Mikrotik – RAGASYS SISTEMAS

Infraestructura de Backup y Disaster Recovery con Vembu en un entorno VMware vSphere

Jose Ramon Ramos Gata — Tue, 20 Mar 2018 09:44:35 +0000

Hola a tod@s.

En los próximos post vamos a ver como montar una infraestructura de Backup y Disaster Recovery con Vembu, en un entorno de virtualización VMware vSphere y de servidores físicos, cuando terminemos esta serie de post intentaremos montar lo mismo sobre un entorno de virtualización Microsoft Hyper-V, para ello vamos a utilizar la última versión de Vembu BDR Suite.

La topología que hemos configurado y desarrollado sería la siguiente:

Explicaremos un poco esta topología, como dispositivo principal de red tendremos un router Mikrotik RB1100AHx2, dónde tenemos configurado cuatro interfaces de red, cada una con su direccionamiento:

Para LANRG: 192.168.5.0/24
Para iSCSIa: 192.168.9.0/24
Para iSCSIb: 192.168.11.0/24
Para WAN: 192.168.14.0/24

En este router también tenemos configuradas reglas de firewall, enrutamiento, DNS caché, Proxy transparente, etc…, pero bueno esta parte queda fuera de esta serie de post.

Tenemos dos hypervisores ESXi de VMware vSphere para configurar el entorno de virtualización, y una cabina de discos Openfiler configurada con iSCSI, NFS y CIFS para presentarle las LUN configuradas a los hypervisores ESXi y montar los Datastore dónde van alojadas las máquinas virtuales.

También tenemos tres servidores físicos:

dcrgs – Domain Controller
vcenterrgs – Consola central administración VMware vSphere
vemburgs – Servidor de Backups

Este post lo vamos a dividir en: (en esta parte iremos añadiendo los artículos a medida que los vayamos realizando)

Post sponsorizado por Vembu Technologies

Instalación, configuración y administración de servidores en un entorno Microsoft Windows Server 2016

Jose Ramon Ramos Gata — Tue, 27 Feb 2018 17:28:23 +0000

Hola a tod@s.

En los próximos post vamos a hablar sobre la instalación, configuración y administración de servidores en un entorno con Microsoft Windows Server 2016, los iremos entregando “poquito a poco”, en esta serie de post empezaremos por lo básico, como puede ser la instalación del sistema operativo, más adelante instalaremos y configuraremos muchos de sus roles y características como pueden ser, Active Directory, DNS, DHCP, Servidor de ficheros, Servidor de impresión, WSUS, RDS, etc…; también montaremos una infraestructura de correo empresarial con MS Exchange 2016, veremos como implementar una suite de seguridad para empresas con los productos de Fortinet, concretamente con Forticlient Enterprise Management Server, y bueno, seguro que se me van ocurriendo más instalaciones y configuraciones para añadir a esta infraestructura.

La topología que hemos configurado y desarrollado sería la siguiente, esta topología seguramente irá cambiando a medida que vayamos añadiendo servidores, según los roles y características que en cada momento necesitemos:

Explicaremos un poco esta topología, tendremos una oficina central situada en Madrid y cuatro oficinas remotas (Barcelona, Valencia, Bilbao y Sevilla) que conectamos a través de VPN con la sede central en Madrid.

El direccionamiento IP utilizado será el siguiente:

Para la sede principal en Madrid: 192.168.5.0/24 (Inside), 192.168.14.0/24 (Outside), 192.168.3.0/24 (DMZ)
Para la sede remota en Barcelona: 192.168.6.0/24
Para la sede remota en Valencia: 192.168.7.0/24
Para la sede remota en Bilbao: 192.168.8.0/24
Para la sede remota en Sevilla: 192.168.9.0/24

Este post lo vamos a dividir en: (en esta parte iremos añadiendo los artículos a medida que los vayamos realizando)

Saludos y espero que os guste, ya que estos artículos, me van a llevar horas planificarlos y realizarlos

Configuración de puertos y registros DNS para Exchange con un proveedor de dominios

Jose Ramon Ramos Gata — Tue, 05 Jul 2016 10:54:41 +0000

Hola a tod@s.

En este post vamos a ver como configurar los puertos en nuestro firewall y los registros DNS para Exchange con un proveedor de dominios, y así poder publicar en Internet nuestros servidores de correo.

