Guía de Seguridad del Administrador de Linux - Rutado

routed

routed es uno de los paquetes de rutado standard disponibles para Linux. Soporta RIP (uno de los protocolos de rutado más viejos todavía en servicio), y ya está. El RIP es muy simple, los routers simplemente hacen un broadcast de sus tablas de rutado a los routers vecinos, lo cual da como resultado (en teoría) una tabla completa de rutado que tiene entradas para cada destino en Internet. Este método es fundamentalmente inseguro, y muy ineficiente más allá de pequeñas redes seguras (en cuyo caso probablemente no sea necesario). Asegurarlo no es posible, se puede configurar un cortafuegos en los puertos 520 y 521, que son los que utiliza RIP para transferir, sin embargo puede dar como resultado rutas a través de las cuales preferirías no atravesar, y los atacantes pueden seguir falsificando las rutas. Ejecutar este servicio es una idea muy mala.



gated

gated es un software de rutado más avanzado que routed. Soporta versiones de RIP 1 y 2, DCN HELLO, OSPF versión 2, EGP versión 2, BGP versiones 2 a 4. Actualmente el protocolo de rutado más popular parece ser el BGP (Border Gateway Protocol), ganando en popularidad el OSPF (OSPF tiene seguridad incorporada, es muy eficiente y bastante más complicado).



zebra

zebra tiene bastantes más características que gated, y ostenta una bonita línea de interfaz de comandos al estilo de Cisco. Se ejecuta como un demonio, multi-hilo para el rendimiento, cada protocolo (RIP, OSPF, etc.) tiene su propia configuración, y se pueden ejecutar múltiples protocolos a la vez (aunque podría originar confusiones/problemas). Existe un puerto de configuración maestro, y un puerto para cada protocolo:

zebrasrv 2600/tcp #zebra service

zebra 2601/tcp #zebra vty

ripd 2602/tcp #RIPd vty

ripngd 2603/tcp #RIPngd vty

ospfd 2604/tcp #OSPFd vty

bgpd 2605/tcp #BGPd vty

ospf6d 2606/tcp #OSPF6d vty

Recomendaría filtrar estos puertos con el cortafuegos. El acceso se controla vía contraseña de login, y el acceso a las funciones de comandos solicita otra contraseña (utilizando la misma sintáxis que en Cisco, "enable"). Se puede descargar de: http://www.zebra.org∞