciones seguras. Por lo tanto, el mecanismo de seguridad se ejecuta fuera de los
mismos. No olvidemos que la red en si es tan vulnerable como su punto mas débil.
Una posible solución para proteger todo el sistema consiste en no permitir ningún acceso desde el exterior al
interior, pero de esta forma solo podríamos mandar solicitudes pero no podríamos recibir el contenido de las
mismas.
Otra posibilidad es permitir ciertas clases de accesos y negar otros, eliminando así la dificultad antes
mencionada. Esta clase de seguridad se puede implementar mediante un Firewall.
1 ¿Qué es un Firewall?
Se puede definir de una forma simple un sistema firewall, como aquel sistema o conjunto combinado de
sistemas que crean una barrera segura entre 2 redes.
El firewall es un sistema que refuerza las políticas de control de acceso. Estas políticas regulan el tráfico entre
una red interna (de confianza) y otra red externa (de dudosa confianza). Normalmente, los firewall se utilizan
para proteger a las redes internas del acceso no autorizado vía Internet o mediante otra red externa.
2
Fig 1. Localización de un firewall
La función del firewall, por tanto, es bloquear el tráfico no autorizado entre un sistema de confianza y un
sistema de dudosa confianza.
Un firewall es, a menudo, instalado en el punto donde una red interna se conecta con Internet. Todo tráfico
externo de Internet hacia la red interna pasa a través del firewall, así puede determinar si dicho tráfico es
aceptable de acuerdo a sus políticas de seguridad.
Aunque el propósito principal de los firewall es mantener a los intrusos fuera del alcance de la información
que es propiedad de un ente determinado, ya sea un usuario, una empresa o un gobierno, su posición dentro
del acceso a distintas redes le vuelve muy útil para controlar estadísticas de situaciones como usuarios que
intentaron conectarse y no lo consiguieron, tráfico que atravesó la misma, etc... Esto proporciona un sistema
muy cómodo de auditar la red. Algunas de sus funciones son las siguientes:
• Restringir la entrada a usuarios a puntos cuidadosamente controlados.
• Prevenir los ataques
• Dividir una red en zonas con distintas necesidades de seguridad
• Auditar el acceso a la red.
Algunos firewall solamente permiten tráfico de correo a través de ellos, de modo que protegen de cualquier
ataque sobre la red distinto de un servicio de correo electrónico. Otros firewall proporcionan menos
restricciones y bloquean servicios que son conocidos por sus constantes problemas de intrusión. De los
servicios ya hablaremos más adelante. Generalmente, los firewalls están configuradas para proteger contra
"logins" sin autorización. Esto ayuda principalmente a prevenir actos de vandalismos en máquinas y software
de nuestra red. Redes firewalls más elaboradas bloquean el tráfico de fuera a dentro, permitiendo a los
usuarios del interior comunicarse libremente con los usuarios del exterior. Los firewall pueden protegernos de
cualquier tipo de ataque a la red, siempre y cuando se configuren para ello.
Hay una serie de asuntos básicos que hay que tratar en el momento de que una persona adquiere la
responsabilidad de diseñar, especificar e implementar o supervisar la instalación de un firewall en una
empresa:
• Reflejar la política con la que la compañía u organización quiere trabajar con el sistema: ¿Se destina la
firewall para denegar todos los servicios o solo algunos?, ¿se va a emplear al firewall para proporcionar un
método de medición y auditoria de los accesos no autorizados a la red?. De la política hablaremos un poco
más adelante.
• Determinar el nivel de vigilancia, redundancia y control que queremos. La seguridad total es imposible, así
que tendremos que establecer una nivel de riesgo aceptable. Para ello se pueden establecer una lista de
comprobación de los que debería ser vigilado, permitido y denegado.
• El tercer asunto es financiero. Es importante intentar cuantificar y proponer soluciones en términos de
cuánto cuesta comprar o implementar tal cosa o tal otra. A veces lo realmente necesario no es gastarse
mucho dinero en una firewall muy potente, sino perder tiempo en evaluar las necesidades y encontrar una
firewall que se adapte a ellas.
La elección de un firewall, como se puede comprobar, no va a ser sencilla y dependerá de muchos factores,
principalmente de la política de seguridad y de la inversión económica que vayamos a emplear.
3
2 Amenazas de los Firewall
La imagen popular del hacker es la de un joven inexperto, con mucho tiempo disponible, intentando meterse
en un sistema por la emoción que eso le representa. Muy probablemente este hacker intente atacarnos por
algunos de los agujeros ya conocidos y que seguramente pueda ser cubierto por un firewall convencional, pero
¿qué pasa con un hacker que sabe, que está a la última sobre los riesgos de la seguridad y tiene las más
novedosas herramientas de cracking? Los hay que se diseñan sus propios ataques específicos, que se hacen
sus propios programas, y que no aprovechan las fisuras de seguridad conocidas, sino que descubren otras
nuevas.
Con esto tratamos de poner de manifiesto que, si surgen nuevas amenazas, un firewall no será capaz de
proteger contra ellas. Hay que tener en mente que continuamente se descubren nuevas fisuras por las que se
puede acceder a un sistema.
Además, los firewalls no pueden protegernos muy bien contra los virus. Hay demasiados modos de
codificación de ficheros para transmitirlos a través de la red y también son demasiadas las diferentes
arquitecturas y virus que intentan introducirse en ellas. En el tema de los virus y los troyanos, la mayor
responsabilidad recae como casi siempre en los usuarios de la red, los cuales deberían tener un mínimo control
sobre los programas que ejecutan y donde los ejecutan.
Como es obvio, Las redes firewall tampoco pueden protegernos de ataques que se producen por cauces
distintos de la red firewall instalada. No es nada inteligente poner una puerta de acero de 10 centímetros de
espesor si se vive en una casa de madera, pero por desgracia, algunas empresas se gastan mucho dinero en
comprar redes firewall caras, descuidando después las numerosas aberturas por las que se puede colar un
intruso (lo que se llaman "back−doors" o "puertas traseras"). Para que una firewall tenga una efectividad
completa, debe ser una parte consistente en la arquitectura de seguridad de la empresa.
