Telefónica por defecto instala un filtro que solo permite acceso desde fuera sin limitaciones a sus puestos de gestión e impide el acceso a los puertos 23 y 80 (telnet y web).

Sigue leyendo …

Por tanto, si no eliminamos este filtro, aunque configuremos el NAT para que los paquetes entrantes vayan a la máquina de nuestra red, funcionarán solamente los servicios que usen puertos distintos del 23 y del 80, como por ejemplo FTP (puerto 21, Napster, etc…)

Conocimientos previos necesarios para quitar el filtro:

- Esto no es para “novatos”. No se explica como hacer una sesión telnet (desde windows, linux o lo que sea…), ni transferencia de ficheros con tftp, etc…

- Como permitir el acceso al router y desproteger el usuario y la clave (ver permitir acceso)

- Uso del CLI (Interprete de lenguaje de comandos) del router

(ver uso de cli)

- Como configurar NAT para que los paquetes se dirijan al servidor web (poner como default workstation del NAT la máquina en la que está el servidor web y añadir el mapeo de ports correspondiente)

Procedimiento:

Una vez que entremos al CLI del router mediante telnet a la IP privada del router CLI, al teclear “list filters” nos saldrá algo así – si no hemos hecho “delete filter filtro” que nos dice la página de www.galeon.com- como:

Filter Name Status Protocols

filtro NORMAL IP

…. y podría haber otros nombres de filtro adicionales….

Para ver que hace ese filtro que viene instalado por defecto, teclear “show filter filtro”, mostrándose lo que ocurre en la interfaz a la que está aplicado el filtro (normalmente atm:1, o sea la conexión ADSLcon el proveedor (Telefónica)):

#filter

IP:

1 ACCEPT src-addr=193.152.37.192/28

2 REJECT tcp-dst-port=23

3 REJECT tcp-dst-port=80

Es decir, que NO se permite acceso a los puertos 80 y 23 desde ningún sitio y no hay ninguna restricción para una máquinas en la red 193.152.37.192/28(supongo que deben ser máquinas de gestión del servicio y por tanto a mi me gusta que puedan acceder a mi router para gestionar mejor el servicio). Además,

probablemente así no se “mosquee” el proveedor

Solo necesitamos crear un fichero con el nuevo filtro, ponerlo en el router,activarlo y ya está…pero el CLI no permite editar ficheros, así que tendremos que apañarnos “externamente” siguiendo los pasos siguientes:

1.- Con un editor de textos creamos un fichero con el contenido siguiente:

#filter

IP:

1 ACCEPT src-addr=193.152.37.192/28

2 ACCEPT tcp-dst-port=23

3 ACCEPT tcp-dst-port=80

Lo salvamos en local como por ej: “filtro1″. Este fichero lo deberemos descargar en el router.

2.- En el router permitimos que nuestro puesto pueda descargale ficheros con el comando CLI: “add TFTP client “la IP de la máquina en la que estamos trabajando”

3.- Desde la máquina que estamos trabajando hacemos un “put” del fichero anterior “filtro1″

4- Borramos el filtro antiguo “filtro” con “delete filter filtro”

5.- Le decimos al router que reconozca el nuevo filtro con “add filter filtro1″

6.- Comprobamos que el filtro nuevo existe en el router con “list filters”

Filter Name Status Protocols

filtro1 NORMAL IP

…. y podría haber otros nombres de filtro adicionales….

7.- Aplicamos el filtro “filtro1″ a la interfaz atm:1 y/o al remote site “internet” con las instrucciones “set interface atm:1 input-filter filtro1″ y “set vc internet input_filter filtro1″

8.- Activamos el filtro en la interfaz atm:1 con “set interface atm:1 filter_access ON”

Ya podemos probar el acceso desde el “exterior” a servicios telnet y web en nuestro PC.