En esta página se especifica la información siguiente:
El dispositivo Panda GateDefender incluye muchos servicios útiles para prevenir amenazas y supervisar las redes y los demonios en funcionamiento, cuya activación y configuración se explica en esta sección. En particular, entre ellos, destacamos los varios servicios proxy, como el motor de antivirus, además del sistema de detección de intrusos, la alta disponibilidad y la monitorización del tráfico. Los servicios disponibles aparecen como elementos en la lista del submenú a la izquierda de la pantalla.
Los clientes (terminales y servidores) utilizan el servidor DHCP en las zonas controladas por el dispositivo Panda GateDefender para recibir una dirección IP (“asignación”). Asimismo, el servidor DHCP permite controlar de manera centralizada la dirección IP que se les ha asignado. Se pueden conceder dos tipos de asignación a los clientes: dinámica y fija. La página del servidor DHCP está dividida en dos o tres cuadros: DHCP, donde se configura el servidor DHCP; Asignaciones actuales fijas, que muestra las asignaciones fijas, y Asignaciones actuales dinámicas, que solo aparece si al menos un cliente ha obtenido una asignación dinámica. Las asignaciones dinámicas se asignan en una base de red dentro de un rango determinado que se configura en el primer cuadro, mientras que las asignaciones fijas se asignan en una base por host y se configuran en el segundo cuadro.
Cuando un cliente (un host u otro dispositivo como una impresora en la red) se une a la red, automáticamente recibirá una dirección IP válida de un rango de direcciones y otros ajustes desde el servicio DHCP. El cliente debe estar configurado para utilizar DHCP, que a veces se denomina “configuración de red automática”, y a menudo es el ajuste predeterminado en la mayoría de las estaciones de trabajo. Las asignaciones dinámicas se configuran en una base de zonas: por ejemplo, se pueden habilitar solo para los clientes en la zona VERDE, mientras que otras zonas activas solo reciben asignaciones fijas.
Sin embargo, es posible permitir que también los dispositivos en las zonas NARANJA (DMZ) o AZUL (WLAN) reciban asignaciones dinámicas.
Nota
Si la zona AZUL está activada pero la administra el Hotspot, aparece el mensaje La configuración DHCP es administrada por el Hotspot, impidiendo que lo configure.
Para personalizar el parámetro DHCP para cada zona, haga clic en el pequeño icono 
junto a la etiqueta Configuración. Estas son las opciones disponibles:
El rango de las direcciones IP que se suministrarán a los clientes. Estas direcciones deben encontrarse dentro de la subred que se ha asignado a la zona correspondiente. Si algunos hosts deben recibir una asignación fija (véase más adelante), asegúrese de que sus direcciones IP no están incluidas en este rango ni en el rango del conjunto de direcciones de OpenVPN (véase ) para evitar conflictos.
Si deja estos dos campos en blanco, se utilizará todo el rango de IP de la zona para asignaciones dinámicas.
Los usuarios avanzados pueden querer añadir algunas líneas de configuración personalizadas al archivo dhcpd.conf (por ejemplo, rutas personalizadas a subredes). Para ello, deben escribirlas en el área de texto al pie, marcada con la etiqueta Líneas de configuración personalizadas.
Advertencia
No se lleva a cabo ninguna comprobación de sintaxis en estas líneas. Las líneas se añaden al archivo de configuración. Cualquier error cometido aquí puede impedir que el servidor DHCP arranque.
A veces es necesario o deseable que determinados dispositivos utilicen siempre la misma dirección IP mientras utilizan DHCP, por ejemplo, servidores que proporcionan servicios como un cuadro VoIP, un repositorio SVN, un servidor de archivos, o dispositivos como impresoras o escáneres. Por regla general, una asignación fija se denomina Dirección IP estática, dado que un dispositivo siempre recibirá la misma dirección IP al solicitar una asignación desde el servidor DHCP.
Este cuadro presenta la lista de todas las asignaciones fijas actualmente activas en la red local, y proporciona información acerca de esa asignación. Al hacer clic en el enlace Añadir asignación fija, se pueden asignar nuevas asignaciones fijas a un dispositivo e insertar toda la información que aparecerá en la lista. Los dispositivos se identifican por sus direcciones MAC.
Nota
Asignar una asignación fija desde el servidor DHCP es muy diferente de configurar la dirección IP manualmente en un dispositivo. De hecho, en este último caso, el dispositivo aún contactará con el servidor DHCP para recibir su dirección y anunciar su presencia en la red. Cuando la dirección IP requerida por el dispositivo ya ha sido asignada, sin embargo, se otorgará una asignación dinámica al dispositivo.
