Configuracion y firewall con una subred

[segre]

El ISP cambio el router por un "Cisco dpc3828" y hay otro (Encore) haciendo una subred. El router#1 (cisco) trae un firewall preseteado con 3 opciones (Low-Medium-High) Actualmente lo uso en Medium lo que me permite salir a internet (PC1 y PC2) pero no tengo acceso a muchos servicios como clientes de correo(Thunderbird), chat y mensajeria(Pidgin), y torrents(Transmission) y algun otro que ahora no recuerdo. La verdad me gustaria ponerlo en High y abrir especificamente los puertos que necesito.
El router#1 (cisco) tiene en su configuracion una pagina para Forwarding y otra para Triggering aunque ingrese los datos que creia correctos sigo sin poder conectarme a esos servicios.
Tengo dudas si la red esta bien configurada y si los datos que ingrese son correctos.
Dejo un diagrama de la red y un par de capturas con los datos para abrir el puerto 5222 (protocolo XMPP)




Muchas gracias desde ya..

[BrujoNic]

Tal y como lo has puesto, esta todo bien, pero también realizaste la apertura de puertos en el encore a toda la red o al equipo que queres que descargue todo lo que necesitas o el firewall está desactivado?

¿Porqué manejas dos redes? Si es por algo en especial está bien, pero si no es necesario, yo dejaría una sola red.

[segre]

Basicamente porque las PC1 y 2 estan en otro lado. Voy a abrir los mismos puertos en el Encore y ver si me deja pasar los clientes.
Estuve viendo algo de subredes y, no se si es para algo en especial, pero vi que hay que hacer una cuenta con los bits de la IP o algo asi, cosa que yo no hice. Desde que conecte todo pude salir a internet desde PC1 y 2 sin problemas salvo los especificos que mencione.

[BrujoNic]

Bueno, el que estén en otro lado y no exista un motivo para que estén en otra red, lo que yo haría es configurar ese router encore como un switch y que sea el cisco quien sea el único servidor DHCP. De esa forma, no tendrías que tocar configuración en ambos equipos.

Tal y como lo tenes y si queres que ambos equipos del encore descarguen o se conecten a puertos específicos, debes configurar ambas IPs con esos puertos y en el cisco, solo la IP que tiene el encore.

Si fuera una misma red, solo tendrías que tocar el cisco para todo eso.

[segre]

Habilite el puerto 5222 en ambos routers y en las pestañas de Forwarding y Triggering pero sigo sin poder conectar con cualquiera de los servicios que usen puertos que no estan incluidos en la opcion "medium" del firewall. Se que el forwarding hace, si recibe un paquete desde el puerto 5222 lo reenvia a otra IPprivada con el mismo puerto de entrada y no a un puerto alto (ej:37428)
Lo que no se es lo que hace el triggering. Cambie los datos de configuracion en todas las formas que se me ocurrio y nada, es la primera vez que uso dos routers en una red y de seguro estoy haciendo algo mal. Me gustaría solucionarlo tal como esta armada la red ahora por un lado para aprender y por el otro para no ser vencido por una cajita de plastico.

[BrujoNic]

Ok, vamos a ir obviando TODO desde lo más básico.

Primero empecemos con el router encore. Ahí debe quedarte completamente claro que debes abrir el o los puertos a la o las IPs de los equipos que están ahí conectados.

También debes asegurarte que los firewalls de los sistemas operativos tengan abiertos los mismos puertos.

En el cisco, se deben abrir los puertos tal y como lo tenes que es la IP 192.168.0.10 a los puertos que necesites.

Esa es la forma en que yo siempre lo he hecho utilizando más de 1 router y trabajándolo en redes idependientes internas en lugares desordenados pequeños que entrando, es lo primero que recomiendo se quite para llevar un mejor control, pero antes de recomendar eso, trato de solucionarlo tal y como lo tienen.

Lo que si debes tener claro, es que hay muchos modelos de router y niveles de seguridad. Si no sabemos que router encore usas, solo queda suponer que realmente lo estas haciendo bien.

Una forma de saberlo, es por ejemplo en la red 192.168.0.x es que si ya estas totalmente seguro que el puerto del firewall está abierto, es probarlo con un telnet pero ese puerto debe esta activo. En mi caso lo he hecho con servidores SSH, FTP o alguna base MySQL, donde desde otro equipo de la red le doy un telnet a ese equipo y a ese puerto. Si me responde, se totalmente que está abierto y por lo tanto quedaría asegurarse realmente que el router esté bien configurado.

[segre]

Antes que nada quiero agradecer tu ayuda. Hoy hice la prueba de eliminar las reglas de Forwarding y triggering de ambos routers y bajar el firewall del Cisco y el Encore dejarlo como estaba y las reglas de Iptables que uso en mi sistemas las deje sin modificacion, y pude conectarme a cualquiera de los servicios que antes no podia, lo que me lleva a focalizar el problema en el router Cisco.
Ahora bien, agregue las reglas en ambos routers y volvi a levantar el firewall de Cisco en la opcion "medium" (como antes) y no logro establecer conexion, adjunto una imagen de las configuraciones de los routers.

[BrujoNic]

Mira, no se se como haces las pruebas porque a como lo pones quitas, todo y luego pones todo de una vez y una prueba no puede ser así.

Veamos, si el encore está en la red, yo le quitaría toda seguridad porque a como lo has dicho, simplemente tenes otra red porque si. Así que si no hace nada particular, quitale todo de trigger y reglas de firewall.

Ahora, los trigger son activos cuando ocurre un "evento". Yo quitaría los trigger y dejaría solo las reglas de Forward.

Si sospechas que el problema es el cisco, es en eso donde debes concentrarte.

Quita todo como antes, si se conecta, configura solo el Forward y nada más. Así es como debes ir haciendo las cosas y no quitando todo, FUNCIONA para luego poner todo junto y NO FUNCIONA.

[segre]

Disculpa, no me exprese bien. No hice nada a lo loco (creo?), lo que hice fue poner todo como estaba en el momento en que pusieron el router Cisco.
En los sistemas las reglas Iptables que siempre use, el firewall del Encore como lo usaba antes del Cisco y el mismo router Cisco como estaba originalmente, con el firewall en Off y sin ningun forwarding o triggering. Que pasa cuando todo esta asi?
Que puedo conectarme a cualquier servicio y en cuanto enciendo el firewall del Cisco ya no.

[BrujoNic]

Cuando busco manual de ese equipo, solo encuentro uno muy básico y no uno completo. Así que como no he configurado uno, no te puedo guiar más.

Si al activar el firewall hay alguna sección de apertura de puertos, es ahí donde debes concentrarte.

[segre]

Es cierto no hay un buen manual de este modelo, lo mas completo es el del Cisco 3825. Hice algunas capturas de la pagina del firewall y podras ver que no hay opcion para agregar o modificar puertos. Solo esta la opcion de cambiar entre Off -Medium-High y a la izquierda algunos bloqueos en particular.

[segre]

Las cuentas XMPP usan el puerto 5222 por defecto, el el listado de puertos habilitados del router Cisco figura el puerto 5190.
Lo que hice fue cambiar el puerto de la cuenta al "5190" y tratar de establecer la conexion pero no pude, aunque si bajaba el firewall y me logueaba a la cuenta XMPP y despues volvia a levantar el firewall del router la conexion se mantenia.
No se explicar ( mejor dicho, explicarme) porque no puede hacer la conexion con el firewall funcionando pero por lo menos eso lo solucione. Lo que no puedo lograr que se conecte es el cliente torrent con firewall o sin firewall