RASTREO Y EXPLORACIÓN DE REDES Y SISTEMAS

En esta guía vamos a aprender técnicas y métodos de exploración de redes y sistemas. Veremos métodos para identificar estaciones de trabajo de una red, métodos de rastreo estándar como vainilla conect() y SYN medio abierto, métodos sigilosos de rastreo (indicador de TCP inverso, indicador ACK), métodos anónimos (rastreo de rebote FTP, rastreo de rebote en Proxy) y rastreo de puertos UDP. Pensaba incluir también una técnica silenciosa para enumerar servicios utilizando zombies, pero debido a la extensión y a las posibilidades que ofrece, se dejará para más adelante, ya que no daría tiempo a explicarla como se merece en este how-to.

SONDEO ICMP:

Supongamos que estamos dentro de una red. Como sabréis, en una red podemos encontra estaciones de trabajo, servidores de archivos, servidores de disco, servidores de impresión, servidores ftp, servidores web, servidores de correo... todos ellos conectados a un concentrador, conmutador o router (dependiendo de la red/subred) situado en el típico armario de conexiones. Un atacante, lo primero que haría sería hacerse con las ip's internas de la red con el fin de elaborar un mapa de conceptual de la red y los equipos que la componen. A continuación, procedería a evaluar estos sitemas con la finalidad de encontrar servicios que abordar.

Un sondeo ICMP revelaría en redes potencialmente débiles y poco protegidas, información sobre sus equipos. Existen varios tipos de mensajes ICMP, pero a nosotros nos interesan especialmente cuatro de ellos, que son los que resultan verdaderamente últimes para rastrear una red.

Echo request = También conocidos como paquetes ping. Mediante Nmap, podemos realizar barridos ping para identificar de una manera sencilla los equipos de la red.

Timestamp request = Son solicitudes de tiempo y se utilizan para obtener el tiempo que tarda nuestro equipo en obtener una respuesta del equipo victima.

Information request = Este mensaje se ideó en un principio para localizar sistemas autoconfigurables en el momento de arranque, consiguendo de esta manera descubrir direcciones de red.

Subnet address mask request = Estos mensajes revelan información sobre la mascara de subred utilizada por el equipo analizado. Esto servirá al atacante para realizar el mapa de la estructura de la red y sus subredes.

Barrido ICMP con Nmap:

Nmap, que a en mi humilde opinión, es una auténtica obra de arte de la programación (y los administradores de redes saben por qué lo digo), nos permite realizar barridos icmp con el fin de localizar maquinas internas. Un barrido ICMP consiste en enviar mensajes de tipo 8 "echo request" a todas las direcciones IP internas de la red. Esto se realizaría con el comando:

$ sudo nmap -sP 192.168.2.0/24 Starting Nmap 4.62 ( http://nmap.org ) at 2008-12-22 01:46 CET n hostname -- replacing with '*' Host (192.168.2.1) appears to be up. MAC Address: 00:XX:XX:XX:XX:XX Host 192.168.2.100 appears to be up. Host 192.168.2.103 appears to be up. Host 192.168.2.114 appears to be up. Host 192.168.2.116 appears to be up. Host 192.168.2.117 appears to be up. Host 192.168.2.124 appears to be up. Nmap done: 256 IP addresses (7 hosts up) scanned in 2.142 seconds

Con el argumento -sP, estamos indicando a Nmap que realice un barrido ping en la red. Un administrador competente, habrá filtrado el tráfico ICMP en los firewalls y en el router, por ello esta técnica quedaría obsoleta y habría que condimentarla con algo más. Podríamos añadir al comando el argumento "-PI", que enviará paquetes de sondeo TCP ACK y SYN al puerto 80 de cada equipo:

$ sudo nmap -sP -PI 192.168.2.0/24 Starting Nmap 4.62 ( http://nmap.org ) at 2008-12-22 01:46 CET n hostname -- replacing with '*' Host (192.168.2.1) appears to be up. MAC Address: 00:XX:XX:XX:XX:XX Host 192.168.2.100 appears to be up. Host 192.168.2.103 appears to be up. Host 192.168.2.107 appears to be up. Host 192.168.2.114 appears to be up. Host 192.168.2.116 appears to be up. Host 192.168.2.117 appears to be up. Host 192.168.2.124 appears to be up. Host 192.168.2.136 appears to be up. Host 192.168.2.141 appears to be up. Nmap done: 256 IP addresses (7 hosts up) scanned in 6.053 seconds

Como podéis apreciar, hemos obtenido más información con este comando que con el anterior.

SING:

SING, es una herramienta por línea de comandos que permite envíar sondeos ICMP configurables por el usuario. SING lleva tiempo ya intentando desbancar al comando PING, ya que implementa una serie de mejoras con respecto a este. SING puede descargarse desde sourceforge. Veamos algunas de las posibilidades que nos ofrece esta herramienta. Probemos en primer lugar a realizar un echo request. Con Nmap podíamos realizar esto en un bloque de red. Con SING, si tomamos como objetivo la dirección de difusión (acaba en 255), obtendremos información de todos los equipos de al red:

$ sing -echo 192.168.2.255

Vamos a usar ahora SING para enviar mensajes ICMP de solicitud de tiempo (timestamp request):

$ sing -tstamp 192.168.2.103

Ahora enviaremos mensajes ICMP de solicitud de información (information request):

$ sing -info 192.168.2.107

Por último veamos cono utilizar SING para enviar mensajes ICMP de solicitud de mascara de direcciones (subnet address mask request):

$ sing -mask 192.168.2.136

ICMPScan:

Otra herramienta es ICMPScan,que permite enviar mensajes ICMP de tipo 8, 13, 15 y 17 (que son los 4 que hemos visto antes). Este herramienta es realmente útil, quizá para este tipo de barridos es la mejor, ya que es capaz de poner la interfaz de red en modo promiscuo e indentificar así direcciones IP internas que responden a los sondeos enviados por el programa. Lo podéis descargar de http://bindshell.net/tools/icmpscan. Por si acaso, tenéis un mirror de descarga en esta misma web, al que podéis acceder desde el menú de la izquierda (usadlo en caso de que no funcione el oficial para evitar tráfico innecesario).

Para instalarlo necesitaréis tener instalado libcap y libdnet. Para instalarlo lo haremos del siguiente modo:

$ tar zxvf icmpscan.tgz $ cd icmpscan $ ./configure $ make $ sudo make install

Las funciones de ICMPScan son las siguiente:

Usage icmpscan [ -EPTSNMAIRcvbn ] [ -A address ] [ -f filename ] [ -i interface ] [ -r retries ] [ -t timeout ] target [...] Options -i, --interface Listen on the specified interface. If unspecified, icmpscan will examine the routing table and select the most appropriate interface for each target address. -c, --promisc Put in interface into promiscuous mode. As this option increases the load on the system in general, it should only be used if spoofing of source packets address is enabled with the "-A" option. -A, --address Specify the source IP address of generated packets. -t, --timeout Specify the timeout, in milli-seconds, before retrying. -r, --retries Specify the number of attempts to elicit a particular ICMP response. -f, --file Read target list from the specified file. -E, -P, --echo, --ping Check of ICMP Echo responses. -T, -S, --timestamp Check for ICMP Timestamp responses. -N, -M, --netmask Check for ICMP Netmask responses. -I, --info Check for ICMP Info responses. -R, --router Check for ICMP Router Solicitation responses. -v, --verbose Increase the output verbosity. -B, --debug

Un ejemplo de uso podría ser este:

icmpscan -c -t 500 -r 1 192.168.2.0/24

En este comando estamos especificando a ICMPScan que active el modo promiscuo (-c), que ajuste el tiempo de desconexión a 500 milisegundos (-t 500) y que reenvía como mucho una vez cada sondeo (-r 1).

Métodos de rastreo estándar:

Se trata de técnicas de rastreo sencillas y efectivas pero que llevan el inconveniente de producir mucho tráfico y ser muy agresivas, lo que levantará sospechas en el administrador de la red.

Rastreo Vainilla connect():

Os gusta la vainilla? a mi sí, pero eso no viene al caso. Bueno, ha llegado el momento de meternos con algo de teoría sobre el protocolo TCP/IP. Como ya sabréis, el protocolo TCP (Transfer Control Protcol) es un protocolo de control en el que por medio de banderas (flags) se controla la conexión realizada, indicando cuando se inicia, cuando se establece, cuando finaliza... En el protocolo TCP, para indicar que se va a establecer una conexión, se envía un paquete con flag SYN de sincronización de los sequence numbers (números de secuencia) a un puerto determinado, la maquina receptora, si tiene ese puerta abierto, enviará un paquete con flag SYN para sincronizar los números de secuencia y un paquete con flag ACK para afirmar que la conexión ha sido realizada, finalmente, el primer equipo (cliente) enviará un paquete con flag ACK para asegurar que la conexión se ha establecido también por parte del cliente. Véase el siguiente diagrama:

Sin embargo, si el cliente envía un paquete con flag SYN a un puerto que se encuentra cerrado o filtrado, el servidor responderá con un paquete con flag RST. Véase el siguiente diagrama:

Nmap nos permite realizar este tipo de rastreos con el argumento (-sT).

$ nmap -sT 192.168.167

Rastreo de flag SYN medio abierto:

Como ya hemos comentado, para sincronizar una conexión entre dos equipos utilizando el protocolo TCP/IP, el cliente manda al servidor un SYN, el servidor responde con un SYN/ACK en el caso de que el puerto esté abierto y con un RST si está cerrado. En el caso de que esté abierto y se envíe el SYN/ACK, el cliente concluye con un ACK. La técnica de rastreo de flag SYN medio abierto se distingue de la Vainilla connect() en que esta última, si el puerto está abierto, el cliente responde con un flag ACK. En SYN medio abierto, en caso de que se encuentre abierto el puerto, en lugar de responder con un ACK se reponde con un RST, lo que proboca que se reinicie bruscamente la conexión.

Por desgracia o por fortuna, estos dos métodos son fácilmente detectados por los IDS (Intrussions Detection System), así que no son aconsejables en caso de querer realizar un análisis sigiloso.

En la primera imagen podemos ver como se el servidor responde al SYN enviado por el cliente con un RST, indicando que el puerto está filtrado o cerrado. En la imagen 2, el cliente envía un RST como tercera parte de la comunicación TCP.

Para realizar estos rastreos podemos utilizar Nmap con el argumento -sS:

$ nmap -sS 192.168.2.156

En Nmap se puede ajustar la política de tiempos con el argumento "-T". Con el argumento "-T sneaky" se puede llegar a burlar la seguridad de los firewalls. Esto consiste en enviar muy rápidamente paquetes SYN a diferentes puertos, lo que provocará un desbordamiento de SYN (un tipo de DoS).

