ParquePlaza.net: El desfile de Geronimo Stilton llega al Tibidabo\nHasta el 1 de septiembre, el ratón encabezará esta cabalgata llena de sorpresas; los das pases diarios, uno a las 17h y el otro a las 19h, invitan a los asistentes a compartir la música y el baile y a iniciar un viaje fantástico.\nEl desfile se dirige al público familiar y, muy especialmente, a los más pequeños. La banda sonora, que acompañará a Geronimo Stilton durante su trayecto, está basada en las composiciones creadas para el musical protagonizado por el ratón y galardonada con el premio Butaca 2011 al mejor musical. Con una coreografía especial creada para la ocasión, al final del recorrido los personajes iterpretarán un pequeño espectáculo como fin de fiesta.\nEs una gran ocasión para que los niños puedan reencontrarse con los personajes que interpretan los 14 actores participantes en el desfile; Al final del espectáculo los visitantes dispondrán de 15 minutos para compartir con los personales y fotografiarse con sus favoritos.\n"Viaje al Reino Fantástico del Tibidabo" es una producción de Focus Events para el parque de atracciones Tibidabo.


▶ ¡Que tus complementos no pasen desapercibidos! - Pulseras Originales\nUsted está aquí: Inicio1 / Propuestas detalladas de regalos originales2 / Pulseras Originales3 / ¡Que tus complementos no pasen desapercibidos!\n¡Que tus complementos no pasen desapercibidos!\n20 enero, 2020 /en Pulseras Originales, Regalos originales para hombres /por Regalos Originales\nAhora que estamos en pleno invierno y vamos abrigados, todas las prendas suelen tener mucho volumen: abrigos, anoraks, botas, etc. ¡Que tus complementos no pasen desapercibidos!\nPulsera Tommy Hilfiger hombre, acero inoxidable\nPeso total del metal: 40 gramos\n59,00 EUR −1,50 EUR 57,50 EUR\nEsta pulsera original, de Tommy Hilfiger, destacará en tu muñeca gracias a su diseño y a su grosor. Su color, además, pega con todo y queda bien. Combínala tanto cuando vayas más informal, gracias a tu material y su forma trenzada, como cuando vayas más arreglado, gracias a su pieza de metal, que presenta más formalidad, sin olvidarnos del nombre y el logo de la marca, que hacen que sea una pulsera con más clase, un regalo elegante y asequible a la vez!\nTenga la edad que tenga, vista el estilo que vista, es una pulsera original que queda bien a todo el mundo por su composición y su diseño. Aunque quede bien a todo el mundo, también da personalidad ya que combina materiales y estilos; es una pulsera discreta pero que salta la vista, ¡tenla ya en tus manos!\nSi quieres ver más propuestas, dale un vistazo a nuestra selección de pulseras originales!\nhttps://regalos-original.es/wp-content/uploads/2020/01/pulsera-original.jpg 419 695 Regalos Originales https://regalos-original.es/wp-content/uploads/2019/06/logo-web-512x102-495x117.png Regalos Originales2020-01-20 22:20:252020-06-05 07:13:51¡Que tus complementos no pasen desapercibidos!


martillos en trituradoras\n2021-11-22 · Trituradora de martillos con desplazamiento hidráulico 100 - 180 CV. Trituradora robusta con enganche de 3 puntos en forma piramidal muy robusta.\n2021-11-7 · Los martillos SMW están montados helicoidalmente sobre el rotor permitiendo una perfecta distribución de la fuerza y un funcionamiento silencioso. El capó es regulable para poder ajustarlo al espesor del material que será triturado. El rodillo de apoyo en toda la gama de trituradoras SEPPI SMW es regulable y reforzado en su espesor.\n2019-1-28 · En el caso de las trituradoras de martillos serán los elementos de percusión. Mantenimiento: la lubricación de la máquina, diversas piezas, varillas, resortes, rodamientos, etc. Solicitar Cotización Ventajas de las Trituradoras Industriales .\n2021-11-19 · Trituradoras gravitacionales a 108, 156 o 80 martillos rectos, los tres modelos de la gama están disponibles en transmisión directa o por polea/cinturón. Las velocidades de rotación son 1500 tr, 2200 y 3000 rpm. Estas trituradoras de grupo de juguetes de hecho francés están gravitando de serie con la opción de caja despresurizada.\n2021-11-22 · Las trituradoras de ramas eléctricas y a gasolina variarán en diseño, potencia, capacidad y precio, y podrás utilizarla como una herramienta casera, o a nivel profesional, como parte de tu equipo de trabajo.. Por qué comprar una Chipeadora de\n2021-11-14 · Mayper es una empresa con sede en Valencia, España que desde hace 30 años trabajamos para ofrecer soluciones de diseño, fabricación, instalación y mantenimiento de maquinaria para reciclaje.. Ofrecemos máquinas trituradoras de\n2019-11-7 · Todas las trituradoras MASCHIO GASPARDO están diseñadas, desarrolladas y fabricadas con las mejores tecnologías para garantizar la máxima potencia y un excelente rendimiento en el campo. En las plantas se utilizan las tecnologías más innovadoras y avanzadas de\nNuestras trituradoras son máquinas destinadas a la eliminación de los restos de poda en viñas y desbroce de materia en pie. Todos los modelos están garantizados y fabricados con las más estrictas normas de calidad y seguridad. Nuestros diseños exclusivos y\nAgroAnuncios.es - Trituradora de poda de martillos geo ...\n/pj13851/Venta-de-Trituradora-de-poda-de-martillos-Geo-en-Teruel.html. También te puede interesar: Trituradoras de restos de poda; Trituradoras de restos de poda en teruel


