Anexo IV. Tutorial de Implementação de Políticas de Segurança das Redes sem Fio das Unidades do CEFETES

Transcrição

1 Anexo IV Tutorial de Implementação de Políticas de Segurança das Redes sem Fio das Unidades do CEFETES Este documento tem como objetivo documentar as configurações que devem ser feitas para a implementação de políticas de segurança nas redes sem fio das unidades do CEFETES. Serão mostradas as configurações que devem ser feitas no firewall, no servidor Radius, nos pontos de acesso sem fio, nos switches e nas estações clientes sem fio. Estas configurações sofrerão alterações para cada unidade do CEFETES. Para o melhor entendimento deste tutorial, serão mostrados exemplos da implementação das políticas de segurança na rede sem fio da unidade do CEFETES de Vitória. 1. Configurações no Firewall da Unidade Em cada unidade do CEFETES há um firewall Linux configurado com alguns serviços tais como Iptables, Squid, Dansguardian, Iproute. 1 P a g e

2 Serão instalados no firewall de cada unidade os serviços de VLAN e de DHCP e adicionadas regras do Iptables. 1.1.VLAN (Virtual LAN) Serão configuradas três VLANs no firewall da unidade. A VLAN chamada Guest permite apenas o tráfego de pacotes da rede sem fio com SSID Guest. A VLAN chamada Corp permite apenas o tráfego de pacotes da rede sem fio com SSID Corp. Enquanto que a VLAN chamada MGMT é utilizada para a autenticação Radius da rede Corp e também para gerenciamento do Ponto de Acesso sem fio. Para fazer com que o sistema operacional Linux tenha suporte a VLAN é necessário instalar o pacote vlan, executando o seguinte comando: # apt-get install vlan Após instalar o pacote vlan é necessário carregar o módulo 8021q. Carregue o módulo, com o seguinte comado: # modprobe 8021q Para que não seja necessário carregar manualmente este módulo toda vez que o sistema operacional for iniciado, execute o comando abaixo: # echo 8021q >> /etc/modules Depois que o pacote vlan estiver instalado e iniciado, crie um script chamado vlan no diretório /etc/init.d/ contendo os comandos para a criação das VLANs: #!/bin/sh #Identificador das VLANs guest=1717 corp=1818 mgmt= P a g e

3 # Interface em que serão configuradas as VLANs iface=eth1 #IP das interfaces do firewall ip_guest=" " ip_corp=" " ip_mgmt=" " # Mascara de rede mask=" " case "$1" in start) echo "Criando VLANs..." ifconfig $iface up vconfig set_name_type VLAN_PLUS_VID # VLAN GUEST vconfig add $iface $guest ifconfig vlan$guest $ip_guest netmask $mask up # VLAN Corp vconfig add $iface $corp ifconfig vlan$corp $ip_corp netmask $mask up # VLAN GERENCIAMENTO vconfig add $iface $mgmt ifconfig vlan$mgmt $ip_mgmt netmask $mask up echo "[OK]" ;; stop) *) echo "Removendo VLANs..." ifconfig $iface down vconfig rem vlan$guest vconfig rem vlan$corp vconfig rem vlan$mgmt echo "[OK]" ;; echo "Use {start stop}" ;; esac ifconfig $iface up Explicando os principais comandos no script Este comando levanta a interface definida na variável iface. 3 P a g e

4 Esta interface é onde serão configuradas as VLANs. Para cada unidade, esta interface deverá ser alterada, para a interface que realmente será utilizada. Para alterar a interface, altere a seguinte linha do script: iface=eth1 vconfig set_name_type VLAN_PLUS_VID Quando se adiciona uma VLAN no Linux, é criada uma interface que receberá/enviará os frames que tenham o identificador de VLAN (VLAN ID) correspondente àquela VLAN. Este comando configura o nome da interface das VLANs para: vlan[vlan ID]. Então quando for adicionada uma VLAN com identificador 1717, a interface desta VLAN será identificada por vlan1717. vconfig add $iface $guest Este comando adiciona uma VLAN na interface cujo o nome está setado na variável iface e com identificador igual ao contido na variável guest, no aso do script acima o comando seria executado realmente assim: vconfig add eth O VLAN ID configurado neste script deve ser escolhido para cada unidade, e devem ser os mesmos identificadores configurados nos switchs. Para alterar os identificadores de VLAN, altere as seguintes linhas do script: guest=1717 corp=1818 mgmt=1919 ifconfig vlan$guest $ip_guest netmask $mask up Este comando configura o endereço IP e a máscara para a interface de VLAN criada. No exemplo acima, este comando seria executado realmente assim: ifconfig vlan netmask up Lembre-se que ao adicionar uma VLAN, é criada uma interface para aquela receber/ enviar frames identifcados com o VLAN ID da VLAN adicionada. 4 P a g e

