🌐 WiFi WEP a WPA3, cont... (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 31

 Fuente: https://www.youtube.com/watch?v=GUjw-51-tuQ

Qué es DDNS

 Le pedimos a Gemini, la inteligencia artificial de Google, nos explique qué es DDNS

Explicanos detalladamente qué es DDNS

El DDNS ( Dynamic Domain Name System o Sistema de Nombres de Dominio Dinámico ) es una tecnología que resuelve un problema clásico de las redes informáticas: cómo acceder a un dispositivo o servidor cuando la dirección IP pública cambia constantemente.

Para entender su valor, primero hay que comprender la limitación del DNS tradicional y el funcionamiento de las conexiones de internet residenciales o de oficinas pequeñas.

1. El Problema: IPs Dinámicas vs. Nombres Fijos

El DNS tradicional funciona como una guía telefónica estática. Asocia un nombre de dominio (ej. midominio.com) con una dirección IP fija (ej. 203.0.113.50). Funciona perfecto para grandes servidores o empresas con IPs estáticas contratadas.

El problema: La gran mayoría de los proveedores de internet (ISP) para hogares y pequeñas empresas asignan IPs dinámicas. Esto significa que cada cierto tiempo (o cuando se reinicia el router), tu IP pública cambia. Si intentas conectarte a tu casa desde el exterior usando una IP que cambió, la conexión fallará.

Aquí es donde entra el DDNS, automatizando la actualización para que tu dominio siempre apunte a tu IP actual, sin importar cuántas veces cambie.

2. ¿Cómo Funciona el DDNS ?

El proceso ocurre de manera transparente y automatizada en segundo plano gracias a una serie de pasos:

Monitoreo de IP : Un cliente DDNS (que puede estar instalado en tu router, en un servidor local, o en un NAS) vigila constantemente la dirección IP pública de tu conexión a Internet.

Detección de Cambios: Cuando el ISP cambia tu IP (por ejemplo, pasas de 203.0.113.10 a 203.0.113.45), el cliente detecta esta modificación.

Notificación al Proveedor: El cliente envía inmediatamente una solicitud segura a un proveedor de servicios DDNS (como No-IP, DuckDNS, Dynu, etc.) informando la nueva IP.

Actualización de Registros: El servidor DDNS actualiza instantáneamente el registro A (para IPv4) o AAAA (para IPv6) asociado a tu dominio personalizado o subdominio.

Acceso Continuo: Cuando intentas conectarte desde el exterior usando tu nombre (ej. micasa.ddns.net), el sistema de nombres de dominio redirige el tráfico a la nueva IP de forma automática.

3. Casos de Uso Principales

El DDNS es indispensable en entornos donde se requiere acceso remoto pero no se justifica o no está disponible una IP estática empresarial:

Servidores Propios y NAS : Acceder a tus archivos en un dispositivo tipo Synology o QNAP desde cualquier lugar del mundo.

Cámaras de Seguridad ( CCTV ): Monitorear las cámaras de tu casa o negocio en tiempo real a través de aplicaciones móviles.

Servidores VPN Domésticos : Conectarte de forma segura a tu red privada mediante protocolos como WireGuard o OpenVPN mientras estás de viaje.

Domótica y Automatización : Controlar dispositivos de domótica local (Home Assistant, servidores de automatización) cuando estás fuera de casa.

4. ¿Dónde se Configura el DDNS ?

No necesitas instalar software complejo en todas partes; por lo general, se configura en un solo punto central de la red:

En el Router : La gran mayoría de los routers modernos (incluyendo marcas como ASUS , TP-Link , MikroTik, o routers neutros de operadores) traen soporte integrado para los proveedores de DDNS más populares. Solo debes introducir tus credenciales y el nombre de tu dominio.

En el Servidor o Dispositivo: Si tu router no lo soporta, puedes correr un pequeño demonio o script (como el cliente oficial de No-IP o DuckDNS ) en un servidor Linux , Raspberry Pi o NAS .

Resumen Técnico

Característica	DNS Tradicional	DDNS (Dynamic DNS)
Tipo de IP	Estática (Fija)	Dinámica (Cambia periódicamente)
Actualización	Manual (Solo cuando cambia el servidor)	Automática (Mediante un cliente/script)
Uso Ideal	Sitios web corporativos, servidores en la nube	Redes residenciales, teletrabajo, sucursales
Costo	Requiere mantenimiento y contratos fijos	Muchas opciones gratuitas o de muy bajo costo

Ejemplos de filtros específicos para detectar ataques de denegación de servicio (DoS)

 Le preguntamos a Gemini, la inteligencia artificial de Google, cuáles son los ejemplos de filtros específicos para detectar ataques de denegación de servicio (DoS) 

Filtros Específicos para Detectar y Mitigar Ataques de Denegación de Servicio (DoS) La detección y mitigación temprana de ataques de Denegación de Servicio (DoS) o denegación de servicio distribuida (DDoS) requiere el uso de herramientas capaces de aislar patrones anómalos en el tráfico de red.

A continuación, veremos ejemplos detallados utilizando tcpdump (para la captura e identificación en vivo) y reglas de iptables (para la mitigación directa en sistemas Linux).

1. Detección de Ataques SYN Flood (TCP SYN)

Un ataque SYN Flood busca saturar la tabla de conexiones del servidor enviando miles de solicitudes de apertura de conexión (SYN) sin completar jamás el protocolo de enlace de tres vías (ACK).

Identificación con tcpdump:

Para capturar únicamente paquetes TCP que tengan la bandera SYN activa (y no los paquetes ACK o RST), se utiliza una máscara de bits en el encabezado TCP:

Bash

tcpdump -nnvi eth0 'tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) == 0'

Qué buscar: Si ves miles de paquetes por segundo desde IPs aleatorias o repetitivas hacia el puerto 80/443 sin que aparezca la respuesta del cliente, estás ante un SYN Flood.

Mitigación con iptables (Protección SYN Proxy / Rate Limit):

Puedes limitar la tasa de nuevas conexiones aceptadas por segundo para evitar que el servidor colapse:

Bash

iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

iptables -A INPUT -p tcp --syn -j DROP

2. Detección de Ataques UDP Flood

Los ataques UDP Flood inundan puertos aleatorios o específicos del servidor con paquetes UDP masivos, obligando al sistema a responder con un paquete ICMP Port Unreachable para cada uno, saturando el ancho de banda y la CPU.

