Práctica: Diagnóstico de red, SSH con clave y cortafuegos

Lo que vas a aprender en este TP

• Diagnosticar capa por capa
• Configurar SSH con clave y endurecerlo
• Filtrar con un cortafuegos

Introducción #

Lo que vas a aprender en esta sección

• Diagnosticar capa por capa
• Configurar SSH con clave y endurecerlo
• Filtrar con un cortafuegos

Contexto. Un servidor recién instalado acepta contraseñas por SSH y no tiene cortafuegos. Además, un desarrollador se queja de que un servicio «responde en el servidor pero no desde mi equipo».

Requisitos previos: una VM Ubuntu 24.04 desechable con acceso por consola (por si hay un error de configuración de SSH o cortafuegos)  ·  Duración estimada: 45 min

Acceso SSH solo por clave, un cortafuegos con denegación por defecto y un servicio expuesto correctamente.

Puesta en práctica #

Pasos guiados, con su corrección.

1. 1. Hacer el inventario de red

   ¿Por qué? Conocer direcciones, rutas, DNS y puertos abiertos es el requisito previo de todo diagnóstico.

   Anota las interfaces y direcciones, la pasarela por defecto, los servidores DNS y los puertos a la escucha.

2. 2. Diagnosticar la resolución y las conexiones

   ¿Por qué? Se suben las capas: DNS, puerto y luego aplicación.

   Resuelve un nombre con dig y getent, prueba un puerto con nc, inspecciona una petición HTTPS con curl -v y captura el tráfico DNS durante una resolución.

3. 3. Resolver «solo funciona en local»

   ¿Por qué? Un servicio que escucha en 127.0.0.1 es invisible desde la red: ss lo muestra de inmediato.

   Lanza un servidor HTTP en 127.0.0.1:8000, observa la dirección de escucha con ss, prueba desde la IP de la VM y relánzalo en 0.0.0.0.

4. 4. Pasar SSH a autenticación por clave

   ¿Por qué? Una clave ed25519 protegida es mucho más segura que una contraseña, y un archivo de configuración evita volver a escribir opciones.

   Genera una clave, instálala para tu cuenta (conexión a localhost para la práctica), declara un host tp en ~/.ssh/config y conéctate.

5. 5. Endurecer el servidor SSH

   ¿Por qué? Prohibir root y las contraseñas neutraliza los ataques de fuerza bruta.

   Crea un archivo en /etc/ssh/sshd_config.d/ que prohíba root y las contraseñas, valida con sshd -t, recarga y comprueba que una conexión sin clave es rechazada. Mantén tu sesión abierta.

6. 6. Activar el cortafuegos

   ¿Por qué? Denegar todo por defecto y abrir solo lo necesario, a los orígenes necesarios.

   Con ufw: denegar entrantes por defecto, permitir SSH, permitir el puerto 8000 solo desde la red privada de la VM. Actívalo y mira las reglas nftables generadas.

7. 7. Crear un túnel SSH

   ¿Por qué? Un túnel da acceso a un servicio interno sin abrir su puerto en el cortafuegos.

   Redirige el puerto local 9000 al puerto 8000 del servidor a través de SSH, prueba con curl y detén el túnel y el servidor HTTP.

Nivel de dificultad : ●●○○○ (2/5)