5 Altere as seguintes linhas do script para adequar aos endereços IPs e mácaras utilizados na unidade: ip_guest=" " ip_corp=" " ip_mgmt=" " mask=" " ifconfig $iface down Este comando desabilita a interface em que estão acopladas as VLANs. No caso do script, este comando seria executado realmente assim: ifconfig eth1 down vconfig rem vlan$guest O comando acima remove uma VLAN criada. No caso do script acima, este comando seria executado realmente assim: vconfig rem vlan1717 Para iniciar as configurar as VLAN utilizando o script acima execute o comando abaixo: # /etc/init.d/vlan start Para desativar a configuração das VLANs execute o comando abaixo: # /etc/init.d/vlan stop Para que o script de configuração das VLANs seja inicializado automaticamente quando o sistema for iniciado, execute o comando abaixo: # update-rc.d vlan defaults Após a execução do comando acima, toda a vez em que o firewall da unidade for iniciado as VLANs serão automaticamente configuradas. 5 P a g e

6 1.2.Iptables O firewall Iptables é necessário para que ocorra o devido controle de acesso entre as redes sem fio e os recursos fornecidos pela rede do CEFETES Vitória. Como a política do firewall do CEFETES Vitória é bloquear tudo e liberar o necessário, faz-se necessário adicionar regras no firewall para que a rede sem fio funcione corretamente. As regras a seguir devem ser adicionadas para que a autenticação entre a estação sem fio e o servidor Radius possam acontecer corretamente: iptables -t filter -A FORWARD i vlan1919 o eth0 -p udp --dport j ACCEPT iptables -t filter -A FORWARD i eth0 o vlan1919 -p udp --sport j ACCEPT Altere as interfaces vlan1919 e eth1 para as interfaces que realmente serão utilizadas no firewall da unidade. As regras abaixo liberam o servidor DHCP que está configurado no servidor Linux para fornecer endereços IPs apenas para a redes Corp e Guest. iptables -t filter -A INPUT i vlan1717 -p udp --dport 67 -j ACCEPT iptables -t filter -A INPUT i vlan1818 -p udp --dport 67 -j ACCEPT iptables -t filter -A OUTPUT o vlan1717 -p udp --sport 67 -j ACCEPT iptables -t filter -A OUTPUT o vlan1818 -p udp --sport 67 -j ACCEPT Altere as interfaces vlan1717 e vlan1818 para as interfaces que realmente serão utilizadas no firewall da unidade. Adicionadas as regras acima o firewall já está liberando a autenticação na rede sem fio e a concessão de endereços IPs para a rede sem fio. Porém, é necessário ainda fornecer acesso à Internet para as redes Guest e Corp. Estas regras que devem ser adicionadas dependerão muito dos serviços que a unidade permite, mas algumas regras que podem ser adicionadas são: # Libera o serviço de DNS iptables -t filter -A INPUT i vlan1717 -p udp --sport 53 -j ACCEPT iptables -t filter -A INPUT i vlan1818 -p udp --sport 53 -j ACCEPT iptables -t filter -A OUTPUT o vlan1717 -p udp --dport 53 -j ACCEPT iptables -t filter -A OUTPUT o vlan1818 -p udp --dport 53 -j ACCEPT 6 P a g e

7 # Libera o serviço de HTTP iptables -t filter -A INPUT -p tcp --sport 80 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT iptables -t filter -A FORWARD -p tcp --dport 80 -j ACCEPT iptables -t filter -A FORWARD -p tcp --sport 80 -j ACCEPT Lembre-se que as regras acima são apenas um exemplo, pois será necessário além delas configuras regras para o proxy e para a realização de NAT. Libere também o acesso ao serviços da interna da unidade para a rede Corp. Porém, não se esqueça que não deve ser fornecido acesso à rede interna da unidade para a rede Guest. 1.3.ARP (Address Resolution Protocol) Foram encontrados problemas na respostas de requisições ARP por parte dos pontos de acesso sem fio. A fim de solucionar este problema configurou-se manualmente a entrada ARP para cada ponto de acesso instalado na rede. Porém, para não ser necessário executar estes comandos manualmente toda a vez que o sistema for iniciado, crie um script chamado arpp no diretório /etc/init.d/ que executará os comandos para a adição de entradas ARPs de forma permanente para cada ponto de acesso. #!/bin/sh arp -s :18:6E:15:BC:40 #AP CEFETES-Vitoria-U3a arp -s :18:6E:15:BA:40 #AP CEFETES-Vitoria-U3b Para cada ponto de acesso sem fio adicionado na rede, deve ser adicionada a seguinte linha no script contendo o endereço IP e o endereço MAC do ponto de acesso: arp s [Endereço IP] [Endereço MAC] 1.4.DHCP (Dynamic Host Configuration Protocol) 7 P a g e