Se pueden establecer los siguientes parámetros para las asignaciones fijas:
dhcpd.conf.Las acciones disponibles para cada asignación fija en la tabla son:
: cambia el estado de la asignación entre activada y desactivada.
: modifica la propiedad de la asignación.
: elimina la asignación.Un ejemplo de uso de una asignación fija.
Un ejemplo de uso que demuestra la utilidad de una asignación fija es el caso de clientes finos o estaciones de trabajo sin disco en la red que utilizan PXE, es decir, inician el sistema operativo desde una imagen suministrada por un servidor tftp de red. Si el servidor tftp está hospedado en el mismo servidor que el DHCP, el cliente fino recibe la asignación y la imagen desde el mismo servidor. Sin embargo, lo más frecuente es que el servidor tftp esté hospedado en otro servidor de la misma red. Por lo tanto, el servidor DHCP debe redirigir al cliente a ese otro servidor, una operación que puede realizarse fácilmente añadiendo una asignación fija en el servidor DHCP para el cliente fino, una dirección siguiente y el nombre de archivo de la imagen para realizar el inicio.
Además de la información suministrada durante la creación de la asignación fija, la lista permite que cada asignación se active o desactive (marcando la casilla), edite o elimine haciendo clic en los iconos de la columna Acciones. Editar una asignación abrirá el mismo formulario que la creación de una asignación nueva, mientras que eliminar una asignación la eliminará inmediatamente de la configuración.
Nota
Todas las asignaciones concedidas por el servidor DHCP se almacenan de forma predeterminada en el archivo /var/lib/dhcp/dhcpd.leases . Aunque el demonio DHCP se encarga de limpiar dicho archivo, puede suceder que el archivo almacene asignaciones que ya hayan caducado y sean bastante antiguas. Esto no supone ningún problema y no interfiere con el funcionamiento normal del servidor DHCP. Una entrada típica en ese archivo es:
lease 192.168.58.157 { starts 2 2013/06/11 13:00:21; ends 5 2013/06/14 01:00:21; binding state active; next binding state free; hardware ethernet 00:14:22:b1:09:9b; }
Cuando el servidor DHCP está activo y al menos un cliente ha recibido una dirección IP (dinámica), aparece un tercer cuadro al pie de página que contiene la lista de las direcciones IP dinámicas asignadas actualmente. Esta lista presenta las direcciones IP, las direcciones MAC, el nombre del host, el momento de caducidad de la asignación asociada a cada cliente.
Un servidor DNS proporciona un servicio que permite resolver la dirección IP (numérica) de un host a partir su nombre de host y viceversa, y funciona perfectamente para hosts con direcciones IP y nombres de host fijos.
Los proveedores de DDNS, como DynDNS o no-IP, ofrecen un servicio similar cuando las direcciones IP son dinámicas, que suele ser lo habitual cuando se utilizan conexiones ADSL residenciales. Cualquier nombre de dominio se puede registrar y asociar a un servidor con una dirección IP dinámica, que comunica cualquier cambio de dirección IP al proveedor DDNS. Para ser compatible e integrarse con los servidores DNS root, cada vez que la dirección IP cambia, la actualización debe propagarse activamente desde el proveedor de DDNS.
El dispositivo Panda GateDefender incluye un cliente DNS dinámico para 14 proveedores diferentes y, si está activado, se conectará automáticamente al proveedor de DNS dinámico para comunicar la nueva dirección IP siempre que cambie.
Nota
Si no se ha configurado ninguna cuenta DNS dinámica, en el sitio web de los proveedores están disponibles las indicaciones precisas para registrar una nueva cuenta y las ayudas e instrucciones detalladas en línea.
Esta página muestra la lista de cuentas DNS dinámicas. De hecho, se puede utilizar más de un proveedor de DDNS. Para cada cuenta, la lista muestra información acerca del servicio utilizado, el nombre del host y nombre de dominio registrado, si el proxy anónimo y los comodines se encuentran activos, si está activado, y las posibles acciones:
: cambia el estado de la asignación entre activada y desactivada.: modifica la propiedad de la asignación.: elimina la asignación.Se pueden crear cuentas nuevas haciendo clic en el enlace Añadir host, proporcionando los siguientes parámetros:
Nota
Sigue siendo necesario exportar un servicio a la zona ROJA para permitir el uso del nombre de dominio para conectarse al dispositivo Panda GateDefender desde Internet utilizando su dirección IP dinámica, puesto que el proveedor de DNS dinámico solo resuelve el nombre de dominio y no los servicios asociados. Para exportar un servicio, suele ser necesario establecer la redirección de puertos (véase ).
