Copyright © 2005 Warp Networks S.L., DBS Servicios Informáticos S.L.
Copyright © 2006-2008 Warp Networks S.L.
Tabla de contenidos
- 1. Introducción
- 2. Configuración del sistema
- 3. Configuración de la red
- 4. Objetos de red
- 5. Servicios de red
- 6. Cortafuegos
- 7. Actualizaciones del sistema
- 8. Proxy HTTP
- 9. Servidor NTP
- 10. Gestión de usuarios
- 11. Impresoras
- 12. Servidor de ficheros
- 13. Servidor de correo
- 14. Servidor DHCP
- 15. Servicio DNS
- 16. Servidor Jabber
- 17. Gestión de la Autoridad de Certificados
- 18. Servicio OpenVPN
Lista de figuras
Lista de ejemplos
Tabla de contenidos
A aquellas personas que ya tengan instalada la plataforma eBox o estén pensando instalarla y deseen conocer de una forma breve y concisa su funcionamiento y las posibilidades que ofrece.
Si su interés se centra en el funcionamiento interno del programa o desea aprender cómo funciona la plataforma de desarrollo sobre la que está escrita eBox, consulte la guía del desarrollador.
Nota
Este manual no incluye información complementaria sobre servicios de red, protocolos de comunicación ni sus aplicaciones, que podrían ser necesarios para comprender el funcionamiento y la utilidad de eBox y cada uno de sus módulos.
eBox es una plataforma que incorpora servicios de red y una aplicación de gestión de dichos servicios a través de un interfaz web. Entre estos servicios se encuentran: cortafuegos, compartición de ficheros, proxy caché, filtro de contenidos, servidor de correo, servidor NTP, servidor DHCP, servidor de impresoras y gestión de objetos de red.
eBox se ha diseñado de forma modular, por lo que es posible que su instalación no incluya todos los módulos que se detallan en este manual. En cualquier caso puede consultar la información acerca de los módulos que no posee y averiguar si le resultan útiles, necesarios o si aportan un valor añadido a su plataforma eBox actual.
La dirección predeterminada para acceder al interfaz de administración de eBox es https://hostname/eBox, donde hostname es la dirección IP o el nombre de la máquina donde está instalado eBox.
En la configuración por defecto de eBox el interfaz de usuario se encuentra dividido en tres partes fundamentales:
- Menú vertical izquierdo
El menú vertical, que se encuentra en el lado izquierdo, contiene enlaces a todos los servicios que se pueden configurar mediante eBox. Cuando se ha seleccionado algún servicio en este menú puede aparecer un submenú referente a dicho servicio en líneas posteriores. Este submenú permitirá consultar y configurar el contenido de cada uno de los distintos aspectos del servicio.
- Menú horizontal superior
El menú horizontal, ubicado en la parte superior, contiene las opciones generales que sirven para guardar los cambios realizados en la parte de contenido y hacerlos efectivos y para salir de la aplicación.
- Contenido principal
El contenido, que ocupa la parte central, comprende uno o varios formularios con información acerca de la configuración del servicio seleccionado a través del menú vertical izquierdo y sus submenús. En ocasiones, en la parte superior, aparecerá una barra de pestañas en la que cada pestaña representará una subsección diferente de la sección a la que hemos accedido.
Nota
La posición de los elementos de eBox puede ser modificada a lo largo del periodo de desarrollo.
Una particularidad importante de eBox es su forma de hacer efectivas todas las variaciones que hagamos en la aplicación, es decir como y cuando se guardarán los cambios.
Aviso
Primero se tendrán que aceptar los cambios en el formulario actual, pero para que estos cambios sean efectivos y se guarden de forma permanente se tendrá que presionar del menú horizontal superior. Si no se sigue este procedimiento se perderán todos los cambios que se hayan realizado a lo largo de la sesión al finalizar ésta.
Existen varias excepciones en las cuales no es necesario Guardar Cambios, es suficiente con ejecutar la acción correspondiente del formulario en el que nos encontramos, estas situaciones son:
- Gestión de usuarios y grupos
Añadir, modificar y eliminar usuarios o grupos son acciones inmediatas y no es necesario Guardar Cambios para hacerlas efectivas.
- Servidor NTP
El ajuste de fecha y zona horaria del sistema tampoco requiere guardar los cambios.
- Gestión de certificados
La creación, revocación y renovación de certificados por la autoridad de certificación se realizará de manera directa.
- Cambio de idioma
El cambio del idioma del interfaz es automático y no necesita ser guardado de forma permanente. Se puede modificar el idioma de eBox en →
- Reiniciar Servicios
Tabla de contenidos
Se accede a la configuración general del interfaz a través de → del menú lateral izquierdo.
Desde esta sección se pueden hacer tres cambios:
- Cambiar contraseña
Permite cambiar la contraseña para administrar eBox.
- Seleccionar el Idioma
eBox puede mostrar la información en varios idiomas, seleccionables desde esta sección.
- Elegir el puerto TCP de la interfaz de administración
El puerto al que se conecta la interfaz de administración de eBox es configurable por el usuario.
Para cambiar la contraseña se debe introducir la contraseña actual, por motivos de seguridad, y la contraseña nueva, confirmando dicha contraseña, es decir, introduciéndola dos veces en líneas sucesivas. Seguidamente es necesario aceptar el formulario sin olvidar que para hacer efectivos los cambios debe guardar su configuración de forma definitiva usando la opción correspondiente del menú horizontal superior.
Seleccione de la lista desplegable el idioma que prefiera y confirme los cambios aceptando el formulario. Esta vez no será necesario guardar los cambios de forma global para que el cambio sea efectivo.
Si se cambia el puerto a un valor diferente al 443, acepta el formulario y guarda los cambios podrá acceder usando la dirección:https://hostname:PUERTO/eBox siendo PUERTO el nuevo número de puerto introducido. Por ejemplo: https://www.warp.es:444/eBox.
Nota
Se ha de tener en cuenta que después de guardar los cambios realizados sobre el puerto del interfaz de administración, pasarán unos segundos antes de que sea posible acceder usando el nuevo puerto.
Se accede a la gestión de copias de respaldo (backups) de eBox a través de → del menú que se encuentra en el lateral izquierdo.
Desde el interfaz de backup se permitirá hacer una copia de seguridad del último estado guardado de eBox o restaurar copias de seguridad anteriores. Existen dos tipos de copias de seguridad que se explican en detalle a continuación.
- Backup de la configuración
Guarda sólo la configuración de eBox incluyendo a todos los servicios manejados. Su tamaño no suele sobrepasar unos pocos KBs.
- Backup completo
Guarda la configuración de eBox y otros datos que no son necesarios para el correcto funcionamiento de eBox. Por ejemplo, almacena los ficheros de las carpetas compartidas y los registros que crea eBox. Su tamaño es mayor que el tipo anterior y puede alcanzar los GBs de espacio y puede usarse para recuperar únicamente la parte de configuración ya que la engloba.
Después de introducir una descripción y seleccionar el tipo de copia de seguridad que deseamos hacer, podremos elegir entre guardar la copia de seguridad en el disco duro o, alternativamente, en un CD o DVD.
En el primer caso en el formulario aparecerá una nueva entrada en la lista de backups, indicando la descripción y la fecha de realización de la copia de seguridad.
Si guardamos la copia en un CD o DVD tendremos que disponer de una grabadora en el servidor donde esté instalado eBox e introducir un disco virgen o regrabable. La copia de seguridad residirá en el disco y no aparecerá entrada alguna en la lista de backups.