Otro ente contra el que los firewalls no pueden luchar es contra el de los traidores y espías que haya en la
propia organización. Es evidente que de nada sirve que se instale una firewall para proteger nuestra red si
existen personas dentro de la misma que se dedican a traspasar información confidencial a través de disquetes
a terceras personas.
Si tienes funcionando un programa firewall de cualquier tipo, no lo dejes todo en sus manos para proteger tu
sistema, la seguridad total es imposible. La única forma de garantizar una total seguridad es no estar
conectado a nada, excepto a la electricidad. Por ejemplo, una organización que posea datos clasificados o de
alto secreto no necesita una red firewall: no deberían conectarse a Internet o, por lo menos, los sistemas con
los datos que son realmente secretos deberían ser aislados del resto de la red de la empresa.
3. Consejos para un Usuario Doméstico
No solo las empresas sufren ataques procedentes de otras redes, ya que un usuario convencional con una
simple conexión a Internet también puede ser atacado. En esta, como en otras facetas de la vida, la prudencia
puede jugar un papel importante: no te conviertas en un objetivo. Para ello no des información personal ni
contraseñas, ni te metas en peleas ni seas provocativo. De esta manera, posiblemente utilices menos tu
firewall. Como es natural, tampoco es aconsejable que aceptes ni ejecutes programas de gente extraña.
CONSEJO 1: "No minusvalore los peligros de la Red".
La Red es un territorio frecuentado por las mismas personas que habitan el mundo físico. Por tanto, al igual
que hay una inmensa mayoría de personas sensatas y respetuosas, puede dar por seguro que habrá gamberros,
acosadores, chantajistas y todo género de delincuentes, que encuentran en las peculiares características del
4
medio digital (como pueden ser la inexistencia de distancias, la facilidad para automatizar los ataques, el
anonimato, etc.) un terreno extremadamente favorable para cometer sus tropelías con la mayor impunidad.
Como consecuencia, del mismo modo que usted nunca se aventuraría a pasear por ciertas zonas de ciudades
desconocidas, no estará de más adoptar algunas precauciones a la hora de transitar los procelosos caminos de
la Red.
CONSEJO 2: "No minusvalore el atractivo de su ordenador para un atacante".
Nunca considere su ordenador poco atractivo para un atacante. Algunos atacantes puedan estar interesados en
entrar en su máquina cualquiera y ,contra lo que pueda pensarse, a muchos intrusos les importa muy poco
quién sea su dueño. Muchos de ellos simplemente se dedican a escanear máquinas al azar. Posteriormente,
una vez detectadas aquellas que presentan huecos fáciles de explotar, pueden decidir entrar e instalarse en
ellas con fines muy diversos, como puedan ser explorar sus datos buscando detalles de interés, asustarle,
divertirse a su costa, hacerle un estropicio en su disco duro o, aun peor, utilizarle como cómplice involuntario
para atacar otras máquinas más importantes que la suya.
No minusvalore jamás la posibilidad de ser atacado: cualquier máquina conectada a la red siempre puede ser
útil para otros. No se preocupe por "si" será atacado; sólo pregúntese "cuándo".
CONSEJO 3: "No sobrevalore a los atacantes".
De la misma forma que nadie debe minusvalorar el atractivo de su máquina para un atacante, tampoco nadie
debería sobrevalorar las capacidades de éste. En contra de la creencia popular, no es en absoluto necesario que
el atacante sea un hacker superdotado. De hecho, una persona con esas capacidades acostumbra a tener
mejores cosas que hacer y, si el riesgo fuera ése, tampoco existiría demasiada gente a la que temer.
Los atacantes suelen ser vulgares aprendices de brujo que han descubierto maneras de atacar y de fastidiar que
funcionan a golpe de ratón, y experimentan tal sensación de poder al utilizarlas, que el juego se acaba
convirtiendo en adicción. La posibilidad de hacer caer webs multimillonarios y que la hazaña obtenga eco en
todos los noticiarios puede ser muy tentadora. Y lo peor de todo es pensar que su propio ordenador puede
convertirse (sin que usted lo sepa) en cómplice y esclavo de alguno de estos ciberonanistas.
CONSEJO 4: No sobrevalore la fortaleza de su máquina.
Si de algo pueden estar seguros los usuarios es de la existencia de fallos potenciales en absolutamente todos
los programas, sistemas operativos, navegadores y sistemas que puedan concebirse. Tomemos un ejemplo de
actualidad: Linux.
Para prácticamente toda la comunidad informática, Linux es mucho más seguro que Windows. Esta
afirmación debería ser transformada en otra, mucho más ajustada a la realidad: Linux PUEDE SER mucho
más seguro que Windows. Linux, al contrario que Windows, tiene un enorme potencial para convertir un
ordenador en una fortaleza casi inexpugnable, ya que pone en manos del usuario todo el código del sistema
para que pueda ser modificado como le plazca. ¿Cuál es la consecuencia de esto? La responsabilidad de
conseguir un sistema seguro pasa a estar en sus manos. Linux no da seguridad instantánea, sino que pone a
disposición del usuario los medios para conseguirla. Como puede suponerse, lograrlo sólo estará al alcance de
5
los que están dispuestos a realizar ese esfuerzo adicional.
Podríamos decir en este aspecto que nada conspira más contra la auténtica seguridad que la falsa sensación de
seguridad.
LA REGLA DE ORO
Los consejos anteriores se resumen en una regla de oro:
TÓMESE EN SERIO LA SEGURIDAD DE SU PROPIO ORDENADOR.
4 Características de un Firewall
Un firewall, debido a su funcionalidad, debe ser capaz de ofrecernos una serie de características mínimas
como puede ser el empleo de una adecuada política de seguridad. Como ya veremos más adelante, esto sólo
no basta, sino que el firewall además debe de ser capaz de poder ofrecer otros servicios como pueden ser el
registro de las operaciones que vaya realizando y el poseer una interfaz fácil e intuitiva que reduzca al mínimo
la posibilidad de que el operario se equivoque a la hora de configurarlo y mantenerlo. Algunas de las
características que definen a un firewall son:
4.1 Política de Seguridad
Consiste en determinar los principios generales en los que debe basarse el diseño de un sistema de seguridad,
en nuestro caso un firewall:
• Política Principal: Todo aquello que no esta expresamente permitido esta prohibido
• Política de Diseño: Encaminada a la minimización y la simplicidad.