Que no se extinga el burro fariñeiro - LA NACION\nQue no se extinga el burro fariñeiro\nEn España, un movimiento busca conservar al ejemplar de Platero y yo\nORENSE (Especial).- "Platero es pequeño, peludo, suave; tan blando por fuera, que se diría todo de algodón, que no lleva huesos. Sólo los espejos de azabache de sus ojos son duros cual dos escarabajos de cristal negro." Sí, así empieza Platero y yo, de Juan Ramón Jiménez. ¿Quién no lo sabe de memoria y puede decirlo en voz alta y con expresividad? Pero así como todos recuerdan las primeras líneas de ese libro, ¿cuántos recuerdan su nada hollywoodense sino realista final? "Platero estaba muerto. La barriguilla de algodón se le había hinchado como el mundo, y sus patas, rígidas y descoloridas, se elevaban al cielo. Parecía su pelo rizoso ese pelo de estopa apolillada de las muñecas viejas, que se cae, al pasar la mano, en una polvorienta tristeza." Y ese sentimiento se extiende, hoy, a la desaparición de muchos otros burros fariñeiros, llamados así por sus trabajos en los molinos con la fariña; es decir, harina. "La tristeza que provoca la extinción del burro fariñeiro es infinita. Más si se tiene en cuenta que nadie hace prácticamente nada para que no ocurra. Y más aún tratándose de una especie que en otros tiempos fue vital para la subsistencia gallega", dice Xacobo Pérez, presidente de la Asociación para la Protección y Defensa Medioambiental del Burro Fariñeiro de Galicia, Abufa, burrosgalegos@yahoo.es .\nLos datos brindados por Pérez son alarmantes. "Con suerte quedarán unos 300 burros fariñeiros en Galicia, y la Xunta, el gobierno autónomo gallego, no hace nada para que no se extinga. Hace 20 años había unos 20.000 ejemplares de la especie que más trabajó por Galicia. Pero los que quedan hoy, por viejos, si son utilizados para algo es como comida para las fieras de los circos", comenta.\nEl desinterés e incluso el olvido se adueñaron de uno de los valores genéticos más importantes de la ganadería gallega y de España toda. Antes aliado en los hogares gallegos, alegre sobre todo en los meses de primavera por su alocado celo, "el Marco Aurelio de los Prados" para Juan Ramón Jiménez; el empleado para todo de los más trabajadores, por cargar la leña del hogar, transportar la hierba para el resto de los animales del establo, soportar sacos con harina o con sargazos de la costa atlántica para después depositarlos en los campos, hoy en desuso, el burro fariñeiro no responde a la definición del diccionario. Nada de "corto", "ignorante", "necio" o "torpe". Muy por el contrario, más que una vez, el burro fariñeiro, burro pero inteligente, aprendía el trayecto entre su establo y el molino y fue enviado solo con su carga para regresar del molino al establo gracias a su inteligencia asnal.\nAl margen de estas cualidades y más allá de los duros tiempos que corren para ellos, está el borrico aislado de la mala suerte de la especie, como el ejemplar que atesora Cándida Rodríguez Riva. "Este año ni siquiera la llevamos a juntar patatas, para que no se canse", dice sobre Blanca, propiedad de sus padres, y más que hacedora de tareas domésticas, compañera de juegos de sus hijos, sobrinos y amigos.\nPero no todos los burros gallegos tienen esta suerte. Raza histórica no reconocida por las leyes, órdenes ni estamentos institucionales, pero sí por la tradición y el pueblo, el burro fariñeiro está en vías de desaparecer. Y para siempre. Sigue Pérez: "Una vez que se extinga será irrecuperable genéticamente; los que llegan a nuestra asociación tienen más de 30 años y no los podemos reproducir, por ello la recuperación genética es prácticamente imposible".\nDesde Abufa, una de las prácticas para mantener activo al burro fariñeiro hoy es la asinoterapia para mayores: a través de la adopción temporaria de un burro, la gente, que en general está sola, sale ganando con esta ocupación.\n"Si para algo puede servir hoy el burro gallego es para curar. En el caso de Galicia, donde hay un muy elevado porcentaje de población mayor, como terapia para que los más grandes estén ocupados, para que tengan una responsabilidad, algo en qué entretenerse y por qué vivir. Porque es tener una vida a cargo", explica Pérez.\nAcaso, la única intención, la de siempre, es que el burro fariñeiro no vaya a parar al moridero. "Tú, Platero mío, no irás en el carrillo del pregonero a la marisma inmensa, ni al barranco del camino de los montes, como los otros pobres burros, como los caballos y los perros que no tienen quien los quiera. No serás, descarnadas y sangrientas tus costillas por los cuervos -tal la espina de un barco sobre el ocaso grana-." Juan Ramón Jiménez dixit .


Ventajas del transporte de mercancías por carretera | Maroc Moda\nEl transporte de mercancías es una de las actividades económicas más importantes para tu negocio, pues permite mover tus productos desde el lugar donde los fabricas hasta los distribuidores y/o clientes. Ahora bien, existen muchos tipos de transportes, por eso en este post definiremos cada uno y, de forma específica, comentaremos cuáles son las ventajas del transporte de mercancías por carretera.\nTipos de transportes más usados\nLas mercancías se pueden transporte por tierra, mar y aire. Veamos cuáles son las opciones y de qué se tratan cada uno de estos tipos de transportes.\nTransporte por carretera: es uno de los más elegidos, es económico, rápido y un medio versátil, perfecto tanto para distancias largas como cortas.\nTren: Idóneo para transportar mercancías a largas distancias y en especial para las cargas al por mayor.\nMedios Marítimos: son económicos. Existen grandes variedades de buques especializados en distintos tipos de mercancías. Suelen ser lentos y varían según las rutas y las condiciones climatológicas.\nAéreo: es el transporte de mercancía que menos material mueve. La ventaja más evidente es la velocidad, que permite recorrer enormes distancias en muy poco tiempo.\nComo has visto hasta ahora, el transporte de mercancías cuenta con muchas alternativas. Las características, cualidades, pros y contras de los diferentes medios hacen que el resultado, el tiempo y el costo del transporte puedan variar en gran medida.\nEs por esto que lo más correcto y acertado a la hora de elegir el mejor transporte de mercancías, es el de carretera pues:\nEs perfecto tanto para distancias cortas como largas.\nTiene capacidad para realizar entregas de puerta a puerta mientras que el tren y el barco a menudo necesitan de otros transportes para terminar de llegar al destinatario.\nLos camiones, furgonetas y demás tipos de transportes por carretera son más autónomos y capaces de llegar más allá de las ciudades.\nLas libertades de horario son otro punto a favor, pues este tipo de transporte es mucho más sencillo de coordinar.\nComo ves, son muchas las ventajas de contratar un servicio de transporte de mercancía por carretera, ten en cuenta todo lo que te hemos comentado desde en este post la próxima vez que pienses en optar por esta alternativa.