Nota
Es importante recordar que la configuración de la que se hace copia de seguridad es la última guardada a través del enlace correspondiente en el menú horizontal superior.
Si insertas un CD/DVD regrabable, el contenido que hubiese en el disco, sería reemplazado por la copia de seguridad de eBox.
Hay tres maneras diferentes de restaurar una copia de respaldo.
Puedes recuperar una copia de seguridad de eBox de un fichero examinando en tu sistema pulsando Examinar... y hacer la restauración tras elegir el fichero deseado.
La copia de seguridad de eBox también se puede almacenar en un disco CD/DVD. Tras insertar el CD/DVD con una copia de seguridad de eBox, con Restaurar desde CD/DVD el estado almacenado en este tipo de dispositivos puede recuperarse.
Para finalizar, una copia de seguridad eBox se puede recuperar de la lista de backups que se explica en la Sección 2.2.4.
Para restaurar una copia de respaldo, se puede hacer dos tipos diferentes de restauraciones:
Restauración Completa: Disponible para el tipo de Backup completo, donde todo lo almacenado puede recuperarse.
Restauración de la configuración: Disponible para ambos tipos. Sólo recupera el estado de configuración de eBox.
Tras ello, debe asegurarse de observar que todo es correcto y hacer los cambios apropiados para después guardar la nueva configuración.
La lista de backups contiene las copias de seguridad de eBox realizadas durante el período de funcionamiento. Las acciones de esta lista, situadas a la derecha de cada elemento, permiten restaurar un backup, descargar un fichero con el backup a su disco duro, grabarlo en un disco CD/DVD o eliminar un backup de la lista.
El interfaz para apagar o reiniciar el computador sobre el que funciona su sistema eBox es accesible a través de → → .
No se debe olvidar que si el sistema eBox es la puerta de enlace para la conexión a Internet, se perderá dicha conexión mientras la máquina esté apagada o reiniciándose.
Si se encuentra alguna anomalía durante el funcionamiento de eBox se puede generar un fichero con el informe de error correspondiente en → y enviarlo por correo electrónico a support@ebox-platform.com
Se accede a la configuración horaria a través de → y →
En → se permite ajustar la fecha y la hora de eBox. Existen dos opciones distintas para ajustar la fecha y la hora correctamente: manualmente, deshabilitando la sincronización con un servidor NTP, y a través de un servidor NTP externo, habilitando la sincronización con un servidor NTP
- Manualmente
Si la sincronización con otro servidor NTP está desactivada, el ajuste de fecha y hora será manual, seleccionando los valores correspondientes a través de las listas desplegables que se muestran en la pantalla tanto para la fecha como para la hora del sistema.
- Por medio de otro servidor NTP
Si la sincronización de hora y fecha con un servidor NTP está activada se mostrará una pantalla de configuración en la que se podrán especificar hasta tres servidores NTP de los que eBox obtendrá la hora y fecha actuales teniendo en cuenta la zona horaria configurada en el sistema.
A través de → se puede configurar la zona horaria en la que se encuentra el sistema, sólo tiene que seleccionar una zona geográfica de la lista desplegable de la izquierda y una ciudad de la lista desplegable de la derecha que pertenezcan a su huso horario y aceptar la configuración.
Aviso
Al realizar un cambio en la configuración horaria del sistema, es posible que tu sistema se vuelva inestable, por ello es mejor reiniciar la máquina tras salvar cambios.
El estado de cada módulo de eBox se maneja desde aquí en vez de tener que habilitar cada módulo desde una de sus páginas de configuración. Esto permite tener a simple vista que módulos están habilitados de manera análoga como se hace con el sumario de cada módulo en la página de sumario. Cada módulo eBox es deshabilitado por defecto incluyendo módulos como Red (Capítulo 3) o Cortafuegos (Capítulo 6).
Hay módulos que dependen de otros para ser habilitados. En una instalación típica, por ejemplo el módulo squid tiene una cadena de dependencias para habilitarse como se muestra: squid -> cortafuegos -> red. Así para habilitar el módulo Squid, tenemos que habilitar primero sus dependencias. Un módulo puede tener múltiples dependencias para funcionar correctamente.
La primera vez que habilitas un módulo, eBox te preguntará si puede realizar una serie de acciones y modificaciones en ciertos ficheros que debes aceptar explicítamente para habilitar el módulo. Esto es así para cumplir la política Debian la cual indica que cada paquete debe manejar sus propios datos y si modifica datos o configuraciones de otros paquetes, estas modificaciones deben ser aceptadas explícitamente por el usuario. Cada acción a realizar tiene una razón explicada de manera acorde. Hasta que no se salvan cambios, los módulos no se habilitarán ni sus cambios serán confirmados.
Cada vez que un usuario hace una modificación en un fichero controlado por eBox, se informará que un cambio se ha realizado y que va a ser anulado. Esta comprobación se hace al guardar cambios. Esta monitorización se realiza únicamente en aquellos ficheros que afectan a módulos habilitados. Si ya sólo se usa la Interfaz de eBox para configurar los servicios, no saldrán más diálogos de este tipo.
Para deshabilitar un módulo, simplemente tilda en la columna Estado del módulo deseado. Si el módulo es una dependencia de otros módulos, éstos también se deshabilitarán.
Tabla de contenidos
Se accede a la configuración de los interfaces de red a través de → en el menú lateral izquierdo.
Para cada interfaz de red podemos establecer un nuevo nombre útil para diferenciarla y el método de configuración de la misma. Los métodos de configuración son:
- Estático
Asigna de forma permanente una dirección IP al interface de red. Una vez seleccionado este método podrá establecer si la interfaz de red es externa[1], su dirección IP y su máscara de red.
- DHCP
Al seleccionar este método la interfaz de red se configurará de forma automática si hay un servidor DHCP en la red. El único parámetro configurable es la elección del interfaz como externo.
- Trunk 802.1Q
Cuando se selecciona este método, el interfaz aplica un mecanismo que permite a múltiples redes puenteadas compartir de manera transparente la misma red física sin ninguna pérdida de información entre redes, es decir haciendo trunking
- No configurado
No se establece ninguna configuración para el interfaz de red que, por tanto, no se podrá utilizar en ningún servicio.
Una interfaz virtual es aquella que se adjunta a una interfaz real, y se utiliza para escuchar o servir una dirección IP extra a la real, es decir podemos hacer que nuestra interfaz real atienda dos o más redes diferentes con sólo crear o agregar tantas interfaces virtuales como necesitemos.
Es posible crear interfaces virtuales asociadas a cualquier interfaz configurada como estática.
Una vez configurada la interfaz estática aparecerá un formulario para añadir interfaces virtuales en el cual se asigna el nombre, la dirección IP y la máscara de red.
Se pueden especificar las direcciones IP de los servidores de nombres a través de los cuales se desea resolver nombres. Puedes poner tantos como quieras, el primero de ellos será el primario que si se queda no disponible, el secundario en cambio será usado y así sucesivamente.
Aviso
Se debe tener en cuenta que, si sus interfaces de red están configuradas por DHCP, esta configuración puede ser sobreescrita.
Se pueden usar estas herramientas para comprobar que la configuración de red es correcta.
Desde → se puede realizar un ping a una máquina que sea alcanzable a través de sus interfaces de los red o se podrá resolver un nombre de dominio.
El resultado de estas operaciones se mostrará en esta misma página y corresponde a la salida estándar de las órdenes ping y dig respectivamente.