Una herramienta muy eficaz es Scanrand, producto de Paketto Keiretsu de Dan Kaminsky. En http://doxpara.com/read.php/code/paketto.html podéis encontrar información relevante sobre el proyecto así como utilidades interesantes. Las opciones del programa son las siguientes:

scanrand 1.10: Stateless TCP Scanner w/ Inverse SYN Cookies(HMAC-SHA1/32 in SEQ) Component of: Paketto Keiretsu 1.10; Dan Kaminsky (dan@doxpara.com) Example: scanrand -b10M 10.0.1.1-254:80,20-25,139 Def. Ports: Use [quick/squick/known/all] instead of explicitly naming ports Options: -S/-L: Only send requests / Only listen for responses -e/-E: Show negative responses / Only show negative responses -t [timeout]: Wait n full seconds for the last response (10s) -b[bandwidth]: Limit bandwidth consumption to n b/k/m/g bytes(0) (0 supresses timeouts or maximizes bw utilization) -N/-NN : Enable name resolution (Prefer Source/Dest) -v : Mark packets being sent, as well as received -vv : Output full packet traces to stderr Addressing: -d [device]: Send requests from this L2 hardware device -i [source]: Send requests from this L3 IP address -p [ port]: Send requests from this L4 TCP Port -s [ seed]: Use prespecified seed for scan verification -f [ file]: Read list of targets from file Experiments: -l [ttl-ttl]: Statelessly TCP Traceroute -D : Distco (Distance Discover) via forced RSTs -c : Try checking Inverse SYN Cookie on Traceroute Notes: Use Control-C to exit before scanrand times out. Be sure to use a longer timeout for slow scans! [n]: estimated network distance from target host. Be careful about available bandwidth -- use -b!

Veamos un ejemplo de uso (para ejecutarlo deberéis tener permisos root):

$ scanrand 192.168.2.1-254:20-25,80,443

Métodos de rastreo sigilosos:

Estos tipos de métodos, aprovechan la estructura de la propia pila TCP/IP para escanear sin ser detectados (en algunas ocasiones, ya que dependerá del IDS y sobretodo del SO). Bueno, vamos al grano. Como ya sabéis, cuando en los métodos anteriores enviábamos paquetes SYN a un host y este nos repondía con el conocido SYN/ACK, daba a conocer que el puerto en cuestión estaba abierto, pero cuando respondía con un RST, daba a entender que el puerto estaba cerrado o filtrado. Muchos IDS son capaces de detectar paquetes con el indicador SYN recibidos y lo que harán será avisar al administrador de sistema diciéndole: "Eh! que están evaluándonos!", a lo que el administrador del sistema responderá tomando mayores medidas de seguridad. Esto desde el punto de vista del atacante puede resultar bastante tedioso y si no queremos levantar sospechas, lo que tendremos que hacer es utilizar métodos sigilosos de rastreo.

Rastreo TCP con indicador inverso:

Este rastreo va a consistir en enviar sondeos con indicadores de tipo FIN, URG, PUSH y NULL. Existen tres tipos de sondeos:

Sondeo FIN = Consistirá en enviar paquetes con el indicador FIN.

Sondeo XMAS = Consistirá en enviar paquetes con los indicadores FIN, URG y PUSH.

Sondeo NULL = Consistirá en enviar paquetes con el indicador NULL.

Cuando enviemos uno de estos indicadores, si el puerto se encuentra abierto, no se obtendrá respuesta alguna. sin embargo, si el puerto se encuentra cerrado, recibiremos un paquete RST. Esto viene definido por el estander RCF 793, que como ya he dicho, indica que si no se percibe ninguna respuesta del puerto analizado, significa que el puerto está abierto o que el equipo se encuentra apagado. Lo que estamos haciendo es enviar paquetes "basura" que dificilmente van a ser detectados por los IDS.

Sin embargo he de deciros que Microsoft (para variar) no respeta este estándar, por lo que no se recbe respuesta alguna cuando se intenta conectar a un puerto cerrado. Por eso esta técnica sólo es eficaz con plataformas UNIX.

Para realizar uno de estos sondeos podemos utilizar Nmap con sus respectivos argumentos:

Sondeo FIN = se utilizará el argumento -sF.

Sondeo XMAS = se utilizará el argumento -sX.

Sondeo NULL = se utilizará el argumento -sN.

Rastreo con indicador ACK:

Otra técnica sigilosa es la de enviar paquetes con indicador ACK y luego analizar la información de los paquetes RST recibidos. Esta técnica explota vulnerabilidades de la pila TCP/IP de sistemas BSD. Existen dos modos de hacerlo:

Análisis del TTL = El TTL es el tiempo de vida de los paquetes recibidos (Time To Live). Para realizar este ataque, hay que enviar miles de paquetes con indicador ACK a diferentes puertos del equipo víctima. Después habrá que analizar los resultados. Nmap nos permite hacer esto con el argumento "sA". Con Hping2 también podemos construir nuestros paquetes y enviarlos aunque hacerlo de forma manual es bastante más tedioso. A la hora de analizar las respuestas habrá que fijarse en el TTL del paquete.

Análisis del campo WiNDOW = Para realizar este ataque se llevará a cabo un procedimiento similar al anterior, enviando muchos paquetes ACK y analizando el campo WINDOW del paquete respuesta. Por norma general, los puertos cerrados tienen un valor WINDOW de 0. Para realizarlo podemos utilizar Hping2 y Nmap con el argumento -sW.

Métodos de rastreo con suplantación de terceros:

En un principio tenía pensado añadir a esta guía información sobre el ratreo basado en el análisis del identificador ip de la cabecera del paquete. Sin embargo ese tema es tan amplio que se dejará para más adelante. Miraremos sin embargo dos técnicas realmente útiles y extremádamente anónimas: Rastreo de rebote FTP o FTP bounce, y rastreo de rebote en proxy.

Rastreo de rebote FTP (FTP bounce):

Muchos servidores web tienen su propio servidor FTP y en muchas redes podemos localizar ordenadores que hacen de servidores de archivos y utilizan el protocolo FTP para desarrollar dicha misión. Es posible que tengamos localizado un servidor FTP desactualizado que permita realizar este tipo de ataques. Existe une defecto en la forma en la que los servidores FTP gestionan las conexiones mediante el comando PORT, que envía datos a equipos y puertos especificados por el usuario. Os pongo algunos servidores que en su configuración estándar se ven afectados por esta vulnerabilidad:

Caldera Linux 1.2 (y versiones anteriores).

FreeBSD 2.1.7 (y versiones anteriores).

HP-UX 10.10 (y versiones anteriores).

IBM AIX 4.3 (y versiones anteriores).

SCO OpenServer 5.0.4 (y versiones anteriores).

Slackwaare 3.3 (y versiones anteriores).

Solaris 2.6/SunOS 5.6 (y versiones anteriores).

La siguiente imagen muestra la estructura del ataque:

Esto es lo que sucede cuando se lleva a cabo este ataque:

1.- El atacante conecta con el puerto del servidor FTP (por defecto el 21). Introduce el modo pasivo, el servidor por tanto es forzado a enviar datos utilizando DTP al puerto espezificado por el atacante en un objetivo. 2.- El atacante intenta conectar con un puerto específico TCP del servidor objetivo mediante el comando PORT. 3.- Se crea una conexión con el equipo objetivo especificado por el comando PORT anterior, mediante el comando LIST. Si se observa una repuesta 226, el puerto está abierto, si la repuesta es 425, el puerto está cerrado o filtrado.

Todo esto lo podemos hacer con Nmap mediante el siguiente comando:

$ nmap -P0 -b usuario:contraseña@servidor:puerto ipvictima

En realidad el argumento que realiza el escaneo FTP bounce es el "-b". El "-P0" sirve para especificar a Nmap que no queremos que realice un ping ya que no tendría sentido poner tanto empeño en camuflarnos si vamos a revelar nuestra verdadera IP.

Rastreo de rebote con proxy:

Todos sabemos que es un proxy y para qué lo podemos utilizar. En este caso vamos a realizar un escanéo utilizando un proxy para anonimizar nuestra IP. Existe una herramienta realmente buena llamada ppscan.c que permite realizar este tipo de escaneos. El uso es el siguiente:

$ ./ppscan Proxy Port Scanner v1.2 by Bronc Buster of LoU Usage: ./ppscan

Esta herramienta podéis descargarla de aquí mismo. Antes estaba disponible en http://phreak.org/, pero parece ser que lo han eliminado. Lo que descargaréis es el código fuente del programa.

Fuente: http://n3t-datagrams.net/guias/rastreo.html

How To: Manual Network Configuration without the need for Network Manager

In setting up their wireless connection for the first time, Im discovering many individuals having problems connecting through Network Manager or other GUI wireless connection tools. In fact my Network Manager is intermittently buggy, connecting sometimes and not others. This guide benefits all users in case the GUI tools are not working, and is useful for testing a wireless connection during initial installation of wireless drivers since it provides for good debugging output.

Clarification to those about to read this Guide
1. This method provides the most low level method to establish your network connection. It is the least common denominator. It does not use any reference to the /etc/network/interfaces file, as this file requires a method that is more high level.
2. If you are interested in making modifications to your /etc/network/interfaces guide to establish your connection, possibly Weiman01's guide covering this topic would be more applicable to your situation: http://ubuntuforums.org/showthread.php?t=318539. This method however uses processes that are more high level. If editing or use of the /etc/network/interfaces file fails, I would recommend reading the guide provided below, as it is "lower level".

Unencrypted/ WEP / WPA (PSK and EAP-TLS) connections will be covered in this guide.
This guide is for anyone attempting to establish a network connection manually at the command line.

Pre-requisites
1. Properly installed network driver -- This guide can be used to troubleshoot driver installation to see if it is properly functioning
2. The ESSID of your router must be broadcasted and not hidden
3. Knowlege of your wireless cards driver (please see Prerequisite #4 to determine driver). Those using the r8187/r818x driver please see the end of the guide
4. Knowledge of your wireless card's Interface Name - The user must know the proper interface of the wireless connection (wlan0, eth1, rausb1, etc). To discover this information, at command line type:

Code:

lshw -C network

There may be multiple interfaces listed, however look under the section appropriate to your wireless device for the line labeled logical name. Here is an example:

Code:

  *-network             
     description: Wireless interface
     product: BCM4306 802.11b/g Wireless LAN Controller
     vendor: Broadcom Corporation
     physical id: 0
     bus info: pci@06:00.0
     logical name: wlan0
     version: 03
     serial: 00:12:17:35:17:10
     width: 32 bits
     clock: 33MHz
     capabilities: bus_master cap_list ethernet physical wireless
     configuration: broadcast=yes driver=ndiswrapper+lsbcmnds driverversion=1.48rc1+Cisco-Linksys ,LLC.,02/1 ip=192.168.1.101 latency=64 multicast=yes wireless=IEEE 802.11g
     resources: iomemory:3c000000-3c001fff irq:11

In the example above the interface name is wlan0. I will refer to the interface name throughout the rest of this guide as .

