Recomendaciones básicas para un buen rendimiento

Se recomienda a los encargados técnicos de los Ministerios/Servicios seguir las siguientes recomendaciones para obtener el mejor rendimiento posible de los recursos instalados.

Los responsables técnicos de cada Ministerio deben tener en claro que el ancho de banda de acceso a Internet en el segmento Internacional es un recurso escaso y deben velar porque las configuraciones de los servicios de red que usan o prestan se ajusten a esta realidad.

1. Instalar Servidores de Nombres en red local

Se sugiere instalar uno o más servidores de nombres en la red local. La resolución de nombres será más rápida. Considere además aprovechar algunas facilidades de los SO para aprovechar las resoluciones de nombres previas (cache). Se deben configurar las tablas de reversos.

• Proveer al servidor de nombres de suficiente RAM e interfaces de red rápidas.

• Tener uno o más servidores de nombre dedicados.

• Configurar reversos para el servicio de nombres (in-addr.arpa).

• Conectar el servidor de nombres a un puerto dedicado en la red (Ej: 100Mbps fdx)

• Actualizar permanentemente las versiones de los servidores de nombres.

2. Instalar Servidores Proxy/Cache y filtros

Se sugiere que en el perímetro o antes de la salida a INTERNET sea instalado uno o más servidores Proxy con Cache que cumplan las siguientes funciones:

Mantener copias de la información consultada frecuentemente

• Aplicar filtros de acceso a información objetable o que consuma mucho ancho de banda (adultos, mp3, mov, mpeg, avi).

• Usar procedimientos de autorización para el uso del proxy mediante usuario y password.

• Balancear carga en los proxy soluciones basadas en hardware o software

• Aplicar filtros sobre aplicaciones del tipo peer to peer (Ejemplos: kazaa, napster, etc)

Se recomienda aplicar filtros sobre las siguientes aplicaciones orientadas a compartir archivos y que consumen mucho ancho de banda. En caso necesario el Ministerio del Interior filtrará este tipo de protocolos y aplicará restricciones o limitaciones al ancho de banda ocupado.

Otros sitios como AudioGalaxy y similares, y sus rangos de puertos tcp/udp usados más frecuentemente serán filtrados. Se recomienda vigilar que los firewalls utilizados en el caso que presenten dificultades y corregir de acuerdo a las recomendaciones del fabricante.

Ejemplos:

Muestreo efectuado durante los días 13 y 14 de Enero 2005

Muestreo efectuado durante los días 24 de abril 2004 – 5 de mayo de 2004

También se recomiendo filtrar o controlar el acceso a radios en línea. Por lo general usan aplicaciones asociadas a winamp.com o shoutcast.com

El tráfico asociado a las radios en línea se concentra en puertos tcp variables en el rango 8000 – 8999.

3. Configurar firewall adecuadamente

• Se sugiere escoger como plataforma de firewall un equipo basado en hardware dedicado, o usar dos o más servidores de propósito general con la función de firewall.

• Conectar el firewall a un puerto dedicado en la red local interna.

• Verificar que todos los elementos de red estén configurados adecuadamente velocidad y duplex. (Ideal: FastEthernet 100Mbps  y full duplex)

• Se sugiere restringir el N° de estaciones con conexión directa a INTERNET usando un firewall o NAT con reglas que permitan sólo conexiones de los servidores o servidores proxy cache. Evitar las conexiones directas de cada estación interna a INTERNET para evitar propagación de virus.

4. Registrar las actividades de los usuarios externos e internos

• Se sugiere llevar registros vía logs de las actividades de los usuarios externos e internos.

• Usar aplicaciones o sistemas de detección de intrusos

• Obtener estadísticas de las páginas o servicios más frecuentemente usados o consultados.

• Bloquear actividades externas o internas que de acuerdo a lo registrado sean innecesarias o usen mucho ancho de banda.

Ejemplos:

Durante el 23-04-2004 y 27-04-2004 se llevaron estadísticas de los sitios internos y externo mas frecuentemente consultados dentro y fuera de la Intranet del Estado  (IE).

Revisando los datos se puede concluir que los Ministerios y Servicios deben optimizar la forma en que acceder a Internet usando servidores proxy con cache, además de usar estrategias para actualizar desde un sitio central local sus aplicaciones (Ejemplo: windowupdate.com).

Por otra parte deben ser tomadas precauciones en el caso de aplicaciones o servicios que son ampliamente reconocidos spyware que contribuyen al sobre consumo de ancho de banda (Ejemplo: gator.com, hotbar.com)

5. Centralizar actualizaciones de Sistemas operativos y Antivirus

Se recomienda centralizar la actualización de sistemas operativos y Antivirus

- Antivirus:

Usar uno o dos equipos servidores que sean los únicos que obtienen signaturas actualizados de virus. El resto de las estaciones de la red debe actualizarse sólo desde estos servidores. Debieran evitarse conexiones directas y repetitivas a servidores ftp  desde cada estación de trabajo al interior de las redes.

Ejemplo:

Durante el 23-04-2004 y 27-04-2004 se han medido las conexiones a servidores ftp desde las redes de los Ministerios y Servicios.

- Sistemas operativos:

Usar estrategias de mirror o similares para obtener las nuevas copias de los sistemas operativos buscados, o configurar una o dos estaciones que estén destinadas al propósito de bajar nuevas versiones de SO o parches. Evitar la conexión repetitiva a servidores ftp desde cada estación de trabajo al interior de las redes.

Caso de Microsoft: Considerando que los parches generados por el sistema operativo de Microsoft son por lo general de gran tamaño, se recomienda usar un servidor SUS o similar. El proceso de actualización de Windows Update debiera efectuarse desde este servidor SUS.

Para mayor información ver: http://www.microsoft.com/windowsserversystem/sus/default.mspx

Gobierno de Chile

Ministerio del Interior - División Informática