• Política de Escepticismo: Tras dotar al firewall de todas las protecciones disponibles se toma en
consideración que se pueden desarrollar nuevas técnicas y que ningún grado de seguridad es absoluto.
4.2 Registro de Operaciones
Como ya dijimos anteriormente, el firewall podía ser utilizado para obtener datos estadísticos acerca de la
afluencia entre ambas redes. Pues bien, para poder realizar esta estadística deberá recoger, como mínimo, la
siguiente información y almacenarla en algún fichero:
• Service Information − fecha, y hora.
• Remote Information − dirección IP del presunto intruso, así como el puerto y el protocolo utilizado.
• Local Information − dirección IP de destino y puerto.
• Filter Information − actuación del filtro y qué adaptador de red lo hizo.
• Packet Information − encabezamiento e información del paquete.
Esta información también es muy útil en caso de producirse un ataque para poder conocer por donde se
ha intentado entrar, cuándo y porqué, cuál ha sido la estrategia que ha seguido el firewall, si el ataque
ha sido o no exitoso... Estos datos nos van a permitir poder hacer un seguimiento sobre el
funcionamiento del firewall.
4.3 Interfaces
Con una política de seguridad lo suficientemente hermética y un firewall eficaz, el mayor riesgo provendrá de
6
un error humano del administrador del firewall. Estos pueden incorporar un gran número de funciones que
complican su trabajo de administración. Los firewall que cuentan con una buena interfaz reducen la
posibilidad de errores humanos y simplifican el trabajo del administrador del firewall.
Una interfaz fácil de utilizar y con un número mínimo de opciones de configuración reduce la posibilidad de
que se produzcan errores de administración. Naturalmente, un número menor de opciones de configuración
puede significar también menor flexibilidad de configuración.
Existen tres clases de interfaz del administrador de firewalls:
• Administración basada en ficheros de texto.
• Administración basada en menús de texto.
• Administración basada en GUI.
La interfaz basada en ficheros de texto es la de uso más extendido en lo que respecta a los firewalls de
elaboración propia. Este tipo de interfaces permiten al administrador editar un archivo específico donde puede
introducir parámetros de configuración específicos. Se trata de la interfaz de elección para los administradores
de sistemas UNIX tradicionales, dado que ofrece una interfaz de control a bajo nivel con los mecanismos del
firewall. La desventaja de dicho control a bajo nivel es que resulta mucho más fácil cometer errores, ya que, al
editar un fichero, pueden producirse errores de escritura u otros errores técnicos que, en un sistema basado en
menús, es menos probable que ocurran.
La interfaz de administrador basada en menús de texto presenta un menú basado en texto que reduce la
probabilidad de producirse errores pero que proporciona menor capacidad de control para el administrador.
Sin embargo, la posibilidad de error no queda totalmente excluida, dado que el administrador no siempre
puede ver el efecto de algunos cambios.
La interfaz gráfica de usuario, o GUI, para administradores incorpora ventanas, botones, menús desplegables
y pantallas de ayuda que facilitan el trabajo de configuración. La mayoría de proveedores ha optado por
incluir esta interfaz en sus productos, puesto que tiende a ser más fácil de utilizar y no es susceptible a muchos
de los errores que pueden producirse en los otros dos tipos de interfaz.
4.4 Autenticación de Usuarios
La dirección IP del host origen se emplea para efectuar el control básico de acceso. Sin embargo, esta
dirección puede ser suplantada fácilmente, especialmente por hosts que forman parte de la misma red.
Además, en el caso de conexiones procedentes de hosts multiusuario, la dirección de éstos no permite
distinguir un usuario de otro. La mayoría de firewalls a nivel de aplicación soportan la autenticación de
usuarios para algunos servicios de red. Para ello, el firewall interrumpe la conexión y solicita a los usuarios
que se identifiquen antes de continuar la conexión hacia el destino deseado.
Sin embargo, la mayoría de protocolos de servicio de red no toleran dicha interrupción y, por lo tanto, no
pueden soportar los métodos de autenticación, como contraseñas y tarjetas inteligentes. Otros protocolos
como el correo electrónico o los grupos de noticias no establecen una conexión directa con el usuario, por lo
que no es posible solicitar información para la identificación.
Los servicios de red estándar que contemplan la posibilidad de que un firewall pueda realizar funciones de
autenticación son Telnet y FTP. Algunos firewall soportan también la autenticación para los servicios X11 y
HTTP.
Los mecanismos estándar de autenticación que ofrecen los firewalls en la actualidad son contraseñas
convencionales, tarjetas inteligentes y servicios S/Key. El mecanismo de contraseñas convencional emplea
7
contraseñas multiuso y no es recomendable utilizarlo en Internet porque las contraseñas pueden ser
interceptadas y empleadas más adelante por un intruso. Las tarjetas inteligentes verifican la identidad de un
usuario devolviendo una respuesta única basada en un número aleatorio, que proporciona el firewall. Los
usuarios responden introduciendo el número en un dispositivo autentificador, que calcula la respuesta
apropiada.
4.5 Correlación de Direcciones
Antes de producirse el auge de Internet, muchas organizaciones poseían redes privadas desprovistas de
conexión con otras redes también privadas. Como estaban aisladas entre sí, no tenían que solicitar a las
autoridades de Internet direcciones de red no utilizadas. En lugar de ello, escogían cualquier clase de dirección
IP que les apetecía.
Con el advenimiento de la Internet como parte de la infraestructura global, estas organizaciones han
comenzado a conectarse a Internet y no pueden utilizar las mismas direcciones porque probablemente ya han
sido asignadas a otro usuario.
Naturalmente, las organizaciones podrían solicitar una clase de dirección única, pero resultaría muy costoso
cambiar todas sus computadoras y es difícil obtener las direcciones IP.