Attention All Users: Please Read
****All users of Atheros or Intel Chipsets (ipw****) -- Although lshw may list your interface as wmaster0 or wifi0 -- PLEASE NOTE this refers to the actual assigned interface name to the device, HOWEVER you interact through an assigned VIRTUAL INTERFACE!!!. Your will NEVER USE wmaster0 or wifi0 as the device name. If you type iwconfig, this may give you information on the assigned virtual interface used to access the physical device. -- BOTTOM LINE -- You will never use wmaster0 or wifi0 as the interface name, rather some other interface such as wlan0 of eth1. Please check ifconfig or iwconfig for cross referencing!!


***Please note -- as there exist exceptions to every rule, an exception applies to Atheros chipset employing the madwifi kernel module. Atheros cards are typically identified as wifi0. This is the physical logical name of the device. When working with madwif modules however, one or more virtual interfaces are made for every actual device. All configurations must be completed using the virutal interface device rather than the actual interface to the device. In most cases, Atheros chipsets will need to use the ath0 interface rather than the wifi0 interface.

For people first setting up their connection, please note that the above also lists the driver used for the network card. In the example above, the driver used is ndiswrapper. If your network device comes back UNCLAIMED or there is no driver listed, then you have not correctly installed the driver for your device. You must review the procedures for installation of your wireless driver.

For those wanting to use static IP addresses, please see section at bottom of guide regarding configuration for static IP addresses

__________________________________________________ __________________________
Unencrypted Connection

All commands typed at the command line:

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo ifconfig  up
sudo iwconfig  essid "ESSID_IN_QUOTES"
sudo iwconfig  mode Managed
sudo dhclient 

__________________________________________________ __________________________
WEP Connection

You must have either your 64bit or 128 bit HEX Key or the ASCII Equivalent of your HEX Key.

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo ifconfig  up
sudo iwconfig  essid "ESSID_IN_QUOTES"
sudo iwconfig  key HEX_KEY <<<-------- If using ASCII Equivalent, this is s:ASCII_KEY (please make note of the prefix s:) ****Additional Comand that may be needed  -- sudo iwconfig  key open  <<<----See note below sudo iwconfig  mode Managed
sudo dhclient 

***The security mode may be open or restricted, and its meaning depends on the card used. With most cards, in open mode no authentication is used and the card may also accept non-encrypted sessions, whereas in restricted mode only encrypted sessions are accepted and the card will use authentication if available.
__________________________________________________ __________________________
WPA Connection - WPA-PSK or WPA2-PSK (PSK=Pre-Shared Key) or WPA-EAP-TLS

For uses of Ra-based chipsets: rt61, rt73, rt2500 please skip directly to the WPA Section entitled WPA with Ra based chipsets

Requirements: In most cases the wpa_supplicant package is required in order to connect via WPA. If you have a working ethernet or unencrypted/WEP wireless connection, this package may be installed via:

Code:

sudo aptitude install wpasupplicant

If only wireless is available, I would recommend that an unencrypted connection first by established and tested first before directly proceeding to make a WPA connection. WPA adds another layer of complexity.

WPA-PSK - Covers WPA(1) and WPA(2)

1. Creation of /etc/wpa_supplicant.conf file

At command line:

Code:

gksu gedit /etc/wpa_supplicant.conf

Inside the file add the following for WPA(1):

Code:

ap_scan=1
ctrl_interface=/var/run/wpa_supplicant

network={
      ssid="ESSID_IN_QUOTES"
      scan_ssid=0
      proto=WPA
      key_mgmt=WPA-PSK
      psk="ASCII PSK Password in Quotes"
      pairwise=TKIP
      group=TKIP
}

For WPA(2) (see this thread: http://ubuntuforums.org/showthread.php?t=607410):

Code:

ctrl_interface=/var/run/wpa_supplicant

network={
      ssid="ESSID_IN_QUOTES"
      psk="ASCII PSK Password in Quotes"
      key_mgmt=WPA-PSK
      proto=RSN WPA
      pairwise=CCMP TKIP
      group=CCMP TKIP
}

***Word of caution -- In some cases I have found WPA(2) to have different settings than the above. Some Broadcom cards use the pairwise/group TKIP cipher for WPA2 rather than CCMP. I would suggest all initially use WPA(1) and then later convert to WPA2 since some variations to the above may be needed

**WPA2 capabilities must also be built-into the driver set used with your hardware. If using ndiswrapper with an old windows driver, the driver may not contain code for wpa2.

2. Connect via command line

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo wpa_supplicant -D<****see footer below***> -i -c/etc/wpa_supplicant.conf -dd

***Note that starting with the -dd flag will create a lot of debuggin output.
If you choose to use the -dd flag to troubleshoot your connection, you must
open up a separate terminal and type the rest of the commands listed below in a
separate terminal window.  You can also replace the -dd flag with the -B flag to
send the process to the background, avoiding the need to open up a separate
terminal window (however no debugging output will be generated)

sudo dhclient 

***footer
The value listed here is dependent on the driver you have installed. Typing man wpa_supplicant at command line will give you the full gamut of choices however most recent versions of wpa_supplicant only recognize wext as the appropriate value (Despite all the information on the internet). If you would like to verify what drivers besides wext your installed version of wpa_supplicant recognizes, type at the command line:
wpa_supplicant -l
And look specifically at the section called drivers:

Here is what my stock wpa_supplicant lists for its drivers:

drivers:
wext = Linux wireless extensions (generic)
atmel = ATMEL AT76C5XXx (USB, PCMCIA)
wired = wpa_supplicant wired Ethernet driver

Other drivers can be compiled into wpa_supplicant if you compile wpa_supplicant, however please not that in recent kernel versions this is unnecessary. wext will work for ndiswrapper, madwifi, intel, etc.

WPA-PSK with Ra Based Chipsets

Ra cards do not require the wpa_supplicant package to use WPA. Here is how to connect from the command line with these cards:
References: http://ubuntuforums.org/showthread.p...=serial+monkey, http://rt2x00.serialmonkey.com/wiki/...owto#Using_WPA

WPA-PSK(1)

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo ifconfig  up
sudo iwconfig  essid "ESSID_IN_QUOTES"
sudo iwpriv  set AuthMode=WPAPSK
sudo iwpriv  set EncrypType=TKIP
sudo iwpriv  set WPAPSK="YOUR_WPA_PSK_KEY"
sudo dhclient 

For WPA-PSK(2), I have no working configuration yet. If someone would like to help me refine these instructions for WPA2 with Ra-based chipsets, I would appreciate your help!

WPA EAP-TLS
Information Provided Referenced from http://www.codealias.info/technotes/...x_client_setup
Thanks to CodeAlias for Providing Information

1. Prepare TLS Certificates

EAP-TLS requires client TLS certificates to be installed in the system. You need to ask the administrators in your institution to provide you your own TLS certificate.

In the most common cases, your admin will issue you a .p12 file and a password.

We need to create three files from this .p12 certificate

These files are cacert.pem, cert.pem and key.pem (The names may vary). Assuming that your certificate file name is example.p12, run the following :

Code:

 openssl pkcs12  -in example.p12  -out cacert.pem -cacerts -nokeys
openssl pkcs12  -in example.p12  -out cert.pem -clcerts -nokeys
openssl pkcs12  -in example.p12  -out key.pem -nocerts

Put the three generated files somewhere in the file system of your wireless device (e.g /etc/certs)

2. Configuration of the wpa_supplicant.conf file

Edit the wpa_supplicant configuration file (e.g. /etc/wpa_supplicant.conf), ant put the following:

Code:

  network={
    ssid="ESSID_IN_QUOTES"
    scan_ssid=1
    key_mgmt=WPA-EAP
    pairwise=CCMP TKIP
    group=CCMP TKIP
    eap=TLS
    identity="XXXXX@yourdomain.com"
    ca_cert="/etc/certs/cacert.pem"
    client_cert="/etc/certs/cert.pem"
    private_key="/etc/certs/key.pem"
    private_key_passwd="YOUR-PASSWORD"
 }

---“YOUR-PASSWORD” is the password provided by your administrator when your received your .p12 certificate

3. Connect via the command line

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo wpa_supplicant -D<****see footer below***> -i -c/etc/wpa_supplicant.conf -dd

***Note that starting with the -dd flag will create a lot of debuggin output.
If you choose to use the -dd flag to troubleshoot your connection, you must
open up a separate terminal and type the rest of the commands listed below in a
separate terminal window.  You can also replace the -dd flag with the -B flag to
send the process to the background, avoiding the need to open up a separate
terminal window (however no debugging output will be generated)

sudo dhclient 

***footer
The value listed here is dependent on the driver you have installed. Typing man wpa_supplicant at command line will give you the full gamut of choices however most recent versions of wpa_supplicant only recognize wext as the appropriate value (Despite all the information on the internet). If you would like to verify what drivers besides wext your installed version of wpa_supplicant recognizes, type at the command line:
wpa_supplicant -l
And look specifically at the section called drivers:

Here is what my stock wpa_supplicant lists for its drivers:

drivers:
wext = Linux wireless extensions (generic)
atmel = ATMEL AT76C5XXx (USB, PCMCIA)
wired = wpa_supplicant wired Ethernet driver

Other drivers can be compiled into wpa_supplicant if you compile wpa_supplicant, however please not that in recent kernel versions this is unnecessary. wext will work for ndiswrapper, madwifi, intel, etc.
__________________________________________________ __________________________
A successful connection in all cases will similarly result in: (Example Provided Below):

Code:

user@computer:~$ sudo dhclient wlan0
There is already a pid file /var/run/dhclient.pid with pid 134993416
Internet Systems Consortium DHCP Client V3.0.4
Copyright 2004-2006 Internet Systems Consortium.
All rights reserved.
For info, please visit http://www.isc.org/sw/dhcp/

Listening on LPF/wlan0/00:12:17:35:17:10
Sending on   LPF/wlan0/00:12:17:35:17:10
Sending on   Socket/fallback
DHCPDISCOVER on wlan0 to 255.255.255.255 port 67 interval 4
DHCPDISCOVER on wlan0 to 255.255.255.255 port 67 interval 7
DHCPDISCOVER on wlan0 to 255.255.255.255 port 67 interval 7
DHCPOFFER from 192.168.1.1
DHCPREQUEST on wlan0 to 255.255.255.255 port 67
DHCPACK from 192.168.1.1
bound to 192.168.1.101 -- renewal in 299133 seconds.