Las cadenas le cogen miedo a los programas de larga duración | Bluper\nLas cadenas le cogen miedo a los programas de larga duración\nCada vez se da luz verde a programas con menos entregas para probar al espectador.\n¿Recuerdan Cazadores de trolls? Tal vez no les haya dado tiempo a conocer el programa. laSexta dio por finalizada esta primera temporada del programa el pasado 25 de abril después de cuatro entregas. Y no es que la cadena haya cancelado el programa por baja audiencia. Es que desde un principio sólo se encargaron cuatro reportajes del programa. Y es que cada vez las cadenas de televisión se arriesgan menos con nuevos formatos, dando luz verde a primeras temporadas muy cortas que no pongan en riesgo su capital.\nHa sido en la misma cadena y casi al mismo tiempo cuando se ha estrenado el programa de Cristina Pardo, Malas compañías. Lo que será un programa con más entregas en el futuro fue un pequeño primer contacto con la audiencia de dos entregas para un caso muy concreto. El 9 y 16 de abril se emitió este reportaje sobre la corrupción en Valencia dividido en dos semanas. Un corto primer acto de Pardo al frente de su propio programa.\nEl espectador ya no se puede extrañar de haberse enganchado a un programa de televisión que sólo va a durar un par de semanas en la parrilla. O que se lo digan a Toñi Moreno en Antena 3. El programa El árbol de tu vida sólo grabó cuatro entregas con cuatro personajes famosos. Su ubicación en la noche de los martes ha sido ocupada por La casa de papel y se desconoce si la última entrevista ya grabada, a Lolita Flores, será o no emitida.\nPara cerrar el ciclo de pequeñas producciones de Atresmedia, dentro de poco llegará Ninja Warrior a la parrilla de Antena 3. Presentado por Arturo Valls, Pilar Rubio y Manolo Lama, este programa de superación física ocupará el prime time de la cadena durante sólo cinco semanas. Únicamente cinco entregas compondrán la primera entrega de este nuevo formato de televisión en España.\nEl grupo con sede en San Sebastián de los Reyes es el que más veces ha usado este tipo de estretegia en sus programas de entretenimiento. El programa Hipnotízame, que podría haber sido un programa con temporada completa en otras épocas, ahora ha tenido sólo tres especiales desde que se estrenase en marzo de 2016. A pesar de su buen resultado no ha conseguido que la cadena le confíe una temporada.\n'Las Campos', clave en la estrategia de Telecinco\nPero Atresmedia no es el único grupo al que le ha gustado eso de hacer primeras temporadas cortas para no mancharse los dedos ni empantanarse en caso de que el programa no guste a la audiencia. A pesar de que venía con un currículum atracitvo a sus espaldas, Mediaset España sólo le confió cuatro entregas a la primera temporada de El Xef y cinco a la segunda temporada. Ni sus buenos datos le concedieron al grupo la capacidad para encargar más entregas.\nPero en la grande de Mediaset también ha surgido este tipo de casos. Puede que María Teresa Campos y Terelu Campos tuviesen mucho tirón mediáticamente hablando, pero un programa para ellas dos solas podría ser un riesgo. Por eso Telecinco sólo encargó en un principio dos entregas del programa Las Campos que emitió el verano pasado. Tras su buen resultado, la cadena les confió cinco especiales más que jamás se han podido considerar una temporada completa de capítulos.\nCon Cámbiame ha pasado algo parecido en estas últimas semanas. El programa es uno de los grandes aciertos de Telecinco para su mañana gracias a la buena media de espectadores que le deja al informativo. Después de un primer intento, la cadena le ha confiado hacer directos los sábados. Sin embargo, sólo les ha encargado dos entregas para probar el formato en fin de semana. De su resultado dependerá su futuro.\nLas series de TVE recortan su duración\nSi bien las series en EEUU rondan los 22 episodios si se emiten en abierto, las ficciones españolas tenían una cifra favorita a la hora de encargar una serie de televisión: 13 episodios. Sin embargo, es un número que cada vez se cumple en menos ocasiones.\nLas series de TVE ya no tienen el rendimiento que tenían hace algunos años, por lo que la pública ha preferido probar primero suerte con la puesta en marcha de temporadas cortas que no les supongan tanto riesgo. La serie Reinas, producida por José Luis Moreno, apenas tuvo seis capítulos, iFamily contó con ocho episodios, los mismos que El hombre de tu vida y Olmos y Robles. Esta última, al renovar consiguió llegar a los 10 capítulos en su segunda temporada.


La Junta realiza obras de mejora en el área recreativa 'La Limera' de Turre\nActualizado 05/03/2018 18:35:57 CET\nEl delegado de Medio Ambiente y Ordenación del Territorio de la Junta en Almería, Raúl Enríquez, acompañado por la alcaldesa de Turre, María Isabel López, ha visitado las actuaciones que la Junta está llevando a cabo en el área recreativa 'La Limera' (Turre) y en las que se ha invertido 15.100 euros.\nLa Delegación de Medio Ambiente está realizando un acondicionamiento general del área recreativa con la instalación de nueve mesas con bancos de madera, el arreglo de 16 barbacoas y la eliminación de infraestructuras que puedan entrañar riesgos para los visitantes, demoliendo las mesas de hormigón en mal estado.\nAdemás se ha acondicionado la vegetación con el apeo de seis árboles que entrañaban peligro de caída, la poda de 35 pinos y la plantación de 22 árboles de diferentes especies autóctonas de la zona.\nEnríquez ha destacado durante su visita a este espacio público, que cuenta con todo tipo de servicios como aparcamientos, barbacoas, mesas o fuente, que el objetivo es "mantener y proteger estos entornos únicos que ofrecen los espacios naturales para que los visitantes los usen de una forma sostenible y respetuosa con el entorno potenciando los valores ambientales".\nEl área recreativa 'La Limera' es un lugar donde se puede estar en contacto con un bosque de pinos y otras especies como encinas y algarrobos, uno de estos especialmente majestuoso.\nEstá situada en la Zona de Especial Conservación (ZEC) Sierra Cabrera-Bédar de la Red Natura 2000, en el monte público de los Murtales cuyo nombre proviene de la gran presencia del arbusto denominado mirto, conocido en esta zona como murta, especie propia de zonas húmedas y cálidas.