Otra solución consistiría en que el firewall correlacionara direcciones origen legales con direcciones de
Internet legales en el momento que abandonan la intranet interna. En esta situación, es necesario
descorrelacionar la dirección de destino de los paquetes de retorno o restaurarla a la dirección original.
En realidad, la correlación de direcciones no es una cuestión de seguridad, pero el firewall está situado
generalmente en el punto ideal de la arquitectura de la red, a fin de proporcionar este servicio.
Una razón plausible para tener o mantener direcciones ilegales en la red es que puede poner trabas a los
intrusos que hayan podido entrar en la misma evitando el firewall. En este caso, los paquetes del intruso
pueden encontrar dificultades para llegar a la red, ya que los protocolos de direccionamiento estándar los
dirigirán hacia el propietario de la dirección real. Ésta es una protección adicional mínima y, probablemente,
no compensa la reducción de la velocidad y el aumento de la complejidad al tener que correlacionar todas las
direcciones.
4.6 Restricciones de Día y Hora
La política de seguridad puede variar en función de del día de la semana y la hora del día. Por ejemplo, es
posible permitir transferir archivos a Internet durante las horas laborales normales, aunque no durante los fines
de semana o después de las 6 de la tarde. Algunos firewall permiten basar las reglas de acceso o listas de
acceso en la hora del día y el día de la semana.
4.7 Control de la Carga
El control de la carga es una característica que ofrecen muy pocos firewalls. Para la mayoría de estos, cuando
se permite el acceso, el host o la red pueden efectuar un número ilimitado de conexiones. Es útil poder
establecer limitaciones al número de conexiones simultáneas con un host o una red de hosts que puede haber
activas. Esta característica puede ayudar a impedir ataques por inundación, mediante los cuales un pirata
informático inunda la red con conexiones a fin de ocultar el ataque real.
4.8 Canalización
La canalización es la capacidad de combinar múltiples servicios de aplicación en una única conexión. Los
8
intrusos emplean en ocasiones esta técnica para disfrazar un servicio no autorizado (por ejemplo, FTP) como
servicio autorizado (como el correo electrónico).
Un firewall puede proporcionar también la característica de canalización para permitir a dos sitios de una
compañía compartir servicios en Internet que no serían autorizados normalmente a través del mismo.
5 Tipos de Firewalls
Existen tres tipos fundamentales de firewalls, pudiendo catalogarse en función al nivel en el que se
encuentren. Esto no siempre es cierto ya que un firewall, para ser completo, deberá estar presente en todos los
niveles.
5.1 Filtrador de Paquetes (Packet Filter)
Va a analizar la información contenida dentro de los paquetes IP antes de permitirles el acceso o no al
ordenador. Para ello va a coger los paquetes IP y les va a aplicar unas reglas de filtrado. Normalmente se
implementa mediante un router con 2 interfaces de red: uno de cara al interior y otro de cara al exterior.
Algunos firewalls de este estilo permiten establecer también filtros a nivel de puertos, con lo que podremos
determinar que servicios dejamos pasar y cuales no. Además, algunos routers utilizan el bit de ACK del
protocolo IP para el reconocimiento de la conexión. Cuando este bit está activo, quiere decir que el paquete
está esperando la respuesta de otro paquete anterior que hemos lanzado nosotros. Usando esta técnica algunos
firewalls permiten pasar cualquier tipo de información pero si y solo si la comunicación ha sido iniciada por
una máquina interna.
El firewall va a contener en su interior una lista de filtros a aplicar. Estos filtros se aplican a los paquetes
secuencialmente, de forma que si el paquete es aceptado por uno de ellos pasará al sistema, mientras que si no
es así se le aplicará el siguiente filtro. Como es obvio, el último filtro no va a permitir el acceso a nada.
Fig 2. Funcionamiento de un Filtrador de Paquetes
5.2 Pasarelas a Nivel de Aplicación
Es el extremo opuesto a los filtradores de paquetes. En lugar de filtrar el flujo de paquetes, tratan los servicios
por separado, utilizando el código adecuado en cada uno de ellos. Es probablemente el sistema más seguro, ya
que no necesita utilizar complicadas listas de acceso y centraliza en un solo punto la gestión del servicio,
además de que nos permitirá controlar y conocer información de cada uno de los servicios por separado.
9
Este tipo de firewalls es la única solución efectiva para el tratamiento de servicios cuya conexión debe ser
iniciada desde el exterior. Servicios como FTP, Telnet o E−Mail deberán tratarse con esta categoría de
firewall.
En realidad, lo que suele hacerse a la hora de trabajar con este sistema de protección es establecer una puerta
de acceso para cada servicio. Como esta puerta es de uso obligatorio, podemos establecer sobre ella los
criterios de control que mejor nos convengan. Una vez sobrepasada la puerta, puede ocurrir que la propia
pasarela ofrezca el servicio de forma segura o que se establezca una conexión con un ordenador interno que
realmente ofrezca el servicio, teniendo a éste último configurado para aceptar conexiones tan solo de dentro a
afuera.
Fig 3. Pasarela a nivel de aplicación
5.3 Pasarelas a Nivel de Red
Se basan en el control de las conexiones TCP y su manera de actuar es la que sigue: por un lado reciben las
peticiones de conexión a un puerto TCP y por el otro se establecen las conexiones con el destinatario deseado
si se han cumplido las restricciones de acceso establecidas.
Normalmente, este tipo de firewalls trabajan junto a los servidores proxy. Si la acreditación es positiva se
entabla la conexión. Por su forma de trabajar son muy adecuados para la recogida de información.
Este tipo de firewalls suele ser el más adecuado para el tratamiento de conexiones salientes, y con él no será
nada complicado establecer restricciones sobre los ordenadores a los que se puede acceder o limitar el
máximo de accesos permitidos.
5.4 Configuraciones de Firewalls
Acabamos de ver los 3 tipos de firewalls que existen, pero los hemos tratado de forma independiente, no como
sistema. Cuando se realiza un firewall suelen emplearse todos o algunos de los tipos vistos anteriormente.