The computer in this example has received an IP address of 192.168.1.101

__________________________________________________ __________________________
Users of RTL 8180, RTL8185, RTL 8187 using the built in native r8187 / r818x drivers

By default the r8187 and r818x drivers are blacklisted due to a know bug. These drivers are usuable however with a twist to the above methods

If you want to try using these drivers, please load the kernel modules:

Code:

sudo modprobe r818x
sudo modprobe r8187

These drivers require a bogus or extra letter be suffixed to the essid name in order for these drivers to work
For example if your are trying to connect to a router with essid=Router, at he command line you would type essid=Routerx. Notice the extra x or bogus character. I have provided an example using the unencrypted connection procedure below, however this extra character needs to be used if attempting to connect to all network types (unencrypted/ WEP / WPA)

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo ifconfig  up
sudo iwconfig  essid "Routerx"
sudo iwconfig  mode Managed
sudo dhclient 

If these drivers work for you, and you would like these drivers to load automatically at startup for you, avoiding to have to type sudo modprobe everytime, please edit your blacklist file:

Code:

gksu gedit /etc/modprobe.d/blacklist

And comment out (or prefix the following lines with a # sign). You want the following lines to appear as below:

Code:

#blacklist r8187
#blacklist r818x

__________________________________________________ __________________________
Static IP Addresses

Im going to give an example of how to configure your interface using a static IP address using an unencrypted wireless connection. The two lines highlighted below however can be used with WEP and WPA connections. Values in italics must be customized to meet your particular situation

Code:

sudo ifconfig  down
sudo dhclient -r 
sudo ifconfig  192.168.1.100 netmask 255.255.255.0 up
sudo route add default gw 192.168.1.1
sudo iwconfig  essid "ESSID_IN_QUOTES"
sudo iwconfig  mode Managed

If when using static IP addresses you are getting a problem with name resolution, you will have to specifiy specific dns (domain name servers) in order to translate URLs to IP addresses. Unfortunately there is not an easy way to configure this from the command line. This requires that you edit the /etc/resolv.conf file and manually enter the domain name server(s) you want to use. In many cases users can specifiy their router, their internet service providers dns servers, or use opendns (or use all three). Up to three nameservers can be specified.

Code:

sudo gedit /etc/resolv.conf

and add the nameservers you want to use, one to a line, in the following format.

Code:

nameserver 

***Spaceboy909 has also reported that when using this technique with static IP addresses, network manager has to be uninstalled because it keeps trying to reset the connection. In order to uninstall networkmanager:

In Ubuntu:

Code:

sudo aptitude uninstall network-manager-gnome

In Kbuntu:

Code:

sudo aptitude uninstall knetworkmanager

__________________________________________________ _________________________
Setting the Wireless Interface to Connect at Boot ***Courtesy of Maricaibo

If you are successful in bringing up the Interface Manually, the commands may be placed inside the /etc/rc.local file to run the commands at boot, and establish a wireless connection. There is no GUI to give visual confirmation of the connection. The user should type ifconfig at the command line to verify an IP address has indeed been granted by the router.

The process of adding the commands to the /etc/rc.local file is documented below (this connects to an unencrypted network -- to connect to a WEP or WPA encrypted network, some modifications as used above will need to be added):

Code:

gksu gedit /etc/rc.local

This opens up the file in the gedit utility and allows you to make changes and save the file

Code:

ifconfig <wired network connection interface> down
ifconfig <wireless network connection interface> down
dhclient -r 
iwconfig  essid 
iwconfig  mode Managed
ifconfig  up
dhclient 

Be sure this text goes into the /etc/rc.local file BEFORE the line reading "exit 0".

Save and close the /etc/rc.local file.

Open up a Terminal window (the shell) and type in:

Code:

sudo chmod +x /etc/rc.local

This command turns the rc.local file into an executable that will run at startup. Here's an example of what the /etc/rc.local file should contain. Your device names may be different:

Code:

#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

ifconfig eth0 down
ifconfig wlan0 down
dhclient -r wlan0
iwconfig wlan0 essid "ESSID_IN_QUOTES"
iwconfig wlan0 mode Managed
ifconfig wlan0 up
dhclient wlan0

exit 0

NOTE: The first line in the rc.local file downs your wired connection, so if for some reason you need the wired connection back just open up a Terminal window (shell) and type:

sudo up
sudo dhclient
__________________________________________________ __________________________
Useful Commands

ifconfig - lists IP address (similar to ipconfig in Windows)
iwlist scan - shows wireless networks that are available in the area along with basic encryption information
lshw -C network - Shows interface and driver associated with each networking device
lspci -nn - Shows hardware connected to the pci bus
lsusb - Shows USB connected hardware
lshw -C usb - Additional info on USB related hardware (good for USB dongles)
cat /etc/modprobe.d/blacklist - List modules that will not be loaded by the Operating System at boot time
lsmod - lists currently loaded kernel modules. (Example usage - lsmod | grep ndiswrapper)
route -n - Lists kernel IP routing table -- Good for troubleshooting problems with the gateway (netstat -rn = equivalent command)
sudo route add default gw 192.168.1.1 - Example of how to set the default gateway to 192.168.1.1
sudo route del default gw 192.168.1.1 - Example of how to delete the default gateway setting
sudo modprobe ***** - Loads the kernel module **** . (Example usage - sudo modprobe ndiswrapper, sudo modprobe r818x, sudo modprobe ath_pci)
sudo modprobe -r **** - Unloades the kernel module ****. (Example usage - sudo modprobe -r ndiswrapper)
sudo ifup/ifdown - Brings up/down the interface and clears the routing table for the specified interface
sudo ifconfig up/down - Brings up/down the interface for the specified interface
sudo dhclient - Request IP address from DNS server for specified interface
sudo dhclient -r - Release IP address associated with specified interface
sudo iptables -L - Lists firewall rules
dmesg | more - Lists boot log -- good for troubleshooting problems with modules/drivers not being loaded
uname -r - Displays kernel version
/etc/iftab (Feisty and pre-releases (Edgy, etc)) - /etc/udev/rules.d/70-persistent-net.rules (Gutsy) - File which assigns logical names (eth0, wlan0, etc) to MAC addresses
cat /etc/resolv.conf - Lists DNS servers associated with network connections (Network Manager)
/etc/dhcp3/dhclient.conf - File which sets or modifies dns (domain name servers) settings

__________________________________________________ __________________________
WPA_SUPPLICANT.CONF - Good Description and Explanations of All Available Options that can be Placed with the wpa_supplicant.conf file
http://hostap.epitest.fi/cgi-bin/vie...?revision=HEAD

__________________________________________________ __________________________
References for Specific Wireless Chipsets - Please see Link if Your Specific Chipset is Not Working with Above Tutorial's Instructions

Official Broadcom site for bcm43xx firmware - http://linuxwireless.org/en/users/Drivers/b43
Broadcom 64bit Drivers for Use with Ndiswrapper - http://www.linuxant.com/driverloader/drivers.php
Broadcom Guid for Ubuntu Hardy/Intrepid and Ibex -- A very informative sight! - http://linuxfans.betaserver.org/inde...ides&Itemid=61 - Author Ayuthia

Ra chipsets - Serial Monkey Drivers - rt2500, rt73, rt61, rt2570 drivers - http://ubuntuforums.org/showthread.p...=serial+monkey - Author diepruis
rt2500 chipsets with the Serial Monkey rt2500 CVS driver - http://ubuntuforums.org/showthread.p...ghlight=rt2500 - Author zoiks
Ralink RT2860 (m)PCI(e) (RT2760/RT2790/RT2860/RT2890) - http://ubuntuforums.org/showthread.php?t=1045703 - Author Fass
Rutilt - A Network Manager Like GUI for Ra Chipsets - http://ubuntuforums.org/showthread.p...ghlight=rutilt - Author sulilogs
Ndiswrapper Official Compatibility Reference - http://linuxfans.betaserver.org/ndis_drivers/toc.html - Author Ayuthia (Borrowed from the Ex-Official Ndiswrapper Site)
Ndiswrapper installation for Broadcom chipsets - http://ubuntuforums.org/showthread.php?t=475963 - Author Jamie Jackson
Ndiswrapper General Installation Guide - SVN, Troubleshooting Tips (My Personal Guide) - http://ubuntuforums.org/showthread.php?t=574501 - Author KevDog
Madwifi website for certain Atheros Chipsets - http://madwifi.org/ -- If your Atheros chipset is listed on this website - it should work out of the box with installation of the linux restricted drivers package for your kernel version
Atheros 5006eg Chipset work-around - Card apparently listed as 5007eg - http://ubuntuforums.org/showpost.php...5&postcount=14 - Author ugm6hr
Does your madwifi connection keep dropping??? Possible solution -- http://ubuntuforums.org/showthread.php?t=540101 = Author robnz/tranalbert
Realtek win98 driver - http://www.majorgeeks.com/Realtek_RT...0XP_d5165.html - For use with ndiswrapper if native r818x, r8187 driver is buggy
Realtek win98 driver installation - http://ubuntuforums.org/showthread.p...highlight=8187 - Author Panurge
Realtek - Installation with Native Driver - http://ubuntuforums.org/showthread.php?t=567505
Realtek 8187B Native Patch for Realtek 818x USB Devices -- Relevant only to rtl8187B USB wireless devices - Toshiba Laptops - http://www.datanorth.net/~cuervo/rtl8187b/ - Author Cuervo

__________________________________________________ __________________________
Wireless Security
WPA with EAP-TLS - http://www.codealias.info/technotes/...x_client_setup

__________________________________________________ __________________________
Other Interesting Sites

Control Programs Kept in Swap vs Memory - http://ubuntuforums.org/showpost.php...&postcount=150
If your Wireless Freezes after Suspend/Resume - Check here - http://ubuntuforums.org/showpost.php...7&postcount=12 - Author Harty83
DNS related problems?? - Configuration for OpenDNS servers - http://ubuntuforums.org/showthread.php?t=543659 - Author noob12
Turn off/Disable IPv6 - http://ubuntuforums.org/showthread.php?t=282034 - Author handy
General Linux Page Discussing Network Setups - Default Gateways - http://linux-ip.net/html/basic-changing.html
Log Files -- Your Friend to Debug almost anything on your System - https://help.ubuntu.com/community/Li...f98267e009db55
Using OpenVPN to bridge networks - http://ubuntuforums.org/showthread.php?t=752127 - Author SpaceTeddy

Source: http://ubuntuforums.org/showthread.php?t=571188

More responses, troubleshooting, and ideas, go to the original source and continue the post.

COMO CONFIGURAR EL ROUTER LINKSYS WRT54G.

Índice:

1.- Introducción.
2.- Cómo conectar el router.
3.- Formas de configurar el router y acceso a la configuración.
4.- Configuración básica.
5.- Configuración avanzada.
6.- Configurar red inalámbrica y Filtrado por dirección MAC.
7.- Firewall.
8.- Restricciones de acceso.
9.- Apertura de puertos.
10.- Administración y Utilidades.

1.- Introducción:

Cada vez es menos frecuente el uso de modems para las conexiones ADSL, todas las operadoras suelen ofrecer otros dispositivos más complejos de usar y configurar, pero que al mismo tiempo ofrecen un amplio abanico de posibilidades en cuanto a capacidades de conexión.

Estos dispositivos, identificados generalmente por la palabra router, permiten la conexión de varios ordenadores montando pequeñas redes locales, estando limitado el número de máquinas conectadas a la red al número de conectores o bocas ethernet de que dispone.

Estos dispositivos nos ofrezcan la posibilidad de utilizar las nuevas tecnologías de comunicaciones inalámbricas, lo que amplía el número de equipos conectados a la red de manera considerable.

En este tutorial vamos a tratar de explicar como configurar todo un clásico, el router Linksys WRT54G, y ponerlo en marcha de la manera más sencilla posible.