Identificación con tcpdump:

Para capturar un volumen anómalo de tráfico UDP dirigido a un servicio o puerto específico (por ejemplo, DNS en el puerto 53):

Bash

tcpdump -nnvi eth0 'udp and port 53'

Si quieres ver qué IPs están generando más tráfico UDP de forma agresiva:

Bash

tcpdump -nnq -c 1000 -i eth0 udp | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr

Mitigación con iptables (Limitación de ráfagas UDP):

Puedes aplicar una regla para descartar paquetes UDP que superen un umbral determinado por segundo:

Bash

iptables -A INPUT -p udp -m limit --limit 50/s --limit-burst 100 -j ACCEPT

iptables -A INPUT -p udp -j DROP

3. Detección de Ataques ICMP Flood (Ping Flood)

Consiste en saturar la red con solicitudes de eco ICMP (ping), consumiendo todo el ancho de banda disponible del enlace de bajada/subida.

Identificación con tcpdump:

Para capturar y contar paquetes ICMP entrantes en tiempo real:

Bash

tcpdump -nnvi eth0 'icmp[icmptype] == icmp-echo'

Mitigación con iptables (Anti-Ping Flood):

Limitar la tasa de respuesta a pings externos protege el recurso de red:

Bash

iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/s --limit-burst 5 -j ACCEPT

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

4. Detección de HTTP GET/POST Flood (Capa 7 DoS)

Este tipo de ataques simulan usuarios legítimos solicitando páginas web pesadas o ejecutando scripts repetitivos para agotar los procesos del servidor web (como Apache o Nginx).

Identificación con tcpdump:

Dado que el tráfico HTTP va en texto plano (puerto 80), puedes buscar cadenas específicas como métodos GET masivos:

Bash

tcpdump -nnvi eth0 -A 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2 -="" tcp="" xf0="">>2)) != 0)' | grep -i "GET /"

Mitigación con iptables (Protección de conexiones concurrentes por IP):

Puedes usar el módulo connlimit de iptables para evitar que una sola dirección IP abra demasiadas conexiones simultáneas al servidor web:

Bash

iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 32 -j REJECT

(Esta regla rechaza a cualquier IP individual que intente mantener más de 20 conexiones concurrentes abiertas al puerto 80).

Resumen de Buenas Prácticas de Mitigación

Uso de Rate Limiting: Nunca bloquees el tráfico por completo si es legítimo; en su lugar, utiliza los módulos de -m limit para estrangular el tráfico malicioso.

Inspección de Logs: Combina tcpdump con herramientas de análisis de registros para identificar si el ataque proviene de botnets distribuidas (DDoS) o de IPs fijas específicas (lo que facilitaría un bloqueo estático mediante iptables -A INPUT -s IP_ATACANTE -j DROP).

¿Te gustaría profundizar en cómo automatizar estas alertas utilizando scripts o en cómo configurar mecanismos de mitigación a nivel de hardware/routing con BPF avanzado (eBPF)?

TCPDUMP

Le pedimos a Gemini, la inteligencia artificial de Google que nos hable sobre TCPDUMP

Hablanos detalladamente sobre TCPDUMP

tcpdump es la herramienta de línea de comandos por excelencia para el análisis de red. Es un analizador de paquetes (sniffer) que permite capturar y mostrar en tiempo real el tráfico que entra o sale de una interfaz de red, o guardarlo en un archivo para un análisis posterior con herramientas como Wireshark.

En el contexto de VoIP y administración de redes Cisco que veníamos tratando, tcpdump es el "rayo X" que te permite ver si los marcadores QoS que configuraste realmente están viajando en los paquetes.

1. ¿Cómo funciona tcpdump?

tcpdump utiliza la biblioteca libpcap para capturar paquetes directamente de la capa de enlace de datos. Funciona bajo el principio de "promiscuidad": puede poner la tarjeta de red en modo promiscuo para ver todo el tráfico que pasa por el segmento, no solo el dirigido a la máquina local.

2. Sintaxis Básica y Opciones Esenciales

La estructura de un comando suele ser: tcpdump [opciones] [expresión_de_filtro]

-i [interfaz]: Define qué interfaz escuchar (ej. eth0, any, wlan0).

-n: No resuelve nombres de dominio (muestra IPs), lo que acelera el proceso y evita generar tráfico DNS adicional.

-v, -vv, -vvv: Niveles de verbosidad. A mayor nivel, más detalles del encabezado (como el valor TTL, ID, y lo más importante: los valores DSCP/ToS).

-w [archivo.pcap]: Guarda la captura en un archivo compatible con Wireshark.

-r [archivo.pcap]: Lee un archivo previamente capturado.

-s 0: (Snaplen) Captura el paquete completo. Por defecto, versiones antiguas cortaban el paquete a 68 o 96 bytes.

3. El Poder de los Filtros (Expresiones BPF)

tcpdump utiliza filtros BPF (Berkeley Packet Filter). Esto es vital para no saturar la terminal con tráfico basura.

Por Host: host 192.168.1.50

Por Red: net 10.0.0.0/24

Por Puerto: port 5060 (tráfico SIP estándar).

Por Protocolo: udp, tcp, icmp, arp.

Combinaciones Lógicas: and (&&), or (||), not (!).

Ejemplo: src 192.168.1.100 and udp port 5060 (Captura solo el tráfico SIP que sale de esa IP específica).

4. Uso de tcpdump en Entornos VoIP y QoS

Si quieres verificar si tu configuración de QoS en el router Cisco está funcionando, puedes usar tcpdump para inspeccionar el campo TOS (Type of Service) o DSCP.

Comprobar paquetes SIP con prioridad:

Bash

tcpdump -v -ni eth0 udp port 5060

En la salida, busca el campo tos. Si configuraste DSCP EF (Expedited Forwarding), deberías ver algo como tos 0xb8 (que es el valor hexadecimal para EF).

Capturar tráfico RTP (Audio):

El audio suele ir por puertos UDP aleatorios. Un truco es capturar todo el tráfico UDP entre dos terminales:

Bash

tcpdump -ni eth0 udp and host 192.168.1.20

5. Interpretación de la Salida

Una línea típica de tcpdump se ve así: 11:23:01.123456 IP 192.168.1.50.5060 > 192.168.1.1.5060: UDP, length 542

Timestamp: Hora exacta del paquete.

Protocolo de Capa de Red: IP en este caso.

Origen > Destino: IP y puerto de origen seguidos de la dirección de destino.

Info del Protocolo: Indica que es UDP y el tamaño de la carga útil (payload).

