Router WiFi basado en Linux 2

En este ejemplo, las direcciones IP se asignan de acuerdo con las direcciones MAC, de forma que el atacante tendría que falsificar la dirección MAC de una máquina legal para conseguir una dirección IP del servidor DHCP. Esto podría confundir a un atacante de bajo nivel durante un tiempo: el servidor está ahí, hay tráfico DHCP, pero no se le asigna ninguna dirección IP.
¿Qué es lo que sucede si se combinan en una sola máquina el punto de acceso, la pasarela, el cortafuego, el servidor de autentificación y el concentrador VPN? Bajo Linux es posible hacer esto. También es posible utilizar una plataforma BSD para crear una máquina de este tipo, pero nuestra forma de hacer las cosas no consiste en escribir acerca de algo sobre lo que no tenemos experiencia práctica.
Configurar un punto de acceso seguro utilizando HostAP es realmente un desafío de hacking de redes mucho más serio que configurar un punto de acceso ilícito en un portátil que funcione mediante Linux, como en el caso descrito en el capítulo 8. La causa es que existen muchas prestaciones avanzadas de HostAP que no suelen ser necesarias para configurar un punto de acceso falso básico, pero que resultan muy prácticas cuando se trata de desplegar un punto de acceso adecuado. Entre estas prestaciones se incluyen las siguientes:
•    Filtrado de direcciones MAC.
•    Valores ESSID cerrados (sí, con HostAP es posible).
•    Soporte de autentificación 802. lx.
•    Sistema de distribución inalámbrica (WDS).
Incluso puede conectar más tarjetas PCI o PCMCIA en una pasarela inalámbrica universal a medida y hacerlas funcionar utilizando el mismo con-trolador HostAP para ofrecer acceso en tres canales distintos para conseguir el balanceo de carga round-robin empleando Netfilter. Además, puede poner una de las tarjetas conectadas en modo de monitorización y utilizarla para ejecutar una herramienta de monitorización de red o de IDS (en el último capítulo verá más detalles sobre cómo conseguir esto).
En este capítulo no vamos a comentar el despliegue de un sistema WDS ni otras características de HostAP que no estén relacionadas directamente con la seguridad. Aún así, trastear con estas configuraciones es muy entretenido y * didáctico. Compruebe cuántas extensiones inalámbricas privadas pueden soportarse con el firmware de su tarjeta y qué maravillas de configuración puede conseguir con prims2_param y hostapd. Más adelante comentaremos los mecanismos de autentificación y las implementaciones de redes VPN en una pasarela inalámbrica basada en Linux, pero aquí vamos a centrarnos en la seguridad de los puntos de acceso y en las prestaciones de nuestras pasarelas inalámbricas a medida.
Para activar el arranque de su punto de acceso que funciona como pasarela inalámbrica, añada los parámetros del punto de acceso al archivo de arranque apropiado. Como ejemplo, en Debían usaremos el archivo /etc/network/ interfaces y añadiremos unas líneas como estas:
auto wlan0
iface wlan0 inet static address 0.0.0.0
up /sbin/iwconfig wlan0 essid ArhOnt-X /sbin/iwconfig wlan0 channel 11 /sbin/iwconfig wlan0 mode Master auto ethO
iface ethO inet static address 0.0.0.0 auto brO
iface brO inet static
address 192.168.1.1 network 192.168.1.0 netmask 255.255.255.0 broadcast 192.168.1.255 bridge_ports wlan0 ethO up
Ya que se trata de Linux, siempre existen varias maneras de conseguir lo mismo (por ejemplo, puede consultar la obra "802.11 Security" de Bruce Potter y Bob Fleck para ver un enfoque distinto). Escoja el método que más le guste.
El filtrado de direcciones MAC con HostAP se lleva a cabo utilizando sus extensiones inalámbricas privadas:
iwpriv wlan0 macemd <valor>
0: política abierta para la ACL  (predeterminada)
1: política de permisos para la ACL
2:  política de denegación para la ACL
3: vacía la lista de control de acceso MAC
4:  echa a todas las estaciones autentificadas
iwpriv wlan0 addmac <direcc mao
añade la dirección MAC a la lista de control de acceso
iwpriv wlan0 delmac <direcc mao
elimina la dirección MAC de la lista de control de acceso

iwpriv wlan0 kickmac <direcc mao
echa a la estación autentificada del AP
Para generar una lista ACL debería utilizar la sentencia iwpriv wlan0 macemd <número de ACL>. El archivo README aconseja mantener dos listas ACL: una para las direcciones MAC que se aceptan y otra para la que se deniegan explícitamente. Puede ser una buena idea. Además, siempre puede utilizar Netfilter para el filtrado de direcciones MAC:
$IPTABLES  -N macfilter
$IPTABLES  -A macfilter -i $WLAN_INTERFACE -m mac  -mac-source de:ad:be:ef:co:de -j ACCEPT
$IPTABLES  -A macfilter  -i   !   $WLAN_INTERFACE  -j  ACCEPT $IPTABLES  -A macfilter -j  LOG $IPTABLES  -A macfilter -j  DROP $IPTABLES  -A FORWARD -j  macfilter