-
Mis routers/firewall basados en Debian
Una de mis prácticas habituales, últimamente, es implementar mis enrutadores/cortafuegos usando Debian como sistema operativo. Es una decisión que no responde a otra razón que la de, como Debian es un gran sistema operativo para servidores ¿por qué no iba a serlo para un cortafuegos? Así de simple, sin vueltas.
Mi implementación tiene las siguientes características:
- Como servidor dhcp usa el paquete kea-dhcp4-server.
- Como servidor de dns usa el paquete bind9.
- Como firewall usa el paquete nftables.
- Como proxy usa el paquete haproxy.
- Como servidor VPN usa el paquete wireguard.
Luego, a nivel de segmentación, creo por defecto las siguientes subredes
- dmz (para posibles servicios publicados al exterior). Habitualmente 192.168.0.0/24.
- lan (para los equipos locales). Habitualmente 192.168.1.0/24.
- iot (para aislar los dispositivos de Internet of Things). Habitualmente 192.168.2.0/24.
- invitados (para posibles invitados). Habitualmente Habitualmente 192.168.3.0/24.
- vpn (para las conexiones a lan desde el exterior). Habitualmente 192.168.101.0/24
Las interfaces siempre están en la .1. Por ejemplo:
- intdmz: 192.168.0.1/24.
- intlan: 192.168.1.1/24.
- intiot: 192.168.2.1/24.
- intgst: 192.168.3.1/24.
- intlanvpn:192.168.101.1/24.
La elección del tercer octeto de la subred VPN responde a que, como es una VPN para la interfaz LAN, le sumo 100 al número correspondiente del octeto de la subred a la que tendrá acceso esa VPN. Si en algún momento creara intgstvpn, la IP de esa interfaz sería 192.168.103.1/24.
Luego, la interfaz wan, que se llama intwan, recibe su IP habitualmente por DHCP, o por el método que indique el operador.
Para los puntos de acceso inalámbricos uso hostapd.