Esto se debe a que cada uno de ellos realiza la protección a un nivel distinto, desde los paquetes de red,
pasando por los puertos y llegando hasta el servicio propiamente dicho. De esta forma, cuanta más seguridad
queramos, más componentes deberemos emplear en nuestro firewall.
Fig 4. Un firewall completo
El futuro de las firewalls se encuentra a medio camino entre las firewalls a nivel de red y las firewalls a nivel
de aplicación empleando filtradores de paquetes. El resultado final de los estudios que se hagan será un
sistema rápido de protección de paquetes que conecte y audite datos que pasan a través de el. Cada vez más,
las firewalls tanto a nivel de red como de aplicación incorporan encriptación de modo que pueden proteger el
tráfico que se produce entre ellas e Internet. Este tipo de firewall se puede utilizar por organizaciones con
múltiples puntos de conexión a Internet para conseguir utilizar Internet como una "central privada" donde no
sea necesario preocuparse de que los datos o contraseñas puedan ser capturadas.
6 Host Bastion
Probablemente, los hosts bastión son los tipos de firewall más comunes en el ámbito de las empresas,
formando parte de un sistema de firewall más complejo.
La arquitectura basada en un host bastión consiste en un terminal que va a estar configurado para resistir los
ataques procedentes del exterior. El blindaje del host bastión es importante porque se sitúa normalmente en un
lugar expuesto directamente a Internet. Al igual que la mayoría de firewalls, el host bastión posee una
10
conexión a la red interna y otra conexión a la red exterior (por lo general Internet). Esta forma de host bastión
obligaba a los usuarios del interior a registrarse en el firewall y a efectuar desde el host bastión todas sus
acciones con la red exterior. Su ventaja radicaba en el hecho de que esta configuración aislaba a los hosts
internos del exterior, pero afectaba considerablemente la capacidad de los usuarios para interaccionar con la
red exterior. A medida que evolucionó la tecnología de los bastiones, fueron agregándoseles aplicaciones
proxy con el fin de que actuaran en representación del usuario. El resultado de esta evolución es la
arquitectura basada en una pasarela a nivel de aplicación descrita anteriormente.
Fig 5. Un Host Bastion
Los hosts bastión pueden ser sustituibles, ya que van a estar configurados para resistir los ataques, pero si son
vulnerados van a suponer una amenaza para la red interna. De este modo, ningún host que se encuentre dentro
de ésta red interna debe confiar en ellos.
7 Integración con el Entorno
7.1 Integración de los firewalls con la auditoría de la Intranet.
Un gran número de sistemas operativos, como Windows NT y la mayoría de versiones de UNIX, incluyen
mecanismos de auditoría en línea que vuelcan registros de auditoría sobre ficheros de registros.
Estos registros presentan dos desafíos. En primer lugar, puesto que aumentan de tamaño, los administradores
de las intranets deben proporcionar medios para interpretar y utilizar la información auditada. Las
herramientas para la detección de intrusiones son prometedoras en este aspecto.
En segundo lugar, los administradores de firewall deben determinar una forma de combinar estos registros de
auditoría con los registros generados en la pasarela a nivel de aplicación a fin de descifrar los detalles de
ataques potenciales que pueden haberse producido. Lamentablemente, los formatos estándar de los registros
de auditoría no gozan de una amplia aceptación, lo cual dificulta una fácil compatibilidad.
7.2 Integración de los firewalls con los controles de acceso.
Cualquier control de acceso básico que puede obtenerse en un sistema operativo, aplicación o producto de red
necesita también coordinarse con la protección que ofrece un firewall. De hecho, a medida que la seguridad de
las redes evolucionó y maduró a lo largo de las décadas de los 70 y 80, la mayoría de redes de las
organizaciones gubernamentales y privadas confiaban en los controles de acceso convencionales de los
11
sistemas operativos y las aplicaciones como principal estrategia de protección.
Sin embargo, el problema principal de dicho enfoque residía en el hecho de que, para proteger adecuadamente
todos los elementos de una empresa determinada por medio de los controles de acceso ofrecidos por el
sistema operativo y las aplicaciones, era necesario garantizar antes un cierto nivel de uniformidad entre dichos
sistemas operativos y las aplicaciones. Si, por ejemplo, una empresa hubiera tenido diez sistemas operativos
diferentes ejecutándose en diez plataformas distintas, habría sido prácticamente imposible establecer una
estrategia de seguridad uniforme para todos los sistemas operativos y las aplicaciones. Pero las empresas no
están prácticamente nunca dispuestas a deshacerse de sus sistemas operativos y aplicaciones por razones de
seguridad.
Este problema básico de integrar la seguridad del sistema operativo y de las aplicaciones en una empresa
típica ayuda a explicar la gran aceptación que tienen los firewalls. Si se instala una defensa de perímetro en la
red de una empresa, los sistemas operativos y las aplicaciones internas dejan de ser tan vulnerables a un
ataque y, presumiblemente, causa de preocupación.
Así pues, un firewall permite establecer protecciones por control de acceso uniformemente en el perímetro y a
medida que se necesitan dentro de los sistemas operativos y las aplicaciones de la empresa, tanto en los que
son seguros como en los que no lo son.
7.3 Integración de firewalls con los navegadores WEB.
El advenimiento de la web ha hecho que un gran número de usuarios comiencen a interactuar con un firewall
principalmente a través de su navegador de web. Por ello, es buena idea comprender de qué forma se integran
habitualmente los firewalls con las funciones de los navegadores de web.
Existen dos posibilidades distintas para integrar un navegador con un firewall. En el primer caso se incluye en
la intranet una función proxy genérica para firewall, normalmente basada en socks, que nos va a permitir el
tráfico de salida de la intranet pero no el de regreso hacia ésta.
El segundo enfoque de configuración de un firewall es el más convencional, basado en proxies específicos
para cada protocolo. La configuración de estos proxies consiste simplemente en especificar la ubicación del
proxy correspondiente a cada protocolo seleccionado. Para realizar esta simple configuración es necesario
conocer los nombres de las máquinas y los números de los puertos.