6. Consejos Pro para Solución de Problemas

Ver el contenido en ASCII: Si quieres leer el mensaje SIP (para ver quién llama a quién), usa -A: tcpdump -ni eth0 -A port 5060

Capturar solo paquetes entrantes: tcpdump -i eth0 incoming

Rotación de archivos: Si vas a dejar capturando mucho tiempo, usa -C [tamaño] para que cree archivos nuevos cada X Megabytes y no llene el disco.

tcpdump es la herramienta definitiva porque está presente en casi cualquier sistema Linux/Unix (incluyendo el shell de muchos routers y firewalls modernos). Es el paso previo antes de pasar a una interfaz gráfica como Wireshark.

¿Te gustaría que te diera ejemplos de filtros específicos para detectar ataques de denegación de servicio (DoS) o para inspeccionar otros protocolos como ICMP o HTTP?

🌐 WiFi - de WEP a WPA3 (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 29

 Fuente: https://www.youtube.com/watch?v=ItffEoxFuC8

Cuales son los comandos específicos para configurar web estas reglas en una zona DMZ para un servidor en un router de alguna marca específica como Cisco ?

Le pedimos a Gemini, la inteligencia artificial de Google, nos explique cuales son los comandos específicos para configurar web estas reglas en una zona DMZ para un servidor en un router de alguna marca específica como Cisco ?

Explicanos detalladamente cuales son los comandos específicos para configurar  web estas reglas en una  zona DMZ para un servidor en un router de alguna marca específica como Cisco ?

Configurar una zona DMZ en un router Cisco (como las series ISR o routers de borde con Cisco IOS) para proteger y publicar un servidor web requiere el uso de Listas de Control de Acceso (ACLs) y NAT estático (Port Forwarding).

A diferencia de los sistemas operativos basados en iptables, Cisco maneja el filtrado de paquetes mediante ACLs estándar o extendidas aplicadas directamente sobre las interfaces de red, evaluando el tráfico según entra o sale de ellas.

Para este ejemplo, asumiremos el siguiente escenario de red:

GigabitEthernet0/0 (WAN): Conectada a Internet con una IP pública estática (203.0.113.10).

GigabitEthernet0/1 (LAN): Conectada a la red privada interna (192.168.1.0/24).

GigabitEthernet0/2 (DMZ): Conectada a la red de la zona desmilitarizada (192.168.2.0/24), donde reside el servidor web con la IP 192.168.2.10.

1. Configuración de Direcciones IP en las Interfaces

Primero, asegúrate de que cada interfaz tenga su respectiva dirección IP y máscara de subred configuradas:

Plaintext

enable

configure terminal



interface GigabitEthernet0/0

 description WAN - Internet

 ip address 203.0.113.10 255.255.255.248

 ip nat outside

 no shutdown



interface GigabitEthernet0/1

 description LAN - Red Privada

 ip address 192.168.1.1 255.255.255.0

 ip nat inside

 no shutdown



interface GigabitEthernet0/2

 description DMZ - Servidor Web

 ip address 192.168.2.1 255.255.255.0

 ip nat inside

 no shutdown

2. Configuración de NAT (Publicar el Servidor Web hacia Internet)

Para que las peticiones del exterior (puertos 80 y 443) lleguen al servidor web ubicado en la DMZ, utilizaremos NAT estático de puertos (Port Forwarding). También configuraremos el NAT de salida (Overload) para que los equipos de la LAN y la DMZ puedan salir a internet.

Plaintext

! Redirigir tráfico HTTP (80) y HTTPS (443) hacia la IP del servidor en la DMZ

ip nat translation timeout 3600

ip nat inside source static tcp 192.168.2.10 80 interface GigabitEthernet0/0 80 extendable

ip nat inside source static tcp 192.168.2.10 443 interface GigabitEthernet0/0 443 extendable



! Permitir que las redes internas y DMZ salgan a Internet mediante la IP pública de la WAN

ip access-list standard NAT_ACL

permit 192.168.1.0 0.0.0.255

permit 192.168.2.0 0.0.0.255



ip nat inside source list NAT_ACL interface GigabitEthernet0/0 overload

3. Creación de Reglas de Filtrado (ACLs de Seguridad para la DMZ)

En Cisco, las listas de acceso extendidas permiten controlar con precisión milimétrica qué tráfico puede atravesar el router (tráfico de tipo FORWARD). Crearemos una ACL llamada DMZ_POLICY para aislar la DMZ.

Plaintext

ip access-list extended DMZ_POLICY

! 1. Permitir que las conexiones ya establecidas respondan sin problemas

evaluate TCP_REF



! 2. Permitir el tráfico de Internet entrante dirigido estrictamente a los puertos web del servidor

permit tcp any host 192.168.2.10 eq 80

permit tcp any host 192.168.2.10 eq 443



! 3. Permitir que la red LAN administre o acceda al servidor web en la DMZ

permit ip 192.168.1.0 0.0.0.255 host 192.168.2.10



! 4. Permitir que el servidor web salga a Internet (por ejemplo, para actualizaciones de software)

permit ip host 192.168.2.10 any



! 5. BLOQUEAR explícitamente cualquier intento de la DMZ de iniciar tráfico hacia la red LAN interna

deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255



! 6. Denegar y registrar cualquier otro intento de movimiento lateral no autorizado

deny ip 192.168.2.0 0.0.0.255 any log

permit ip any any

4. Aplicación de las ACLs a las Interfaces

Una vez creada la lista de acceso, debe aplicarse a la interfaz correspondiente. Para proteger la red interna de posibles ataques provenientes de la DMZ, se aplica de entrada (in) en la interfaz física de la DMZ:

Plaintext

interface GigabitEthernet0/2

ip access-group DMZ_POLICY in

Resumen del Flujo de Seguridad en Cisco

Entrada WAN: Solo se traducen y permiten los paquetes destinados a los puertos web (80 y 443) del servidor DMZ mediante las reglas de ip nat inside source static.

Aislamiento: La regla deny ip 192.168.2.0 ... 192.168.1.0 ... dentro de la ACL asegura que, si el servidor web sufre una brecha de seguridad, el atacante no podrá alcanzar los equipos de la oficina o casa (LAN).

Inspección de Estado: El uso de características de seguridad complementarias o el orden lógico de las reglas permite que las respuestas legítimas fluyan de regreso sin exponer los puertos internos del router.

¿Qué te gustaría hacer a continuación?