Este router es único entre los dispositivos de consumo doméstico, esto se debe a que los desarrolladores de Linksys tuvieron que liberar el código fuente del firmware del dispositivo para cumplir con las obligaciones de la GNU GPL (General Public License o licencia pública general) relacionada con la libre distribución de software. Este hecho permite a los entusiastas de la programación modificar el firmware para añadir o cambiar funcionalidades del dispositivo. Actualmente existen varios proyectos de desarrollo que proveen versiones mejoradas del firmware para el WRT54G.

En primer lugar vamos a ver como es el router y sus características básicas, en la imagen que vemos a continuación, podemos observar la parte frontal del router:


Imagen01

Aunque también podría tener este otro aspecto:


Imagen02

En la imagen vemos diferentes LEDS y describimos a continuación los correspondiente a la primera imagen:

1 - LED Power.
En verde, indica que el router está encendido.

2 - LED DMZ.
Nos indica que está habilitada la opción DMZ (DesMilitarized Zone) en la que hay algún equipo que se encuentra fuera de la zona de seguridad, por la propia configuración del router.

3 - LED Diag.
En rojo durante el arranque, nos indica que el router se encuentra haciendo el autotest y se apagará en cuanto acabe el mismo. Si permanece encendida por más de un minuto es que el autotest ha encontrado algún problema.

4 - LED Act.
Este Led, también de color verde, nos proporciona información del estado de la red inalámbrica. Si el Led está intermitente indica que a través de la red se esta produciendo envío o recepción de datos.

5 - LED Link.
Sí está encendido, indica que la red inalámbrica está habilitada.

6 - LED´s de estado de la red local.
Hay cuatro juegos de leds, uno para cada uno de los puertos de la LAN y su significado es:

- Link/Act es de color verde e indica que hay un dispositivo conectado al puerto. Si está intermitente nos advierte que la conexión es correcta y se están recibiendo o transmitiendo datos

- Full/Col también es de color verde y nos indica, si está fijo, que la comunicación es Full Duplex. Si está intermitente indica que hay colisiones entre los diferentes paquetes que se envían.

- 100 es un LED de color naranja que indica que la comunicación se realiza a 100 Mbps. Si se encuentra apagado es que la comunicación es a 10Mbps.

7 - LED´s Internet.

- Link/Act es de color verde e indica que hay una conexión correcta con la línea ADSL. Si está intermitente nos advierte que la conexión es correcta y se están recibiendo o transmitiendo datos

- Full/Col también es de color verde y nos indica, si está fijo, que la comunicación es Full Duplex. Si está intermitente indica que hay colisiones entre los diferentes paquetes que se envían.

- 100 es un LED de color naranja que indica que la comunicación a través de ese puerto se realiza a 100Mbps. Si se encuentra apagado es que la comunicación es a 10Mbps.

Si nos fijamos en la parte de atrás del router como vemos en la siguiente imagen:


Imagen 03

Tenemos los siguientes elementos

8 - Antenas para comunicación inalámbrica.

9 - Botón Reset.
Este botón permite restaurar la configuración de fábrica del router.

10 - Puerto ADSL.

11 - Puertos Ethernet.
Estos puertos nos van a permitir conectar dispositivos al router a través de cables RJ45.

12 - Conector para el adaptador de corriente.
Es el conector para la fuente de alimentación. El fabricante recomienda usar únicamente el adaptador que acompaña al router.

Entre las principales características de router podemos destacar las siguientes:
- Compartir la conexión a Internet a través de cable o red inalámbrica.
- Red inalámbrica 802.11g de alta velocidad, compatible con ordenadores Windows, Mac o Linux.
- Sistema de configuración Web, puede funcionar como servidor virtual para acceso remoto Web, FTP y otros servicios de red.

2.- Cómo conectar el router:

En primer lugar, revisaremos si están todos los elementos que son necesarios para que funcione el Router, esto es, el propio aparato, el adaptador de corriente para proporcionarle alimentación, un cable par trenzado (ocho hilos) con conectores RJ45 que nos permitirá conectar el Router con el dispositivo de conexión a la línea ADSL.

A diferencia de los routers descritos hasta el momento, este modelo de router no es capaz de conectar directamente a la linea ADSL, sino que más bien está preparado para proporcionar conectividad entre un Cablemodem o un router que no sea inalámbrico y el resto de la red.
Para ver como quedaría, mostramos la siguiente imagen:


Imagen04

Vamos a ver dos formas de conexión, la primera conectando con un MODEM de banda ancha, y la segunda con conexión con otro router que es el que proporciona la conectividad ADSL.

Instalación del hardware para la conexión al módem de banda ancha.

En primer lugar, para realizar las conexiones y evitar riesgos innecesario tanto para nosotros como para los equipos vamos a tomar la precaución de desconectar la alimentación eléctrica de los equipos.
A continuación hay que buscar el lugar mas adecuado para el router ya que, para aprovechar al máximo su capacidad inalámbrica, debería situarse en el centro de la red inalámbrica así todos los equipos puedan tener fácil acceso a él.

Vamos a realizar las conexiones con el resto de quipos, para ello conectamos un cable de red Ethernet estándar RJ45 al puerto Internet del router como vemos en la imagen:


Imagen05

Conectamos el otro extremo del cable Ethernet al módem de banda ancha por cable o DSL.
A continuación vamos conectando los PC que tengan adaptadores de red ethernet y sea necesario usar los puertos RJ45 del router.


Imagen06

Podremos conectar hasta cuatro equipos mediante este tipo de conexión. Una vez conectador los equipos vamos a conectar el cable de alimentación del router.


Imagen07

Así tenemos el router listo para iniciar su configuración acción que vamos a ver más adelante.

Instalación del hardware para la conexión a otro router.

La otra forma de conectar este router es a través de la conexión con otro router. Para evitar conflictos de IP lo primero que vamos a hacer es entrar en la configuración del otro router y modificar su dirección IP en nuestra red local. Normalmente la dirección que tenga el router será 192.168.1.1 y se la vamos a cambiar por 192.168.2.1. Eso nos permitirá asignar al WRT54G la IP 192.168.1.1 cuando lo configuremos.

Como hemos visto en el caso anterior, debemos desconectar los equipos de sus correspondientes sistemas de alimentación y buscar la ubicación más adecuada para el router para que la cobertura inalámbrica sea la más adecuada para todas las estaciones inalámbricas.

El esquema de conexión podemos verlo en la siguiente imagen:


Imagen08

Para mayor claridad se pueden observar las imágenes 05, 06 y 07 en las que se puede apreciar como y dónde se conectará el otro router, los equipos de la red y el adaptador de corriente.

Dejamos el router preparado para iniciar su configuración.

3.- Formas de configurar el router y acceso a la configuración:

Hay dos formas de configurar el equipo. La primera a través del programa que proporciona el propio fabricante en un CD-Rom mediante el asistente de configuración, esta forma es recomendable usarla si no se tiene muy claro lo que hay que poner o si es la primera configuración. La segunda forma es accediendo directamente al programa de configuración que posee por defecto el router y al que se accede a través de cualquier navegador.

En este tutorial trataremos de describir las páginas del configurador Web que incorpora el propio router y las funciones de cada una de esas páginas

Para entrar en el programa de configuración basta con teclear en la barra de direcciones de Internet Explorer la dirección IP del router. Debemos tener en cuenta que la dirección será 192.168.0.1 si el router es nuevo o si no se ha modificado esta dirección en una configuración anterior. Si hemos modificado la dirección IP habrá que teclear la que corresponda.

Aparece una página en la que se solicita una contraseña, debemos dejar el campo Nombre de usuario en blanco.


Imagen09

Es importante tratar de realizar la configuración del router mediante conexión con cable. En muchos casos la red inalámbrica viene desactivada por defecto, y si vamos a cambiar algún parámetro relacionado con la configuración inalámbrica podemos perder la conexión con el router a través de la tarjeta inalámbrica.

Debemos introducir los valores de usuario y palabra clave para acceder a la configuración, los valores de fábrica son

Usuario: se dejarán en blanco, es decir no se introduce nada.
Password: admin

La primera página que aparece si el usuario y la clave son correctos es la que podemos ver en la siguiente imagen:


Imagen10

La primera pantalla que aparece muestra la ficha Setup (Configuración). Permite cambiar los parámetros
generales del router.

4.- Configuración básica:

Como hemos visto en el apartado anterior, al entrar en la configuración del router nos aparece la pantalla de la configuración básica del router.

En la sección Internet Setup (Configuración de Internet) se configura el router para la conexión a Internet, teniendo en cuenta que la mayor parte de la información a introducir la puede proporcionar nuestro proveedor de conexión.

- Internet Connection Type (Tipo de conexión a Internet)
Hay que elegir en el menú desplegable el tipo de conexión a Internet que proporcione nuestro proveedor. Por defecto, la opción que viene configurada es Configuration - DHCP (Configuración automática - DHCP). en este tipo de conexión a Internet (Internet Connection Type) el router está configurado en automático y sólo se debe conservar si el proveedor admite DHCP o si se realiza la conexión mediante una dirección IP dinámica.

Las otras opciones son:

Static IP (IP estática). Al seleccionar esta opción se nos presentarán para rellenar los parámetros que vemos en la siguiente imagen:


Imagen11

Si se desea o se necesita utilizar una dirección IP permanente para conectarse a Internet, normalmente este servicio hay que solicitarlo y pagarlo aparte. En este caso, en el campo Internet IP Address (Dirección IP de Internet) se introducirá la dirección IP del router, vista desde Internet. El proveedor proporcionará la dirección IP que se debe especificar aquí.

También proporcionará la máscara de subred correspondiente al valor del campo Subnet Mask, la Puerta de enlace o Gateway y al menos una dirección IP de servidor DNS (sistema de nombres de dominio).

PPPoE. Al seleccionar esta opción se nos presentarán para rellenar los parámetros que vemos en la siguiente imagen:


Imagen12

Algunos proveedores de ADSL utilizan PPPoE (protocolo de punto a punto en Ethernet) para establecer conexiones a Internet. Si conectamos a Internet a través de este método hay que consultar con el proveedor los valores de los parámetros siguientes:
- User Name (Nombre de usuario).
- Password (Contraseña).
En los dos campos debemos introducir los valores que nos indique el proveedor.
El parámetro Connect on Demand: Max Idle Time (Conectar cuando se solicite: Tiempo máximo de inactividad) nos permitirá configurar el router para que interrumpa la conexión a Internet cuando esté inactiva durante un periodo de tiempo especificado (Max Idle Time, Tiempo máximo de inactividad). Si la conexión a Internet finaliza debido a la inactividad, esta opción de Conectar cuando se solicite permite al router restablecer la conexión automáticamente si intenta acceder de nuevo a Internet.

Para activar Connect on Demand (Conectar cuando se solicite), sólo hay que seleccionar el radio Button y en el campo Max Idle Time (Tiempo máximo de inactividad), introducir el número de minutos de inactividad que desea que transcurran antes de finalizar la conexión a Internet.