A través de esta sección puede establecer los routers donde se dirige tu tráfico de red. Esto puede ser muy útil para dividir o balancear tu tráfico con Internet.
Eligiendo → puedes añadir tantos routers como quieras. Los siguientes atributos son necesarios cuando se añade un router:
- Nombre
Es un nombre lógico asociado al router en eBox que es usado en otros módulos de eBox. Debe ser único.
- Dirección IP
La dirección IP estática del route. Su valor tiene que ser también único.
- Interfaz
El interfaz por el que el router es alcanzable. Esto es, es el interfaz por donde el tráfico puede ser encaminado para llegar al router.
- Subida
La tasa máxima de subida (en Kilobits por segundo) que puedes obtener a través de la conexión desde eBox al router. Seguramente dependerá del tipo de conexión que te ofrezca tu proveedor.
- Bajada
La tasa máxima de bajada (em Kilobits por segundo) que puedes obtener a través de la conexión desde el router a eBox.
- Peso
Es el peso asociado a este router. Se usa en la sección de balanceo de tráfico para aplicar reglas especiales a múltiples routers.
- Por defecto
Se establece para determinar si el router es el de por defecto o no. Esto implica que cualquier paquete que no tenga un router para ser encaminado saldrán por el router por defecto. Ten en cuenta que sólo un router puede ser por defecto al mismo tiempo.
Aviso
Cada router debe ser alcanzable desde al menos un interfaz. eBox lo comprueba para cada interfaz cuya configuración es estática. Si el interfaz se define vía DHCP, esta prueba se saltará ya que no es posible determinar su resultado.
Los valores correctos para tasas de subida y bajada son críticos para asegurar el correcto funcionamiento del módulo de moldeado de tráfico .
Una vez has añadido un router, aparecerá en la lista de routers. Posteriormente, puedes borrarlo o editar sus valores a través de los iconos que aparecen en la parte derecha de la lista.
Para utilizar estas dos características, se necesitan tener configurados al menos dos routers. Visita esta sección para saber como crearlos.
Puedes habilitar el balanceo de tráfico a través de → para compartir tu tráfico a través de diferentes rutas. La distribución del tráfico recae en una suma pesada de los pesos de routers que se establecen en los atributos del router (Ver sección de Routers para saber configurarlos).
Una configuración típica podría ser como sigue: tienes dos routers configurados donde uno tiene el doble de capacidad (A) que otro (B). Por tanto, quizá quieras tener un balanceo de tráfico en una proporción 2:1, esto es, el router A servirá el doble de tráfico que B. Para hacerlo, deberás establecer el parámetro peso de A a 2 y el del router B a 1.
Quizá sea necesario encaminar tráfico explícitamente por un router determinado, para hacerlo, debes usar las reglas multirouter que marcan los paquetes que se enviarán a través del router seleccionado.
Los paquetes son marcados dependiendo de las reglas dadas para dirigir al router solicitado. Puedes seleccionar el tráfico según los siguientes factores:
- Protocolo
Podría ser TCP, UDP o cualquiera.
- Interfaz
El interfaz fuente de donde viene el tráfico. Esta lista sólo incluye los interfaces internos.
- Origen
Puedes seleccionar como origen una dirección IP o un objeto de red de eBox. (Ver este capítulo para más detalles)
- Puerto origen
Se puede elegir un puerto origen. Debes seleccionar un protocolo diferente de cualquiera para ser capaz de encaminar tráfico dependiendo del puerto origen.
- Destino
Se puede elegir una dirección IP destino o un objeto de red de eBox.
- Puerto destino
Un puerto destino tiene la misma política que la aplicada para un puerto origen.
Tras editar al menos uno de los factores se puede seleccionar un router previamente definido para encaminar tráfico que concuerde con los atributos aquí definidos.
Una vez la regla se ha añadido a la lista de reglas multirouter, para editarla o borrarla se deben usar los iconos que se dibujan en la parte derecha de la regla.
En configuraciones avanzadas, definir una conjunto de routers y de reglas que aplicar a ellos no es suficiente. Por ello la creación de tablas de rutas por el usuario quizá ayude:
Ejemplo 3.1. Caso de uso para rutas estáticas
“ Tengo algunas máquinas que están fuera, conectadas a la LAN externa de eBox y me gustaría que los usuarios que se conectan al servidor VPN para conectarlas usando el túnel VPN. ”
En esos casos podemos usar rutas estáticas. Esta tabla especifica aquellas redes cuyo tráfico será redirigido a un router determinado, que debes ser alcanzable desde la máquina eBox. Cada ruta debe tener una única red a encaminar dentro de la tabla. Además, se puede añadir una descripción opcional para añadir información sobre la razón de la ruta y facilitar así su mantenimiento.
[1] En eBox, un interfaz se define como externo cuando su conexión se dirige a Internet. Por ejemplo, su dirección IP puede ser una dirección pública y estática. Sin embargo, un interfaz interno es aquel donde los clientes de la red interna se conectan.
Tabla de contenidos
Los objetos de red son una manera de poner nombre a un elemento de una red o a un conjunto de ellos. Sirven para simplificar la gestión de la configuración de la red pudiendo elegir comportamientos para elementos individuales o conjuntos de elementos con un sólo nombre explicativo.
Por ejemplo, pueden servir para ponerle un nombre a una direccion IP o a un grupo de direcciones IP. En el caso de ser un grupo de direcciones IP, en lugar de definir reglas de acceso cada una de las direcciones, bastaría simplemente con definirlas para el objeto de red para que todas las direcciones pertenecientes al objeto adquirieran dicha configuración.
Los objetos de red con los que trabaja eBox se pueden crear, modificar y borrar de una forma sencilla e intuitiva gracias al interfaz web.
Puedes añadir tantos objetos como quieras. Se debe dar un nombre. Tras ello, debes entrar en el campo miembros donde puedes definir:
Nombre : el nombre con el que se va a designar ese miembro
Dirección IP : la dirección IP del miembro
Máscara de red : la máscara de red, utilizando la notación CIDR
MAC (opcional): la dirección hardware -o dirección MAC- del interfaz de red correspondiente a la dirección IP
Editar un objeto o un miembro de éste se realiza pinchando en el icono del lápiz en el campo Acción. De la misma manera el borrado de objetos/miembros se realiza pinchando en el icono del cubo de basura.
Tabla de contenidos
Como ocurría en Capítulo 4, los servicios de red son una abstracción para facilitar la gestión de tu red. Cada servicio de red describe un conjunto de puertos para protocolos de Internet donde un servicio acepta peticiones. Dado un nombre más una descripción opcional te permite gestionar las políticas de un servicio de red de forma más intuitiva y menos propensa a errores.
Los servicios de red se usan en los módulos de cortafuegos (Capítulo 6) y el módulo de moldeado de tráfico . De todas maneras, como base de la filosofía eBox cada característica que use un servicio de red debe tener en cuenta a este módulo para funcionar y facilitar la vida al administrador.
Para ir a la gestión de servicios de red hay que ir en el menú a .
Quizás ya hayas notado que hay varios servicios que ya han sido creados para ti por eBox. Estos servicios los manejan los módulos eBox. Por ejemplo, el servicio dhcp se describe como un servicio interno llamado 'Dynamic Host Configuration Protocol'. Este servicio es de sólo lectura ya que es gestionado automáticamente por el módulo dhcp. Cada servicio tiene una configuración donde se configuran el protocolo y los puertos conocidos tanto origen como destino del flujo. Hay tres servicios especiales para definir una abstracción genérica cada cada servicio (cualquiera) y cada servicio TCP/UDP. Se han introducido para manejar fácilmente reglas definidas en otros módulos.