Configurar ZBFW en Cisco

Verificar reglas con comandos show

🌐 WiFi - CSMA/CA (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 28

presentamos el funcionamiento del algoritmo para "evitar" colisiones o CSMA/CA, siempre dentro de la familia IEEE 802.11. Es una sencilla presentación para que entiendas los diferentes cálculos de tiempo y el empleo de las tramas CTS_RTS.

Fuente: https://www.youtube.com/watch?v=WFwOVEon3Lo

Hablemos de OSPF

 Le pedimos a Gemini, la inteligencia artificial de Googke que nos hable sobre OSPF

Hablanos detalladamente sobre OSPF

OSPF ( Open Shortest Path First ) es uno de los protocolos de enrutamiento de estado de enlace (Link-State) más utilizados en redes empresariales y de proveedores de servicios. A diferencia de protocolos como RIP, que solo miran la distancia (saltos), OSPF construye un mapa completo de la topología de la red para tomar decisiones inteligentes.

Es un estándar abierto definido originalmente en el RFC 2328 (para IPv4) y el RFC 5340 (para IPv6).

1. El Algoritmo de Dijkstra (SPF)

El corazón de OSPF es el algoritmo Shortest Path First ( SPF ), creado por Edsger Dijkstra.

Cada router OSPF recolecta información sobre sus enlaces directos y los de sus vecinos.

Toda esta información se almacena en la LSDB ( Link State Database ).

Utilizando la LSDB, cada router se coloca a sí mismo como la "raíz" de un árbol y calcula el camino más corto hacia cada red de destino basándose en el Costo.

2. Jerarquía de Áreas

OSPF utiliza un diseño jerárquico para ser escalable. Si una red es muy grande, los cálculos del algoritmo SPF podrían sobrecargar la CPU de los routers; las áreas dividen la red para limitar el impacto de los cambios.

Area 0 (Backbone): Es el corazón de la red OSPF. Todas las demás áreas deben conectarse físicamente (o virtualmente) al Área 0.

Áreas Normales: Se utilizan para agrupar redes y routers. El tráfico entre dos áreas normales siempre debe pasar por el Área 0.

Tipos de Routers según su ubicación:

Internal Router: Todas sus interfaces están en la misma área.

Backbone Router: Tiene al menos una interfaz en el Área 0.

ABR ( Area Border Router ): Conecta una o más áreas al Área 0. Es el encargado de resumir las rutas entre áreas.

ASBR ( Autonomous System Boundary Router ): Conecta el dominio OSPF con otras redes (Internet, BGP, EIGRP o rutas estáticas).

3. Estados de Adyacencia OSPF

Para que dos routers intercambien rutas, deben pasar por un proceso de "saludo" y sincronización. Este proceso tiene 7 estados críticos:

Down: No se ha recibido información.

Init: Se recibió un paquete Hello, pero el router local no aparece en la lista de vecinos del otro.

Two-Way: Bidireccionalidad establecida. En redes multiacceso (como Ethernet), aquí se eligen al DR ( Designated Router ) y al BDR.

ExStart: Los routers deciden quién iniciará el intercambio (relación Maestro/Esclavo).

Exchange: Se intercambian los paquetes DBD ( Database Descriptors ), que son como el "índice" de sus bases de datos.

Loading: Los routers solicitan información detallada de los enlaces que no conocen mediante LSR ( Link State Requests ).

Full: Las bases de datos están totalmente sincronizadas.

4. Tipos de LSA ( Link State Advertisements )

Los LSAs son los mensajes que los routers usan para decirse unos a otros qué redes conocen. Los más importantes son:

Tipo 1 ( Router LSA ): Generado por cada router; describe sus enlaces dentro de su propia área.

Tipo 2 ( Network LSA ): Generado por el DR en redes multiacceso.

Tipo 3 ( Summary LSA ): Generado por los ABRs para anunciar redes de un área a otra.

Tipo 5 ( External LSA ): Generado por el ASBR para anunciar rutas externas al dominio OSPF.

5. Métrica de OSPF: El Costo

OSPF no usa saltos. Usa el Costo, que es inversamente proporcional al ancho de banda de la interfaz. La fórmula estándar de Cisco es:

               Ancho de Banda de Referencia (100 Mbps)

Costo =  -----------------------------------------------------

                        Ancho de Banda de la Interfaz

Un enlace de 10 Mbps tiene un costo de 10.

Un enlace de 100 Mbps tiene un costo de 1.

Un enlace de 1 Gbps también tiene un costo de 1 (por eso se recomienda ajustar el ancho de banda de referencia en redes modernas a un valor mayor, como 100 Gbps).

6. Ventajas y Desventajas

Ventajas	Desventajas
Convergencia rápida: Detecta fallos y recalcula rutas casi instantáneamente.	Consumo de recursos: El algoritmo SPF requiere más CPU y RAM que RIP.
Libre de bucles: El mapa completo de la red evita ciclos infinitos.	Complejidad: El diseño de áreas requiere una planificación cuidadosa.
Soporta VLSM: Permite un uso eficiente de las direcciones IP.	Sensibilidad: Cambios constantes en un enlace pueden causar "flapping" en toda la red.

Ejemplo de Configuración Básica (Cisco)

Bash

Router(config)# router ospf 1

Router(config-router)# router-id 1.1.1.1

Router(config-router)# network 192.168.10.0 0.0.0.255 area 0

Router(config-router)# network 10.1.1.0 0.0.0.3 area 0

Dato Clave: El Router ID es el nombre único del router en el dominio OSPF. Si no se configura manualmente, el router elige la IP más alta de sus interfaces Loopback o, en su defecto, la IP más alta de sus interfaces físicas activas.

¿Te gustaría profundizar en algún tema específico, como la elección del DR/BDR, las áreas Stub/NSSA, o cómo configurar la autenticación en OSPF para que sea más seguro?

Cómo configurar una VPN tipo Servidor para entrar a los archivos de tu casa de forma segura cuando se esta de viaje

 Le preguntamos a Gemini, la inteligencia artificial de Google cómo configurar una VPN tipo Servidor para  entrar a los archivos de tu casa de forma segura cuando se esta de viaje

Explicanos detalladamente cómo configurar una VPN tipo Servidor para entrar a los archivos de tu casa de forma segura cuando se esta de viaje

Configurar tu propio servidor VPN en casa es la forma más segura y profesional de acceder a tus archivos, cámaras de seguridad o dispositivos locales sin exponerlos directamente a los peligros de Internet.

Para lograr esto, el proceso se divide en tres fases: la preparación de tu red, la instalación del servidor y la configuración de tus dispositivos (clientes).

1. Elige tu Hardware y Protocolo

Primero, necesitas un dispositivo que esté siempre encendido en casa para actuar como "puerta de entrada".