Recordemos que la topología de red utilizada es la siguiente:

Los datos de configuración IP de nuestros servidores de correo van a ser los siguientes:

Para el servidor mail01.ragasys.net tenemos que hacer un NAT Inversa o abrir puertos, concretamente el puerto 443 para el OWA y redirección de peticiones por SSL:

Para el servidor mx01.ragasys.net tenemos que hacer un NAT Inversa o abrir puertos, concretamente el puerto 25 para el protocolo SMTP:

Una vez realizada la apertura de puertos necesaria, vamos a mostrar la configuración de las reglas que tenemos aplicadas en nuestro Firewall, este proceso de configuración de reglas, tenemos que realizarlo antes de instalar y configurar los servidores de correos, para que se puedan comunicar entre sí, ya que el mail01 estará ubicado en nuestra red interna (INSIDE) y el mx01 en la DMZ:

Desde la línea 15 a la 32 hemos configurado el Firewall para permitir o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
- De la línea 15 a la 18, creamos las cadenas de elementos a utilizar para configurar el tráfico.
- En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
- En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda conectar con el MX01 a través de terminal server (por escritorio remoto), y denegamos que MX01 se pueda conectar a MAIL01 a través de terminal server.
- De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync – ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y el MX01 (Servidor perimetral) puedan sincronizar los datos de configuración de Active Directory, en este enlace podéis ver el proceso de sincronización de EdgeSync.
- En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
- De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky que tenemos configurado en nuestra red INSIDE.
- De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos configurado INSIDE-DMZ-OUTSIDE

Una vez configurados los puertos y las reglas en el firewall, tenemos que configurar los registros DNS para Exchange con un proveedor de dominios y poder así publicar nuestros servidores de correo en internet.
Los dominios aceptados y configurados en nuestro servidor de correo son los siguientes:

Para el dominio ragasys.net vamos a configurar en nuestro proveedor de dominio los siguientes registros:

autodiscover.ragasys.net > Registro tipo A > 83.56.98.55

mail01.ragasys.net > Registro tipo A > 83.56.98.55

mx01.ragasys.net > Registro tipo A > 83.56.98.56

webmail.ragasys.net > Registro tipo A > 83.56.98.55

ragasys.net > Registro tipo MX (MX10) > mx01.ragasys.net

Para el dominio ragasys.es vamos a configurar en nuestro proveedor de dominio los siguientes registros:

autodiscover.ragasys.es > Registro tipo CNAME > autodiscover.ragasys.net

ragasys.es > Registro tipo MX (MX10) > mx01.ragasys.net

Saludos y espero que os sea de ayuda

Configuración Firewall con Mikrotik RB1100 AHx2

Jose Ramon Ramos Gata — Fri, 27 Nov 2015 10:22:13 +0000

Hola a tod@s.

En este post veremos cómo se configura el router Mikrotik RB1100 AHx2, para que funcione como firewall de nuestra infraestructura de red, este es un dispositivo, que a mí en particular me gusta bastante, por su versatilidad, buen funcionamiento y las cientos de opciones de configuración que tiene, en algún otro post mostraré como montar un servicio WISP con este dispositivo de Mikrotik y con algunos otros, balanceo de líneas ADSL´s, filtrado de tráfico con Filter rules, VPNs site to site y de acceso remoto, webproxy transparente, PPoE client, DNS cache transparente, limitación de ancho de banda con PCQ, etc, etc…, en fin, sobre estos dispositivos podríamos estar meses y meses escribiendo sobre ellos, por la cantidad de opciones que nos presenta.

Con los routers de Mikrotik podemos trabajar con la línea de comandos:

O bien con la aplicación Winbox, que la podemos descargar de la web de Mikrotik, nosotros vamos a trabajar con la aplicación winbox, ya que nos muestra una interface GUI con menús más amigable que el entorno de texto, aunque en muchas ocasiones vamos a tener que recurrir al modo texto, por ejemplo, no en este post, sino en otros que mostraré, para configurar el balanceo de líneas ADSL´s, para las reglas de filtrado, para la limitación del ancho de banda por PCQ, etc..

Empezamos con la configuración del router Mikrotik 1100 AHx2, para ello nos abrimos una sesión con el Winbox:

Lo primero que haremos será darle un nombre al dispositivo:

Ahora vamos a renombrar las interfaces Ethernet, que en este caso, tenemos tres, una de ellas será la interface OUTSIDE que irá conectada directamente a Internet, otra será la INSIDE que será donde tenemos conectados nuestros servidores empresariales, y la otra la DMZ dónde tendremos servidores en la red perimetral, es decir, estos se ubicarán entre nuestra red interna y la red externa Internet:

Una vez que tenemos renombradas las interfaces le aplicaremos el direccionamiento IP, para ello nos vamos a IP>Adresses:

Ahora configuramos la ruta por defecto para la salida a internet, que será un router ADSL con la dirección IP 192.168.14.205, para ello nos vamos a IP>Routes:

Y configuramos la siguiente ruta estática:

Ahora vamos a configurar el NAT para las redes INSIDE y DMZ, para ello nos vamos a IP>Firewall:

Sobre la pestaña NAT configuramos primero la regla para la red INSIDE:

Ahora configuramos el NAT para la red DMZ:

Ahora vamos a configura el DNS caché, para ello nos vamos a IP>DNS:

Configuramos los siguientes parámetros:

Ahora vamos a configurar el DNS cache transparente (en realidad, esta parte de la configuración es opcional, ya que el servidor DNS lo vamos a configurar en el controlador de dominio, para que todos los equipos de nuestra infraestructura apunten a él como servidor de nombres, lo muestro por si a alguien le interesa), para ello nos vamos a IP>Firewall y pestaña NAT y crearemos estas dos reglas para la redirección del DNS, una para la interface INSIDE y otra para la DMZ:

Todo lo que tenga como destino (dstnat), el puerto 53 (Dst. Port), con protocolo udp (protocol), y que entre por etherX (In. Interface), será redireccionado (redirect), al puerto 53 (To Ports).

La función del DNS Caché transparente es que los equipos de nuestra infraestructura que soliciten direcciones de internet, queden registradas en el router Mikrotik, y cada vez que los equipos soliciten de nuevo estas direcciones, sea el Mikrotik quien se las sirva, todo esto de una forma transparente para los equipos, agilizando así las comunicaciones.

Ahora vamos a crear una regla en el firewall para darle seguridad al DNS Caché y bloquear el acceso a este recurso desde Internet, así evitaremos ataques desde el exterior, para ello nos vamos a IP>Firewall y pestaña Filter Rules:

Ahora nos vamos a centrar en las reglas que hemos creado en el firewall para la topología de red que hemos propuesto, intentaremos explicarlas una a una:

Desde la línea 15 a la 32 hemos configurado el Firewall para permitir o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
De la línea 15 a la 18, creamos las cadenas de elementos a utilizar para configurar el tráfico.
En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda conectar con el MX01 a través de terminal server (por escritorio remoto), y denegamos que MX01 se pueda conectar a MAIL01 a través de terminal server.
De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync – ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y el MX01 (Servidor perimetral) puedan sincronizar los datos de configuración de Active Directory, en este enlace podéis ver el proceso de sincronización de EdgeSync.
En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky que tenemos configurado en nuestra red INSIDE.
De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos configurado INSIDE-DMZ-OUTSIDE.

Saludos y espero que os sea de ayuda, hasta otra

Configuración básica router Mikrotik

Jose Ramon Ramos Gata — Tue, 19 May 2015 11:52:30 +0000

En esta primera entrada sobre como montar una infraestructura con VMware vSphere veremos la configuración básica de un router Mikrotik en el que apoyaremos el networking de la infraestructura, el modelo RB 1100 AHx2 está muy bien con respecto a calidad-precio.

Para la configuración del Mikrotik utilizaremos el Winbox:

Configuramos los nombres de las interfaces ethernet y haremos un comentario sobre cada una de ellas:

Agregamos las direcciones IP a las interfaces:

Agregamos la ruta por defecto para la salida a internet, la salida a internet la tenemos configurada en un router ADSL con dirección IP 192.168.14.205/24:

Configuramos el DNS, que nos quedaría de la siguiente manera:

Ahora debemos configurar el NAT para que la red 192.168.5.0/24 tenga salida hacia internet, esta es la red que utilizaremos para la red de Management de los hypervisores y para las máquinas virtuales:

Ahora configuramos las siguientes reglas en el firewall:

Con esto tendríamos configurado nuestro router Mikrotik con una configuración básica, éste router en concreto, tiene algunas otras configuraciones, como por ejemplo, un webproxy transparente, que almacena las páginas que nuestros usuarios visitan en una tarjeta SD ahorrando así ancho de banda, también tiene configurado un DNS Caché transparente, para minimizar las peticiones de nuestros usuarios a internet, de esta manera, cada vez que uno de nuestros usuarios haga una solicitud a los DNS de nuestro ISP, el MikroTik almacenará en memoria la respuesta a aquellos servidores y las utilizará para las siguientes peticiones, todo esto lo veremos cuando pueda preparar las configuraciones de routers Mikrotik.

En la siguiente entrada veremos la instalación y configuración de un controlador de dominio MS Windows Server 2012 R2, en el que apoyaremos la infraestructura DNS y el control de cuentas de usuario para vSphere.

Saludos.