Cuando introduzcas un nuevo servicio tendrá los siguientes elementos:
- Nombre servicio
El nombre para el servicio que se referencia de manera única en el sistema.
- Descripción
Este campo define la descripción larga para el servicio de red para facilitar la gestión. Es un campo opcional.
- Interno
Cuando un servicio de red se marca como interno, los pares protocolo/puerto que pertenecen a dicho servicio serán marcados como ocupados y por tanto no estarán disponibles para otros servicios.
- Configuración
La configuración del servicio es un parámetro múltiple que contiene los siguientes tres elementos:
- Protocolo
Es el protocolo de Internet cuyos valores pueden ser: TCP/UDP, TCP, UDP, GRE, ICMP o "cualquiera". Si el protocolo es GRE o ICMP, entonces no se puede poner ningún puerto ya que no tiene sentido según la construcción del protocolo.
- Puerto origen
El puerto origen bien conocido cuyo valor puede ser uno de los siguientes:
Cualquiera. Indica cualquier puerto para ese protocolo o conjunto de ellos
Un puerto. Indica un único puerto para ese protocolo o conjunto de ellos
Rango de puertos. Indica un rango de puertos incluyendo los extremos para ese protocolo o conjunto de ellos
- Puerto destino
De manera análoga al puerto origen, los mismos elementos aparecen en el puerto destino.
Quizás recorriendo varios de los servicios definidos por el sistema antes de añadir los propios pueda ayudar. De todas maneras, se puede un servicio definido por un usuario cuando se instalen servicios de red adicionales para instalar encima de una instalación de eBox. Por ejemplo, introduciendo el servicio FTP (File Transfer Protocol).
Ejemplo 5.1. Ejemplo de configuración de servicio
Nombre servicio. ftp
Descripción. File Transfer Protocol
Interno. sí
Configuración:
protocolo: tcp, puerto origen: cualquiera, puerto destino: 20 (Define el canal de control de conexión)
protocolo: tcp, puerto origen: cualquiera, puerto destino: 21 (Define el canal de flujo de datos)
Una de las características más importantes de eBox es su módulo de cortafuegos. Puedes acceder a través de . Allí puedes hacer filtrado de tráfico (Sección 6.3) o redirección de puertos (Sección 6.2).
El cortafuegos tiene diferente comportamiento con los interfaces internos y externos. Los interfaces internos están conectados a las redes locales. No tienen las mismas restricciones que se aplican a los interfaces externos.
Los interfaces externos se conectan a las redes externas y eBox sólo permite las redirecciones desde ellas.
Las redirecciones de puertos permiten llevar un tráfico procedente del exterior de la red hacia una máquina detrás de un cortafuegos equipado con eBox. Se puede acceder a la configuración de las redirecciones de puertos a través de → .
Para añadir una nueva redirección, en primer lugar debe seleccionarse el Interfaz que atenderá las peticiones de conexión. Este debe ser uno de los designados como externos en la configuración de los interfaces de red. Además, debe especificarse el Puerto externo sobre el que se espera recibir el tráfico, y el Protocolo que este empleará.
En cuanto a la máquina destino, se debe introducir su Dirección IP y el Puerto al que se reencaminarán los paquetes.
Una vez suministrados todos estos datos, basta escoger entre las Acciones la correspondiente a añadir, y pulsar sobre ella.
Para eliminar una regla, debe seleccionarse borrar entre las Acciones, y pulsar sobre ella.
La configuración de una redirección puede modificarse simplemente cambiando los parámetros sobre la misma y pulsando entre las Acciones en la correspondiente a modificar.
Desde → se pueden configurar las reglas de filtrado de paquetes. Puedes usar las abstracciones dadas anteriormente como los servicios de red o los objetos de red. Usando estos conceptos mejora la flexibilidad y claridad de las reglas, reduciendo su número.
A primera vista, tenemos cinco flujos diferentes de tráfico para establecer las reglas de cortafuegos.
- Desde redes internas a eBox
Estas reglas se usan para controlar el acceso desde los interfaces de red internos a los servicios que se ejecutan en tu máquina eBox. Varios módulos de eBox añaden reglas de filtrado por ti para gestionar los servicios de eBox más fácilmente.
- Para las redes internas
Estas reglas te permiten controlar el acceso desde tus redes internas a Internet, y el tráfico entre tus redes internas.
- Saliendo desde eBox
Estas reglas te permiten controlar el acceso desde eBox a las redes externas.
- Desde redes externas a eBox
Estas reglas te permiten controlar el acceso desde las redes externas a los servicios corriendo en tu máquina eBox.
- Desde redes externas a redes internas
Estas reglas te permiten controlar el acceso desde redes externas a las redes internas.
Ten en cuenta que los últimos dos conjuntos de reglas conceden acceso a redes no confiables sobre tus redes. Esto puede comprometer la seguridad de tu red. Según la política de seguro por defecto se recomienda, no modificar estas reglas a menos que se sepa lo que se está haciendo. La figuraFigura 6.1 trata de aclarar el concepto:
La política de denegación de paquetes para el cortafuegos de eBox es de ignorar paquetes. Esto hace que los paquetes filtrados sean descartados sin notificar al remitente.
Cada conjunto de reglas definen un comportamiento determinado para los flujos de tráfico en el que se aplican. Estas reglas se comprobarán de arriba a abajo, por tanto el orden es importante. Cada regla está formada por estos campos, algunos de ellos están sólo disponibles para algún conjunto de reglas determinado por su construcción:
- Decisión
Aceptar o denegar. Se determina explícitamente si se acepta o se deniega el flujo de tráfico.
- Origen
El origen del flujo de tráfico. Puede ser un objeto de red o una dirección IP. Este campo está disponible en cada conjunto de reglas excepto para el tráfico "Saliendo de eBox"
- Destino
El objetivo del flujo de tráfico. Puede ser un objeto de red o una dirección IP. Este campo está disponible para los conjuntos de reglas "Para redes internas", "Saliendo de eBox" y "De redes externas a redes internas".
- Servicio
El servicio que presta el flujo de tráfico como se describe en el Capítulo 5. La expresión puede ser la inversa, por ejemplo el inverso de "cualquiera" es "ninguno". Este campo es obligatorio, así para crear una nueva regla, es necesario disponer del servicio de red deseado. Si éste no existe, desde crearlo primero.
- Descripción
Una descripción opcional facilitará la gestión de reglas del cortafuegos.
Tabla de contenidos
eBox es capaz de actualizar automáticamente el software que utiliza su sistema. Esta opción se puede activar en →
Al automatizar las actualizaciones de software del sistema se simplifica la tarea de mantener el sistema funcionando con la ultima versión disponible y evitar posibles bugs o problemas de seguridad tan pronto como aparezca una solución.
Aviso
Todas las funcionalidades del componente de gestión de software de eBox requieren que el sistema operativo sea Debian GNU/Linux.
En → se permite instalar, actualizar o eliminar los diferentes paquetes de eBox que existen. Sólo se excluyen de la desinstalación algunos de los módulos por resultar imprescindibles para el correcto funcionamiento básico de eBox.
Tabla de contenidos
Mediante → se accede a la configuración general del proxy-caché HTTP de eBox.
