4. Primera configuración

Media hora, en orden, para pasar de un equipo recién instalado a uno que puede dejar funcionando. No hay un asistente de puesta en marcha único: cada paso es su propia página, y este capítulo da el orden en que visitarlas.

4.1 Iniciar sesión

Desde una máquina de la red interna, abra https://192.168.1.1/.

El navegador avisa del certificado: el equipo se lo emitió a sí mismo, que es lo único que puede hacer antes de conocer su propio nombre. Acéptelo; lo sustituirá en Mantenimiento.

Inicie sesión como root, con la contraseña que fijó durante la instalación, o zedmos en un equipo escrito desde la imagen preparada.

4.2 Cambie la contraseña: ahora, no después

System → Password, o el menú de cuenta de la esquina superior derecha.

Un equipo nuevo también responde por SSH en el puerto 22 con el inicio de sesión de root y la autenticación por contraseña activados. Mientras no se cambie la contraseña, cualquiera que llegue a la máquina tiene el control completo. Cámbiela antes de conectar el equipo a una red a la que puedan llegar otros.

Ya que está, decida sobre el propio SSH: System → Settings → Administration.

• Si no va a usar SSH, desactívelo.
• Si lo va a usar, desactive la autenticación por contraseña y ponga una clave pública en la cuenta de cada administrador (Access → Users). Así, una contraseña robada no basta para llegar al equipo.

4.3 Póngale nombre al equipo y dele DNS y hora

System → Settings → General.

• Hostname y domain — este nombre aparece en los registros, en los certificados y en la consola. Póngale el nombre del lugar donde está, no de lo que es: fw-sucursal-sevilla es mejor que firewall1.
• DNS servers — lo que usa el propio equipo. Dejarlo en manos del DHCP del enlace de subida está bien para empezar.
• Time zone — fíjela correctamente. La validez de los certificados, la negociación de la VPN y cada marca de tiempo de los registros dependen del reloj.

4.4 El enlace de subida (WAN)

Network → Interfaces, seleccione la fila de la WAN, Edit.

En una WAN lo normal es dejar activados block private networks y block bogon networks: descartan el tráfico que dice venir de direcciones que no pueden estar legítimamente en internet. Las listas de bogons se descargan de Team Cymru mientras alguna interfaz las usa, cada mes salvo que Firewall → Settings → Advanced indique otra frecuencia; esa página muestra también cuándo se obtuvieron por última vez.

Compruebe que ha funcionado: Network → Gateways → Configuration debería mostrar la pasarela como activa, con un tiempo de ida y vuelta.

4.5 La red interna (LAN)

Sin salir de Network → Interfaces, edite la fila de la LAN.

• Addressing Mode: Manual, con la dirección que tendrá el equipo en esa red: 192.168.1.1/24 de fábrica. Cámbiela si ese rango choca con algo que ya tiene, y recuerde que cambiarla corta su sesión: volverá por la dirección nueva.
• DHCP server — activado, con un rango dentro de la red que excluya todos los dispositivos con dirección fija. El equipo comprueba el rango por usted.

¿Necesita más redes, una VLAN de invitados o una red aparte para las cámaras? Create new con Type: VLAN, la interfaz padre y la etiqueta; dele una dirección y su propio rango DHCP en el mismo formulario. Después escriba las reglas que dicen a qué puede llegar esa red: una interfaz nueva empieza sin nada permitido, que es el valor por defecto correcto y también la razón por la que una VLAN nueva «no tiene internet».

4.6 Demuestre que funciona

En este orden, porque cada paso depende del anterior:

1. El propio equipo tiene pasarela — Network → Gateways, estado activo.
2. El equipo sabe resolver nombres — Network → Diagnostics → DNS Lookup, busque cualquier nombre público.

1. Un cliente obtiene dirección — en un portátil de la red interna, compruebe que ha recibido una del rango que configuró (Services → Kea DHCP → Leases DHCPv4 lo muestra desde el lado del equipo).
2. Un cliente llega a internet — abra cualquier sitio desde ese portátil.
3. El cortafuegos está filtrando — Firewall → Log Files → Live View muestra el tráfico y las reglas que coinciden con él.

Si el paso 4 falla y el paso 2 funciona, el equipo tiene internet y el cliente no: mire primero las reglas de la LAN (Resolución de problemas).

4.7 Revise las reglas que trae

Firewall → Rules.

El conjunto de reglas de fábrica deja salir a la red interna y bloquea el tráfico no solicitado que llega por el enlace de subida. Es un buen punto de partida. Añada reglas en lugar de sustituirlo, y conserve la regla que le garantiza el acceso al panel hasta estar seguro de que tiene otra vía de entrada.

4.8 Haga una copia de seguridad

System → Configuration → Backups, y descargue la configuración.

Hágalo ahora, mientras el equipo está en un estado conocido y correcto, y de nuevo tras cada cambio importante. El archivo lo contiene todo —incluidas las claves y los hashes de las contraseñas—, así que guárdelo como guardaría una contraseña.

4.9 ¿Y después?

• Recorra el panel: El panel de administración.
• Construya algo concreto: Casos de uso — publicar un servidor, una VPN entre sedes, wifi de invitados, dos enlaces de subida con conmutación por error.
• Manténgalo en marcha: Mantenimiento.