8 Puertos y Servicios
Los computadores, para comunicarse entre sí, utilizan una especie de conectores virtuales denominados
puertos. Estos puertos no deben confundirse con los puertos hardware que existen en los computadores, como
pueden ser el puerto serie, el puerto paralelo... en este apartado hablaremos de puertos de comunicaciones.
Podemos hacernos una idea del concepto comparando un ordenador con un terminal de teléfono. El teléfono
permite llamar a miles de números diferentes, así como recibir llamadas realizadas desde cualquiera de ellos.
Sin embargo, el teléfono no necesita para ello disponer de miles (o millones) de clavijas físicas, ya que a
través de una única salida (y un único cable) se puede llamar al número que se desee y/o recibir llamadas
desde cualquier número.
El ordenador funciona de forma similar. Para establecer una conexión entre 2 equipos será necesario
proporcionar el número que identifica al ordenador con el que desea conectar (conocido por su dirección IP) y
el número que identifica un determinado puerto al que se desea acceder de esa máquina concreta. Si esa
dirección IP está disponible para recibir peticiones en ese puerto, la comunicación se establece conforme a
unas reglas preestablecidas denominadas protocolos. Por lo general, un equipo de usuario actuará como
12
cliente, que solicita información disponible en un servidor, donde se ejecutará un determinado servicio
dedicado a satisfacer ese tipo de peticiones. Aún así, la transmisión de datos acostumbra a ser bidireccional,
de modo que el servidor llamado también necesita enviar los datos solicitados a algún puerto del cliente. Por
último, la transmisión de datos entre ambas máquinas no se realiza en forma de flujo continuo, sino como una
serie de paquetes individuales, cada unos de los cuales lleva en su cabecera los datos de identificación
necesarios para llegar a su destino y ser reubicado allí en el lugar que le corresponda para recomponer el
mensaje original.
Fig 6. Comunicación bidireccional cliente − servidor
Cuando hablamos de servicios nos referimos a protocolos a nivel de aplicación. Estos servicios se identifican
mediante el número del puerto de destino, teniendo estos servicios números de puertos conocidos que son
fijos (como por ejemplo telnet, que tiene el puerto 21).
Para que una aplicación pueda utilizar un servicio determinado va a emplear la técnica vista anteriormente: se
establece la comunicación entre una dirección IP y un puerto determinado de esa dirección IP. Es muy
importante que los firewall nieguen cualquier servicio que no puedan reconocer y que el cliente NO tenga
abiertos los puertos que ofrecen servicios propios de un servidor.
El rango de numeración de los puertos abarca desde 0 a 65535. Dentro de ese rango, se diferencian tres
subcategorías:
• Los puertos 0−1023 se denominan Puertos Conocidos (Well Known Ports) dado que su uso está
estandarizado y se limita por lo general a usuarios privilegiados y procesos del sistema.
• Los puertos 1024−49151 se denominan Puertos Registrados y son utilizados por los programas y
procesos de los usuarios normales.
• Los puertos 49152−65535 se denominan Dinámicos o Privados.
El funcionamiento de los servicios se entenderá mejor con un ejemplo. Cuando un usuario teclea una
dirección web está haciendo una llamada al puerto 80 (www) de un servidor, desde un puerto (a partir del
1024) del computador desde el que llama, que va a ser el cliente. Si está disponible, el servidor web
responderá a ese mismo puerto de su ordenador, y se establecerá entre ambos el intercambio de datos.
A la vista de este simple ejemplo, se puede ver que no podemos bloquear todos los puertos de nuestros
ordenadores, puesto que nos quedaríamos incomunicados. No obstante, también se hace evidente que si
mantenemos abiertos puertos innecesarios, ofreciendo al exterior servicios que no deseamos ofrecer, nuestro
ordenador hará de servidor (quizás sin nuestro conocimiento) y cualquiera podrá conectarse a nuestra máquina
y establecer comunicaciones con ella, con muy diversos fines. El ordenador de un usuario doméstico
generalmente necesitará ser capaz de iniciar comunicaciones y sostenerlas, pero no tiene ningún sentido que
atienda peticiones de servicios no autorizadas originadas en el exterior. Puesto que −como ya hemos dicho−
los paquetes de datos llevan identificadores de su origen y destino (y otros). De esta forma ya podemos
entrever que:
• Filtrar adecuadamente estos paquetes
• Controlar los puertos
• No ofrecer servicios innecesarios
13
Van a ser los tres pilares fundamentales de nuestro futuro sistema de seguridad. Empezamos así a
aproximarnos al concepto mismo de firewall personal.
Para finalizar con este apartado, he aquí una lista de servicios mínimos y básicos soportados por la mayoría de
los firewalls y una breve descripción de los mismos:
8.1 Servicios Internet Integrados en UNIX
DNS (Protocolo TCP o UDP número de puerto 53)
Por lo general, el Domain Name System. (DNS) no es un servicio que utilicen directamente los usuarios.
Consiste en una base de datos utilizada para asociar nombres a direcciones IP. Cuando un usuario solicita
conectarse a un host, la aplicación de red llama al DNS para averiguar la dirección IP asociada al host.
Los servidores DNS comparten información, siendo precisamente de esta capacidad de la que debemos
protegemos, debido a que no es deseable que ningún servidor DNS de Internet pueda actualizar los nombres
de servidor de la red propia. En una situación de este tipo, los atacantes pueden redefinir la dirección de un
host externo a la Intranet con una dirección de confianza de la red con la dirección de un host interno.
El firewall debe permitir a los servidores DNS de la red propia el acceso a servidores de nombres del exterior
e incluso su actualización con direcciones nuevas, negando a los externos poder actualizar los registros de los
servidores de nuestra red.
RPC (Protocolos TCP, UCP)
Remote Procedure Call (RPC) fue desarrollado inicialmente por Sun Microsystems y se basa en un concepto
muy simple: un computador hace una llamada a un servidor solicitándole un servicio. A partir de entones, se
creará en el cliente un `representante' de ese servicio, de tal forma que cualquier proceso lo pueda invocar
localmente, al igual que lo haría con cualquier otra rutina del Sistema Operativo. Este `representante' se
encarga simplemente de transmitir las llamadas al servidor real para que éste las procese y devuelva la
respuesta, que será entregada al usuario a través del `representante'.