En la ventana de configuración se pueden configurar los detalles que se detallan a continuación:
- Proxy transparente
Si el proxy transparente está habilitado, todos los usuarios de eBox utilizarán el proxy obligatoriamente y sin darse cuenta. Si se deshabilita, habría que configurar los navegadores de cada uno de los usuarios para que se conectaran a través del proxy.
Aviso
La característica del proxy transparente sólo funciona cuando eBox posee al menos un interfaz interno y otro externo.
- Puerto
Asigna el número de puerto al que se conectarán los navegadores para acceder a internet a través del proxy, cuando funciona de forma no transparente.
- Política global
Corresponde a la política que tendrán por defecto los usuarios que utilicen el proxy. Se puede elegir entre permitir el acceso libre y sin restricciones, filtrar el acceso con la restricción de contenidos o denegar el acceso completamente. Posteriormente esta política puede ser modificada para cada uno de los casos concretos de los objetos de red para los cuales se desea un comportamiento específico, tal y como se explica en las siguientes secciones.
Aviso
Si se estableciera una configuración que denegara el acceso al interfaz de administración desde las máquinas que utilicen eBox, se tendría que conectar a dicho interfaz desde esas máquinas directamente, evitando la mediación del proxy.
En → , puedes seleccionar los parámetros para el filtrado en aquellos elementos de la red cuya política sea la de filtrado.
Aviso
El filtrado requiere una política de 'Filtrar' para que sea efectiva
Permite establecer un nivel de restricción para contenidos que tienen que ver con sexo y violencia en aquellos elementos que se encuentren filtrados por el proxy.
- Filtrado de extensiones de fichero
Puedes seleccionar que extensiones de fichero se permiten para ser descargadas desde el proxy HTTP. Para permitir extensiones debes editar la fila correspondiente y tildar la caja del elemento Permitir. Existe un formulario especial llamado "Todas las extensiones" para aplicar la misma política a todas las extensiones a la vez. Se puede añadir tantas extensiones como se desee. Varias de ellas ya se han incluido con eBox.
Cualquier extensión que no aparezca aquí, por defecto, es permitida. En futuras versiones, este comportamiento puede cambiar.
- Filtrado de tipos MIME
Puedes seleccionar que fichero con tipos MIME determinados pueden descargarse a través del proxy HTTP. La gestión es análoga al filtrado de extensiones de fichero explicado anteriormente.
- Filtrado de dominios
Puedes configurar que dominios se permiten o deniegan ser visitado editando la tabla Lista de dominios. Escribe el nombre del dominio completo, cuyo comportamiento por defecto quieres cambiar. El nombre de dominio no necesita la cadena "www". Por ejemplo, para permitir el dominio "www.warp.es", se introduciría "warp.es".
Además, se puede bloquear aquellos sitios que no están en la lista de dominios anulando la política por defecto. También permite bloquear aquellos sitios web que no tengan un nombre completamente cualificado (FQDN) y, por tanto, usan una dirección IP para acceder a su contenido.
A través de → es posible establecer una conexión entre la política designada con cada objeto de red, permitiendo una configuración diferente para cada objeto nuevo creado. Esta configuración se antepondrá a la política global del proxy para los objetos seleccionados.
Tabla de contenidos
El servidor de fecha y hora sólo puede ser activado o desactivado en pinchando en "Habilitar" en su fila correspondiente como se explica en Sección 2.6.
Si se encuentra activado, los clientes que tengan eBox como servidor NTP mantendrán sincronizada su configuración horaria con la que posea eBox, que a su vez puede ser configurada siguiendo las instrucciones que se indican en Configuración horaria
Tabla de contenidos
A través de → es posible crear usuarios de eBox y modificar la configuración asignada a cada uno de ellos.
Para crear un usuario basta con introducir la información en el formulario que se muestra en la ventana de configuración y hacer click en . Hay campos para introducir nombre de usuario, nombre real, un comentario sobre el usuario, su contraseña (con confirmación) y el grupo al que pertenecerá, si existe.
Posteriormente, la configuración de cada usuario creado puede ser modificada seleccionando el usuario en la tabla disponible en → y pinchar en el icono que muestra el lápiz.
La ventana de edición de usuarios es dinámica, lo cual quiere decir que su contenido cambiará dependiendo de los módulos que estén instalados en eBox. Hay dos bloques que serán fijos dentro de la ventana: en la parte superior se mostrara la información general del usuario para permitir su modificación, incluyendo comentario, nombre y contraseña (con confirmación); en la parte inferior aparecerá un botón Eliminar usuario que borrará el usuario de eBox, así como sus dependencias con los módulos instalados. Entre estos dos bloques puede aparecer información referente a cada uno de los módulos de eBox que se encuentren instalados y habilitados y puedan ofrecer servicio a usuarios de manera individualizada: cuentas de correo, compartición de archivos, acceso a impresoras... Cada módulo tiene una sección donde explica su interacción con usuarios y grupos.
Entrando en se pueden crear grupos nuevos o editar la configuración de los grupos existentes.
Para crear un grupo nuevo sólo es necesario introducir un nombre de grupo, un comentario sobre el grupo (opcional) y hacer click en el botón Crear.
Si se desea editar un grupo, al igual que para la edición de usuarios, simplemente hay que seleccionarlo en la lista desplegable inferior y pulsar el botón Editar.
La ventana de edición de grupos es dinámica al igual que la de usuarios y también incluye dos bloques de configuración fijos: en la parte superior se permite cambiar el comentario del grupo y los usuarios que pertenecen o no pertenecen a dicho grupo; y en la parte inferior se muestra un botón grupo que borrara el grupo de eBox y todas las dependencias del grupo con los módulos que se encuentren instalados. Entre los dos bloques se mostrará la información que tiene que ver con los módulos instalados que se encuentran habilitados en el momento actual y que poseen alguna configuración específica para grupos de usuarios.
Tabla de contenidos
Se pueden crear impresoras en eBox a través de → . Cada impresora creada podrá ser compartida en la red, permitiendo o denegando el acceso a usuarios y grupos de usuarios para su uso.
La creación una impresora en eBox requiere conocer información acerca de qué tipo de conexión tiene con eBox, fabricante, modelo y driver si se quiere asegurar un correcto funcionamiento. El sistema irá solicitando los datos y ofreciendo las posibilidades existentes al usuario para que configure la impresora de una manera sencilla e intuitiva.
Por medio de → se puede acceder a la administración de impresoras de eBox.
Desde aquí es posible consultar y modificar el estado actual de la compartición de impresoras en el sistema y visualizar la lista de dispositivos de impresión configuradas en el sistema, así como eliminarlas de eBox o modificar su estado y parámetros actuales.
En cualquier momento después de la creación de una impresora, es posible borrarla pinchando en la acción correspondiente de la impresora seleccionada, o acceder a su configuración específica con la acción editar de dicha impresora.
Si se decide editar la configuración de una impresora, aparecerá una ventana de configuración con cuatro pestañas que darán acceso a cada uno de los aspectos de administración de la impresora:
- Detalles de la impresora
Donde se consultan y modifican los detalles correspondientes a fabricante, modelo y driver de la impresora seleccionada.
- Opciones del driver
Las opciones configurables dependerán del driver instalado. eBox mostrará, en la mayoría de los casos, una lista con los posibles valores para cada una de las opciones facilitando el proceso de configuración y evitando valores incorrectos de los parámetros configurados.
- Opciones de configuración
En este apartado se permite modificar el método de conexión de la impresora con eBox. Dependiendo de si es USB, paralelo, impresora de red o samba, las opciones configurables serán distintas.