Proyectan realizar un Fish Market en Puerto Juárez | Novedades Quintana Roo\nUno de los proyectos de la Cooperativa de Producción Pesquera, es ofrecer el pescado más fresco y de mejor calidad en Cancún.\nEn el Fish Market, los comensales eligen su pez, langosta o cangrejo, para posteriormente ser cocinado. (Israel Leal/SIPSE)\nlunes, 4 ago. 2014 07:47 am\nCANCÚN, Q. Roo.- Nada como comer pescado fresco, tanto, que estaba vivo minutos antes de estar en tu plato. Jorge Uribe Chávez, presidente de la Sociedad Cooperativa de Producción Pesquera (SCPP) Litorales del Caribe, señaló que entre los proyectos que tienen, se encuentra el de un Fish Market, es decir, un espacio donde pueden asistir los comensales y elegir el pez, langosta o cangrejo vivo que desean comer, para posteriormente ser cocinado y disfrutado con la zona hotelera de Cancún y el mar azul como escenario, con precios accesibles para que cualquiera pueda darse tan exquisito lujo.\nLa pesca furtiva ha disminuido la producción de la SCPP, por ello han tenido que diversificarse, aseguró Adrian Candelero Hernández, gerente general y tesorero de la Sociedad.\nPese a que tienen en la exportación de langosta su mejor carta, este año iniciaron la importación del cangrejo santoya, un crustáceo de gran tamaño y piel suave, muy parecida a la de la langosta, que a decir del gerente de la cooperativa, puede superarla en sabor.\nTurismo asiático: principal consumidor\nLos principales consumidores son los asiáticos, quienes al pasear por las playas de Puerto Juárez y aventurarse a entrar a la cooperativa, las sonrisas apresan sus rostros al ver tan preciado manjar a unos cuantos centímetros de ellos.\nEntre la oferta que tiene la SCPP, también se encuentran las ostras reina, chocolata y pata de mula, entre otras, las cuales son vendidas a un precio menor que el de la mayoría de las pescaderías en la ciudad y que con la incorporación del Fish Market, potenciarán su atractivo. Este estará en el segundo nivel de la cooperativa, y tiene proyectado inaugurarlo durante este mes.


Franke 127.0203.467 Fregadero Ppx 251 1000x512 Inoxidable Satinado Planar Acero nazbgo6476-Ver más Franke 127.0203.467 fregadero planar Ppx 251 10... - www.tokonomaespacio.com\nFranke 127.0203.467 Fregadero Ppx 251 1000x512 Inoxidable Satinado Planar Acero nazbgo6476-Ver más Franke 127.0203.467 fregadero planar Ppx 251 10...\nJoseph Joseph Baño Easystore Autónomo Papel Higiénico 4 Portarrollos - blancoo\n4pc Conjunto De Ventana Marrón Camel Rústico Cortinas de imitación de gamuza Paneles Cortinas Par 84 in (approx. 213.36 cm)\nEspañolEnglish40 PCS Brillante Elástico Spandex equipada cubierta de la silla comedor equipado caso SlipcoverItalian\nCódigo de combinación Digital Botón Pulsador Mecánico acceso puerta sin llave de cerradura de la puerta\nCaja de 50 6S6 120 V 6 W bombillas de luz cerámica Navidad Candelabros C7 Japón Publicado el Largo zanafi Kilim, 4.3ft X 11.1ft por Hari Seldon\nEAN: 7612980675104 Marca: Franke\nGSW Gourmet - Batería de Cocina, 4 Piezas, Color NaranjaJoaquín Morales SoláLA NACION\nUna suposición se reveló como una certeza: Lázaro Báez es -y fue- testaferro de la familia Kirchner. En la grabación de una escucha telefónica (cuyo audio se conocerá próximamente), Báez asevera que todo lo que tiene es "del que está arriba", en una inconfundible alusión a Néstor Kirchner. Es la voz de Báez aceptando que una fortuna valuada en unos 900 millones de dólares (solo en Santa Cruz tiene tal cantidad de tierras que supera varias veces el tamaño de la Capital Federal) pertenecían a Kirchner y, por lo tanto, a sus herederos.6X (ABS Portarrollos Caja De Almacenamiento Con Cubierta De Asiento De Inodoro desechables WH X8W1 Esa grabación podrá ser usada por la Justicia en las distintas causas que investigan la corrupción del gobierno que concluyó en 2015 con Cristina Kirchner en la presidencia. Los dos requisitos que la Justicia necesita para validar una escucha telefónica es que haya sido ordenada por un juez y que haya estado bajo el control de un fiscal.\nLa Justicia ya tenía elementos más importantes que la mera sospecha. En uno de los allanamientos ordenados por el juez Claudio Bonadio se encontró el testamento de Báez. Según ese documento, todas sus propiedades debían entrar, a su muerte, en un fideicomiso a nombre de sus hijos, pero estos podían disponer de ellas solo 30 años después.Barbone - urna di legno con l'immagine di un cane Art Dog IT Tipo 2 Durante tres décadas, los hijos de Báez solo estarían en condiciones de disponer de parte de las ganancias, pero no de las propiedades. ¿Qué explica este caso insólito de legítimos herederos que no podrán disponer de su herencia? Los funcionarios judiciales conjeturaron en el acto que las cosas se habían dispuesto de esa forma para que lo verdaderos propietarios (los Kirchner) tuvieran tiempo para decidir sobre esos bienes. La exfamilia presidencial está condicionada por las muchas causas judiciales para hacer ostentación de bienes que no pueden -ni podrán- justificar. Báez nunca se arrepintió ante la Justicia a pesar de que pasaron casi nueve años de la muerte de su amigo Néstor (nunca fue amigo de Cristina Kirchner) y de que él mismo está preso desde hace más de tres años. Su voz grabada por primera vez en una escucha telefónica en poder de la Justicia es la primera prueba concreta de que la sospecha y la conjetura eran finalmente ciertas. Por qué calla Báez es otra cuestión. Algunos lo atribuyen a un intenso sentido de la lealtad al amigo muerto. Otros creen, en cambio, que está esperando que pase el tiempo de la cárcel para quedarse con todas las propiedades que no le pertenecen.\nAds by 4x 110cm candelabros en plata 5-quemador, candelabro judio metal nuevo\nLa desesperación actual del cristinismo es consecuencia del fárrago de pruebas que ya existen. Hay dos estrategias claras para voltear las principales causas sobre la corrupción del gobierno anterior, fundamentalmente la investigación que se desplegó a partir de los cuadernos del chofer Oscar Centeno.10pc E27 Bombilla LED AC100-260V Lámpara blancoa Fría Globo blancoo Frío 1pc S Una consiste en comprometer al fiscal Carlos Stornelli, e indirectamente al juez Bonadio, en maniobras poco transparentes que los inhabilitarían moralmente. Es la "operación puf puf", según la expresión barriobajera del operador cristinista Eduardo Valdés, que tiene su centro en el juzgado federal de Dolores, a cargo del juez Alejo Ramos Padilla. La otra estrategia radica en deslizar que varios arrepentidos ante la Justicia, empresarios y exfuncionarios dejaron testimonio ante escribanos de que habían declarado presionados por el fiscal Stornelli o el juez Bonadio. Y que nada de lo que dijeron es cierto.