Después de realizar un cambio en la configuración o para actualizar inmediatamente el DNS dinámico de todas las cuentas definidas, haga clic en el botón Forzar actualización. Esto es útil, por ejemplo, cuando el enlace activo ha sido desconectado y se ha cambiado la REDIP. Cuando esto sucede, deben actualizarse todas las cuentas DDNS; de lo contrario, no se podrá acceder a los servicios ofrecidos a través del DDNS.
El motor de antivirus del dispositivo Panda GateDefender es Panda, que se usará para la búsqueda de virus y malware en archivos y documentos que pasen por el dispositivo Panda GateDefender mediante uno de los servicios de proxy en ejecución. En esta página solo hay una pestaña: Panda Antivirus.
Archivo bomba y DoS.
Los archivos bomba son archivos que utilizan algunos trucos para sobrecargar un software antivirus hasta el punto que consumen la mayoría de los recursos del equipo que lo hospeda. Esto se denomina ataque de DoS. Estos trucos incluyen: Archivos pequeños creados a partir de archivos grandes con contenido repetitivo que se comprime bien (por ejemplo, un archivo de 1 GB que contenga solo ceros se comprime a solo 1 MB utilizando zip); varios archivos anidados (es decir, archivos zip dentro de archivos zip); archivos que contienen un gran número de archivos vacíos, etc. Descomprimir archivos con alguna de estas características supone un gran reto para las actividades normales de un servidor o una estación de trabajo, dado que se necesitan muchos recursos (especialmente RAM y CPU) y reducen su disponibilidad para los usuarios.
El dispositivo Panda GateDefender incorpora el motor Panda Antivirus para proteger redes internas contra virus y malware.
La primera opción disponible es seleccionar el ciclo de actualización de las firmas antivirus, que puede ser: cada hora, diario, semanal o mensual.
Las opciones de escaneo que pueden configurarse se agrupan en dos secciones:
La siguiente opción está relacionada con la búsqueda y el análisis de varios tipos de programas de malware que pueden infectar los servidores y las estaciones de trabajo que hay detrás del dispositivo Panda GateDefender.
Estas opciones están relacionadas con el comportamiento del antivirus cuando se enfrenta a archivos comprimidos. Para obtener más información, haga clic aquí.
El dispositivo Panda GateDefender utiliza NTP para mantener la hora de su sistema sincronizada con los servidores de fecha y hora de Internet. Los ajustes disponibles están agrupados en dos cuadros.
El sistema tiene preconfigurados y utiliza varios hosts del servidor de tiempo en Internet. No obstante, pueden especificarse servidores de tiempo personalizados después de marcar la casilla Sobrescribir servidores NTP preestablecidos. Esto puede ser necesario al ejecutar una configuración que no permite al dispositivo Panda GateDefender conectarse a Internet. Se pueden introducir varias direcciones de servidores de fecha y hora, una por línea, en el formulario pequeño que aparecerá.
Este cuadro solo muestra el ajuste de zona horaria actual, que también puede cambiarse seleccionando uno diferente desde el menú desplegable. Se puede realizar una sincronización inmediata haciendo clic en el botón Sincronizar ahora.
La segunda casilla ofrece la posibilidad de cambiar el horario del sistema de manera manual. Si bien esto no es aconsejable, esta acción es útil cuando el reloj del sistema no está sincronizado y se necesita una actualización inmediata del reloj del dispositivo Panda GateDefender para corregir la hora.
La sincronización automática utilizando servidores de fecha y hora no se realiza instantáneamente, sino que el reloj se “desacelera” o “acelera” un poco para recuperar y alinearse con la hora correcta. Por lo tanto, para corregir un sistema con un error importante en su hora puede necesitarse un periodo de tiempo considerable. En esos casos, forzar una sincronización manual representa una solución más drástica pero inmediata.
La cuarentena de correo es un lugar especial del disco duro del dispositivo Panda GateDefender donde se almacenan todos los correos electrónicos que el proxy SMTP reconoce como correo no deseado, malware, virus o archivos adjuntos sospechosos, en lugar de ser enviados. Aquí se pueden analizar esos mensajes de manera segura y tomar medidas para administrarlos. Para activar la cuarentena de correo, vaya a y en los cuadros Configuración de spam, Configuración del antivirus y Configuración de archivos, elija la opción mover a la ubicación de cuarentena por defecto de los menús desplegables.
El espacio dedicado a la cuarentena de correo depende de diversos factores, como, por ejemplo, el tipo de dispositivo, el tamaño de los correos electrónicos en cuarentena, o incluso qué otros servicios están activos en el dispositivo; por lo tanto, no es posible proporcionar cifras exactas. En caso de que el espacio de la cuarentena se llene antes de que finalice el Tiempo de retención de cuarentena (consulte Configuración de cuarentena en el módulo Proxy SMTP), es necesario eliminar manualmente los correos electrónicos en cuarentena para dejar espacio para nuevos correos electrónicos.
