Lab0 implementando un laboratorio de Pentesting en GNS3

Vamos a diseñar el laboratorio tratando de que sea lo más realista posible como dice el título se usará GNS3 como herramienta principal.

Arquitectura de la red

Para el diseño de la red vamos a pensar en una organización pequeña y que necesite:

Como vemos tenemos 4 grupos o subredes, ahora algunas condiciones más:

Diagrama

Realizamos un diagrama simple con los requisitos que tenemos para cada red:

Explicación:

• La red pública o para clientes además de ofrecer conectividad vía cable ethernet tambíén lo hace vía wifi
• Las redes: desarrolladores, administrativos y de servidores usarán el mismo tipo de topología y conectividad mediante cable Ethernet

Dispositivos:

En todas las redes se implementa:

• Un router
• Un switch
• En el caso de la red pública además un punto de acceso wifi

Internetwork

El diagrama de como se conectarán las redes:

El firewall está conectado al router de los servidores a esta zona se la conoce como DMZ o zona desmilitarizada(no sé por qué la llaman así y me refiero al nombre no al significado) y a la red interna.

Despúes del firewall tenemos la red interna esta se compone de:

• R1 el router principal que une todas las demás redes
• R2 router de la red pública
• R3 router de la red de administrativos
• R4 router de la red de desarrolladores

Segmentacion de IP’s

Ahora que ya tenemos el diseño de la red podemos establecer las direcciones que tendrán cada red. El rango privado para la red interna será de:

Routers y firewall

Hay que considerar que solo se usarán 2 ip’s entre routers por lo tanto:

La zona DMZ solo tendrá un switch que estará conectado directamente al Pfsense no hay necesidad de usar un router por ahora además de que solo habrá direcciones para un máximo de 6 servidores(por la máscara /29).

Implementando NAT

¿Por qué usar el NAT?, ¿Es realmente necesario? sí vemos la Figura 2 en especial el R1, podemos usar este router para:

• Controlar que red puede tener conectividad a internet
• Servidor DHCP para todas las redes

Esto, sería conveniente, ya que así tendríamos un único punto para controlar la conectividad de las redes, ahora que tipo de NAT usar? cómo entre el pfsense y R1 solo hay 2 únicas ip el tipo de NAT a usar es sobrecarga (overloading en ingles o PAT) esto es un tipo de conexión uno a muchos ósea:

El gráfico significa que todas las redes internas solo podrán tener conectividad mediante la ip de R1(10.0.1.2) y pfsense solo reconocerá esa única ip.

Diagrama final

El diseño final con todo lo anterior es:

GNS3

Los dispositivos usados y que se pueden descargar desde la sección Appliances de la Marketplace de GNS3 son:

• Pfsense firewall
• Router CISCO 7200 o equivalente pero debe ser CISCO
• Swich CISCO iosvl2 (ya integrado con GNS3)

ISP

Al igual que VirtualBox debe elegirse una interfaz para permitir la conectividad a internet, esta parte es similar a la sección “modo puente” pero en GNS3 todo dispositivo externo se representa por la nube la cual puede configurarse en la sección “edit>preferences>Cloud nodes” aquí:

• clic en New
• seleccionar “Run the cloud node on your local computer” luego next
• en “name” poner WAN o ISP o el que se desee hacer clic en “finish”
• seleccionamos la nube creada y luego clic en “edit”
• en “Ethernet interfaces” seleccionar la tarjeta de red física por la cual obtendremos conectividad a internet y clic en “add”
• Finalmente clic en “OK”,“Apply” y “OK”

En la sección “End devices” ya podremos ver nuestra nube y solo queda arrastrarla al panel central de GNS3.

Configuración de Pfsense y DMZ

Pfsense debe instalarse antes de poder usarlo, aquí un video de la instalación de Pfsense en el canal REeset2099.