8 Instale o servidor dhcp com o seguinte comando: # apt-get install dhcp3-server Após instalar o pacote, edite o arquivo dhcpd.conf localizado em /etc/dhcp2/ e adicione ou altere as seguintes linhas: option domain-name cefetes.br ; #Sufixo DNS option domain-name-servers ; #Servidor DNS subnet netmask { range ; # Faixa de IP que será fornecida option routers ; # Gateway que sera fornecido } subnet netmask { range ; # Faixa de IP que será fornecida option routers ; # Gateway que sera fornecido } O arquivo acima deve ser configurado para as configurações escolhidas pela unidade para a rede sem fio 2. Configuações do Servidor Radius O servidor Radius será configurado em um sistema operacional Windows, através do serviço IAS (Internet Authentication Service). 2.1.AD (Active Directory) Crie no Active Directory, para a Unidade de Ensino, um grupo chamado grpwirelesscorp no qual serão adicionados os grupos ou usuários que poderão ter acesso à rede sem fio Corp dessa Unidade. 8 P a g e

9 2.2.IAS (Internet Authentication Service) Depois de instalar o Internet Authentication Servive (IAS) é necessário registar o IAS no domínio cefetes.br, para que o IAS possa autenticar credenciais de usuários e propriedades de contas de acesso de usuários. Efetue este procedimento como mostra a figura abaxo: Figure 1 - Clique com o botão direito do mouse em "Internet Authentication Service" e em seguida em "Register Server in Active Directory" Configuração de Políticas de Acesso Adicione uma nova política de acesso remoto para conceder acesso a clientes sem fio, como mostra a figura abaixo: 9 P a g e

10 Figure 2 - Clique com o botão direito em "Remote Access Policy" e selecione "New Remote Access Policy". Em seguida escolha a opção de política customizada, e dê o nome de Rede Wireless Corp para a política. Figure 3 - Selecione a opção "Set up a custom policy" e dê um nome a política. 10 P a g e

11 Selecione as condições para que o acesso seja concedido para a requisição. As condições escolhidas para conceder acesso são: O tipo de autenticação da requisição deve ser EAP; O usuário que faz a requisição deve pertencer ao grupo grpwirelesscorp do Active Directory; Deve ser uma requisição sem fio IEEE Figure 4 - Seleção de condições da política. 11 P a g e

12 Após a configuração das condições de acesso escolha a opção de conceder acesso para as requisições que preencherem todas as condições da política de acesso. Figure 5 - Selecione a opção "Grant remote access permission". Em seguida configure o perfil (profile) da política que está sendo criada. 12 P a g e

13 Figure 6 - Clique em "Edit Profile...". Permita apenas os métodos de autenticação EAP para a conexão. 13 P a g e

14 Figure 7 - Desmarque todas as caixas de seleção e cique em "EAP methods". 14 P a g e

15 Selecione apenas o método PEAP (Protected EAP) para a autenticação da conexão. Figure 8 - Adicione o método de autenticação "Protected EAP (PEAP)" e clique em "Edit...". 15 P a g e

16 Selecione o certificado emitido para carolina.cefetes.br e configure a reconexão rápida. Figure 9 - Selecione "carolina.cefetes.br" em "Certificate issued. Selecione "Enable Fast Reconnect". 16 P a g e

17 Confire os seguintes atributos para serem retornado para o ponto de acesso: Tipo do meio do túnel: 802; Identificador do grupo: 1818; Tipo do tunel: VLAN. Figure 10 - Seleção de atributos que serão retornados para o Ponto de Acesso sem Fio. Após estas configurações a política de acesso remoto esta configurada e pronta para conceder acesso a conexões que atendam as condições da conexão. 17 P a g e

18 2.2.2 Configuração de Novos Clientes Adicione os pontos de acesso sem fio como clientes Radius para estes poderem fazer requisições ao IAS. Figure 11 - Clique com o botão direito do mouse em " RADIUS Clients" e selecione "New RADIUS Cliente". Configure o nome e o endereço IP do ponto de acesso sem fio. 18 P a g e

19 Figure 12 - No campo "Friendly name" coloque o noem do ponto de acesso. em "Cliente address" coloque o endereço IP do ponto de acesso. Selecione 3com no fabricante do ponto de acesso e digite a senha compartilhada entre o ponto de acesso e o servidor RADIUS. 19 P a g e

