Execícios de Revisão Redes de Computadores Edgard Jamhour. Proxy, NAT Filtros de Pacotes

Transcrição

1 Execícios de Revisão Redes de Computadores Edgard Jamhour roxy, NAT Filtros de acotes

2 Exercício 1 Configure as regras do filtro de pacotes "E" para permitir que os computadores da rede interna tenham acesso a serviços HTT, HTTS e DNS na Internet. Todos os demais acessos devem ser proibidos. servidor DNS (53) E servidor HTT (80) HTTs (443) /24 rede interna INTERNET rede externa

3 Auxilio Rede Interna /24 DNS HTT HTTS N,R,E >= UD R,E ACK 0,1 >= ACK 1 TC >=1024 ACK 0,1 443 TC ACK 1 Firewall

4 Exercício 1: Regras do Filtro regra ação (/B) protocolo ip origem ip destino porta origem porta destino ACK/Estado Ação: ()ermitir ou (B)loquear rotocolo: TC, UD, ICM, etc. ACK: 0, 1 Estado: N(ew), R(elated), (E)stablished

5 Cenário para os Exercícios 2 e 3 No cenário abaixo, o cliente A efetua uma comunicação HTT (requisição e resposta) como o servidor Z. O roteador 1 está configurado como NAT. 80 C D E V 1 X 2 Y Z A / / /24 INTERNET / /24

6 Exercício 2: Defina o Formato dos Quadros Mac Destino Mac Origem ip origem ip destino porta origem porta destino acote enviado por A acote enviado pelo roteador 1 acote recebido pelo roteador 2 acote recebido pelo servidor HTT acote enviado pelo servidor HTT acote enviado pelo roteador 2 acote recebido pelo roteador 1 acote recebido por A

7 Exercício 3: Indique as afirmativas verdadeiras Afirmativas: ( ) O endereço I e aporta do pacote enviado pelo cliente correspondem ao endereço I e a porta do servidor HTT. ( ) O NAT efetua dois tipos de substituição nos pacotes recebidos. rimeiro, ele substitui o endereço I de origem do cliente pelo seu próprio I. Segundo, e substitui a porta de origem TC por uma porta que ainda não esteja sendo usada em nenhuma outra requisição ativa. ( ) Com um único endereço I público o NAT permite atender mais de 60 mil requisições simultâneas de clientes com endereços I privados. ( ) O servidor de destino é incapaz de identificar o endereço I do cliente que fez a requisição, uma vez que a requisição chega com o endereço I do NAT. ( ) O uso do NAT é transparente para o cliente, uma vez que este envia o pacote diretamente para o servidor HTT de destino, como faria caso tivesse um endereço I público e não houvesse NAT na rede.

8 Exercício 4 Configure as regras dos filtros de pacotes para rede abaixo. Observe que o roteador da rede interna implementa SNAT. ermita que: a) hosts internos tenham acesso a serviços HTT na Internet b) hosts externos tenham acesso aos serviço DNS, HTT e HTTs na DMZ c) o servidor DNS na DMZ possa consultar servidores DNS na Internet. d) todos os demais acessos são proibidos nat DMZ E /24 rede interna DNS (53) HTT (80) HTTs (443) INTERNET

9 Auxilio Rede Interna /24 DNS HTT DNS 0.0.0/0 HTT 0.0.0/ N,R,E R,E 53 UD UD 53 R,E N,R,E N,R,E R,E 53 UD 1024 ACK 0,1 ACK 1 80 TC 1024 ACK 0,1 ACK 1 80 TC NAT ( ) Firewall

10 Exercício 4: Regras do Filtro regra ação (/B) protocolo ip origem ip destino porta origem porta destino ACK/Estado

11 Cenário para os exercícios 5 e 6 No cenário abaixo, o cliente A efetua uma comunicação HTT (requisição e resposta) como o servidor Z através do roxy B. A / / B C D E V X / /24 INTERNET Y /24 Z /24

12 Auxílio: Funcionamento do roxy

13 Exercício 5: Formato dos Quadros Mac Destino Mac Origem ip origem ip destino porta origem porta destino acote enviado por A acote enviado pelo proxy acote enviado pelo roteador 1 acote recebido pelo servidor HTT acote enviado pelo servidor HTT acote recebido pelo roteador 1 acote recebido pelo proxy acote recebido por A

14 Exercício 6: Indique as afirmativas verdadeiras Afirmativas: ( ) O endereço I e aporta do pacote enviado pelo cliente correspondem ao endereço I e a porta do servidor roxy. ( ) O servidor roxy recebe as requisições dos clientes sempre na mesma porta (3128), e abre uma conexão com o servidor de destino utilizando portas de origem diferentes, isto é, uma porta diferente para cada conexão. ( ) Com um único endereço I público o proxy permite atender mais de 60 mil requisições simultâneas de clientes com endereços I privados. ( ) O servidor de destino é incapaz de identificar o endereço I do cliente que fez a requisição, uma vez que a requisição chega com o endereço I do proxy. ( ) O uso do proxy não é transparente para o cliente, uma vez que este precisa enviar o pacote para o proxy e não para o destino final, como faria, se tivesse um endereço I público e não houvesse proxy na rede.