Y la configuración de la red DMZ y la red LAN:

Configuración de routers

R1

Arrastramos el router CISCO al panel de GNS3 y haciendo clic derecho y en “configure>slots” agregamos 4 interfaces Gigabyte como se ve en la siguiente imagen:

Tabla de direccionamiento para R1:

Tabla de servicios para R1:

Direccionamiento de R1

Ahora que ya tenemos todo definido configuramos las interfaces en el router haciendo clic derecho y console los comandos son:

1
2

R1# enable
R1# configure t

Los comandos siguientes se realizan para cada interfaz solo cambiando la ip e interfaz correspondiente:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

R1(config)#interface GigabitEthernet 1/0 
R1(config-if)#ip address 10.0.1.2 255.255.255.252 
R1(config-if)#no shutdown
R1(config-if)#exit 
R1(config)#interface GigabitEthernet 2/0
R1(config-if)#ip address 10.0.2.1 255.255.255.252
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#interface GigabitEthernet 3/0      
R1(config-if)#ip address 10.0.3.1 255.255.255.252
R1(config-if)#no shutdown
R1(config-if)#exit
R1(config)#interface GigabitEthernet 4/0
R1(config-if)#ip address 10.0.4.1 255.255.255.252
R1(config-if)#no shutdown                        
R1(config-if)#exit
R1(config)#

El resultado final debería ser:

1
2
3
4
5
6
7

R1(config)#do show ip interface brief 
Interface                  IP-Address      OK? Method Status                Protocol
FastEthernet0/0            unassigned      YES unset  administratively down down    
GigabitEthernet1/0         10.0.1.2        YES manual up                    up      
GigabitEthernet2/0         10.0.2.1        YES manual up                    up      
GigabitEthernet3/0         10.0.3.1        YES manual up                    up      
GigabitEthernet4/0         10.0.4.1        YES manual up                    up   

DHCP en R1

Siguiendo la tabla de segmentación primero separamos las puertas de enlace para cada red:

1
2
3

R1(config)#ip dhcp excluded-address 172.16.20.1
R1(config)#ip dhcp excluded-address 172.16.30.1
R1(config)#ip dhcp excluded-address 172.16.40.1

Después configuramos las pools para cada red:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

R1(config)#ip dhcp pool publicNet
R1(dhcp-config)#network 172.16.20.0 255.255.255.0 
R1(dhcp-config)#default-router 172.16.20.1
R1(dhcp-config)#dns-server 1.1.1.1
R1(dhcp-config)#exit
R1(config)#ip dhcp pool adminNet
R1(dhcp-config)#network 172.16.30.0 255.255.255.0
R1(dhcp-config)#default-router 172.16.30.1
R1(dhcp-config)#dns-server 1.1.1.1
R1(dhcp-config)#exit
R1(config)#ip dhcp pool devNet
R1(dhcp-config)#network 172.16.40.0 255.255.255.0
R1(dhcp-config)#default-router 172.16.40.1
R1(dhcp-config)#dns-server 1.1.1.1
R1(dhcp-config)#exit
R1(config)#

NAT en R1

Primero creamos un pool global y la ip que se usará:

1

R1(config)#ip nat pool globalNet 10.0.1.2 10.0.1.2 netmask 255.255.255.252

Después creamos una regla que permita solo las ip’s que están en la lista 1 acceder al pool globalNet:

1

R1(config)#ip nat inside source list 1 pool globalNet overload

Ahora agregamos las redes a la lista de acceso 1 (ACL):

1
2
3

R1(config)#access-list 1 permit 172.16.20.0 0.0.0.255
R1(config)#access-list 1 permit 172.16.30.0 0.0.0.255
R1(config)#access-list 1 permit 172.16.40.0 0.0.0.255

Para verificar las listas de acceso:

1
2
3
4
5

R1(config)#do show access-list
Standard IP access list 1
    10 permit 172.16.20.0, wildcard bits 0.0.0.255
    20 permit 172.16.30.0, wildcard bits 0.0.0.255
    30 permit 172.16.40.0, wildcard bits 0.0.0.255

Como vemos todas las redes lan están en la ACL 1, finalmente establecemos las interaces outside y inside:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

R1(config)#inter gigabitEthernet 1/0
R1(config-if)#ip nat outside
R1(config-if)#exit
R1(config)#inter gigabitEthernet 2/0
R1(config-if)#ip nat inside            
R1(config-if)#exit
R1(config)#inter gigabitEthernet 3/0
R1(config-if)#ip nat inside            
R1(config-if)#exit
R1(config)#inter gigabitEthernet 4/0
R1(config-if)#ip nat inside            
R1(config-if)#exit
R1(config)#