- Trabajos pendientes
Se muestran los trabajos que tiene pendientes la impresora seleccionada. De cada trabajo se muestra identificador, propietario, nombre, tamaño y fecha de creacion. Un trabajo también puede ser cancelado utilizando el botón de acción correspondiente, eliminándolo así de la cola de trabajos de la impresora.
Se accede a la configuración de la compartición de ficheros a través de . Para activar la compartición de ficheros, visita la Sección 2.6 para saber como hacerlo.
Hay dos modos de funcionamiento para este módulo. Se puede comportar como un simple servidor de ficheros usando el protocolo SMB/CIFS o también como un método de autenticación centralizado usando Primary Domain Controller (PDC) para entrar en sistemas basados en Windows NT.
Ambos modos de funcionamiento necesitan tener los siguientes campos configurados:
- Nombre de dominio
Sólo las máquinas y usuarios que pertenezcan al mismo dominio pueden compartir sus ficheros entre ellos. Con este nombre eBox será reconocido dentro de la red de área local.
- Nombre de netbios
Nombre aplicado al entorno antiguo NetBIOS que hace a eBox tener un nombre dentro del entorno Windows.
- Descripción
Descripción de la máquina eBox que se situa junto al nombre de Netbios para dar una detallada descripción dentro de los recursos de la red.
- Límite de couta
Límite de tamaño de disco en MB a usar por cada uno de los usuarios. Si no se quieren imponer restricciones de tamaño es suficiente poner en este campo un cero.
Esta lista de parámetros sólo tienen sentido en el modo PDC:
- Perfiles móviles
Los perfiles móviles son un conjunto de directorios que contienen una serie de configuraciones de una máquina Windows™ que pertenece a el dominio. Esos directorios se guardan en el servidor si esta opción está habilitada. El valor por defecto es deshabilitarlo a causa de la sobrecarga en el tráfico de la red local cuando se inicia la máquina ya que cada directorio, el cual puede contener buzones de correo y más información, se debe descargar a la máquina cliente.
Si el módulo de compartir ficheros está instalado y habilitado en eBox, quizá quieras compartir ficheros entre usuarios del mismo grupo o publicar ficheros dentro de la red de área local. Para conseguirlo, deberías ir a y editar al usuario que pueda publicar ficheros en la red local. Allí, se puede habilitar al usuario para hacerlo y, lo que es más, darle derechos de administrador para que pueda añadir máquinas al dominio, si el modo de funcionamiento es PDC. Visita la sección de usuarios para saber más sobre la configuración de usuarios eBox.
Si quieres compartir un directorio entre los usuarios dentro de un mismo grupo, debes ir a y editar el grupo que quieras. Allí puedes poner un nombre para ese directorio.
Nota
Los permisos actuales para los ficheros permiten leer, escribir y ejecutar al propietario y leer, escribir y ejecutar a los usuarios del grupo. Respecto a los subdirectorios, el bit setgid está puesto, así que el propio de los subdirectorios del grupo será el propio grupo. Además, el acceso será total para el grupo.
Tabla de contenidos
Para acceder a la configuración general del servidor de correo de eBox hay que entrar en → . En la ventana de configuración, en la parte superior, aparecerán varias pestañas referentes a distintos aspectos de configuración del servidor de correo:
- Servicios
En la pestaña de servicios se permite requerir autenticación para los usuarios que se conecten al servidor de correo o permitir acceso libre y utilizar o no TLS para cifrar la comunicación SMTP con el servidor. También se permite desde aquí habilitar POP3 e IMAP así como obligar al usuario a utilizar SSL, permitirselo o prohibirselo.
- Configuración
La configuración que se muestra en esta pestaña permite fijar un servidor para hacer relay simplemente utilizando su IP, así como establecer un límite de tamaño de mensaje aceptado por el servidor de correo y un límite de tamaño para las nuevas cuentas de correo por defecto. En la parte inferior se puede concretar una política de relay para cada uno de los objetos de red de eBox que tendrá preferencia para el objeto sobre la configuración general establecida en la pestaña Servicios.
- Filtro externo
Desde esta pestaña podemos habilitar un filtro externo para filtrar los mensajes de correo de eBox. Para ello se debe fijar un puerto en la máquina de eBox para poder establecer la comunicación y conocer la direccion IP y el puerto donde se encuentra el filtro.
En → se pueden administrar los dominios virtuales, que dan nombre de dominio a las cuentas de correo de los distintos usuarios de eBox.
Para crear un dominio basta con elegir un nombre para el dominio y un tamaño por defecto para los buzones de correo de los usuarios de eBox que pertenezcan al dominio. Posteriormente se puede modificar el tamaño por defecto de los buzones e incluso forzar el cambio de los buzones ya existentes a ese tamaño desde el menú al que se accede utilizando el boton de accion del dominio correspondiente. Si se desea borrar uno de los dominios existentes simplemente se debe pulsar el boton de acción correspondiente a borrar de dicho dominio.
Si el módulo de correo está instalado y activado en eBox y se desea crear una cuenta de correo para un determinado usuario, habrá que hacerlo a través de editando el usuario correspondiente, donde también se podrá fijar un alias para la dirección de correo. Ver Cuentas de usuario para saber cómo acceder a la configuración de un usuario de eBox.
Para poner alias a grupos de usuarios hay que acceder a la configuración del grupo usando . Si el módulo de correo está activado se podrá fijar un alias para todos los miembros del grupo. Ver Grupos de usuarios para saber cómo se accede a la configuración de un grupo.
Tabla de contenidos
Se puede acceder a la configuración del servidor DHCP a través de .
Sólo se podrá configurar el servidor DHCP si hay algún interfaz de red configurado como estático. Si hay varios interfaces configurados como estáticos se podrá elegir cuál de ellos configurar a través del selector que está en la parte superior de la configuración. El servidor DHCP funciona también con interfaces estáticos virtuales. Para servir direcciones IP en un interfaz estático se requiere tener al menos un rango de direcciones o una asignación estática configurada.
Para activar el servidor DHCP, visite la Sección 2.6 para obtener detalles de como hacerlo.
Se puede configurar el funcionamiento del servidor DHCP correspondiente en distintos aspectos:
- Opciones
Hay dos pestañas para establecer las opciones para el servidor DHCP en el interfaz elegido:
- Opciones comunes
Estas opciones configuran:
- Puerta de enlace por defecto
Indica a los clientes DHCP cual es el siguiente paso si no saben como llegar al destino. Sus valores pueden ser eBox misma, una dirección IP en formato CIDR, ninguna o una puerta de enlace configura en la Sección 3.4.
- Dominio de búsqueda
Indica a los clientes DHCP cual es el dominio de búsqueda de nombre a añadir cuando no se da un dominio completamente cualificado al servidor DNS. Su valor puede ser uno específico, ninguno o uno configurado en el módulo DNS.
- Servidor de nombres primario
Indica a los clientes DHCP cual es el servidor de nombre primario para hacer consultas DNS. Su valor puede ser eBox misma, una dirección IP o ninguno.
- Servidor de nombres secundario
Indica a los clientes DHCP cual es el servidor de nombres secundario al que preguntar consultas DNS cuando el primario está caído. Su valor es opcional y si aparece debe ser una dirección IP de máquina.
- Opciones avanzadas
Este conjunto de opciones las deben gestionar usuarios avanzados para fijar el tiempo de alquiler y opciones de cliente ligero.