15 Exercício 7 Configure as regras dos filtros de pacotes "I" e "E" para rede abaixo.ermita que: a) hosts internos tenham acesso ao roxy e ao serviços SMT e O3 na DMZ b) o proxy tenha acesso a servidores DNS, HTT e HTTs na Internet c) o servidor de consulte servidores DNS e troque s com outros servidores na Internet via SMT d) os demais acessos são proibidos I DMZ E /24 rede interna ROXY (3128) SMT (25) O3 (110) INTERNET

16 Auxilio para Configuração do Firewall I

17 Exercício 7: Regras do Filtro "I" regra ação (/B) protocol o ip origem ip destino porta origem porta destino ACK/ Estado LIBERA ACESSO AO ROXY Rede Interna /24 roxy roxy Rede Interna /24 LIBERA ACESSO AO O E SMT Rede Interna /24 Servidor Servidor Rede Interna /24 REGRA DEFAULT B * * * * * * FORMA ALTERNATIVA LIBERA ACESSO AOS SERVIÇOS NA DMZ Rede Interna /24 DMZ /24 DMZ /24 Rede Internet /24 REGRA DEFAULT B * * * * * *

18 Auxílio para Configuração do Firewall E

19 Exercício 7: Regras do Filtro "E" regra ação (/B) protocolo ip origem ip destino porta origem porta destino ACK/ Estado LIBERA ACESSO DA DMZ AO DNS DMZ /24 Internet Internet DMZ /24 LIBERA ACESSO DO ROXY A SERVIDORES HTT e HTTS roxy Internet Internet roxy LIBERA ENVIO DE Servidor Internet Internet Servidor LIBERA RECEBIMENTO DE Internet Servidor Servidor Internet REGRA DEFAULT B * * * * * *

20 Exercício 8: Indique as afirmativas verdadeiras Considere um firewall configurado com as seguintes regras: a) ermitir o envio de pacotes TC da rede interna para qualquer computador na Internet, desde que a porta de destino seja 80 ou 443. b) ermitir o recebimento de pacotes TC vindo da Internet para rede internet, desde que a porta de origem seja 80 ou 443, e o flag ACK esteja setado (ACK=1) ( ) O firewall poderá deixar passar pacotes enviados por um servidor para uma porta TC diferente daquela usada pelo cliente para contatá-lo, mas o cliente irá descartar o pacote recebido. ( ) O firewall poderá deixar passar pacotes enviados por um servidor em uma porta TC diferente daquela usada pelo cliente para contatá-lo e o cliente aceitará o pacote recebido. ( ) O firewall poderá deixar passar pacotes enviados por um servidor com o qual o cliente jamais se comunicou anteriormente. ( ) O firewall deixará passar apenas pacotes enviados por um servidor para a mesma porta que o cliente usou para contatá-lo previamente. ( ) O firewall permite que computadores na Internet abram conexões TC em portas utilizadas pelos clientes da rede Interna.

21 Exercício 9: Relacione CARACTERÍSTICA ( ) Quebra o modelo cliente-servidor. ( ) Não é capaz de proteger comunicações UD contra spoofing de porta. ( ) ermite criar regras utilizando informações do protocolo de aplicação, como identificar o tipo MIME em uma sessão HTT. ( ) Libera todas as portas dos clientes acima de ( ) Libera apenas a porta do cliente utilizada para estabelecer a conexão com o servidor. ( ) ermite proteger comunicações TC contra spoofing de porta. ( ) A decisão sobre a passagem ou não de um pacote é tomada utilizando apenas informações contidas no próprio pacote. ALGORITMO 1. Firewall com estado 2. Firewall sem estado 3. Firewall com estado de camada 7 4. roxy 5. Nenhuma das anteriores

22 Exercício 10: Relacione CARACTERÍSTICA ( ) odem bloquear o acesso a servidores externos pelo endereço I? ( ) odem bloquear o acesso a servidores HTT externos pelo nome (FQDN)? ( ) odem bloquear o acesso a servidores HTTS externos pelo nome (FQDN)? ( ) odem bloquear um ataque de SYN flood? ALGORITMO 1. Firewall sem estado 2. Firewall com estado 3. Firewall com estado de camada 7 4. Todos os anteriores 5. Todos menos a 1 6. Nenhuma das anteriores ( ) odem evitar um ataque smurf (broadcast usando o I da vítima como origem)? ( ) odem evitar o download de arquivos executáveis usando HTT? ( ) odem evitar um ataque do tipo password dictionary na porta telnet de uma máquina interna? ( ) odem bloquear o uso do protocolo RD (remote desktop protocol) para acessar servidores na nuvem? ( ) ode bloquear um vírus em um anexo de um ?

23 Exercício 11: Relacione as colunas ( ) ermite que vários computadores com endereços I privados acessem a Internet utilizando um único endereço I público. ( ) Necessita que os computadores com I privado sejam configurados com informações do tradutor de I para acessar recursos na Internet. ( ) Funciona apenas para poucos tipos de protocolos de aplicação. ( ) Funciona para praticamente qualquer protocolo de aplicação baseado em TC ou UD. 1. SOCKS v4/v5 2. SNAT com tradução de porta 3. SNAT sem tradução de porta 4. DNAT 5. roxy de Aplicação 6. roxy Reverso 7. Todas as anteriores 8. Alternativas 1 e Alternativas 1, 2 e Alternativas de 1 a Nenhuma das anteriores. ( ) ermite que vários servidores HTT que hospedam conteúdos diferentes sejam vistos como um único servidor pelos clientes. ( ) O número de conexões simultâneas é igual ao número de endereços públicos disponíveis. ( ) ermite que dois computadores com I privados se comuniquem através da Internet.