Si no deseamos que la conexión se interrumpa, debemos seleccionar en el Radio Button Keep Alive: Redial Period (Mantener activo: Periodo para nueva marcación). Si tenemos seleccionada esta opción, el router comprobará periódicamente la conexión a Internet y si se desconecta, el router restablecerá automáticamente la conexión. El campo Redial Period (Periodo para nueva marcación) especificara la frecuencia con que desea que el router compruebe la conexión a Internet. El valor predeterminado para la nueva marcación es de 30 segundos.

Disponemos también de un conjunto de Parámetros opcionales Optional Settings que podemos ver en la siguiente imagen:


Imagen13

Es posible que nuestro proveedor de conexión necesite estos parámetros y son:

Router Name (Nombre de router). En donde escribiremos un nombre de hasta 39 caracteres para identificar el router.

Host Name/Domain Name (Nombre de host/Nombre de dominio). En estos campos puede proporcionar un nombre de host y de dominio para el router que algunos proveedores de conexión, normalmente los de cable, solicitan como identificación. Como es lógico habrá que consultar con el Proveedor de conexión si el servicio de Internet de banda ancha se ha configurado con un nombre de host y de dominio. Normalmente no habrá ningún problema si se dejan estos campos en blanco.

MTU. Corresponde a la unidad de transmisión máxima. Especifica el tamaño máximo de paquete permitido para la transmisión de Internet. Por defecto el valor que viene seleccionado es Manual, y permite introducir el tamaño máximo de paquete que se transmitirá. El tamaño recomendado, que se introduce en el campo Size (Tamaño), es 1492. Este valor debe estar en el intervalo de 1200 a 1500. Para que el router seleccione la MTU óptima para la conexión a Internet, seleccionaremos Auto (Automática).

Dentro de la configuración básica nos queda por ver la parte de configuración de la red local, y ésto se realizará en la parte de la pantalla correspondiente a los parámetros Network Setup (Configuración de red) que nos permite cambiar los parámetros de la red local a la que está conectado el router.

El primer parámetro a configurar es Router IP (IP del router), como vemos en la imagen que aparece a continuación:


Imagen14

Este parámetro nos permitie configurar la dirección IP del router (IP Address) y la máscara de subred (Subnet Mask) del router tal como las ve la red interna.

Por último, nos falta por describir los Parámetros de servidor de direcciones de red, DHCP Network Address Server Settings (DHCP), como vemos en la imagen


Imagen15

Estos parámetros permiten configurar la función de servidor de protocolo de configuración dinámica de host (DHCP) del router. El router se puede utilizar como servidor DHCP para la red. Un servidor DCHP asigna automáticamente una dirección IP a cada ordenador de la red. Si desea activar la opción de servidor DHCP del router, se deben configurar todos los PC de la red para que se conecten a un servidor DHCP (el router) y asegurarse de que no hay otro servidor DHCP en la red.

Por defecto el DHCP viene activado de fábrica. Si ya tenemos un servidor DHCP en la red o si no queremos utilizar un servidor DHCP, marcaremos el Radio button como Disable.

Si tenemos activado el servidor DHCP, el valor del parámetro Starting IP Address (Dirección IP inicial) indicará la dirección a partir de la que se empezarán a asiganar direcciones IP automáticas a los equipos de la red. Debido a que la dirección IP predeterminada del router es 192.168.1.1, la dirección IP inicial debe ser 192.168.1.2 o mayor, pero menor que 192.168.1.253.

La dirección IP inicial predeterminada es 192.168.1.100. Eso significaría que ningún equipo de la red que solicite IP de forma automática tendría direcciones IP inferiores a 192.168.1.100. Este tipo de característica nos permitirá asignar las direcciones que el DHCP no va a asignar de manera automática en nuestra red a equipo que deban cumplir alguna función específica y deban tener IP interna fija.

Los parámetros que hemos visto se combinan con Maximum Number of DHCP Users (Número máximo de usuarios de DHCP), que indica el número máximo de ordenadores a los que el Servidor DHCP proporcionará un IP de manera automática. Este número no puede superar los 253 y su valor por defecto es 50.

Por último nos queda el parámetro Client Lease Time (Tiempo de concesión del cliente), que corresponde al tiempo máximo que un usuario podrá estar conectado al router con la dirección IP dinámica actual. Una vez transcurrido este tiempo, al usuario se le asignará automáticamente una nueva dirección IP dinámica. Por defecto, el valor es 0, lo que indica que es un día.

La últimos valores que aparecen en la pantalla corresponde a las direcciones IP de los servidores DNS, que es el método que se utiliza en Internet para traducir los nombres de dominio o sitio Web a direcciones de Internet o URL. El Proveedor nos indicará al menos uno de estos valores. En la imagen que vemos a continuación se pueden ver los más habituales:


Imagen16

Además de todos los parámetros de configuración, podemos acceder a otra opción de configuración, que vemos en la imagen:


Imagen17

Este parámetro corresponde a la configuración horaria, que nos permite elegir la zona horaria desde el desplegable correspondiente e incluso seleccionar si queremos que se ajuste automáticamente para el horario de verano.

5.- Configuración avanzada:

Hemos visto dentro de la pestaña SetUp la opción de configuración básica, pero además hay que tener en cuenta el resto de opciones que vamos a ir detallando a continuación.

Pestaña DDNS:

El router proporciona una función de sistema dinámico de nombres de dominio (DDNS). Este servidor DDNS permite asignar un nombre de host y de dominio fijo a una dirección IP dinámica de Internet. Esto es útil si necesitamos alojar nuestro propia página Web, servidor FTP u otro servidor que se encuentre detrás del router. Para poder utilizar esta función debe suscribirse al servicio DDNS con un proveedor de dicho servicio. Si pinchamos en la opción nos aparece la siguiente pantalla:


Imagen18

Los parámetros a introducir en esta pantalla son:

DDNS Service (Servicio DDNS). Se debe seleccionar el servicio DDNS con el que trabaja en el menú desplegable.
User Name (Nombre de usuario). Corresponde al nombre de usuario de la cuenta DDNS.
Password (Contraseña). Es la contraseña de la cuenta DDNS.
Host Name (Nombre de host). Se trata de la URL de DDNS asignada por el servicio DDNS.
Internet IP Address (Dirección IP de Internet). Corresponde a la dirección IP actual del router hacia Internet.
Status (Estado). Muestra el estado de la conexión DDNS.

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

Pestaña MAC Address Clone (Clonación de direcciones MAC).

Recordaremos que una dirección MAC es un código de 12 dígitos asignado a un dispositivo de hardware para su identificación (tarjeta de red conectada a un PC). Algunos proveedores de conexión requieren que se registre una dirección MAC para acceder a Internet. Si no queremos volver a registrar de nuevo la dirección MAC con nuestro proveedor, se puede asignar al router la dirección MAC que tengamos registrada actualmente con él mediante la función de clonación de direcciones MAC.

Si pinchamos en la opción nos aparece la siguiente pantalla:


Imagen19

Los parámetros a introducir en esta pantalla son:

Enable/Disable (Activar/Desactivar). Para activar/desactivar la clonación de dirección MAC seleccionamos los radio buttons Activas/desactivar.

User Defined Entry (Entrada definida por el usuario). Nos permite insertar la dirección MAC registrada con el proveedor.

Clone Your PCs MAC Address (Clonar la dirección MAC del PC). Este botón nos permite habilitar la clonación de la dirección MAC.

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

Pestaña Advanced Routing.

Esta opción de configuración se utiliza para configurar las funciones avanzadas del router. Además debemos tener en cuenta que dependiendo del modo de funcionamiento elegido la pantalla va a variar.

Si elegimos en el menú desplegable la forma de funcionamiento Gateway (Puerta de enlace) se nos presentará un pantalla como la que vemos en la imagen:


Imagen20

Seleccionaremos este modo de funcionamiento si el router aloja la conexión a Internet de la red.

Por el contrario, si existe otro router en la red seleccionaremos el modo de funcionamiento Routing, como podemos ver en la imagen siguiente:


Imagen21

Al seleccionar este modo de funcionamiento, se activará la opción Dynamic Routing (Enrutamiento
dinámico) y podremos habilitarla desplegando el menú.

Esta función permite que el router se ajuste automáticamente a los cambios físicos que se produzcan en el diseño de la red e intercambie tablas de enrutamiento con los demás routers. El router determina la ruta de los paquetes de red según el menor número de saltos entre el origen y el destino. El valor predeterminado de esta función es Disabled (Desactivado).

Tenemos otro menú desplegable también en el que podemos seleccionar varias opciones:

puede seleccionar LAN & Wireless (Red LAN e inalámbrica), que realiza un enrutamiento dinámico por las redes Ethernet e inalámbrica.

También puede seleccionar WAN, que realiza un enrutamiento dinámico con los datos procedentes de Internet.

Finalmente, al seleccionar Both (Ambas) se permite el enrutamiento dinámico para ambas redes, así como para los datos procedentes de Internet.

Tenemos también posibilidad de definir funciones de Static Routing (Enrutamiento estático). Una ruta estática es la ruta predeterminada por la que se desplaza la información de red hasta alcanzar un host determinado o una red concreta.

Para configurar una ruta estática entre el router y otra red, seleccionamos un número en la lista desplegable Static Routing (Enrutamiento estático). Una vez elegido el número en la lista hay que introducir la siguiente información:

Delete This Entry (Eliminar esta entrada) para eliminar una ruta estática seleccionada.

Enter Route Name (Introducir nombre de ruta). Introduzca aquí el nombre de la ruta para identificarla, con un máximo de 25 caracteres alfanuméricos.

Destination LAN IP (IP de red LAN de destino). Es la dirección de la red o el host remoto al que desea asignar una ruta estática.

Subnet Mask (Máscara de subred). La máscara de subred determina qué parte de una dirección IP de red LAN de destino corresponde a la parte de la red y cuál a la parte del host.

Default Gateway (Puerta de enlace predeterminada). Se trata de la dirección IP del dispositivo de puerta de enlace que permite el contacto entre el router y la red o el host remoto.

Interface (Interfaz). Esta interfaz indica si la dirección IP de destino se encuentra en LAN & Wireless (redes Ethernet e inalámbricas), WAN (Internet) o Loopback (Retorno de bucle; una red ficticia en la que un PC actúa de red y que es necesaria para determinados programas).

El botón Show Routing Table (Mostrar tabla de enrutamiento) nos permite ver las rutas estáticas que ya se han configurado.

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

6.- Configurar red inalámbrica y Filtrado por dirección MAC:

hemos visto de manera general como configurar los datos del router y ahora vamos a ver de manera detallada como se configura la red inalámbrica.
Si pinchamos en la pestaña Wireless del menú se nos presenta una pantalla como la que vemos a continuación:


Imagen22

Vemos que hay varias pestañas para configurar y la que nos aparece activada es Basic Wireless Settings donde debemos introducir los parámetros básicos para configurar la red inalámbrica. Estos parámetros son:

Wireless Network Mode (Modo de red inalámbrica). Es un menú desplegable en el que podemos elegir los estándares inalámbricos admitidos en la red: Estos son 802.11g y 802.11b. Conviene mantener el parámetro predeterminado Mixed (Mixto) si no lo tenemos claro o queremos que cualquier dispositivo pueda conectarse.