- Tiempos de alquiler
El tiempo de alquiler es aquel en el que una dirección IP servida es válida en el servidor DHCP. Puedes modificar el valor por defecto y el valor máximo ofrecido.
- Cliente ligero
Estas opciones permite usar eBox como servidor de clientes ligeros o proxy. Actúa como proxy cuando el servidor siguiente apunta a otro computador. Se configura como servidor cuando se pone como opción eBox, luego incluye todos los ficheros a cargar en cliente ligero como ficheros de inicio y parámetros en un directorio fijo mostrado por la ayuda contextual .
- Rangos
Se pueden crear listas de rangos con los valores que se quieran asignar a las máquinas de la red. Estas listas no deben tener coincidencias entre sí y todas las direcciones asignables deben pertenecer al rango disponible mostrado justo encima de la lista de rangos.
- Asignaciones estáticas
Se puede asignar una dirección IP concreta (siempre que pertenezca al rango disponible) a una dirección MAC de la red. Para ello sólo hay que crear un elemento en la lista de asignaciones estáticas que contenga la dirección MAC de la máquina conocida y la IP que se le desea asignar.
Ten en cuenta que cada opción en la lista de rangos y las asignaciones estáticas no se deben superponer entre ellas. No sólo el mismo interfaz sino también en los demás. Estas comprobaciones las hace eBox y se avisa cuando dichas guardas no se cumplen.
Tabla de contenidos
El servicio DNS puede funcionar como un servidor DNS caché, o como un servidor DNS propio para responder a consultas de tus dominios locales.
Si se encuentra el servicio DNS activado actuará automáticamente como un servicio de DNS caché. Permitirá que varias peticiones DNS iguales a eBox se resuelvan con una sola petición DNS externa, reduciendo así el tiempo de respuesta y el tráfico por la red para los sitios más frecuentados.
Hay una característica más avanzada que te permitirá crear dominios para tu red local. Esto es muy útil si quieres que tus usuarios usen los nombres de máquinas para tus máquinas locales en vez recordar las direcciones IP.
El servicio DNS en eBox se caracteriza para ser usado en los casos más simples y usuales. Añadir dominios dando a cada dominio máquinas y alias para dichas máquinas. Ten en cuenta que carece de características como transferencia de zonas, subdominios y demás. Estas mejoras se añadirán en un futuro.
- Dominios
Puedes añadir tantos dominios como necesites. Recuerda que tus máquinas serán añadidas tomando un dominio como raíz.
Para añadir un dominio, ve a y simplemente escribe un nombre para dicho dominio en la tabla expuesta debajo del título. Añade tantos como necesites.
- Máquinas
El siguiente paso, tras crear un dominio, es añadir nombres para máquinas al dominio. Lo que estás haciendo aquí es enlazar una dirección IP a un nombre de máquina.
Para añadir un nombre de máquinas, debes editar el dominio al que te gustaría tener dicha máquina. Para hacerlo, pincha en el icono del lápiz en la tabla de dominios. Una nueva pantalla aparecerá. En esta nueva pantalla, serás capaz de añadir un nombre de máquina y su correspondiente dirección IP.
En caso de tener una dirección IP con más de un nombre asociado a ella, puedes añadir alias justo al lado de donde has creado el nombre de máquina.
- Intercambiadores de correo
Cada dominio puede tener intercambiadores de correo (registros MX), que dentro de la jerga DNS son aquellas máquinas que actúan como servidores de correo electrónico, esto es, servidores SMTP.
Cada registro MX se compone de una nombre de máquina, que puede pertenecer al mismo dominio, i.e. uno de los definidos previamente para el mismo dominio o uno cualquiera de un dominio externo. El valor de preferencia determina que servidor de correo se utilizará primero para tratar de enviar un correo a dicho dominio. El menor valor de preferencia da la mayor prioridad. El intervalo de valores permitidos es (0, 65535). La tabla está ordenada por dicho valor.
Una vez que hayas definido los registros MX, puedes crear un dominio virtual en el módulo de correo con el mismo nombre definido aquí. Así el sistema de correo funcionaría de manera más sencilla.
Además, la traducción inversa se hace también automáticamente por este módulo. Cada máquina que tiene una dirección IP asociada, ante una petición de nombre de dicha dirección IP el servicio DNS responderá con el mismo nombre asociado.
Tabla de contenidos
Se puede acceder a la configuración del servidor Jabber a través de y a través de las opciones de cada uno de los usuarios.
El servidor de Jabber configura el acceso a una red de mensajería, para una red local o que pueda tener también acceso externo. Controla además el acceso por cada usuario, pudiendo aceptarles o denegarles la conexión a cada uno de ellos.
Para activar el servidor Jabber, visite la Sección 2.6 para obtener detalles de como hacerlo.
Se puede configurar el comportamiento del servidor Jabber en los siguientes aspectos:
- Nombre del dominio
Las cuentas de un servidor Jabber tienen la forma usuario@dominio. Los usuarios deberán utilizar ese formato en sus clientes de Mensajería Instantánea para poder conversar. Por esta razón, el nombre del dominio deberá poderlo resolver el usuario en su propia máquina, así como el resto de servidores de internet si está configurado el acceso externo.
- Conectar a la red global Jabber
El servidor Jabber tiene la capacidad de formar parte de la red de servidores Jabber, repartida por todo el planeta; o funcionar independientemente dentro de una red corporativa. Esta opción permite seleccionar el comportamiento deseado.
- Soporte SSL
La autenticación y transmisión de datos entre el servidor Jabber y el usuario Jabber puede realizarse de tres formas:
La primera, dando el valor "No" a la opción, hará que la comunicación sea en texto plano.
La segunda, "Opcional" permite que el usuario decida si desea que la comunicación se realice de forma segura, mediante SSL, o convencional.
Por último, si es "Requerido" el acceso por SSL, el cliente de mensajería instantánea del usuario deberá soportar tal opción, para que pueda conectarse al servidor Jabber.
En la configuración de cada usuario nos encontraremos con dos nuevas opciones para la configuración de su acceso a Jabber:
- Cuenta del usuario
Puede tomar dos valores, que permitirán el acceso del usuario al servidor Jabber o no.
- El usuario tiene permisos de administrador
Un usuario con permisos de administrador puede ser notificado acerca de algunos aspectos del servidor, o realizar acciones sólo disponibles para usuarios con tales permisos. Por favor, para más información sobre los privilegios de administrador de una red Jabber consulte su documentación.
Tabla de contenidos
Es necesario un conocimiento básico de la infraestructura de clave pública (PKI) para el uso del módulo de Gestión de Certificados. Un buen sitio para empezar a iniciarse en el tema puede ser el artículo de Wikipedia sobre PKI
Puedes acceder a la Gestión de la Autoridad de Certificados a través de
El propósito del módulo de Gestión de la Autoridad de Certificados es permitir la creación de certificados para su uso por otros módulos eBox o por aplicaciones externas.
Los certificados se crean usando un certificado de la autoridad de certificación (CA : "Certification Authority") que será creado con este módulo.
Primero, es necesario expedir el certificado de la CA, que es firmado por sí mismo. El certificado de la CA es necesario para expedir nuevos certificados; así que el resto de funcionalidad del módulo no estará disponible hasta que ésta sea creada.
Para crearlo simplemente entraremos en la página del módulo y nos encontraremos ante el formulario para crear el certificado de la CA. Se requerirán el nombre de la organización y el número de días que transcurrirán antes de la expiración del certificado.