La cuarentena de correo se organiza en dos pestañas: Cuarentena e Informes de resumen. La primera pestaña contiene una lista de los correos electrónicos almacenados en la cuarentena y permite explorarlos y administrarlos, mientras que la segunda permite generar informes periódicos sobre el contenido de la cuarentena y administrar su envío.
La página de cuarentena de correo contiene una tabla con la lista de todos los correos almacenados en cuarentena. Por encima de esta se encuentra una barra de navegación para explorar los correos.
La tabla contiene la siguiente información sobre el correo guardado en la cuarentena.
Ver el mensaje, 
descargar el mensaje, 
liberar el mensaje y enviarlo al destinatario original y 
eliminar el correo electrónico. Encontrará más detalles a continuación.Dos botones situados debajo de la tabla permiten llevar a cabo acciones cuando hay más de un mensaje seleccionado en la tabla.
Al hacer clic en el icono de ver mensaje, la lista de correos electrónicos se sustituye por una página dividida en tres cuadros, que muestra diversos detalles sobre el correo electrónico seleccionado.
Este cuadro muestra una vista más detallada de los datos del correo electrónico que figuran en la lista de correo: La razón por la que el correo electrónico fue enviado a la cuarentena, el remitente y los destinatarios, las direcciones en copia (CC), el asunto, la fecha y la hora de recepción y el tamaño del correo.
El encabezado completo original del correo electrónico, que puede proporcionar información útil, por ejemplo, sobre la ruta que ha seguido el correo.
Si el correo electrónico tiene uno o más archivos adjuntos, se muestran aquí junto con sus detalles. Además, cada archivo HTML adjunto se muestra con su código fuente completo.
En la parte inferior, hay una opción disponible:
Se pueden enviar automáticamente informes periódicos sobre correos electrónicos en cuarentena para informar al destinatario original del correo electrónico. En esta página es posible activar y gestionar la frecuencia y la configuración de este servicio.
Nota
Esta función requiere que el proxy SMTP esté configurado correctamente y en funcionamiento, de lo contrario, no podría enviar los informes.
Alternativas para notificar a los destinatarios de correos electrónicos en cuarentena.
Existen dos métodos para notificar a los usuarios que han recibido uno o más correos electrónicos que se han almacenado en la cuarentena:
Estos dos métodos no son excluyentes: Se pueden emplear los dos.
Además, también existe la posibilidad de proporcionar una lista de direcciones de remitentes cuyos correos electrónicos no se incluirán nunca en ningún informe de resumen.
Por último, se pueden utilizar comodines y expresiones regulares para no tener que escribir una larga lista de direcciones.
Advertencia
Asegúrese de no utilizar los comodines de forma incorrecta. En concreto, escribir un solo asterisco * en una línea hará que se envíe una notificación de correo electrónico a todos los usuarios de todos los dominios gestionados por el dispositivo Panda GateDefender.
El servicio de informes de resumen no está activado de forma predeterminada. Para iniciarlo, haga clic en el interruptor gris etiquetado como Activar correos electrónicos de informes de resumen. Se pondrá verde y aparecerán varias opciones de configuración.
Al marcar esta casilla, la dirección predeterminada aparecerá como el remitente del informe.
Nota
La dirección de correo electrónico predeterminada es la especificada durante la configuración de red; consulte
El informe puede enviarse Diariamente, Semanalmente o Mensualmente.
Nota
Si el valor de la opción Tiempo de retención de cuarentena en es inferior a 30 (días), la opción Mensualmente no estará disponible.
Este formulario puede utilizarse para incluir un mensaje personalizado en el informe.
Sugerencia
Este formulario puede utilizarse para incluir en el informe una dirección de correo electrónico que el usuario puede contactar para solicitar información o liberar el correo electrónico en cuarentena.
Esta casilla de multiselección permite elegir qué dominios se monitorizarán para identificar mensajes peligrosos y enviarlos a la cuarentena. Cuando los usuarios de uno de estos dominios reciban un correo que termina en la cuarentena, se les notificará con un correo electrónico.
Sugerencia
Para añadir un dominio nuevo a este cuadro, añádalo en .
Advertencia
Asegúrese de no utilizar los comodines de forma incorrecta. En concreto, escribir un solo asterisco * en una línea hará que se envíe una notificación de correo electrónico a todos los usuarios de todos los dominios gestionados por el dispositivo Panda GateDefender.
