Guia Completa: Routers, Firewalls i Seguretat de Xarxes

Conceptes Fonamentals de Xarxes i Dispositius

Xarxes d'Àrea Àmplia (WAN)

Característiques de les WAN

Les Xarxes d'Àrea Àmplia (WAN) principalment connecten xarxes d'àrea local (LAN) entre si, més que nodes individuals. Treballen a la capa 3 (nivell de xarxa) del model OSI, operant directament amb adreces IP.

Protocols d'Accés Remot

Són la manera més habitual de connectar-nos a Internet. Impliquen l'ús de convertidors analògic-digitals (com els mòdems, que són moduladors/desmoduladors).

PPP (Protocol Punt a Punt)

Permet l'accés remot mitjançant l'intercanvi de trames i mecanismes d'autenticació.

PPTP (Protocol de Túnel Punt a Punt)

Afegeix capçaleres a les trames PPP provinents d'una LAN. Així, les comunicacions queden xifrades. S'utilitza sovint en Xarxes Privades Virtuals (VPN).

RAS (Servei d'Accés Remot)

Connecta equips remots amb xarxes corporatives o amb el servidor de la xarxa corporativa. És un encaminador per programari que utilitza el protocol PPTP sobre línies telefòniques o ADSL, amb capacitat d'autenticació i encriptació de dades.

L'Encaminador (Router)

És un dispositiu que proporciona connectivitat a nivell 3 (capa de xarxa) del model OSI.

Característiques Generals del Router

• La funció bàsica és encaminar paquets entre els seus diferents ports de xarxa utilitzant l'adreça IP.
• Connecta diferents LAN a la capa 3.

Diferència entre Router Sense Fils i Tradicional

L'encaminador sense fils permet la connexió de dispositius sense fils a les xarxes a les quals està connectat mitjançant connexions per cable.

Protocols d'Encaminament Comuns

OSPF (Open Shortest Path First)

Protocol d'encaminament basat en l'estat de l'enllaç (troba la ruta més curta entre dos encaminadors).

BGP (Border Gateway Protocol)

Protocol de passarel·la de frontera, utilitzat a Internet per intercanviar informació d'encaminament i accessibilitat entre sistemes autònoms (AS).

RIP (Routing Information Protocol)

Protocol d'informació d'encaminament, adequat per a xarxes petites amb pocs encaminadors.

Rendiment d'un Encaminador

Generalment és inferior al dels commutadors (switches), ja que ha d'analitzar i processar paquets a la capa de xarxa que li arriben.

Taula d'Encaminament (o de Rutes)

És una taula que emmagatzema informació sobre les xarxes accessibles i els ports de sortida corresponents per assolir-les.

Encaminament Estàtic vs. Dinàmic

• Estàtic: Configurat manualment per l'administrador de xarxa. És més propens a la congestió si la topologia canvia.
• Dinàmic: Els encaminadors aprenen la topologia automàticament mitjançant protocols d'encaminament. És més adaptable però consumeix més recursos (rendiment lleugerament menor).

Ruta d'Encaminament i Ruta per Defecte

• Ruta d'encaminament: Defineix el següent salt (next hop), normalment l'adreça IP d'un altre encaminador, cap on s'ha d'enviar un paquet per apropar-lo al seu destí.
• Ruta per defecte: Ruta utilitzada quan no hi ha cap coincidència específica a la taula d'encaminament per a l'adreça de destí. Normalment apunta a un encaminador que té més informació sobre la xarxa (p. ex., el proveïdor d'Internet).

Funcions Clau dels Routers

• Aïllen el tràfic de broadcast.
• No propaguen broadcasts dirigits (com els destinats a 255.255.255.255).
• Redueixen la congestió i segmenten els dominis de col·lisió en les subxarxes interconnectades.
• Interpreten adreces IP (capa 3) en lloc d'adreces MAC (capa 2).
• No són commutadors (switches).
• Tenen un alt grau d'intel·ligència i poden gestionar diversos protocols.
• Proporcionen seguretat mitjançant filtratge de paquets (p. ex., per adreça IP).