Opción A (La más fácil): Un router moderno con soporte VPN integrado (marcas como ASUS, TP-Link o GL.iNet suelen incluirlo).

Opción B (La más flexible): Una Raspberry Pi o un ordenador antiguo con Linux.

Opción C: Un servidor NAS (Synology o QNAP) que ya tengas funcionando.

Protocolo recomendado: WireGuard

Aunque existe OpenVPN (muy seguro pero lento), hoy en día WireGuard es el estándar de oro. Es extremadamente rápido, consume poca batería en el móvil y es más fácil de configurar.

2. Preparación de la Red Doméstica

Para que puedas encontrar tu casa desde el exterior, necesitas resolver dos problemas técnicos:

A. DNS Dinámico (DDNS)

La mayoría de las casas tienen una IP pública que cambia cada vez que el router se reinicia. Un servicio de DDNS te da un nombre (ej. mi-casa.duckdns.org) que siempre apunta a tu IP actual.Muchos routers ofrecen su propio DDNS gratuito.Si no, puedes usar No-IP o DuckDNS.

B. Abrir Puertos (Port Forwarding)

Debes decirle a tu router que todo el tráfico que llegue por el puerto de la VPN se dirija al dispositivo que actúa como servidor.Para WireGuard, el puerto estándar es el 51820 (UDP).Para OpenVPN, suele ser el 1194 (UDP).

3. Instalación del Servidor (Ejemplo con Pi-VPN)

Si usas una Raspberry Pi o Linux, la herramienta más sencilla es Pi-VPN. Es un script que automatiza todo el proceso complejo.

Instala el software: Ejecuta en la terminal: curl -L https://install.pivpn.io | bash

Sigue el asistente: * Selecciona WireGuard.Confirma el puerto (51820).Elige tu dirección DDNS (ej. mi-casa.duckdns.org).

Crea un usuario: Una vez instalado, crea el perfil para tu móvil o portátil:pivpn add

Esto generará un archivo de configuración o un código QR.

4. Configuración del Cliente (Tu móvil o portátil)

Una vez que el servidor está listo, necesitas "la llave" para entrar.

Descarga la App: Instala la aplicación oficial de WireGuard en tu Android, iPhone o PC.

Importa la configuración: En el móvil:

Escanea el código QR generado por el servidor.

En el PC: Importa el archivo .conf que te dio el script.

Activa el túnel: Cuando estés fuera de casa (usando datos móviles o Wi-Fi de un hotel), activa la VPN.

5. Acceso a tus Archivos

Una vez que el túnel VPN está activo, tu dispositivo se comporta como si estuviera físicamente en tu sala de estar.

Para ver tus archivos: En Windows: Abre el explorador de archivos y escribe la IP local de tu servidor de archivos (ej. \\192.168.1.50).

En Mac : Usa "Conectarse al servidor" (smb://192.168.1.50).

En Móvil: Usa aplicaciones como "Archivos" (iOS) o "Solid Explorer" (Android) para añadir una ubicación de red local.Resumen de Seguridad

Medida	Por qué es importante
No uses PPTP	Es un protocolo antiguo y fácilmente hackeable.
Usa llaves, no solo contraseñas	WireGuard usa criptografía de clave pública, mucho más robusta.
IP Estática Local	Asegúrate de que el servidor VPN siempre tenga la misma IP dentro de tu casa (DHCP Reservation).

Configurar esto te permite cerrar todos los demás puertos de tu router, dejando solo una "puerta blindada" abierta.

¿Te gustaría que te ayude con los comandos específicos para instalar WireGuard en un sistema Linux particular o prefieres revisar cómo abrir los puertos en tu modelo de router?

🌐 WiFi - Modulación (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 27

n este video presentamos como se modulan las señales en las diferentes versiones de IEEE 802.11. Es una sencilla presentación de las metodologías FHSS y DSSS, intentando simplificar las decenas de horas que en la facultad requiere este tema

Fuente: https://www.youtube.com/watch?v=tPq02AWQzKk

Hablemos de Point to Point Protocol

 Le pedimos a gemini, la inteligencia artificial de Google que nos gable sobre Point to Point Protocol

Hablanos detalladamente sobre Poin to Point Protocol

El Point-to-Point Protocol ( PPP ) es uno de los protocolos fundamentales en la historia de las telecomunicaciones y sigue siendo relevante hoy en día, especialmente bajo su variante PPPoE ( PPP over Ethernet ) utilizada en conexiones de fibra y DSL.

A diferencia de otros protocolos de la capa de enlace, PPP fue diseñado para establecer una conexión directa entre dos nodos de red sin nada de por medio, permitiendo autenticación, cifrado y compresión de datos.

1. Los Tres Pilares de PPP

Para que PPP funcione, se apoya en tres componentes principales que trabajan de forma jerárquica:

Encapsulamiento de Datagramas: Utiliza una variante del formato HDLC (High-Level Data Link Control) para empaquetar los datos. Permite que múltiples protocolos de red (IPv4, IPv6, AppleTalk) viajen por el mismo enlace simultáneamente.

LCP ( Link Control Protocol ): Es el encargado de establecer, configurar y probar la conexión física. Antes de enviar datos, LCP negocia opciones como el tamaño máximo de paquete (MTU) o si se usará autenticación.

NCP ( Network Control Protocol ): Una vez que el enlace está "vivo", NCP configura los protocolos de la capa de red. Por ejemplo, IPCP (Internet Protocol Control Protocol) es el encargado de asignar la dirección IP al cliente.

2. Estructura de la Trama PPP

Una trama PPP es relativamente simple pero robusta. Se asegura de que ambos extremos sepan dónde empieza y termina la información.

Flag (0x7E): Indica el inicio o fin del paquete.

Address / Control: En conexiones punto a punto, estos campos suelen ser fijos (0xFF y 0x03), ya que no hay confusión de a quién va dirigido el paquete.

Protocol: Indica qué hay dentro del paquete (¿Es una actualización de LCP? ¿Es tráfico IPv4?).

FCS ( Frame Check Sequence ): Un código para detectar si el paquete se corrompió en el camino.

3. El Ciclo de Vida de una Conexión PPP

Establecer una sesión PPP no es simplemente "conectar el cable". Sigue una máquina de estados muy rigurosa:

Establecimiento del Enlace ( LCP ): Se envían tramas de configuración. Si el otro extremo responde, el enlace pasa a estar "Abierto".