Seleccionaremos Disable para desactivar la red inalámbrica.

Wireless Network Name (SSID). EL SSID (el valor de este parámetro) debe ser un nombre único que identifique nuestra red inalámbrica de tal forma que todos los equipos que quieran conectarse a ella usen el mismo SSID. Se debe introducir un nombre descriptivo de hasta 32 caracteres tratando de evitar nombres como default, wireless y/o cualquier otro identificador que no nos resulte suficientemente descriptivo (se puede utilizar cualquier carácter del teclado).

Wireless Channel (Canal inalámbrico) nos permite elegir el canal de transmisión adecuado para la transmisión.

Wireless SSID Broadcast (Difusión inalámbrica de SSID). Este parámetro es muy importante en la configuración de la red inalámbrica a nivel de seguridad y normalmente no le hacemos caso. Si se establece el valor DISABLE, se impide que cualquier equipo en el radio de acción de nuestra red inalámbrica detecte el SSID de nuestra red al realizar una operación como la de Ver redes inalámbricas disponibles. De esta manera añadimos un elemento de seguridad adicional al resto de mecanismos de seguridad que tengamos habilitados, ya que a primera vista no se verá la red, limitando los intentos de acceso no deseados. Si seleccionamos el valor ENABLE cualquier equipo que solicite una operación para ver las redes inalámbricas disponibles verá el SSID y podrá intentar acceder. Que lo consiga o no ya es otra cosa.

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

Si pulsamos sobre la segunda opción, Wireless Security (Seguridad inalámbrica), nos aparecerá una pantalla como la que vemos a continuación:


Imagen23

Los parámetros de la ficha Wireless Security (Seguridad inalámbrica) nos permitirán configurar la seguridad de la red inalámbrica. El router admite cuatro opciones de modo de seguridad inalámbrica a elegir desde el menú desplegable:

- WPA Personal.
- WPA Enterprise.
- WPA2 Personal.
- WPA2 Enterprise.
- RADIUS.
- WEP.

Dependiendo del método de seguridad elegido, se nos presentará la pantalla correspondiente inicialmente el sistema de seguridad a utilizar en la red inalámbrica debe ser seguridad WPA (WiFi Protected Access) Personal, el sistema WPA proporciona cambios de clave dinámicos y es la mejor solución de seguridad, aunque debemos tener en cuenta que en redes en las que no todos los dispositivos soporten WPA será necesario usar WEP (Wired Equivalent Privacy).


Imagen24

En la pantalla debemos rellenar el campo WPA Shared Key. Este campo es una contraseña con un formato de palabra, frase o serie de números y letras que debe tener una longitud entre 8 y 63 caracteres y puede incluir espacios y símbolos especiales. Es necesario que cada cliente que se conecte a la red use la misma contraseña.
El parámetro GroupKey Retrieval es el tiempo que tarda en renovarse la clave.

WEP (Wired Equivalent Privacy) es el mecanismo básico para transmitir datos de manera segura a través de la red inalámbrica. Las claves de encriptación deben configurarse en el router y después en los equipos clientes que se conecten a la red. Si seleccionamos este método nos aparecerá la siguiente pantalla:


Imagen25

si elegimos 128-bit WEP para configurar las clave, se deben introducir bien 13 pares de dígitos hexadecimales (0-9, A-F), o bien un valor en el campo Passphrase y pulsar en el botón Generate para generar los dígitos hexadecimales correspondiente a la clave.

si elegimos 64-bit WEP como modo de seguridad, para configurar las clave, se deben introducir bien 5 pares de dígitos hexadecimales (0-9, A-F), o bien un valor en el campo Passphrase y pulsar en el botón Generate para generar los dígitos hexadecimales correspondiente a la clave.

Además, para el modo 64-bit WEP se pueden introducir hasta cuatro claves en los campos Key 1 a Key 4, siendo el Radio Button que aparece delante de cada una de las claves el que indica cual es la que se usa en la transmisión.

Si la opción seleccionada es WPA Enterprise el funcionamiento es similar a la primera opción WPA Personal descrita, pero en este caso aparecerá la siguiente pantalla:


Imagen26

que nos va a permitir configurar la seguridad mediante la gestión de clave por medio de un servidor Radius. En este sentido hay que mencionar que para que esto funcione, en la red debe estar ejecutándose un servidor de este tipo. Los parámetros a configurar son la dirección IP del servidor de Radius y que se pondrá en el campo RADIUS Server Address. También hay que teclear el puerto por el que trabaja el servidor Radius, y la clave del servidor Radius en el campo Shared Key.

Las opciones WPA2 Personal y WPA2 Enterprise se configurarán de manera parecida a las WPA descritas, aunque hay que mencionar que el nivel de seguridad es mayor.

La tercera pestaña de configuración de la red inalámbrica corresponde a la opción Wireless MAC Filter o Filtrado por dirección MAC. Si pulsamos sobre ella se nos presenta la siguiente pantalla:


Imagen27

El funcionamiento de esta pantalla es muy simple. En la parte superior, y mediante la elección de un Radio Button, podemos habilitar seleccionando la opción Enable o deshabilitar seleccionando la opción Disable.

Si hemos habilitado el filtrado, para permitir el acceso a la red inalámbrica de cualquier equipo lo que tenemos que hacer es dar de alta en la lista de las direcciones MAC su dirección. Recordamos que la dirección MAC es la del adaptador de red de cualquiera de los dispositivos que intente conectar con el router, ya sea PC o punto de acceso.

Lo normal es dar de alta las MAC de todos los equipos que queramos que accedan a la red inalámbrica. A partir de ese momento, el router no dejará acceder a la red inalámbrica a ningún dispositivo que no esté dado de alta en es tabla, evitando así las conexiones no deseadas en nuestra red, aunque tenemos dos posibilidades a configurar en la pantalla:

- Prevent (Evitar). Al hacer clic en este botón se bloqueará el acceso inalámbrico por dirección MAC.
- Permit Only (Permitir sólo). Al hacer clic en este botón se permitirá el acceso inalámbrico por dirección MAC.

Podemos pulsar el botón Edit MAC Address Filter List (Editar lista de filtros de direcciones MAC), que nos abrirá la lista de de filtros de direcciones MAC como vemos en la imagen


Imagen28

En esta pantalla se pueden enumerar por dirección MAC los usuarios a los que desea proporcionar o bloquear el acceso. Para facilitar la referencia, haga clic en el botón Wireless Client MAC List (Lista de MAC de clientes inalámbricos) para mostrar una lista de usuarios de la red por dirección MAC.

La última pestaña de configuración corresponde a Advanced Wireless Settings o parámetros avanzados de configuración inalámbrica, que vemos en la siguiente imagen:


Imagen29

Los parámetros a configurar son:

Authentication Type (Tipo de autenticación). El valor predeterminado está establecido en Auto, que permite utilizar la autenticación Open System (Sistema abierto) o Shared Key (Clave compartida).

Basic Rate (Velocidad básica). El parámetro Basic Rate corresponde a un conjunto de velocidades de transmisión a las que puede transmitir el router. El router comunica su velocidad básica a los demás dispositivos inalámbricos de la red para que conozcan las velocidades que se utilizarán y seleccionará automáticamente la mejor velocidad para la transmisión.

El parámetro predeterminado es Default (Predeterminado) cuando el router puede transmitir
a todas las velocidades inalámbricas estándar (1-2 Mbps, 5,5 Mbps, 11 Mbps, 18 Mbps y 24 Mbps).

Si desea especificar la velocidad de transmisión de datos del router se debe configurar el parámetro Transmission Rate para indicar la velocidad de transmisión aunque lo adecuado es dejar los valores por defectos vistos anteriormente.

7.- Firewall

Si pinchamos sobre la pestaña Security accedemos a la configuración de parámetros de seguridad del router. La primera pantalla con la que nos encontramos es la de configuración del Firewall o cortafuegos, como vemos en la siguiente imagen:


Imagen30

Como podemos observar, existen varias Check box que nos permiten configurar las funciones del Firewall.
Tener activado el Firewall implica la inspección exhaustiva del tráfico de paquetes en nuestra red para ofrecer un control detallado de los paquetes de datos que entran en ella.

Las diferentes selecciones que se pueden usar son las siguientes:

- Block Anonymous Internet Requests:
Nos permite bloquear solicitudes anónimas de Internet evitando que otros usuarios de Internet sondeen o detecten la red. La función de bloqueo de solicitudes WAN también refuerza la seguridad de la red al ocultar los puertos de red. Esta función está activada de forma predeterminada. Si queremos permitir las solicitudes anónimas de Internet debemos desactivar la check box.

- Filter Multicast:
La multidifusión permite varias transmisiones simultáneas a receptores específicos. Si está seleccionada, el router permitirá que los paquetes Multicast IP se reenvíen a los ordenadores adecuados. Seleccionar para activar y filtrar las comunicaciones Multicast .

- Filter Internet NAT Redirection:
Esta función usa la opción de reenvío a puertos para bloquear el acceso a los servidores locales desde ordenadores en redes locales. Seleccionar para activar y filtrar la redirección NAT de Internet.

- Filter IDENT (Port 113):
Esta función impide que los dispositivos externos a la red local analicen el puerto 113. Seleccionar para activar y filtrar tráfico por el puerto 113.

Dentro de la pestaña Security hay una segunda opción y corresponde a VPN Passthrough, paso a través de VPN (Virtual Private Network), que vemos en la siguiente imagen:


Imagen31

En esta pantalla tenemos la posibilidad de activar/desactivar mediante Radio buttons las opciones de filtrado por parte del Firewall de los protocolos IPSec, PPTP o L2TP en el tráfico a través de la VPN.

8.- Restricciones de acceso:

Disponemos también de funciones de restricción de acceso, a las que accederemos pulsando sobre la pestaña Access Restrictions, lo que nos presentará la siguiente pantalla:


Imagen32

La sección Internet Access permite bloquear o aceptar determinados tipos de uso y tráfico de Internet, como el acceso a Internet, servicios concretos, sitios Web y tráfico entrante a determinados días y horas. Este tipo de acciones se pueden configurar mediante la definición de las política de acceso y la creación de las diferentes reglas que sustentan esa política de acceso.

En la sección superior de este menú y pulsando el botón Summary accederemos a todas la reglas definidas, como vemos en la imagen:


Imagen33

Estas reglas se pueden eliminar en la pantalla seleccionándolas y pulsando en el botón Delete.

Para volver a la ficha Internet Access (Acceso a Internet) haga clic en el botón Close (Cerrar).

Por defecto las reglas están desactivadas. Para activar una regla, debemos seleccionar su número en el menú desplegable (Imagen32) y hacer clic en el botón de radio Enable.