\nFuncionarios judiciales creen que existen algunas de esas declaraciones ante escribanos, pero que la carga de la prueba tiene tal dimensión que aquellas rectificaciones quedarán solo como apuntes a pie de página. Además, si fuera así, perderían la condición de arrepentidos, porque habrían demostrado ante escribanos que le mintieron a la Justicia. La ley del arrepentido aumenta la pena de este si se demuestra que no dijo la verdad. La presión es poco probable por el estricto procedimiento que debe respetarse en el caso de los arrepentidos. Estos nunca están solos ante el fiscal ni ante el juez. Siempre son acompañados por sus abogados defensores, y están presentes también secretarios letrados de la fiscalía y del juzgado, que son los que levantan las actas. En la audiencia de homologación ante el juez (Bonadio en este caso), el magistrado debe hacerles a los arrepentidos una serie de preguntas iniciales.KERUI W193 WIRELESS WIFI GSM PSTN SMS RFID Kit De Sirena de alarma sistema de seguridad para el hogar ¿Alguien los presionó para que se arrepintieran? ¿Eligieron sus abogados defensores en absoluta libertad? ¿Dijeron lo que realmente les consta?\nLa "operación puf puf" puede resumirse en pocas líneas. El extorsionador, Marcelo D’Alessio, y el extorsionado, Pedro Etchebest, habían compartido trabajo, fueron socios, se vendieron autos entre ellos y juntos llegaron y juntos se fueron de Pinamar, donde le tendieron la trampa al fiscal Stornelli. Supuestamente, Etchebest era extorsionado por Stornelli, a través de D’Alessio, para que lo beneficiara en la causa de los cuadernos. Etchebest nunca figuró en esa causa ni fue nombrado por nadie. Hay un típico falso influyente en el medio, D’Alessio, que se hacía pasar por gente de la DEA. ¿Qué agente verdadero de la DEA dice que es de la DEA? Y hay un supuesto empresario extorsionado, Etchebest, de quien no se sabe siquiera si ese es su verdadero nombre. Figura con otro nombre en otros lugares.Caja de alimentos CAMBRO Policarbonato, utilice Tapa 4UKD2, PK6, CA18263CW135, claro ¿Por qué la trampa se urdió en Pinamar, donde el fiscal estaba de vacaciones? Porque ahí no es necesario sortear al juez federal. Hay uno solo, Ramos Padilla, que está en Dolores y tiene jurisdicción en Pinamar. Ramos Padilla, de clara militancia en el kirchnerismo, tuvo conocimiento previo de la maniobra. La ejecución de la trampa la habría autorizado personalmente Cristina Kirchner. Todo esto surge de nuevas escuchas telefónicas, que grabaron a operadores políticos que, como Báez y Baratta, son más chambones que sutiles. La corte del cristinismo no es ni buena ni mala. Es así.\nDesign busto appolo personaje estatua escultura figuras decorativas decoración esculturas Roma\nLuz De Parojo Cromada eterna derecho lector-sombra no incluida-Faro 24007\nPintura de tinta negra 3D 5 Alfombra Antideslizante Alfombra De Sala Elegante Alfombra De Foto De Calidad rojoondo\nCentrale de commande logique FAAC GENIUS BRAIN 17 6100304 portails battants 230V\nCandiles ninfa candelabros duendecillo tischleuchter candeleros mujeres escultura\nDiyas IL-IL30187 Ava 4 luz acabado en cromo pulido al ras\nSofá-cama Sofá Tirar Cubierta De Acrílico Silla Colcha Manta barbudo Ribete\nLámpara De Repuesto & vivienda para Panasonic PT-F300NTU\n3D Loong 889 Mantel Mantel Paño Fiesta de Cumpleaños Evento AJ Wallpaper\nPhilips Hue ambiente Smart LED Regulable Spot Luz, paquete de 2, GU10, blancoo\nClever 94477 (Ducha Grifo de ducha)\nLEDBOX Led NEON Flex, Ø13mm, DC12V, 120Led m, 5m verde


Network Address Traslator Para acceso a Internet en una Red local - PDF\nDownload "Network Address Traslator Para acceso a Internet en una Red local"\nMartín Torregrosa Miranda\n1 de 24 25/09/ :13 p.m. Network Address Traslator I. Para acceso a Internet en una Red local Introducción 2. Fundamentación. Marco teórico 3. Instalación del S.O. Linux, distribución red HAT. 4. Configuración NAT 5. Permutación Shaper - Wondershaper - CBQ 6. Bibliografía INTRODUCCIÓN Actualmente las direcciones IP públicas (Homologadas), son insuficientes para atender a toda la población de usuarios que demanda servicio de Internet, y por el mismo motivo, la obtención de una IP oficial homologada es costoso. Si contamos con una red local, funcionando con TCP/IP sobre un rango de direcciones privadas, es posible mediante un Traductor de Direcciones de Red, que las demás máquinas accedan a Internet de forma trasparente, ocultas tras la máquina pasarela, la cual es la que aparece como el único sistema que está usando Internet El Sistema Operativo Linux, es por mucho, una mejor opción que los sistemas comerciales que ofrecen NAT, pues además de ser gratuito viene preparado con utilerías que los demás sistemas apenas empezaran a ofrecer y que muchos sistemas propietarios solo ofrecen en sus gamas altas. FUNDAMENTACIÓN Marco teórico Actualmente las direcciones IP públicas (Homologadas), son insuficientes para atender a toda la población de usuarios que demanda servicio de Internet, y por el mismo motivo, la obtención de una IP oficial homologada es costoso. Si contamos con una red local, funcionando con TCP/IP sobre un rango de direcciones privadas, es posible mediante un Traductor de Direcciones de Red, que las demás máquinas accedan a Internet de forma trasparente, ocultas tras la máquina pasarela, la cual es la que aparece como el único sistema que está usando Internet. Filtrado El filtrado de paquetes es un mecanismo de inspección, manejo y control de los paquetes que pasan por un sistema. Sirve para la implementación de Firewalls, Control de acceso, Interconexión de redes e Implementación de políticas de uso. 2. NAT La traducción de direcciones de red, es el cambio de la dirección de origen o destino de un paquete y la forma o control de cómo se hace. Y se utiliza para intercomunicar redes públicas y privadas, redirigir peticiones, compartir recursos (direcciones IP, medios de comunicación), ocultar la estructura de la red interna para la protección de sus nodos. 