Aviso
A la hora de establecer la duración del certificado hay que tener en cuenta que su expiración revocará todos los certificados expedidos por él. Esto supondrá la parada de los servicios dependientes de la infraestructura de certificación hasta que sea restablecida.
Una vez creado el certificado de la CA, seremos capaces de generar certificados con él.
Para generarlos tan sólo tendremos que usar el formulario que aparece en la parte superior de la página de la autoridad de certificación. Los datos necesarios son el nombre común del certificado y los días que permanecerá activo antes de expirar. Este último dato está limitado por el hecho de que ningún certificado puede ser válido más tiempo que el certificado de la CA.
Una vez el certificado haya sido creado, aparecerá en la lista de certificados y estará disponible para los módulos de eBox que usen certificados y las demás aplicaciones externas.
A través de la lista de certificados podemos acceder a distintas acciones que realizar con ellas. Las acciones disponibles son descargar archivos, revocar y renovar.
Pulsando en el icono de descargar obtendremos un archivo comprimido en el que podemos encontrar tanto el certificado como sus claves publicas y privado. En el caso del certificado de la propia autoridad de certificación, la clave privada no se encontrará en el archivo.
Mediante el icono de revocar, podemos revocar cualquier certificado. Tras pulsar en la opción correspondiente nos encontraremos en una pantalla donde podremos indicar la razón que nos ha llevado a revocarlo o cancelar la acción.
Una vez revocado un certificado, continuará apareciendo en la lista pero marcado como revocado. Sin embargo, no podrá ser usado ni por eBox ni por ninguna aplicación externa.
Aviso
Si el certificado revocado es el certificado de la CA, todos los certificados generados con él serán automáticamente revocados
Es posible renovar un certificado usando el icono de renovar. Será solicitada la nueva duración del certificado.
Para renovar un certificado, primero se revoca y a continuación se expide uno nuevo. Los módulos de eBox serán capaces de obtener el nuevo certificado pero se tendrá que suministrar manualmente a las aplicaciones externas.
Aviso
Si renovamos el certificado de la autoridad de certificación, se renovaran automáticamente todos los certificados generados con él. La duración de los certificados renovados automáticamente será hasta la fecha de expiración del certificado de CA.
Tabla de contenidos
Puedes acceder a la configuración de Redes Privadas Virtuales (VPN) en .
Para crear el servicio VPN, se necesita primero configurar una autoridad de certificación. eBox también da cobertura a este servicio que puedes crear a través de .
El módulo OpenVPN puede configurar a eBox tanto como un servidor OpenVPN como cliente. Se pueden poner en marcha tantos clientes/servidores como queramos.
Como VPN es un servicio bastante complicado, ilustramos con dos escenarios típicos su configuración con eBox.
Se puede configurar a eBox para dar soporte a "Road Warriors". Esto es, una máquina eBox trabajando como puerta de enlace y como servidor OpenVPN, que tiene una red de área local (LAN) detrás, permitiendo a clientes en Internet (road warriors) conectarse a dicha red local vía servicio VPN. La siguiente figura puede dar una mejor visión:
Nuestro objetivo es conectar al cliente 3 con los otros 2 clientes lejanos (1 y 2) y estos últimos entre sí.
Para ello, necesitamos crear una "Autoridad de Certificación" y certificados para todos los elementos presentes en el sistema, el servidor OpenVPN y los dos clientes lejanos. Aquí, la máquina eBox actúa también como autoridad de certificación.
Nota
Para obtener información detallada sobre el módulo de Autoridad de Certificación, visitar su propia parte del manual
Una vez tenemos los certificados, deberíamos poner a punto el servidor OpenVPN en eBox en Crear un nuevo servidor. Se deben dar un nombre, un par protocolo/puerto, un certificado (aquel que acabamos de crear previamente) y una subred donde trabajar. Para los demás elementos se pueden dejar los valores por defecto. Como vemos, el servidor OpenVPN estará escuchando en todas las interfaces externas, por tanto debemos poner al menos una de nuestras interfaces como externa vía → . En nuestro escenario sólo se necesitan dos interfaces, uno interna para la LAN y otra externa para escuchar en Internet.
Tras crear el servidor OpenVPN, debemos habilitar el servicio y guardar los cambios. Luego, comprobar en Estado que un servidor OpenVPN está funcionando.
Tras ello, debemos anunciar redes, dichas redes serán accesibles por los clientes OpenVPN autorizados. Para conseguirlo, necesitamos redes que sean accesibles desde la máquina eBox. En nuestro escenario, deberemos añadir la red local para hacer visible el cliente 3 a los otros dos clientes.
Es momento de configurar los clientes. Un cliente OpenVPN puede configurarse con nuestros paquetes que están disponibles en la tabla Servidores y pinga en el icono Flecha para abajo. Dos paquetes para dos sistemas operativos se han creado, elije uno de ellos. Si usas un entorno BSD-like como MacOS™, elije el sistema Linux. Elijo aquellos certificados que dar al cliente y establece la dirección IP externa a la cual los clientes VPN se deben conectar. eBox tratará de adivinarla usando un servicio Web. Si el sistema seleccionado es Windows™, el instalador de OpenVPN para Win32 se incluye también. Te da un archivo para ser distribuido al cliente.
Este paquete incluye el fichero de configuración y los
ficheros necesarios para comenzar una conexión VPN. Por
ejemplo, en Linux, simplemente descomprime el archivo y
ejecuta dentro del recientemente creado directorio el
el siguiente comando: openvpn --config
filename. Ahora tenemos acceso al cliente 3 desde
los dos clientes remotos. Para conectar entre sí los clientes
remotos, necesitamos activar la opción
Habilitar conexiones cliente-a-cliente dentro de la configuración
del servidor OpenVPN. Para comprobar que la configuración es
correcta, observar la tabla de rutas donde las nuevas red
anunciadas se han añadido al interfaz virtual
tapX.
Este segundo escenario trata de mostrar un caso de uso común para eBox. Dos oficinas en diferentes redes necesitan estar conectadas a través de una red privada. Para hacerlo, usaremos eBox en ambas como puertas de enlace y una como cliente OpenVPN y otra como servidora. La siguiente imagen trata de aclarar la situación:
Nuestro fin es conectar al cliente 1 en la LAN 1 con el
cliente 2 en la LAN 2 como si estuviesen en la misma red
local. Por tanto, debemos configurar un servidor OpenVPN
como hacemos en Sección 18.2.1. Sin
embargo, se necesita hacer dos pequeños cambios habilitando
la opción Permitir túneles eBox a eBox
para intercambiar rutas entre máquinas eBox y
contraseña túnel eBox a eBox para establecer la
conexión en un entorno un poco más seguro entre las dos oficinas.
Para configurar eBox como un cliente OpenVPN, podemos hacerlo a través del botón Crear un nuevo cliente dentro del menú . Debes dar un nombre al cliente y si lo activas. Puedes establecer la configuración del cliente manualmente o automáticamente usando el paquete dado por el servidor VPN como hemos hecho en la Sección 18.2.1. En la primera opción se pide el par protocolo/puerto donde escucha el servidor así como su dirección IP, los certificados y la contraseña del túnel, en cambio, en el segundo caso esta información es obtenida directamente desde el paquete. Cuando salvas los cambios, en el sumario, se puede ver un nuevo demonio OpenVPN en la red 2 ejecutándose como cliente con la conexión objetivo dirigido a la otra eBox dentro de la LAN 1.