Las reglas que pueden ser creadas son de dos tipos, para administrar el acceso a Internet y para administrar el tráfico entrante.
Si queremos crear una regla de acceso a Internet, la operativa es la siguiente:

a.- Seleccionar un número en el menú desplegable Internet Access Policy.

b.- Para activar esta regla, seleccionamos en el radio button Enable.

c.- Damos un nombre a la regla en el campo Enter Policy Name.

d.- Seleccionamos Internet Access en Policy Type (Tipo de regla).

e.- Por último, pulsamos en el botón Edit List para seleccionar los PC a los que afectará esta regla.

Al pulsar el botón aparecerá la pantalla como la que aparece en la siguiente imagen:


Imagen34

La selección de un PC se puede realizar por la dirección MAC de su adaptador de red o por la dirección IP asignada al adaptador. También es posible introducir un intervalo de direcciones IP si desea que la regla afecte a un grupo de PCs.

f.- Se seleccionará la opción que corresponda Deny o Allow (Imagen32) para denegar o permitir el acceso a Internet de los PC enumerados en la pantalla List of PCs (Lista de PC).

g.- Se puede indicar los días y las horas en que desea que se aplique esta regla, seleccionando cada día en que se aplicará la regla o Everyday si se quiere aplicar todos los días. Si se necesita, se puede indicar un intervalo de horas y minutos durante los que se aplicará la regla o 24 horas.

h.- Se puede filtrar el acceso a diferentes servicios a través de Internet, como FTP o Telnet, seleccionándolos en los menús desplegables que aparecen junto al texto Blocked Services, siendo posible bloquear hasta 20 servicios. Se podrá introducir también el intervalo de puertos que desea filtrar.
Si el servicio que queremos bloquear no se encuentra en la lista o es necesario editar los parámetros de un servicio, basta pulsar en el botón Add/Edit Service y aparecerá la pantalla Port Services que vemos en la imagen:


Imagen35

Si queremos agregar un servicio, se introduce el nombre en el parámetro Service Name, seleccionamos el protocolo usado por el servicio en cuestión en el menú desplegable Protocol y se introduce el intervalo en las cajas de texto Port Range pulsando en el botón Add.
Si deseamos borrar o modificar el servicio, se selecciona en la lista de derecha y se pulsa en el botón Delete o se modifican sus datos y se pulsa en el botón Modify. Para cerrar la pantalla y volver de nuevo a la pantalla Access Restrictions (Imagen32) pulsamos el botón Close.

i.- Si lo que queremos es bloquear sitios Web con direcciones URL concretas, se introducirá cada una en un campo independiente situado junto a Website Blocking by URL Address.

j.- Por último, si lo que queremos es bloquear sitios Web mediante palabras específicas, simplemente introducimos cada palabra en un campo situado junto a Website Blocking by Keyword.

En la imagen que ponemos a continuación se puede ver un ejemplo de estos dos últimos tipos de bloqueo:


Imagen36

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

Si lo queremos crear una regla de control de tráfico entrante, la operativa es la siguiente:

a.- Seleccionamos en el desplegable Policy Type la opción Inbound Traffic, como vemos resaltado en la Imagen37


Imagen37

b.- Seleccionamos un número de regla en el menú desplegable Internet Access Policy.

c.- Para activar esta regla, seleccionamos el radio button para activar.

d.- Introducimos un nombre de regla en el campo Enter Policy Name.

e.- Se introduce la dirección IP de origen cuyo tráfico queremos administrar y se selecciona el protocolo correspondiente al tráfico a administrar que puede ser TCP, UDP o Both (Ambos), se introducirá también el intervalo de puertos adecuado o Any para cualquier puerto y por último se introducirá la IP de destino cuyo tráfico queremos administrar.

f.- Seleccionamos el radio button de la opción deseada, Deny para denegar o Allow para Permitir.

g.- Se puede indicar los días y las horas en que desea que se aplique esta regla, seleccionando cada día en que se aplicará la regla o Everyday si se quiere aplicar todos los días. Si se necesita, se puede indicar un intervalo de horas y minutos durante los que se aplicará la regla o 24 horas.

Una vez introducidos los valores se debe hacer clic en el botón Save Settings para aplicar los cambios o en Cancel Changes para cancelarlos.

9.- Apertura de puertos:

Para acceder a esta sección de la configuración del router, es necesario acceder a la pestaña Applications & Gaming, que nos presentará la siguiente pantalla:


Imagen38

Y por defecto aparece la opción de configuración correspondiente a Port Range Forward o rango de envío de puertos que nos va a permitir configurar servicios públicos en la red, comoservidores Web, servidores FTP, servidores de correo electrónico u otras aplicaciones que utilizan el acceso a Internet para realizar funciones como videoconferencias o juegos en línea.

Introduciremos los datos en los parámetros para adaptarlos a las necesidades de redireccionamiento que queremos configurar estos datos son:

Application: Se debe introducir el nombre de hasta 12 caracteres que queremos asignar a la aplicación.
Start/End: Nos va a permitir introducir el intervalo de puertos, puerto inicial y final.
Protocol: Se debe especificar el protocolo usado por la aplicación en cuestión TCP, UDP o Both (Ambos).
IP Address: Se indicará la dirección IP interna del adaptador de red del ordenador que ejecuta la aplicación, por cada aplicación.
Enable: Seleccionaremos el check box Enable para activar el reenvío de puertos para la aplicación correspondiente.

Supongamos que estamos tratando de jugar en red a través del router y que nuestro juego usa el puerto 4678 y el protocolo TCP, y además el ordenador desde la que jugamos tiene la IP 192.168.1.35. Podemos ver en la imagen inferior como se colocarían los datos:


Imagen39

También, dentro de la pestaña Applications & Gaming, podemos seleccionar la opción Port Triggering, con lo que nos aparecería esta pantalla:


Imagen40

La pantalla Port Triggering permite realizar la configuración de algunas aplicaciones de manera que el router recuerda la dirección IP del ordenador que envía los datos coincidentes, de tal menera que, cuando los datos solicitados circulen a través del router, se dirijan al ordenador que corresponda mediante la dirección IP y las reglas de asignación de puertos.

Application: Se debe introducir el nombre de hasta 12 caracteres que queremos asignar a la aplicación
Triggered Range: Se debe introducir para cada aplicación el intervalo de números de puertos. Es necesario la consulta de la documentación de la aplicación de los números de puerto necesarios.
Start Port: Número de puerto inicial del intervalo desencadenado.
End Port: Número de puerto final del intervalo desencadenado.

Existen otras dos opciones más en la pestaña Applications & Gaming.
La primera es la función DMZ, que permite exponer a un usuario de red a Internet para el uso de un servicio especial, como juegos por Internet y video conferencias sin pasar por las medidas de seguridad establecidas por las opciones definidas en el apartado Security.
La segunda es QoS. La configuración del servicio QoS permite garantizar un mejor servicio para tipos de tráfico de red de alta prioridad. Suele usarse para trabajar con aplicaciones en tiempo real y muy exigentes, como las video conferencias.

10.- Administración y Estado:

Dentro del configurador web del router, nos falta por explicar el significado de las dos últimas pestañas y es lo que vamos a describir en este ultimo punto del tutorial.

Administración:

La pestaña en cuestión nos va a permitir configurar en el router una serie de funciones específicas relacionadas con su funcionamiento. Existen varios botones pero al pulsar sobre la pestaña nos aparece por defecto la pantalla que vemos a continuación.


Imagen41

Aparece seleccionada la opción de Menú Management en el que podremos configurar algunas funciones específicas del router, como puede ser el cambio de contraseña en la sección Local Router Access. Basta con introducir la nueva contraseña en el campo Router password y, a continuación, volver a escribirla en el campo Re-enter to confirm para confirmarla.

En la sección Web Access se establece el protocolo de acceso Web a servidores a través de HTTP o si se desea aumentar la seguridad HTTPS que usa SSL para encriptar las comunicaciones.

Wireless Access Web para habilitar o deshabilitar el acceso inalámbrico a la utilidad de configuración Web.

La sección Remote Router Access nos sirve para acceder al router de forma remota, desde fuera de la red, en cuyo caso ha de esta marcada la opción Enable. Podemos definir además un puerto a través del cual comunicar con el exterior, y habrá que indicárselo.

La sección UPnP permite activar el uso de las funciones UPnP en el router.

La siguiente opción de menú en la pestaña Administration es Log, como vemos en la siguiente imagen:


Imagen42

La función Log activada permite almacenar los datos de las conexiones entrantes o salientes pulsando los botones Incoming Log u Outgoing Log.

Otra funcion configurable en la pestaña Administration es Diagnostics, como vemos en la siguiente imagen:


Imagen43

En esta pantalla se nos permite realizar algunas pruebas de diagnóstico de funcionamiento de nuestro router, Ping Test, que comprueba el estado de una conexión y Traceroute Test para probar el rendimiento de una conexión con un determinado PC.

Para finalizar veremos las tres últimas opciones de esta pestaña Administration y que corresponden a Factory Defaults, que nos permite restablecer los parámetros de configuración de fábrica:


Imagen44

Firmware Upgrade, que nos permite actualizar el firmware del router pulsando en el botón Upgrade e indicando la ubicación del fichero de actualición como podemos ver en la imagen:


Imagen45

La última función es Config Management, que se utiliza para realizar una copia de seguridad del archivo de configuración del router o para restaurar la copia


Imagen46

Si queremos hacer una copia de seguridad del archivo de configuración del router, basta con pulsar el botón Backup y seguir las instrucciones que aparecen en la pantalla.

Si lo que queremos es restaurar el archivo de configuración del router, pulsamos el botón Browse para localizarlo y seguir las instrucciones que aparecen en la pantalla. Una vez seleccionado el archivo, pulsamos el botón Restore.


Estado:

La última pestaña por describir es la correspondiente a Status, en la que hay varias opciones:

Ver el estado del router:


Imagen47

La información que se visualiza es la Versión del firmware, la Hora actual, la Dirección MAC, el Nombre del router y el Nombre de host y Nombre de dominio si fueron introducidos

ver el estado de la red local:


Imagen48

Donde se visualizan los datos relativos a la Dirección MAC del router tal como se ve en la red local, la Dirección IP, la Máscara de subred, si está o no habilitado el Servidor DHCP, las Dirección IP inicial y final del intervalo de direcciones IP que utilizan los dispositivos de la red local.

Desde esta misma pantalla podemos visualizar la lista de los clientes DHCP a los que el router ha proporcionado las IP de manera dinámica como se ve en la siguiente imagen:


Imagen49

Ver el estado de la red inalámbrica:


Imagen50

Por último podemos consultar Ver el estado de la red inalámbrica, visualizando la dirección MAC del router tal como se ve en la red inalámbrica, el modo inalámbrico usado, el nombre de red inalámbrica o SSID, el canal en el que emite la red inalámbrica, si existe encriptación y el tipo de encriptación tal como se haya seleccionado en la pestaña Security.

Fuente: http://www.configurarequipos.com/doc387.html