Protocolos de Red: DHCP, DNS y FTP - Configuración y Seguridad

Componentes DHCP

• Servidor
• Cliente
• Protocolo
• Agente de retransmisión: Equipo o enrutador que captura el tráfico DHCP que genera la red y lo redirige al servidor DHCP (necesita la IP del servidor).

Funcionamiento DHCP

1. El cliente envía un DHCPDISCOVER en forma de broadcast con un ID.
2. Los servidores ofrecen los parámetros de red y los reservan con un DHCPOFFER.
3. El cliente acepta uno y manda un DHCPREQUEST a través de broadcast con el ID del servidor escogido.
4. El servidor contesta con DHCPACK si está disponible y NACK si no lo está.
5. Si no es válida, el cliente manda un DHCPDECLINE y vuelve al DHCPDISCOVER.

Tipos de Asignación DHCP

• Manual: A través de reservas.
• Dinámica: De un rango por tiempo limitado.
• Automática: Dinámica pero ilimitado.

Failover DHCP

Los servidores se comunican entre sí, se sincronizan, ambos dan el mismo rango de IPs, pero saben cuáles están ya concedidas.

Seguridad DHCP

• Suplantación del servidor DHCP.
• Denegación del servicio.
• Un equipo se pone entre el router y el host para capturar el tráfico.
• Clientes no autorizados configuran la red.
• Congestión de servidores DHCP.

Servidor DNS Autoritativo

Si el servidor DNS es autoritativo, y tiene activada la caché, y tiene la información que se le pregunta, la devuelve. Si no, realiza una consulta externa porque no sabe cuál es la IP del dominio, empieza preguntando a la raíz. Los DNS que gestionan el dominio raíz son sugerencias raíz.

Tipos de Servidores DNS

• Maestro: Autorizado para una zona, almacena y actualiza recursos. Se puede modificar el fichero de zona.
• Esclavo: Resuelve recursos de una zona, actualiza los recursos del servidor primario del cual obtiene el fichero de zona.
• Transferencia de zona de maestro a esclavo: Ambos servidores son autorizados para esa zona. Si delega la zona, el maestro no tiene autoridad sobre ella.
• Ventajas de tener un servidor esclavo:
  • Reducir la carga.
  • Favorecer la tolerancia a fallos.
  • Respuestas más rápidas.
• Solo caché: Comprueba si es alguna de las consultas que tiene almacenadas, si no, pregunta a otros servidores.
• Reenviadores: Es un servidor DNS que realiza una consulta recursiva y la envía a otro servidor DNS.
• Consultas:
  • Iterativas: Respuesta parcial (después de realizar una recursiva sin respuesta).
  • Recursivas: Respuesta completa.
• Solo autorizado: No tiene activada la caché, no realiza consultas recursivas, resuelve un dominio como son las sugerencias raíz.

Proceso de Resolución de Nombres DNS

1. El cliente pregunta al servidor DNS.
2. Si es autoritativo, le devuelve la IP solicitada o no encuentra el recurso, aunque es autorizado.
3. Si no es autoritativo, comprueba si está en caché.
4. Si tiene configurados reenviadores, consulta a las sugerencias raíz.

Seguridad DNS (Vulnerabilidades)

• Servidores DNS (ataque).
• Actualización dinámica: Suplantación de la fuente.
• Transferencia de zona: Suplantación del servidor maestro.
• Consulta de cliente DNS a otros servidores.
• Envenenamiento de caché.
• Consulta de cliente DNS a otros servidores: Suplanta al servidor DNS remoto.

Mecanismos de Seguridad DNS

• Seguridad local en servidores DNS.
• Seguridad en las transferencias de zonas y actualizaciones dinámicas.
• Seguridad en las consultas DNS de clientes o servidores a otros servidores.

Comandos para Consultas DNS

Dig

• Verificar dominio mec.es: dig www.mec.es
• Nombre a IP: dig -x 8.8.8.8
• DNS autoritativo: dig @8.8.8.8 es NS
• Registros de recursos: dig @8.8.8.8 mec.es ANY

Nslookup

• DNS autoritativo para mec.es: nslookup, server 8.8.8.8, set type=NS, mec.es
• Correo autoritativo para mec.es: nslookup, set type=MX, mec.es
• DNS dominio raíz: nslookup, set type=NS, .
• Dominio www.mec.es: nslookup, server a.nic.es, www.mec.es

Host

• IP de mec.es: host www.mec.es
• Nombre asociado a IP: host 8.8.4.4
• DNS autorizado para un dominio: host -t NS es 8.8.8.8

FTP

Modo Activo

1. Cliente a servidor: Conexión de control.
2. Servidor a cliente: ACK.
3. Cliente a servidor: PORT con puerto del cliente.
4. Servidor a cliente: ACK.

La conexión de datos la realiza el servidor. Si el router está configurado con NAT y si implementa ALG, analiza la conexión FTP y registra la IP. Sin ALG, el router filtra el tráfico exterior a puertos mayores a 1023. Problema en NAT: descarta el tráfico.

Modo Pasivo

1. Cliente a servidor: PASV.
2. Servidor a cliente: PORT: IP del puerto.

La conexión de datos la realiza el cliente y el servidor manda ACK. Se debe configurar el rango de puertos que permite la conexión y se redirige al servidor FTP (esto se hace en el servidor del router).

Conexiones FTP

A través del comando: ftp://alumno:[email protected]