E−MAIL (Protocolo TCP Puerto número 25)
Mail, o "e−mail", es uno de los servicios más utilizados en Internet. Permite a los usuarios enviar mensajes sin
que sea necesario establecer una conexión directa entre el host remitente y el host destinatario. Un mensaje de
correo puede recorrer un gran número de hosts antes de llegar a su destino. El protocolo de correo estándar
que se emplea en Internet es el Simple Mail Transfer Protocol (SMTP).
Otro protocolo de mensajería muy empleado es el POP, que permite a un agente de usuario de correo recoger
los mensajes destinados a un usuario concreto.
También se ha desarrollado otro protocolo: Multipurpose Internet Mail Extensions (MIME), que permite
transmitir mensajes con una semántica adicional en el contenido, como puede ser la transmisión de caracteres
extendidos, distintos del ASCII, que soporta SMTP. También permite la ejecución automática en el ordenador
receptor de cualquier programa, si no se establecen los mecanismos de protección adecuados.
8.2 Servicios de Transferencia de Ficheros
FTP (Protocolo TCP Puerto número 21)
FTP o File Transfer Protocol (protocolo de transferencia de archivos). Se trata del protocolo estándar para
14
transferir archivos entre sistemas que soporta una autenticación sencilla de contraseñas.
Permite la transmisión de ficheros de texto y binarios, aparte de funciones sencillas de gestión de los
directorios como puede ser listar o borrar los ficheros remotos.
El sistema FTP más utilizado en Internet es el FTP Anónimo, que permite a usuarios no autorizados recoger
ficheros de una zona restringida del disco.
Para cada archivo FTP o transferencia de información, se establece habitualmente una conexión de red aparte
desde el host de destino hacia el host desde donde se origina la conexión FTP. El firewall debe ser capaz de
permitir esta segunda conexión en el sentido contrario ya que si no, no se transferirán los datos. Por lo general,
un puerto origen TCP de 20 identifica la conexión de datos.
NFS (Protocolo UDP, Puerto número 2049)
Network File System (NFS) permite a los usuarios compartir sistemas de ficheros con otros usuarios. Este tipo
de característica es un estándar de las redes de PC como Novell Netware o Microsoft Windows. El NFS
estándar proporciona muy poca seguridad y, por eso, es vulnerable a los ataques.
La mayoría de expertos en firewall recomiendan no permitir conexiones NFS a través del firewall, aunque
muchos administradores de intranets ,especialmente en entornos académicos, no están dispuesto a prescindir
de este servicio. De todos modos, las pasarelas a nivel de aplicación no soportan habitualmente este servicio y
el filtrado de paquetes no elimina el riesgo que trae el mismo.
8.3 Servicios de Conexión
Telnet (Protocolo TCP Puerto número 23)
TeInet es el protocolo y aplicación estándar para la entrada en sistemas remotos. Una sesión de Telnet suele
iniciarse invocando al proceso de login, para que el usuario se acredite e inicialice la sesión.
Proporciona una conexión entre dos sistemas basada en carácter. Todos los firewall de pasarela a nivel de
aplicación lo soportan. Muchos de ellos pueden además autentificar el usuario Telnet en el propio firewall.
rLogin (Protocolo TCP, Puerto número 513)
El comando rlogin (login remoto) es utilizados para acceder desde un sistema local a otro remoto. Pero no se
recomienda su uso para acceder a/o desde Internet porque la mayoría de ellos no soportan funciones
adecuadas para la autenticación de usuarios.
X11 (Protocolo TCP Puerto número 6.000 y superiores)
X11 se emplea principalmente en el entorno gráfico de usuario, de uso generalizado en estaciones de trabajo
UNIX. La mayoría de servidores X soportan más de un puerto Xserver 6.001, y es posible emplear números
de puerto superiores a este último.
X11 va a permitir a una aplicación remota presentar gráficos y aceptar órdenes de un ratón en una estación de
trabajo X o en un PC que soporta una interfaz XWindows. Sin embargo, esta potencia se proporciona a
expensas de un cierto riesgo para la seguridad, ya que la aplicación remota puede tomar completamente el
control de la pantalla, del teclado e incluso del ratón. Si tiene previsto establecer conexiones X11 desde
Internet, el firewall debe poder soportar este tipo de operaciones, además de filtrar las conexiones o comandos
X11 no deseados.
15
8.4 Servicios de Información
WWW (Protocolo TCP Puerto número 80 y otros)
Probablemente, la World Wide Web (WWW) es la principal responsable del repentino interés y expansión que
ha experimentado Internet actualmente. El principal protocolo de servicio empleado por la Web es el
Hypertext Transfer Protocol (HTTP), que permite a los usuarios transferir documentos desde un servidor
HTTP Este protocolo está soportado por aplicaciones cliente gráficas conocidas como navegadores o
browsers.
Generalmente, un ordenador cliente contacta con un servidor, al cual envía una referencia a una información.
El servidor contestará con un fichero o con referencias a otros servidores donde puede encontrarse la
información solicitada.
Son varios los problemas de seguridad que se han relacionado con el HTTP y, principalmente, a los servidores
y navegadores asociados al mismo ya que, entre otras cosas, nunca salen al 100% libres de errores.
Network News (Protocol TCP Puerto número 119)
El servicio de noticias es otro servicio de uso bastante generalizado. Permite a los usuarios acceder a grupos
de noticias a fin de leer información o de participar en debates. Los grupos de noticias constan de una serie de
mensajes que tienen un tema común. Los usuarios pueden leer estos mensajes y agregar los suyos propios.
Existe un grupo de noticias para prácticamente cualquier tema imaginable. El protocolo empleado es el
Network News Transfer Protocol (NNTP), que es similar al SMTP empleado en el correo electrónico.
IRC (Protocolo TCP, puerto número 6667)
La aplicación Internet Relay Chat (IRC) ofrece la posibilidad de participar en conferencias con múltiples
usuarios en un entorno de texto. Con una aplicación IRC cliente, un usuario puede ponerse en contacto con un
servidor IRC y unirse a una conversación.