3. Funcionamiento Reglas Funciona mediante reglas o criterios para seleccionar paquetes, las cuales forman grupos, que se revisan secuencialmente verificando si el paquete concuerda con los criterios de selección. Por lo que el orden de las mismas importa, dado que es secuencial. Los criterios de selección de paquetes pueden ser entre otros: Protocolos (TCP, UDP, ICMP) Direcciones de origen Direcciones de destino Puertos (UDP, TCP) Interfaz Banderas de TCP (SYN, ACK) Tipo del paquete (ICMP) Acciones Una ves seleccionado el paquete, se toma una acción con el mismo, las cuales pueden ser: Permitir el paso del paquete. Tirar el paquete. Incrementar contadores.\n2 de 24 25/09/ :13 p.m. Incrementar contadores. Guardar en bitácora. Rechazar el paquete con algún error. Procesar con otro grupo de reglas. Modos de implementación IPFilter NetFilter Hardware IPFilter Propio de la familia BSD Escrito por Darren Reed Incluido en NetBSD, FreeBSD Licencia tipo BSD NetFilter Solución de los sistemas Linux. Primera y segunda generación Basado en ipfw (sistemas BSD) Escrito por Alan Cox Mejorado por Jos Vos Desde los kernels 1 Herramienta ipfwadn Tercera generación Código del kernel reescrito por Rusty Russell y Michael Neuling Para los kernels de las series 2.2 Herramienta ipchains Cuarta Generación Código del kernel reescrito por (el hamster de) Rusty Russell Para los kernels de las series 2.4 Herramienta iptables Extensible Licencia GNU GLP Hardware Incrustado en la circuitería de algunos de los sig. dispositivos. Routers de banda ancha Cable routers Semejanzas entre IPFilter y NetFilter Realizan un filtrado a nivel del kernel Paquetes IP en sus distintos protocolos asociados TCP, UDP, ICMP Herramientas de administración : ipf, ipfstat, ipnat para IPFilter. iptables para NetFilter Inspección Stateless y Stafeful Conteo de paquetes Política por omisión. Ambos paquetes tienen mecanismos para alterar sus acciones (quick, RETURN). Diferencias entre IPFilter y NetFilter Filosofías opuestas. IPFilter:\n3 de 24 25/09/ :13 p.m. IPFilter: Se ejecuta la acción de la última regla que coincide. Se dictan las políticas generales y luego excepciones. NetFilter: Se ejecuta la acción de la primera regla que coincide. Se identifica el caso del que se trata y se ejecuta una acción. PROCESO DE FILTRADO 0. IPFilter 0. Filtrado Los criterios pueden ser una combinación de características : pass in on x10 proto tcp from /32 to any port = 80 flags S/SA Las acciones son pass y block. El comportamiento de estas puede ser modificado por log, quick o los grupos. Dos juegos de reglas activos, entrada (in) y salida (out). block in all pass out all Cada juego tiene un grupo base (1). Se pueden formar nuevos grupos y toda regla puede ser miembro o cabeza de un grupo. pass in from any to /32 port = 80 head 333 block in from /24 to any group 333 head 334 pass in from /32 to any group 334 Se alimentan estas reglas al programa de interacción ipf f ipf.rules NAT Se especifica en la interfaz por la que salen tipos: Redirectdirección y puerto a dirección y puerto Mapred a red (no regulada) Bimapmapeo bidireccional Map-blockmapeo estático de direcciones a bloques de dirección y un rango de puertos. El caso mas ordinario: map /24 to portmap auto Se alimentan las reglas al programa ipnat ipnat f ipnat.rules NetFilter Las reglas tienen una parte de comparación (match), y una acción. Las acciones pueden ser: ACCEPT DROP alguna acción definida por una extensión una cadena Las cadenas son conjuntos de reglas, tienen una política (acción por omisión) Una tabla contiene a estas cadenas. Se pueden crear cadenas nuevas Iptables N mychain Se tienen 3 tablas: filter INPUT OUTPUT FORWARD\n4 de 24 25/09/ :13 p.m. FORWARD nat PREROUTING POSTROUTING mangle OUTPUT OUTPUT PREROUTING Ejemplos de reglas iptables iptables A OUTPUT j REJECT p tcp destination-port 113 reject-with tcp-reset iptables t filter A INPUT j ACCEPT p tcp d /32 s /24 i eth0 destination-port 80 m state NEW Existen 3 cadenas predefinidas incrustadas en netfilter: INPUT Trabaja con paquetes con destino en el servidor local. FORWARD Trabaja con paquetes que van de una interfaz o otra. OUTPUT Trabaja con paquetes con origen en el servidor local. Los paquetes van a la cadena INPUT ó FORWARD, pero no a ambas. Si se añade NAT, se utilizarán 2 cadenas adicionales: POSTROUTING PREROUTING Cuando un paquete llega a una interfaz, primero llega a la cadena PREROUTING si existe-. Aquí las direcciones de destino se cambian a (DNAT) para indicar otro servidor diferente. Si por ejemplo, el tráfico al puerto 80 del servidor local se va a mandar a un servidor interno, el destino se cambia aquí. El paquete llega entonces a la interfaz y el kernel hace la búsqueda en la tabla de encaminamiento para ver a dónde tiene que ir el paquete (al servidor local o a otra interfaz). Entonces el netfilter toma el paquete basándose en el destino (servidor local o interfaz de salida) y ejecuta la cadena INPUT o la FORWARD. Si el paquete pasa por la cadena FORWARD y no se rechaza, se le vuelve a pasar por la tabla de encaminamiento del kernel y se le envía a la interfaz apropiada. Mientras el paquete sale de la interfaz, netfilter hace pasar al paquete otra vez por las reglas de POSTROUTING. PREROUTING -> FORWARD->POSTROUTING PREROUTING->INPUT->proceso local->output->postrouting Cadenas Una cadena es una lista de reglas agrupadas lógicamente. Cada regla de la cadena de aplica contra la cabecera de una IP para buscar una correspondencia. Las cadenas contienen reglas que están numeradas a partir de uno. Y se hace referencia a ellas por su especificación o por su número. Una especificación de regla es el conjunto de condiciones que tiene que tener un paquete. La misma regla básica puede existir en múltiples cadenas, pero si la cadena objetivo es ACCEPT, DROP, REJECT, o MASQUERADE, este objetivo termina la cadena para que no se procesen más reglas en esta cadena. La sintaxis básica de las reglas de iptables es : iptables [-t tabla] comando especificación _de_regla [opciones] En la especificación de la tabla t, podemos utilizar la tabla filter Filtro. Es la cadena predeterminada. mangle Alteración nat Traducción de direcciones de red La tabla mangle se utiliza cuando se