Véase también:
El dispositivo Panda GateDefender incluye SpamAssassin como motor para encontrar y luchar contra el spam. Si bien SpamAssassin tiene éxito en la mayoría de los casos, es necesario capacitarlo para mejorar sus capacidades de interceptar correos electrónicos no deseados. La configuración de la capacitación del motor antispam puede realizarse en esta página. De hecho, SpamAssassin puede aprender automáticamente qué correos electrónicos son spam y cuáles no lo son (los denominados correos ham). Para aprender, necesita conectarse a un host IMAP y comprobar las carpetas predefinidas para mensajes spam y ham.
La página de SpamAssassin se compone de dos cuadros: uno que contiene una lista de hosts IMAP utilizada para aprender, con las posibilidades de administrarlo en varios niveles, y otro para modificar la programación de las actualizaciones.
El primer cuadro permite la configuración de las fuentes de capacitación, mediante dos enlaces que, después de hacer clic en ellos, revelarán dos paneles donde especificar los varios valores de configuración. La configuración predeterminada, que inicialmente se encuentra vacía, no se utiliza para la capacitación, sino que solo proporciona valores que luego heredan las fuentes de capacitación reales que pueden añadirse justo a continuación. Al hacer clic en el enlace Editar configuración predeterminada, se pueden configurar estos ajustes:
Pueden añadirse fuentes de capacitación de spam adicionales en el panel que aparece al hacer clic en el enlace Añadir fuente IMAP de capacitación de SPAM. Las opciones para los hosts de formación adicional son las mismas que las opciones de configuración por defecto, excepto para la programación, que siempre se hereda de la configuración por defecto, y para tres nuevas opciones disponibles.
El resto de opciones se pueden definir como en la configuración por defecto. Se pueden sustituir los valores por defecto cuando se desee. Para guardar la configuración de una fuente es necesario hacer clic en el botón Añadir fuente de capacitación después de haber establecido todos los valores deseados. Se pueden realizar varias acciones en una fuente de capacitación:
: cambia el estado del host IMAP entre activado y desactivado.: modifica la propiedad del host IMAP.: elimina el host IMAP.
: prueba la conexión con el host IMAP.Se puede activar, desactivar, editar, eliminar o se puede probar la conexión haciendo clic en el icono adecuado.
Hay dos acciones adicionales disponibles y se realizarán en todas las conexiones, haciendo clic en uno de los botones ubicados en la parte derecha superior del cuadro.
Nota
El motor antispam también puede capacitarse de otro modo si el proxy SMTP está activado tanto para los correos entrantes como para los salientes. Esto se realiza mediante el envío de correos spam a las direcciones especiales spam@spam.spam y correos no spam a ham@ham.ham. Los nombres del host spam.spam y ham.ham se añaden a la configuración de red inmediatamente después de la instalación de la red y son alias para el host local. Si estas dos direcciones no están presentes, pueden añadirse a la configuración del host en en el dispositivo Panda GateDefender.
En esta casilla se puede programar la descarga automática de las firmas SpamAssassin utilizando las cuatro opciones disponibles: Por hora, Diariamente, Semanalmente y Mensualmente.
El dispositivo Panda GateDefender incluye el conocido sistema de detección y prevención de intrusiones (IDS e IPS, respectivamente) snort, que ha sido desarrollado directamente a partir de iptables, para interceptar y cortar conexiones desde orígenes no deseados o que no son de confianza.
La página contiene tres pestañas: Sistema de prevención de intrusos, Reglas y Editor.
Si snort no está activo, aparece un interruptor gris 
al lado de la etiqueta Activar sistema de prevención de intrusos en la página y se puede hacer clic en él para iniciar el servicio. Aparece un mensaje que informa de que el servicio se está reiniciando y que, tras un breve periodo, el cuadro contendrá algunas opciones para configurar el servicio.
Al marcar esta casilla, el dispositivo Panda GateDefender podrá descargar automáticamente las reglas snort desde la página web de Amenazas Emergentes.
Nota
Si el dispositivo Panda GateDefender no está registrado o su mantenimiento ha caducado, dejan de descargarse las reglas. También se muestra un mensaje informativo en la parte inferior de la página.
En la pestaña Reglas aparece la lista de conjuntos de reglas que se almacenan en el dispositivo Panda GateDefender, junto con el número de reglas que contienen y las acciones que pueden realizarse sobre ellas:
: cambia el estado del conjunto de reglas entre activado y desactivado.
: la política aplicada a paquetes, se permita o no su paso.: modifica la propiedad del conjunto de reglas.: elimina el conjunto de reglas.Nota
Al editar un conjunto de reglas en la pestaña Reglas, la página Editor (véase más adelante) abrirá ese conjunto de reglas que ha sido seleccionado.