Autenticación (Opcional): Aquí es donde el router o servidor pide credenciales. Los métodos más comunes son PAP y CHAP.

Configuración de Capa de Red ( NCP ): Se negocian los detalles de IP. Aquí es donde tu router recibe su IP pública de parte del ISP .

Transferencia de Datos: El enlace está activo y el tráfico de usuario fluye.

Terminación: El enlace se cierra por petición de un usuario o por pérdida de señal física.

4. Autenticación: PAP vs. CHAP

Esta es la parte donde muchos administradores de red suelen tener dolores de cabeza si no configuran los "secrets" correctamente.

PAP ( Password Authentication Protocol ): Es el método "flojo". Envía el usuario y la contraseña en texto plano. Si alguien intercepta la trama con tcpdump, verá tus credenciales.

CHAP ( Challenge Handshake Authentication Protocol ): Es mucho más seguro. El servidor envía un "desafío" (un valor aleatorio), y el cliente responde con un hash (usando MD5) que combina ese desafío y su contraseña. La contraseña nunca viaja por el cable.

5. PPP en el Mundo Moderno: PPPoE

Hoy en día, no usamos módems de 56k, pero usamos PPPoE. ¿Por qué? Porque Ethernet por sí solo no tiene una forma nativa de autenticar usuarios o asignar IPs de forma controlada por el ISP (como lo hace una sesión).

Al "meter" una trama PPP dentro de una trama Ethernet, los proveedores de servicios pueden:

Gestionar el acceso mediante usuario y contraseña.

Llevar un registro exacto de cuánto tiempo estás conectado.

Asignar IPs dinámicas fácilmente.

Resumen Técnico

Característica	Detalle
Capa OSI	Capa 2 (Enlace de Datos)
Protocolos Soportados	Multi-protocolo (IP, IPX, etc.)
Seguridad	Soporta PAP, CHAP y EAP
Detección de Errores	Sí, mediante el campo FCS
Principal uso actual	Autenticación en redes de banda ancha (PPPoE)

¿Te gustaría que viéramos cómo configurar un cliente PPPoE en un router Cisco o prefieres que analicemos cómo debugear una sesión fallida usando comandos de diagnóstico?

🌐 WiFi - Introducción (nivel de Enlace) - Aprendiendo CIBERSEGURIDAD paso a paso - Charla 26

Las redes Wifi, son sin lugar a dudas una realidad que estará presente en tus redes LAN, si sabemos implementar su seguridad de forma robusta, son tan confiables como cualquier cable o fibra óptica de las redes ethernet, pero para ello debes conocer cómo tapar todas sus fisuras, si no probablemente tendrás brechas de seguridad en tu arquitectura de red.

A partir de este vídeo, comenzaremos a indagar en las redes Wifi de área local (conexiones tipo LAN) y sus características. Entre este tipo de comunicaciones, el protocolo que más destaca en la actualidad es el estándar IEEE 802.11 y toda la familia que derivan de este (802.11a/b/g/n). Tener claro todas las funciones del protocolo, además de conocer al completo las conexiones entre los switches que proporcionan conexión a los puntos de acceso, es imprescindible a la hora de establecer la seguridad a nivel de enlace. Aprende para qué sirve y cómo aplicarlo a tu red, además de ejemplos del mismo a través de capturas de tráfico que realizaremos con, cómo no, nuestro querido amigo Wireshark.

 Fuente: https://www.youtube.com/watch?v=riotx9erBVM

Cómo configurar reglas de acceso remoto por SSH de forma segura

 Le pedimoss a Gemini, la inteligencia artificial de Google que nos explique cómo configurar reglas de acceso remoto por SSH de forma segura

Explicanos detalladamente cómo configurar reglas de acceso remoto por SSH de forma segura

Configurar SSH (Secure Shell) de forma segura es como poner una cerradura de alta seguridad en la puerta principal de tu servidor. Si lo dejas por defecto, estás permitiendo que robots de todo el mundo intenten "patear la puerta" 24/7.

Aquí tienes una guía detallada para blindar el acceso remoto, desde la configuración del servicio hasta las reglas de red.

1. Fortalecimiento del archivo sshd_config

Casi toda la magia ocurre en /etc/ssh/sshd_config. Antes de editarlo, haz una copia de seguridad. Los cambios principales que debes aplicar son:

Cambiar el puerto por defecto ( Puerto 22 ): No es "seguridad real", pero elimina el 99% del ruido de los bots automatizados que solo escanean el puerto 22.

Port 2222 (o cualquier puerto entre 1024 y 65535).

Deshabilitar el acceso de Root : Nunca permitas que root entre directamente. Entra con un usuario normal y usa sudo.

PermitRootLogin no

Limitar los intentos de autenticación:

MaxAuthTries 3

Deshabilitar contraseñas (Uso de Llaves SSH ): Este es el paso más importante. Las contraseñas son vulnerables a fuerza bruta; las llaves criptográficas no.

PasswordAuthentication no

Restringir usuarios específicos: Solo permite que ciertos usuarios puedan loguearse.

AllowUsers tu_usuario otro_usuario

2. Autenticación mediante Llaves Públicas (Public Key Auth)

En lugar de una contraseña, usas un par de llaves: una privada (que se queda en tu computadora) y una pública (que se sube al servidor).

Pasos para configurar:

Generar la llave en tu PC : Usa el algoritmo Ed25519 (es más rápido y seguro que RSA).

ssh-keygen -t ed25519 -C "tu_email@ejemplo.com"

Enviar la llave al servidor:

ssh-copy-id -p [puerto] usuario@ip_del_servidor

Probar la conexión: Asegúrate de que entras sin contraseña antes de deshabilitar PasswordAuthentication.

3. Reglas de Acceso Remoto (Firewalls)

Incluso con llaves SSH, no deberías permitir que cualquier IP del mundo intente conectarse. Debes filtrar el acceso a nivel de red.

En Linux (usando UFW o Firewalld):

Si tienes una IP fija en tu casa u oficina, limita el SSH solo a esa IP:

UFW : sudo ufw allow from 203.0.113.45 to any port 2222 proto tcp

Firewalld : firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.45" port protocol="tcp" port="2222" accept'

En Routers/Firewalls Cisco (ACLs):

Si estás protegiendo la terminal virtual (VTY) de un router:

Bash

ip access-list extended SSH_ONLY

 permit tcp host 203.0.113.45 any eq 2222

 deny tcp any any eq 2222

 !

line vty 0 4

 access-class SSH_ONLY in

 transport input ssh

4. Herramientas de Protección Activa

Si por alguna razón debes dejar el SSH abierto al mundo (IP dinámica), necesitas herramientas que reaccionen a ataques.