20 Figure 13 - Em "Client-Vendor" selecione o fabricante do ponto de acesso. Digite a senha compartilhada entre o ponto de acesso e o servidor IAS. Estas configrações de adição de clientes RADIUS deve ser feita para casa ponto de acesso sem fio instalado na rede. 3. Configuração do Switch Antes de configurar o ponto de acesso é necessário que o switch esteja configurado para o tráfego das VLANs 1717, 1818, 1919 em modo trunking. No caso dos switches Enterasys modelo V2, para fazer as configurações, acesse o switch via web browser, e vá em VLAN >> 802.1Q VLAN >> Static List e adicione as VLANs Guest, Corp e Mgmt, com Ids 1717, 1818 e 1919, respectivamente. Todas as VLANs devem estar como Enable. 20 P a g e

21 Figure 14 - Adicione as VLANs Guest, Corp, e Mgmt, com IDs 1717, 1818 e 1919, respectivamente. Agora, é necessário configurar as portas do switch em que os pontos de acesso e a inteface do firewall estarão conectadas para modo trunk. Para isso vá em VLAN >> 802.1Q VLAN >> Port Configuration. 4. Configuração dos Pontos de Acesso No cado do ponto de acesso 3Com Wireless 8760 Dual-radio 11a/b/g acesse via porta serial o ponto de acesso e execute os seguintes comandos no Hyper Terminal (no Windows) ou pelo GtkTerm (no Linux): > configure > interface ethernet > no ip dhcp > ip <ENDEREÇO IP> <MÁSCARA> <GATEWAY> > dns primary-server <SERVIDOR DNS> > end > management-vlanid 1919 > vlan enable Após executar o último comando, será perguntado se deseja reiniciar o AP, selecione que sim. 21 P a g e

22 Depois que o AP tiver iniciado, abra o Web Browser e digite na barra de endereço o endereço IP do ponto de acesso. Será pedido usuário e senha, então digite-os. Após digitar o usuário e senha clique em Advanced Setup. Confire então dois VAPs (Virtuals Access Point) com SSID Guest e Corp, com VLANs 1717 e 1919, respectivamente. Para fazer estas confirações vá em b/ g Interface >> Radio Settings e deixe as confiuraçõe como na figura abaixo. Figure 15 - Configuração dos VAPs Guest e Corp, com VLANs 1717 e 1919 respectivamente. Em seguida, configure para que os clientes dentro de um VAP (rede Guest ou rede Corp) não comuniquem-se entre si e também configure para que não ocorra comunicaçao entres clientes de VAPs diferentes. Também permita somente que o ponto de acesso seja gerenciado apenas por clientes da rede cabeada. Para isso, vá em System >> Filter Control e deixe como na figura abaixo: Figure 16 - Não permite comunicação dentro dos VAPs nem entre os VAPs. Permita apenas que o AP seja gerencado por clientes da rede cabeada. 22 P a g e

23 4.1.SSID Guest A rede Guest será configurada com autenticação de chave pré-compartilhada WPA (WPA-PSK) e com encriptação WPA-AES. Para configurar a rede Guest vá em b/g Interface >> Security e escolha o Virtual AP 1 Guest. Em seguida, configure como mostrado nas figuras abaixo. Figure 17 - Selecione a autenticação aberta. Figure 18 - Habilite a encriptação. E selecione o modo de encriptação AES. 23 P a g e

24 Figure 19 - Permita apenas clientes WPA. Figure 20 Selecione a autenticação WPA-PSK. E digite uma chave pré-compartilhada de no mínimo oito bits em formato alfanumérico. 4.2.SSID Corp A rede com SSID Corp será configurada com autenticação 802.1x e com encriptação WPA-AES. Vá em Systems >> Radius e configure o servidor primário de autenticação Radius como mostra a figura abaixo. 24 P a g e

25 Figure 21 - Entre com o IP e porta do servidor Radius. Digite a chave compartilhada entre o servidor Radius e o AP. Lembre-se que a chave que será digitada nesta página, deve ser a mesma chave que foi configura para o ponto de acesso no servidor IAS. Em seguida, vá em System >> Authentication e configure o suporte ao 802.1x. Figure 22 - Configure o suporte a 802.1x. Agora, vá em b/g Interface >> Security em seguida selecione o Virtual AP 2 Corp e configure a autenticação e a encriptação. 25 P a g e

26 Figure 23 - Selecione a autenticação aberta. Figure 24 - Habilite a encriptação e selecione o modo de encriptação AES. Figure 25 - Permita somente clientes WPA. Figure 26 - Selecione a autenticação 802.1x. 26 P a g e

27 5. Estações Clientes sem Fio 5.1.Rede Guest 27 P a g e

28 28 P a g e

29 29 P a g e

30 30 P a g e

31 31 P a g e

32 5.2.Rede Corp 32 P a g e

33 33 P a g e

34 34 P a g e

35 35 P a g e

36 36 P a g e

37 37 P a g e

38 38 P a g e

39 39 P a g e