Todas estas acciones, excepto la edición, pueden realizarse en más de un conjunto de reglas a la vez, seleccionándolos (marcar la casilla a la izquierda de su nombre de archivo) y pulsando uno de los botones debajo de la lista.
De forma predeterminada, la política de todos los conjuntos de reglas se establece en alerta. Este comportamiento se puede modificar haciendo clic en el icono de alerta para cambiar la política a bloquear y en el icono con un escudo rojo. Después de hacer clic en el botón Aplicar, ese conjunto de reglas no causará más alertas, pero todo el tráfico que coincida con sus reglas se bloqueará.
Un conjunto de reglas se puede eliminar haciendo clic en el icono de la papelera. Sin embargo, al hacer clic en el icono del lápiz, se abre la página Editor donde se edita cada regla independientemente.
En la parte superior de la página Editor aparecen los conjuntos de reglas que se pueden editar. Para elegir más de un conjunto de reglas al mismo tiempo, mantenga pulsada la tecla CTRL y haga clic en los conjuntos de reglas.
Después de seleccionar y hacer clic en el botón Editar, se muestra la lista de reglas incluidas en el conjunto (o conjuntos) de reglas seleccionado(s). La lista puede acortarse introduciendo algunos términos en el cuadro de texto junto a la etiqueta Buscar. Al igual que en la página Reglas, la política de cada entrada se puede cambiar.
Advertencia
Activar el IPS únicamente conlleva que snort esté en funcionamiento, pero todavía no filtra el tráfico. Para que snort filtre paquetes, se debe seleccionar la política de filtro Permitir con IPS en las reglas definidas en las varias páginas de configuración de Firewall.
El dispositivo Panda GateDefender se puede ejecutar en un modo HA, que puede configurarse fácilmente utilizando al menos dos dispositivos Panda GateDefender, uno de los cuales asume el rol de firewall activo (es decir, maestro), mientras que los demás son firewalls en espera (es decir, esclavos).
Si el firewall maestro falla, se realiza una elección entre los esclavos y uno de ellos se convierte en el nuevo maestro, lo que proporciona una conmutación por error transparente. No obstante, si solo hay un esclavo, inmediatamente adoptará las tareas del maestro y permitirá una transición de conmutación por error perfecta al dispositivo Panda GateDefender secundario en caso de avería de hardware en el dispositivo maestro. Esto proporciona una disponibilidad de hardware sin precedentes y redundancia para funciones y seguridad de red críticas.
Para iniciar el servicio HA, se deben configurar al menos un dispositivo Panda GateDefender maestro y uno esclavo de acuerdo con las siguientes pautas.
Nota
El módulo de alta disponibilidad precisa de como mínimo dos dispositivos Panda GateDefender absolutamente idénticos.
Un aspecto importante que debe tenerse en cuenta al implementar alta disponibilidad es que se debe proporcionar un método de duplicación para cada conexión con el dispositivo de Panda. Cada conexión de la unidad principal (por ejemplo, WAN, LAN, etc.) debe replicarse en todas las unidades en espera para garantizar que existan capacidades de replicación completas.
En este caso, cada red del dispositivo Panda GateDefender (WAN, LAN, etc.) está conectada a un interruptor administrado externamente que tiene una VLAN asignada a cada red. Esta opción de implementación consume la menor cantidad de puertos de red y aporta una extensibilidad mejorada. Otra opción consiste en reemplazar un único interruptor administrado (preparado para VLAN) por interruptores más pequeños e individuales para cada red (WAN, LAN, etc.). Sin embargo, esta configuración puede no ser rentable y podría ser menos fiable dado que la avería de cualquier interruptor podría romper la conmutación por error parcial o totalmente.
En esta página, solo hay un cuadro, que inicialmente contiene solo una opción:
Advertencia
Actualmente HA no admite la sincronización automática de la base de datos del hotspot.
Tras la activación, aparece un segundo menú desplegable, Lado de alta disponibilidad, que permite configurar el dispositivo Panda GateDefender como maestro o esclavo. Dependiendo de esta elección, hay diferentes opciones de configuración disponibles. Para configurar una unidad esclava, sin embargo, es necesario haber establecido una unidad maestra.
Para el lado maestro, existen las siguientes opciones:
192.168.177.0/24. A menos que esta subred se utilice para otros fines, no es necesario cambiarla.Aparecerá un segundo cuadro después de haber activado la HA, con la lista de esclavos con sus direcciones IP, un enlace para acceder a su GUI de administración y la posibilidad de eliminar un esclavo.
La red de administración de HA.