quiere modificar los bits de TOS, o poner una marca en el paquete, para que netfilter pueda hacer gestión de colas o para otros propósitos. La tabla nat se usa para SNAT, DNAT, y MASQUERADE e implementa las cadenas PREROUTING y POSTROUTING Se tiene que declarar la cadena que se vaya a utilizar, aun cuando cree o borre una cadena definida por el usuario. Sólo las cadenas incorporadas OUTPUT y PREROUTING pueden pertenecer a más de una tabla. Comandos -A append, agregar. Este comando acepta un nombre de cadena y la especificación de una regla como parámetros obligatorios. -D delete, eliminar. Acepta un nombre de cadena y la especificación de una regla o el número de regla como parámetros\n5 de 24 25/09/ :13 p.m. -D delete, eliminar. Acepta un nombre de cadena y la especificación de una regla o el número de regla como parámetros obligatorios. -C test / check, probar / comprobar. -s, -d, -p, e i son obligatorios. Este comando acepta un nombre de cadena y la especificación de una regla como parámetros obligatorios. -I insert, insertar. Es una extensión de append, pero la especificación de la regla se pone delante del número de regla al que hace referencia. Este comando acepta un nombre de cadena, el número de regla antes de la cual hacer la inserción y una especificación de regla como parámetros obligatorios. -R replace, reemplazar. insert y delete. Este comando acepta como parámetros obligatorios un nombre de cadena, un número de regla y la especificación de una regla. La especificación de regla reemplazará al número de regla de la cadena especificada. -F flush, vaciar. Borra todas las reglas de una cadena, o todas las reglas de todas las cadenas si no se especifica la información de ninguna cadena. -L list, enumerar. Enumera todas las reglas de una cadena o todas las reglas de todas las cadenas si no se especifica ningún nombre de cadena. -Z zero, poner a cero. Pone a cero los contadores. Pone a cero los contadores de la cadena especificada o de todas las cadenas si no se da el nombre de ninguna. -N new, nueva. Crea una cadena definida por el usuario. Este comando necesita sólo un nombre de cadena como parámetro obligatorio -X delete a user-defined chain, borrar una cadena definida por el usuario. Este comando necesita un nombre de cadena, y la cadena tiene que haber sido vaciada. Las cadenas predeterminadas no se pueden borrar. -P policy, política. Este comando acepta un nombre de cadena y un objetivo como argumentos obligatorios. -E rename chain, renombrar cadena. Este comando acepta el nombre de cadena viejo y el nombre de cadena nuevo como argumentos obligatorios. -h help, ayuda. Opcionalmente acepta un argumento. 2. Opciones Para máscaras de dirección, éstas pueden ser de los sig. tipos: /N o /N.N.N.N Las direcciones también pueden ser nombres de servidores. Los puertos pueden ser números o nombres de servicios.! Se puede utilizar con varias opciones para invertir el significado: -p[!] protocolo. Protocolo puede aceptar! (como por ejemplo p! icmp para hacer que se corresponda todos los mensajes excepto los icmp; o puede aceptar all para hacer que se corresponda todos los protocolos. -s[!] dirección. Dirección de origen. Puede aceptar opcionalmente!, una máscara de red o un puerto. Note que la dirección 0/0 se corresponderá con todas las direcciones y será lo predeterminado sin no se especifica s. -d[!] dirección. Dirección destino. igual que s -i[!] nombre. Nombre de la interfaz de entrada. Puede aceptar! También acepta el sufijo en el nombre de interfaz indicando todas las interfaces de ese tipo; esto es, ppp+ son todas las interfaces PPP (ppp0-pppn). Esta opción se puede referir sólo a la interfaz de entrada, así que no se puede utilizar en la cadena OUTPUT ni en la POSTROUTING (o cadenas llamadas desde esas cadenas). -o[!] nombre. Nombre de interfaz de salida. Parecido a i, pero se aplica sólo a la interfaz de salida y sus correspondientes cadenas. -j objetivo. Objetivo de la regla (nombre de cadena definido por el usuario o valor especial), si lo hay. Valores especiales, ACCEPT, DROP, QUEUE o RETURN, terminan la cadena. -n. Salida numérica de direcciones y puertos. iptables intenta resolverlos de manera predeterminada. -v. Modo verboso. Muestra las direcciones de interfaz, opciones de reglas (si las hay), máscaras TOS y los contadores de paquetes y bytes. Utilice vv si quiere obtener informes extremadamente verbosos. -x. Número de expansión. Cuando se muestran los contadores de paquetes y de bytes, no utiliza las abreviaturas K, M ni G, sino que muestra todos los ceros. [!] -f. Fragmentos segundo y siguientes. Puede ir precedido de!. --line-numbers. Usado con reglas de enumeración para mostrar los números de línea delante de las especificaciones de regla como referencia. --sport [!] puerto[:puerto]. Válido sólo siguiendo a la opción p tcp o a la p udp. Especifica un puerto origen o un rango de ellos (los rangos se especifican utilizando o : para separar el principio y el final del rango). También se puede utilizar con la opción de correspondencia multiport (multi-puerto, con la que se pueden enumerar hasta 15 puertos). Los fragmentos de la regla pueden tener el siguiente aspecto: -p tcp -sport 0:1023 -m multiport p tcp -sport 25, dport[!] puerto[:puerto]. Válido sólo siguiendo a la opción p tcp o a la p udp. parecido al -sport, previo, pero especifica el puerto(s) destino. --tcp-flags [!] indicadores indicadores-activos. Válido sólo siguiendo a la opción p tcp. Esta opción consulta a los indicadores enumerados en indicadores y establece entonces una correspondencia si los indicadores del conjunto indicadores-activos son los únicos indicadores activados. Los indicadores posibles son :SYN, ACK, FIN, RST, URG, PSH, y ALL NONE. Si quiere examinar los indicadores SYN,\n6 de 24 25/09/ :13 p.m. indicadores activados. Los indicadores posibles son :SYN, ACK, FIN, RST, URG, PSH, y ALL NONE. Si quiere examinar los indicadores SYN, ACK, RST y FIN, pero aceptar sólo aquellos con los indicadores SYN y ACK establecidos (respuesta a una conexión nueva) el fragmento de regla tendría este aspecto: -p tcp - - tcp-flags SYN, ACK, RST, FIN SYN, ACK [!] - - syn. Válido sólo siguiendo a la opción p tcp. esto equivale a lo siguiente: - - tcp-flags SYN, RST, ACK SYN --icmp-type [!] ICMP [sub]tipo. Válido sólo siguiendo a la opción p