La principal amenaza asociada a este servicio no es inherente al protocolo, sino que representa más bien una
amenaza de ingeniería social. Entre otras cosas, la ingeniería social es el acto que puede perpetrar un atacante
para obligar a un usuario o administrador a que proporcione información de autenticación o a que reduzca los
controles de seguridad. Un usuario de Internet puede intentar convencer a un usuario interno para que
modifique la configuración de su computadora a fin de proporcionar una característica determinada. Dicha
modificación puede ser un método del que le servirá al usuario externo para penetrar en la computadora del
usuario interno. Un proxy IRC situado en el firewall no tiene una gran utilidad para contrarrestar esta
amenaza.
Finger (Protocolo TCP, puerto 79)
El servicio finger fue desarrollado para permitir a los usuarios de una red poder localizar a otros usuarios.
Gracias a finger es posible averiguar nombres de entrada en el sistema (logins), y los nombres reales de los
usuarios. Esta es una información valiosa para un intruso potencial, por lo que el firewall debe prohibir
cualquier solicitud de finger procedente del exterior. Una alternativa para descartar las solicitudes de finger
procedentes del exterior es tener un proxy de finger que muestre un mensaje estándar como "Esta red no
soporta el servicio finger".
9 Glosario de Términos Relacionados con Firewall.
En esta lista aparecen algunos términos vinculados de alguna manera con los firewall. Como son muchísimos
16
sólo se han recogido algunos de ellos, y son:
• Abuso de privilegio: se produce cuando un usuario realiza una acción que no tiene asignada de
acuerdo a la política organizativa o a la ley.
• Ataque interior: es un ataque originado desde dentro de la propia red protegida.
• Autentificación: proceso que determina la identidad de un usuario que está intentando acceder a un
sistema.
• Autorización: proceso destinado a determinar que tipos de actividades se permiten. Normalmente la
autorización se encuentra en el contexto de la autentificación: una vez autentificado el usuario en
cuestión, se les puede autorizar realizar diferentes tipos de acceso o actividades.
• Bastion Host: un sistema que ha sido configurado para resistir los ataques y que se encuentra
instalado en una red en la que se prevé que habrá ataques. Normalmente, un bastion host está
ejecutando alguna aplicación o sistema operativo de propósito general (como: UNIX o WNT) más
que un sistema operativo de firewall.
• Detección de intrusión: detección de rupturas o intentos de rupturas bien sea manual o vía sistemas
expertos de software que atentan contra las actividades que se producen en la red o contra la
información disponible en la misma.
• Dual Homed Gateway: es un sistema que tiene 2 o más interfaces de red, cada uno de los cuales está
conectado a una red diferente. En las configuraciones firewall, un "dual homed gateway" actúa
generalmente, como bloqueo o filtrador de parte o del total del tráfico que intenta pasar entre las
redes.
• Logging: el proceso de almacenamiento de información sobre eventos que ocurren en el firewall o en
la red.
• Política: reglas de gobierno a nivel empresarial / organizativo que afectan a los recursos informáticos,
prácticas de seguridad y procedimientos operativos.
• Proxy: un agente software que actúa en beneficio de un usuario. Los proxies típicos, aceptan una
conexión de un usuario, toman una decisión al respecto de si el usuario o cliente IP es o no un usuario
del proxy, quizás realicen procesos de autentificación adicionales y entonces completan una conexión
entre el usuario y el destino remoto.
• Router − Encaminador −: dispositivo destinado a conectar 2 o más redes de área local y que se
utiliza para encaminar la información que atraviesa dicho dispositivo.
• Screened Host: un host detrás de un router protegido. El grado en que el host puede ser accesible
depende de las reglas de protección del router.
• Screened Subnet: una subred detrás de un router protegido. El grado en que la subred puede ser
accesible depende de las reglas de protección del router.
Conclusiones
La ventaja obtenida de poder obtener información contenida en varias redes trae consigo muchas dificultades
en cuanto a la seguridad y privacidad. No debemos olvidar que una red es tan débil como su punto más
17
vulnerable y, que en el caso de Internet, los protocolos no fueron diseñados para sostener comunicaciones
seguras.
La red es usualmente la parte mas insegura de una organización. Por consiguiente, se deben desarrollar
políticas de seguridad para poder prevenir cualquier acceso no autorizado a la misma como pueden ser
hackers o usuarios de la misma red que no deberían tener acceso a ciertos recursos del sistema. Estas políticas
deben ser más exigentes sobretodo si dicha organización cuenta con un acceso a alguna red pública, como
puede ser Internet.
Un usuario casero, aunque no se de cuenta, tampoco debe descuidar el acceso indiscriminado a su ordenador,
ya que la supresión o el acceso a cierta información relevante acerca de él puede costarle más de un disgusto.
Lo mas seguro es no tener acceso a nada, pero esto no nos produciría ninguna ventaja. La mejor solución pasa
por permitir ciertas clases de accesos y negar otros. Esta clase de seguridad se puede implementar mediante un
Firewall.
Referencias
Novatica , Seguridad e Informática. Número 116. Julio − Agosto de 1995
www.kriptopolis.com
www.geocities.com/multi_educa/rpv.html
www.cyberangels.org/international/espanol/net−ed/firewalls.html
www.geocities.com/TimesSquare/Alley/8532/proxiesII.txt
www.geocities.com/siliconvalley/way/4651/seguridad/firewalls/
El contenido de estas direcciones se encuentra referido al mes de Abril de 2001
Seguridad en Redes: Firewalls
21
Ampliación de Sistemas Operativos
Filtrador de paquetes
Pasarelas a nivel de aplicación
Pasarelas a nivel de
red
Nivel mas alto
Red externa
(dudosa confianza)
18
Red interna
(entera confianza)
Paquete IP
Packet Filter
Paquete aceptado
Paquete denegado
Mayor contacto directo con la información
Red exterior
Red interior
Host Bastion
Puerto de acceso
al Servidor
Puerto de acceso
al Cliente
Cliente
Servidor
19