El dispositivo Panda GateDefender utiliza una red especial para conectar la unidad maestra a la(s) esclava(s). 192.168.177.0/24. Si esta red ha sido utilizada en otras zonas, no se elimina ninguna de las redes definidas ni se debe hacer ningún cambio en ellas. De hecho, en tal caso, simplemente asigne a la red de administración de HA un rango de direcciones IP diferentes, por ejemplo, 172.19.253.0/24 o 10.123.234.0/28. Cabe mencionar que el único requisito de la red de administración es que debe ser lo suficientemente grande como para acomodar al maestro y los esclavos. Por consiguiente, si solo hay un dispositivo maestro y un esclavo, incluso una red pequeña como la 192.168.177.0/29 debería ser suficiente. La red de administración se creará como interfaz en la red VERDE, y se mostrará como tal en el dispositivo o al visualizar el estado de la red.
Advertencia
Asegúrese de que se pueda establecer conexión con la red de administración desde la configuración LAN actual, o no será posible iniciar sesión en la unidad maestra.
Después de configurar la unidad maestra, se puede configurar el segundo dispositivo Panda GateDefender, que será el esclavo. Deben seguirse los mismos procedimientos para configurar cada esclavo adicional.
Advertencia
Se recomienda hacer un backup de la unidad esclava antes de configurarla y guardarla en un sitio seguro, dado que puede ser útil para restablecer una unidad esclava después de haberla retirado de su rol.
Para el lado esclavo, se encuentran disponibles las siguientes opciones:
192.168.177.1/24 si la red de administración no se ha cambiado. Este valor debe coincidir con el que aparece como valor de la opción Dirección IP maestra en la unidad maestra.El esclavo utilizará estos datos para recuperar del maestro toda la información necesaria y mantener la sincronización.
Al guardar la configuración, la conexión con el dispositivo se pierde temporalmente, dado que se crea la red de administración y luego los dos dispositivos (el maestro y el esclavo definido actualmente) comienzan a sincronizarse.
Después de completar el proceso de sincronización, no se puede establecer conexión con el esclavo desde su dirección IP anterior (ya sea la predeterminada de fábrica o su dirección GREENIP anterior), dado que ha entrado en modo en espera y está conectado al maestro solo a través de la red de administración. Todo cambio realizado en la unidad principal (activación de un servicio, cambio de un ajuste, eliminación de un usuario VPN, y demás) se sincronizará automáticamente con las unidades esclavas con excepción de las actualizaciones o los backups de dispositivos (estos deben realizarse de manera manual en la unidad esclava).
Además, la unidad esclava de Panda aparecerá automáticamente en la lista de esclavos de la unidad maestra y se cambiará a una interfaz web únicamente informativa a la que se puede acceder desde la unidad maestra, siguiendo el enlace Ir a administración de GUI junto a cada una de las entradas de la lista de esclavos.
La dirección MAC ROJA
Durante la conmutación por error de HA, la dirección MAC de la interfaz ROJA no se replica en la unidad esclava. Esto puede suponer un problema si el ISP exige utilizar la configuración IP permanente. En esta situación, la dirección IP asignada desde el ISP se determina desde la dirección MAC de la interfaz de red del cliente, de manera similar a una IP fija asignada desde un servidor DHCP a un cliente. Quizá no sea posible volver a conectar con la unidad esclava. Para evitar esta situación, es necesario utilizar la función de ocultar la dirección de MAC en la interfaz ROJA para que la HA funcione adecuadamente. De este modo se garantizará que, cuando la HA se active, la dirección MAC cargue la unidad en espera y no sea necesaria ninguna intervención manual. Esto puede lograrse en el esclavo, antes de activarlo, marcando la opción Utilizar dirección MAC personalizada en y especificando la dirección MAC de la interfaz ROJA en el maestro. Como alternativa, la dirección MAC puede introducirse en el paso 4 del asistente de instalación de red, escribiendo la dirección MAC del maestro en la opción Ocultar la dirección MAC con.
La monitorización del tráfico se realiza mediante ntopng y puede activarse o desactivarse haciendo clic en el interruptor principal de esta página. Cuando está activada la monitorización del tráfico, aparece un enlace a su nueva interfaz de administración en la sección inferior de la página. El tráfico se puede visualizar y analizar por host, protocolo, interfaz de red local y muchos otros tipos de información: Todas estas operaciones pueden realizarse directamente desde el módulo Monitorización de tráfico en el menú Registros e informes.
En esta página solo hay disponible una opción.
Nota
Esta opción no está disponible en dispositivos con recursos limitados.
De forma predeterminada, la información sobre el historial de cada host no se almacena en disco. Marque la casilla para activar el registro por host.