Interconnexió d'Encaminadors

Quan un encaminador rep un paquet, consulta la seva taula d'encaminament. Si el destí és a una xarxa directament connectada, l'envia directament. Si no, l'envia al següent encaminador (salt) indicat a la ruta corresponent.

Seguretat i Control d'Accés a la Xarxa

Tallafocs (Firewalls)

Característiques Generals dels Tallafocs

Són dispositius (maquinari o programari) que controlen el tràfic de xarxa entrant i sortint, permetent o bloquejant paquets segons unes regles de seguretat definides. Són necessaris per protegir la xarxa local (LAN) de l'exposició a Internet, prevenint accessos no autoritzats, intrusions i propagació de programari maliciós (malware). Permeten controlar i limitar l'accés a recursos interns i externs per motius de seguretat.

Els tallafocs poden operar a diferents capes del model OSI, principalment a la capa 3 (xarxa) i 4 (transport), però també a la capa d'aplicació (capa 7). Els tallafocs de nivell superior (p. ex., de capa d'aplicació) analitzen el contingut de les dades amb més detall, oferint més seguretat (poden detectar amenaces dins del tràfic, com virus) però poden ser més lents.

Zona Desmilitaritzada (DMZ)

És una subxarxa física o lògica que s'exposa a una xarxa externa no fiable (com Internet) i que allotja serveis com servidors de correu, web o FTP. Aquests servidors requereixen un accés més obert des d'Internet que els sistemes interns de la LAN. La DMZ està aïllada tant d'Internet com de la LAN interna mitjançant tallafocs, que apliquen polítiques de seguretat específiques.

Servidors Proxy

És un servidor intermediari entre els clients d'una xarxa i Internet. Actua en nom del client per realitzar peticions a altres servidors. Pot utilitzar-se per registrar l'ús d'Internet, filtrar contingut (bloquejar llocs web), millorar el rendiment (memòria cau) i proporcionar seguretat.

Característiques Generals dels Proxies

Les seves funcions inclouen: actuar com a intermediari, emmagatzematge en memòria cau (caching), filtratge de contingut, autenticació d'usuaris i emmascarament d'IP (ocultant les IP internes). Pot integrar funcionalitats de tallafocs.

Configuració del Client Proxy

Quan s'utilitza un servidor proxy, els navegadors dels clients s'han de configurar per dirigir totes les peticions d'Internet a l'adreça IP i al port del servidor proxy (un port comú és el 3128, però pot variar).

Emmascarament d'IP (IP Masquerading / NAT)

És una tècnica (sovint implementada mitjançant NAT - Network Address Translation) que permet a múltiples dispositius d'una xarxa privada compartir una única adreça IP pública per accedir a Internet. L'encaminador o servidor que fa l'emmascarament tradueix les adreces privades a la pública.

Filtratge a la Xarxa

Mesures de Seguretat Física i Lògica Bàsiques

• Protegir els equips físicament contra robatori.
• Restringir l'accés físic als servidors només al personal autoritzat (administradors).
• Establir polítiques sobre la descàrrega i instal·lació d'aplicacions per part dels usuaris (evitar programari no autoritzat o sense llicència).
• Exigir contrasenyes segures (complexitat, longitud).
• Implementar bloqueig de comptes després de múltiples intents fallits d'inici de sessió.

Filtratge de Continguts Web

L'administrador de xarxa pot implementar filtratge de continguts web per bloquejar l'accés a llocs web considerats inapropiats o improductius segons la política de l'empresa. Tècniques comunes:

• Filtratge per paraules clau: Bloqueig basat en la presència de paraules prohibides al contingut.
• Filtratge per URL/categories: Ús de llistes negres (llocs prohibits) o llistes blanques (llocs permesos), sovint basades en categories (p. ex., xarxes socials, jocs).
• Filtratge basat en etiquetes/metadades: Requereix un sistema d'etiquetatge estandarditzat (menys comú i difícil d'implementar globalment).