Fail2Ban: Es indispensable. Analiza los logs y, si ve 3 o 5 intentos fallidos desde una IP, crea una regla de firewall temporal para banear a ese atacante.

2FA (Autenticación de Dos Factores): Puedes usar Google Authenticator con el módulo PAM (libpam-google-authenticator). Esto requiere que, además de tu llave SSH, ingreses un código de 6 dígitos de tu celular.

5. Resumen de Mejores Prácticas

Medida	Por qué hacerlo
No usar contraseñas	Evita ataques de fuerza bruta y diccionarios.
Cambiar puerto	Reduce el tamaño de los archivos de log y el uso de CPU por ataques bots.
White-listing de IPs	Es la medida de seguridad más efectiva (solo entran los conocidos).
Mantener actualizado	Las vulnerabilidades en OpenSSH aparecen de vez en cuando; parchar es vital.

Tip de experto: Si el servidor es crítico, considera usar un Bastion Host o una VPN (como WireGuard) para que el puerto SSH ni siquiera sea visible desde la Internet pública.

¿Te gustaría que te ayude a redactar un script de configuración automática para asegurar el SSH de un servidor nuevo o prefieres profundizar en cómo configurar el Segundo Factor de Autenticación (2FA)?

🌐 802.1ar - DevID (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 25

En este video presentamos el tema de DevID. El desarrollo de este estándar: 802.1ar, nos permite implementar una metodología de "roadmap" para dar de alta de forma segura cada uno de los Dispositivos (Devices) de nuestra red LAN. Tengamos en cuenta que si no aseguramos cada uno de nuestros dispositivos, dejamos librado al azar que cualquiera "pinche" un switch, router o punto de acceso WiFi en nuestra LAN y conectarse a través del mismo. DevID, como su nombre lo dice, nos permite establecer una "Identidad" (ID) a cada dispositivo (Device) de nuestra LAN. 

 Como venimos desarrollando en todos estos videos, el empleo de esta criptografía en el nivel más bajo de la pila es un "golazo" pues no deja nada expuesto a cualquier persona que desee analizar lo que circula por nuestra red LAN. DevID también se apoya, al igual que vimos en la charla 22 y 24, en los otros servicios de autenticación fiables como pueden ser: TACACS (Terminal Access Controller Access Control System), RADIUS (Remote Authentication Dial-In User Service) y Kerberos

Si tras este parrafazo de información aún te quedan ganas de seguir informándote, aquí te dejamos una explicación de MacSec fácil, pero comprenderás aún mejor cómo implementarlo en la pila TCP/IP siguiendo de cerca nuestra serie “Aprendiendo Ciberseguridad Paso a Paso”. ¡Síguenos y no te pierdas ninguna actualización del canal!

Fuente: https://www.youtube.com/watch?v=Wi2Ph-tkTtQ

Cómo añadir una zona DMZ para un servidor web

 Le preguntamos a Gemini, la inteligencia artificial de Google cómo añadir una zona DMZ para un servidor web

Explicanos detalladamente cómo añadir una zona DMZ para un servidor web

Configurar una DMZ (Zona Desmilitarizada) es una de las mejores prácticas de seguridad cuando necesitas exponer un servicio (como un servidor web) a Internet. Su función principal es actuar como una "zona neutral" o amortiguadora: si un atacante logra comprometer tu servidor web, la DMZ evita que pueda saltar fácilmente a tu red privada (LAN) donde están tus computadoras personales y datos sensibles.

Existen dos formas de implementar esto: el método profesional (segmentación real) y el método doméstico (DMZ Host). Aquí te explico ambos detalladamente.

1. Concepto de la DMZ de "Tres Patas" (Arquitectura Profesional)

En un entorno profesional o con routers avanzados ( Cisco, pfSense, Fortigate ), se utiliza un esquema de tres interfaces físicas o lógicas:

WAN ( Internet ): El mundo exterior inseguro.

LAN ( Red Interna ): Tu red privada de confianza.

DMZ (Zona Segura Expuesta): Donde reside el servidor web.

2. Configuración en un Router Profesional o Firewall

Para añadir esta zona, sigue estos pasos lógicos:

A. Configuración de Interfaces

Asigna una interfaz específica del router para la DMZ.

IP LAN: 192.168.1.1/24

IP DMZ: 192.168.50.1/24 (Debe estar en una subred diferente a la LAN).

B. Definición de las Reglas del Firewall (Crucial)

El éxito de una DMZ reside en sus reglas de tráfico. Debes configurar el firewall siguiendo este orden de prioridad:

Origen	Destino	Protocolo/Puerto	Acción	Propósito
WAN	Servidor Web (DMZ)	TCP 80, 443	Permitir	Permite que el público vea tu web.
LAN	Servidor Web (DMZ)	TCP 22 (SSH) o RDP	Permitir	Permite que tú administres el servidor.
DMZ	LAN	Cualquiera	Bloquear	Regla de Oro: Evita que el servidor hackeado ataque tu red interna.
DMZ	WAN	HTTP/S, DNS	Permitir	Permite que el servidor descargue actualizaciones.

3. Configuración en un Router Doméstico (DMZ Host)

La mayoría de los routers residenciales no tienen una interfaz física para DMZ, sino una función llamada "DMZ Host".

¿Cómo funciona? Envía todo el tráfico entrante de Internet que no haya sido solicitado (y que no tenga una regla de Port Forwarding específica) hacia una sola dirección IP interna.

Pasos para activarlo:

Asigna una IP Estática al Servidor : Ve a la configuración de tu servidor web y asegúrate de que siempre use la misma IP (ej. 192.168.1.100).

Entra al Router : Busca la sección Security o Advanced y localiza DMZ.

Activa el DMZ Host : Ingresa la dirección IP de tu servidor (192.168.1.100) y guarda los cambios.

⚠️ Advertencia de Seguridad: En el modo "DMZ Host", tu servidor queda totalmente desnudo ante Internet. Debes instalar un firewall local (como ufw en Linux o Windows Firewall) directamente en el servidor para protegerlo, ya que el router dejará pasar todo el tráfico malicioso hacia él.

4. Implementación con VLANs (Segmentación Lógica)

Si tienes un router que soporta VLANs pero no tienes más puertos físicos, puedes crear una VLAN de DMZ.

Crea la VLAN 50 (etiquetada como DMZ).

Asigna el puerto donde está conectado el servidor a esa VLAN.