Advertencia
Cuando esta opción está activada, varios archivos para cada host se almacenan en disco y se actualizan cada vez que ese host se conecta al dispositivo Panda GateDefender. Si la monitorización del tráfico está activada y hay un tráfico de red elevado, es posible que el disco se llene con rapidez y el acceso al disco provoque problemas de rendimiento en el sistema.
El SNMP se utiliza para supervisar dispositivos de red, y se puede utilizar, por ejemplo, para controlar el estado de la infraestructura interna.
Para activar el servidor SNMP es suficiente hacer clic en el interruptor gris junto a la etiqueta Activar servidor SNMP. Una vez realizado, aparecerán algunas opciones en el cuadro Configuración.
El objetivo del módulo QoS es priorizar el tráfico IP que pasa por el dispositivo Panda GateDefender dependiendo del servicio. En otras palabras, la QoS es una manera práctica de reservar una determinada cantidad de ancho de banda disponible (entrante y saliente) para un servicio determinado. Las aplicaciones que suele ser necesario priorizar sobre el tráfico masivo son servicios interactivos, por ejemplo, SSH o VoIP.
Las opciones de configuración de QoS se encuentran organizadas en cuatro pestañas: Dispositivos, Clases, Reglas y Etiquetado.
La pestaña Dispositivos también es la página inicial de QoS e inicialmente está vacía. Una vez cargada, aparece una tabla que muestra una lista de todos los dispositivos de Calidad de servicio y, para cada dispositivo, algunos parámetros y las acciones disponibles.
Pueden añadirse nuevos dispositivos QoS haciendo clic en el enlace Añadir dispositivo de calidad de servicio encima de la lista y configurando una serie de opciones.
Las acciones disponibles en los dispositivos son:
: activa o desactiva el dispositivo.: modifica las propiedades del dispositivo.: elimina el dispositivo.Al editar un dispositivo, se abre el mismo formulario que cuando se añade un dispositivo nuevo, en el que se pueden modificar los parámetros actuales del dispositivo.
Por cada dispositivo añadido, aparecerán cuatro elementos bajo la pestaña Clases: Tres para prioridad alta, mediana y baja, respectivamente, y uno para tráfico masivo (véase a continuación).
Esta pestaña muestra una lista de las clases de Calidad de servicio que se han creado, si corresponde. Para cada entrada, se muestran varios datos. Pueden añadirse nuevos elementos haciendo clic en el enlace Añadir clase de calidad de servicio encima de la lista de clases. Los parámetros que se deben configurar son los mismos que aparecen en la lista:
El menú desplegable permite elegir el dispositivo de calidad de servicio para el que se creó la clase.
Sugerencia
Antes de definir una clase de QoS debe haberse creado al menos un dispositivo de QoS.
Nota
La suma de los porcentajes reservados no puede ser superior a 100 por dispositivo. Además, el ancho de banda reservado no puede ser superior al ancho de banda límite.
Las acciones disponibles son:
: modifica las propiedades del dispositivo.
: mueve la clase en la lista.: elimina el dispositivo.Las clases pueden moverse hacia arriba o abajo en la lista: Los elementos más cercanos a la parte superior de la lista son los primeros en procesarse cuando el ancho de banda no es suficiente para todo el tráfico y el dispositivo Panda GateDefender necesita elegir qué tráfico priorizar.
La tercera pestaña muestra una lista de las Reglas de calidad de servicio definidas y permite especificar qué tipo de tráfico debe pertenecer a cada una de las clases. Para añadir una nueva regla de Calidad de servicio, haga clic en el enlace Añadir regla de calidad de servicio. En el formulario que se abre, que es muy similar al utilizado para definir las reglas del firewall, se deben configurar varios valores. Se utilizan muchos menús desplegables para facilitar las elecciones y guiarle durante la configuración.
Nota
Si hay más de un servicio en una clase de Calidad de servicio, entonces todos los servicios compartirán el ancho de banda reservado.
Las acciones disponibles en las reglas son:
: activa o desactiva la regla.: modifica las propiedades de la regla.: Elimina la regla.La cuarta pestaña es diferente del resto en el sentido de que no se utiliza para clasificar y priorizar el tráfico. En esta pestaña se puede etiquetar o marcar el tráfico de manera de que dispositivos externos puedan gestionarlo. Esto es particularmente útil si trabaja con un ancho de banda limitado y su dispositivo de subida, por ejemplo, un módem, no puede priorizar el tráfico basándose en los indicadores TOS/DSCP de los paquetes. Al igual que en la interfaz Reglas, puede configurar a qué tipo de tráfico se deberían definir los indicadores. Cuando agrega un nuevo etiquetado, están disponibles las opciones siguientes:
Las acciones disponibles en las reglas son:
: activa o desactiva la regla.: modifica las propiedades de la regla.: elimina la regla.