Filtratge de Correu Electrònic

L'administrador pot configurar filtres al servidor de correu per bloquejar correu brossa (spam), programari maliciós o contingut no desitjat (tant entrant com sortint). Els usuaris també poden crear les seves pròpies regles de filtratge als seus clients de correu.

Filtratge de Connexions (Polítiques d'Accés)

Consisteix a definir regles (polítiques d'accés) en encaminadors i tallafocs per permetre o denegar connexions basant-se en criteris com adreces IP d'origen/destí, ports o protocols. És una part crítica del disseny de la seguretat de la xarxa.

Principis de Seguretat a la Xarxa

• Complexitat vs. Seguretat: Les xarxes més complexes solen tenir més punts vulnerables.
• Seguretat vs. Usabilitat: Sovint hi ha un compromís; més seguretat pot implicar menys facilitat d'ús.
• La seguretat és un procés continu: Les amenaces evolucionen, cal adaptar-se.
• Requereix inversió contínua.
• Identificar i mitigar riscos: Avaluar les debilitats per prevenir incidents costosos.
• La baula més feble: La seguretat global depèn del punt més vulnerable.
• Prioritzar amenaces: Enfocar-se en els riscos més probables i coneguts.
• La seguretat és una inversió, no una despesa.

Administració i Manteniment de Xarxes

Desplegament de Xarxa

És el conjunt d'accions per a la instal·lació i posada en marxa progressiva d'una xarxa i els seus components (sistemes, aplicacions).

Manteniment de la Xarxa

• Anàlisi estadística d'incidències.
• Monitoratge del tràfic (identificar anomalies o tràfic erroni).
• Planificació de millores, actualitzacions i creixement.
• Les millores han de respondre tant a problemes detectats com a l'evolució tecnològica.
• Mantenir actualitzats sistemes operatius, controladors (drivers) i tot tipus de programari (plugins, aplicacions).
• Revisió periòdica del cablejat (p. ex., cables de connexió UTP RJ45), ja que pot fallar fins i tot després de la instal·lació.

Gestió d'Incidències, Suport i Documentació

Localització d'Avaries

• Identificar l'element afectat (node, dispositiu, cable) sectoritzant el problema.
• Les avaries simples solen ser més fàcils de diagnosticar.
• Determinar la causa de l'avaria.

Costos Associats a les Avaries

• Cost del temps d'inactivitat del sistema.
• Cost associat al temps de reparació.
• Cost directe de la reparació (peces, mà d'obra).

Externalització (Outsourcing) i Help Desk

• Externalització (Outsourcing): Delegació de funcions de suport tècnic o gestió de TIC a empreses externes.
• Servei d'assistència (Help Desk): Punt central de contacte per a usuaris que necessiten suport tècnic (sovint telefònic, per correu o via sistema de tiquets).

Documentació Essencial de la Xarxa

L'administrador de la xarxa ha de mantenir actualitzada, com a mínim, la següent documentació:

• Mapes de xarxa (físic i lògic).
• Inventari de nodes (maquinari, programari, adreces MAC, IP fixes si n'hi ha).
• Llistat de protocols utilitzats (a més de TCP/IP, si escau).
• Documentació de grups i usuaris (amb permisos i privilegis).
• Inventari de recursos i serveis compartits (impressores, carpetes, permisos d'accés).
• Registre d'incidències i avaries (historial per identificar problemes recurrents i equips problemàtics).
• Informes de costos de manteniment i planificació d'inversions futures segons les necessitats.
• Pla de contingència i recuperació davant desastres (defineix accions a seguir i avalua l'impacte d'interrupcions potencials).