En el firewall del router, crea las reglas de aislamiento mencionadas en el paso 2 para que la VLAN 50 no pueda comunicarse con la VLAN de la LAN.

5. Lista de Verificación Final (Seguridad)

Doble NAT : Si tu servidor está detrás de un router que a su vez está detrás del módem de la operadora, asegúrate de que el primer módem esté en modo Bridge o tenga los puertos abiertos hacia el segundo router.

Aislamiento de servicios: No uses el servidor web de la DMZ para guardar copias de seguridad de tu red LAN.

Logs: Activa el registro de eventos (logging) en la zona DMZ para detectar intentos de intrusión.

¿Te gustaría que te ayudara con los comandos específicos para configurar estas reglas en un sistema operativo en particular (como Linux con iptables) o en un router de alguna marca específica como MikroTik o Cisco ?

🌐 802.1ae - MacSec (nivel de Enlace) - Aprendiendo Ciberseguridad paso a paso - Charla 24

Cuando queremos implementar criptografía a la seguridad de una red ethernet cableada, inmediatamente pensamos en los niveles más altos. En el nivel 3 o 4 (nivel de red y nivel de transporte) por ejemplo, tenemos protocolos como el protocolo IP. TCP o UDP protegiendo los paquetes de tráfico y la segmentación de la red. Sin embargo, recordando el vídeo sobre el 802.1x (PBNAC), el switch o boca de red no impide un acceso por cable de cualquier usuario. La sola presencia de un servicio de autenticación puede no ser suficiente para la protección de las capas inferiores del modelo TCP/IP. Aquí entra en juego el protocolo 802.1ae, más conocido como "MacSec", que nos ofrece la posibilidad de emplear Confidencialidad e Integridad a nivel de enlace. 

 Como venimos desarrollando en todos estos videos, el empleo de esta criptografía en el nivel más bajo de la pila es un "golazo" pues no deja nada expuesto a cualquier persona que desee analizar lo que circula por nuestra red LAN. También se apoya, al igual que vimos en la charla 22, en los otros servicios de autenticación fiables como pueden ser: TACACS ( Terminal Access Controller Access Control System ), RADIUS ( Remote Authentication Dial-In User Service ) y Kerberos

 Fuente: https://www.youtube.com/watch?v=eSLNGINELnI

Cómo configurar un firewall en un router Cisco

 Le preguntamos a Gemini, la inteligencia artificial de Google cómo instalar y configurar un firewall en un router Cisco

Explicanos detalladamente cómo instalar y configurar un firewall en un router Cisco

Configurar un firewall en un router Cisco no se trata de "instalar" una aplicación, sino de activar y configurar las capacidades de seguridad que ya vienen integradas en el sistema operativo Cisco IOS (Internetwork Operating System).

Existen dos métodos principales: las ACLs (Listas de Control de Acceso) clásicas y el más moderno y potente ZPF (Zone-Based Policy Firewall). Aquí te explicaré cómo configurar el ZPF, que es el estándar actual para firewalls de estado en Cisco.

1. El Concepto de ZPF (Zone-Based Firewall)

En lugar de aplicar reglas directamente a las interfaces, el ZPF agrupa las interfaces en Zonas de Seguridad (ej. "Privada" y "Pública"). Luego, se definen políticas para el tráfico que viaja entre esas zonas.

2. Paso 1: Definir las Zonas de Seguridad

Primero, debemos crear las zonas lógicas en el router.

Bash

Router(config)# zone security PRIVADA

Router(config)# zone security PUBLICA

3. Paso 2: Definir el Tráfico a Inspeccionar (Class Maps)

Usamos un class-map para identificar qué protocolos queremos que el firewall analice. El parámetro match-any indica que si el tráfico coincide con cualquiera de los protocolos, será seleccionado.

Bash

Router(config)# class-map type inspect match-any MAPA-TRAFICO-INTERNO

Router(config-cmap)# match protocol tcp

Router(config-cmap)# match protocol udp

Router(config-cmap)# match protocol icmp

Router(config-cmap)# exit

4. Paso 3: Configurar la Política (Policy Maps)

Aquí decidimos qué hacer con el tráfico identificado en el paso anterior. En un firewall de estado, la acción clave es inspect, que permite que el tráfico salga y automáticamente crea una regla temporal para que la respuesta pueda volver a entrar.

Bash

Router(config)# policy-map type inspect POLITICA-SALIDA

Router(config-pmap)# class type inspect MAPA-TRAFICO-INTERNO

Router(config-pmap-c)# inspect // Inspección de estado (Stateful)

Router(config-pmap-c)# exit

Router(config-pmap)# exit

5. Paso 4: Definir el Par de Zonas (Zone-Pairs)

El Zone-Pair le dice al router en qué dirección se aplica la política (por ejemplo, de la zona PRIVADA hacia la zona PUBLICA).

Bash

Router(config)# zone-pair security PAR-PRIVADA-A-PUBLICA source PRIVADA destination PUBLICA

Router(config-zp)# service-policy type inspect POLITICA-SALIDA

Router(config-zp)# exit

6. Paso 5: Asignar Interfaces a las Zonas

Finalmente, debemos decirle al router qué interfaces físicas pertenecen a qué zona.

Bash

Router(config)# interface GigabitEthernet0/0

Router(config-if)# description Enlace a Internet (WAN)

Router(config-if)# zone-member security PUBLICA

Router(config-if)# exit



Router(config)# interface GigabitEthernet0/1

Router(config-if)# description Red Local (LAN)

Router(config-if)# zone-member security PRIVADA

Router(config-if)# exit

Componente	Función
Security Zones	Divide el router en áreas (Interior, Exterior, DMZ).
Class Maps	Selecciona qué paquetes queremos vigilar (TCP, UDP, HTTP).
Policy Maps	Decide la acción: inspect (permitir y vigilar), pass (permitir sin vigilar), o drop (bloquear).
Zone Pairs	Establece el sentido del tráfico (Origen → Destino).

Verificación y Mantenimiento

Una vez configurado, es vital verificar que el firewall está funcionando y ver las sesiones activas (las conexiones que el router está "recordando").

Ver sesiones activas: show policy-map type inspect zone-pair sessions

Ver configuración de zonas: show zone security

Siguiente paso sugerido

Esta configuración permite que todo el tráfico salga de tu red pero bloquea cualquier intento de entrada no solicitado. ¿Te gustaría que te explicara cómo añadir una zona DMZ para un servidor web o cómo configurar reglas de acceso remoto por SSH de forma segura?