1

R1(config)#do write memory

Rutas en R1

Las rutas son las siguintes:

1
2
3

R1(config)#ip route 172.16.20.0 255.255.255.0 10.0.2.2
R1(config)#ip route 172.16.30.0 255.255.255.0 10.0.3.2
R1(config)#ip route 172.16.40.0 255.255.255.0 10.0.4.2

ruta por defecto o puerta de enlace para R1:

1

R1(config)#ip route 0.0.0.0 0.0.0.0 10.0.1.1

par ver las rutas:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

R1(config)#do show ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route

Gateway of last resort is 10.0.1.1 to network 0.0.0.0

     172.16.0.0/24 is subnetted, 3 subnets
S       172.16.40.0 [1/0] via 10.0.4.2
S       172.16.30.0 [1/0] via 10.0.3.2
S       172.16.20.0 [1/0] via 10.0.2.2
     10.0.0.0/30 is subnetted, 4 subnets
C       10.0.2.0 is directly connected, GigabitEthernet2/0
C       10.0.3.0 is directly connected, GigabitEthernet3/0
C       10.0.1.0 is directly connected, GigabitEthernet1/0
C       10.0.4.0 is directly connected, GigabitEthernet4/0
S*   0.0.0.0/0 [1/0] via 10.0.1.1
R1(config)#

Hasta este punto si ya estamos conectados al Pfsense deberíamos tener conectividad desde R1 al exterior:

1
2
3
4
5
6
7

R1(config)#do ping 1.1.1.1  

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 1.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 48/64/84 ms
R1(config)#

La configuración más compleja ha terminado!!!

Routers R2, R3 y R4

Similar a R1 a cada router se le debe agregar una interfaz en sus opciones de Configuración:

Tabla de direcciones para los routers R2, R3 y R4:

Solo se mostrará los comandos para R2, ya que los comandos para R3 y R4 son similares, solo se debe cambiar la correspondiente dirección ip:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

R2#enable
R2#configure t
R2(config)#interface GigabitEthernet 1/0
R2(config-if)#ip address 10.0.2.2 255.255.255.252
R2(config-if)#no shutdown
R2(config-if)#exit
R2(config)#interface FastEthernet 0/0
R2(config-if)#ip address 172.16.20.1 255.255.255.0
R2(config-if)#ip helper-address 10.0.2.1
R2(config-if)#no shutdown
R2(config-if)#exit

La linea de azul permite a esta interfaz obtener una ip por dhcp desde R1, ahora agregamos las rutas:

1
2

R2(config)#ip route 10.0.1.0 255.255.255.252 10.0.2.1
R2(config)#ip route 0.0.0.0 0.0.0.0 10.0.1.0

Si intentamos hacer ping a una ip externa no tendremos respuesta, ya que la ip del router 10.0.2.2 no está en la ACL del pool de la NAT:

1
2
3
4
5
6

R2(config)#do ping 1.1.1.1 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 1.1.1.1, timeout is 2 seconds:
....
Success rate is 0 percent (0/4)
R2(config)#

Hosts

Ahora que tenemos todo configurado debemos agregar el switch CISCO IOSVl2 a la red pública, este switch no necesita configuración alguna por ahora, conectamos una interfaz del switch a la interfaz FastEthernet0 del router R2 y dejamos las demás para los hosts.

En este punto debemos conectar una máquina para verificar la conectividad como se ve en este video:

Prueba de conectividad

Hasta aquí ya deberíamos poder alcazar la ip del router R1 10.0.1.2 desde R2:

1
2
3
4
5
6

R2(config)#do ping 10.0.1.2

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.1.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/15/24 ms

Y desde R1 a la ip 172.16.20.1 (R2):

1
2
3
4
5
6

R1#ping 172.16.20.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.20.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/15/28 ms

Diagrama final en GNS3

Después de aplicar toda la configuración el diagrama final en GNS3 es:

Puntos débiles/fallas

Si bien el diagrama anterior es funcional los puntos débiles son:

• Los routers/switches no están configurados con usuario y contraseña
• Pfsense aún usa credenciales por defecto (esto es sencillo)
• Hay conectividad entre las redes Pública, Administrativa y Desarrolladores
• Aún no hay un punto de acceso wifi

En los siguientes posts cubriré esos puntos.