icmp. Los siguientes son tipos y subtipos ICMP válidos. (indentados bajo el tipo principal): echo-reply (pong) destination-unreachable source-quench redirect network-unreachable host-unreachable protocol-unreachable port-unreachable fragmentation-needed source-route-failed network-unknown host-unknown network-prohibited host-prohibited TOS-network-unreachable TOS-host-unreachable communication-prohibited host-precedence-violation precedence-cutoff network-redirect host-redirect echo-request (ping) router-advertisement router-solicitation TOS-network-redirect TOS-host-redirect time-exceeded (ttl-exceeded) parameter-problem timestamp-request timestamp-reply ttl-zero-during-transit ttl-zero-during-reassembly ip-header-bad address-mask-request address-mask-reply required-option-missing --mac-source [!] dirección-mac. Sólo válido si sigue a la opción m mac. Útil con las cadenas INPUT o PREROUTING. Un fragmento de la regla tendría el siguiente aspecto : -m mac - - mac-source 00:00:ab:c0:45:a8 --limit tasa. Tasa máxima de correspondencias (medio). El valor predeterminado es 3/hora; todo lo que sobrepase ese límite se rechaza. Si su sistema no puede tolerar más de una nueva conexión por segundo, puede usar el límite con este fragmento de regla: -p tcp - - syn Para evitar que su servidor se sobrecargue, aunque esto normalmente se utiliza con el objetivo LOG para evitar que los registros crezcan demasiado rápidamente. La tasa puede especificar el periodo (el predeterminado es /hour, hora) como /minute (minutos), /second (segundos), /hour (horas) o /day (días). Fragmento de regla: -m limit - -limit 1/sec\n7 de 24 25/09/ :13 p.m. (horas) o /day (días). Fragmento de regla: -m limit - -limit 1/sec --limit-burst número. Número máximo inicial de correspondencias antes de empezar a utilizar el limit rate precedente. El valor de la ráfaga (burst) se vuelve a poner a uno cada vez que el - - limit rate anterior se ha alcanzado. El valor de - - limit-burst predeterminado es 5. --port [puerto[,puerto]]. Solamente válido con la opción p tcp o la p udp y después de la opción m multiport. Se establece una correspondencia si los puertos origen y destino son el mismo, y se establece una correspondencia con cualquier otro puerto opcional enumerado (se permiten hasta 15 puertos separados por comas). Esto es un ejemplo de fragmento de regla multiport que establece un correspondencia sólo entre los puertos 25 y 110: -m multiport p tcp - - port 25, mark valor[/máscara]. Hace que se correspondan paquetes con una marca dada (un valor sin signo). Este valor debe ser establecido utilizando el objetivo MARK. - uid-owner id-de-usuario. Válido sólo cuando se utiliza en la cadena OUTPUT para identificar paquetes creados por un usuario concreto, e incluso entonces funciona sólo con algunos paquetes creados localmente. --gid-owner id-de-grupo. Similar a uid-owner, pero se aplica al grupo. --pid-owner id-de-proceso. Similar a uid-owner, pero se aplica al identificador de proceso (PID). --sid-owner id-de-sesión. Similar a uid-owner, pero se aplica a la sesión. --state estado. Establece correspondencias entre estados de conexiones TCP. El parámetro estado es una lista separada por comas de valores que constan de uno o más de los siguientes valores: NEW, ESTABLISHED, RELATED, INVALID, El NEW se refiere a conexiones nuevas (parecido a syn, pero incluye toda la información de la conexión nueva). El ESTABLISHED se refiere a una conexión actualmente existente y válida. El RELATED se refiere a paquetes que inician una conexión debido a una conexión ESTABLISHED (como la conexión de canal de datos FTP o los mensajes de error ICMP, que no tienen estado de puerto ni de conexión). Utilizará normalmente ESTABLISHED y RELATED juntos. El estado INVALID se refiere a paquetes no cubiertos por los casos anteriores como las exploraciones que utilizan pings TCP, paquetes con los bits SYN y ACK puestos a 1 que no tienen un paquete SYN correspondiente, o exploraciones de árbol XMAS, con todos los bits puestos a 1 (SYN, ACK, FIN, URG, PSH, RST). Un fragmento de regla puede que tenga este aspecto: -m state state ESTABLISHED, RELATED unclean. Una opción experimental diseñada para establecer correspondencia con paquetes raros o mal formados: -m unclean --tos tos. Utilizado para emparejar una de las siguientes máscaras TOS. El valor TOS debe establecerse primero con netfilter utilizando el objetivo TOS que se ha visto anteriormente. Algunos fragmentos de la regla pueden tener este aspecto : -m tos --tos 16 Si se quiere implementar prioridades de encaminamiento basadas en el servicio (TOS) se deben utilizar los valores de la tabla No. Tabla No. 1 PRIORIDADES DE ENCAMINAMIENTO BASADAS EN TOS Nombre de TOS TOS numérico Valor Hexadecimal Ejemplos Retraso Mínimo 16 0x01 0x10 FTP, telnet, ssh Rendimiento Máximo 8 0x01 0x08 FTP-datos Fiabilidad Máxima 4 0x01 0x04 snmp, DNS Coste Mínimo 2 0x01 0x02 nntp, Servicio Normal 0 0x01 0x00 Objetivos iptables Un objetivo es una acción que hay que llevar a cabo cuando los paquetes se corresponden con la especificación de la regla. Todas las cadenas embebidas tendrán una política predeterminada que, en caso de que no haya ninguna otra regla que la anule, determine el futuro del paquete. Todas las políticas están predeterminadas a ACCEPT. Además de los objetivos incorporados ACCEPT, DROP, QUEUE, RETURN, existen otros si cargado los módulos. Los objetivos que se incluyen actualmente : LOG. Permite que los paquetes con los que se ha establecido una correspondencia sean registrados. El objetivo LOG puede aceptar cualquiera de los siguientes parámetros opcionales: - -log-level nivel. Permite especificar el nivel de registro. - - log-prefix prefijo. Le permite añadir hasta 14 caracteres como la primera parte del registro para identificar la entrada de registro. - -log-tcp-sequence. Registrará los números de secuencia de TCP (un posible riesgo de seguridad). - -log-tcp-options. Lee y registra el campo de options de la cabecera del paquete TCP. - -log-ip-options. Lee y registra el campo de options de la cabecera del paquete IP. MARK. Establece la marca de cortafuegos (fwmark) para que la utilicen las subsiguientes reglas. Esto requiere la tabla mangle (-t mangle) y tiene el siguiente parámetro obligatorio: - - set mark marca. La marca será un valor numérico.\n8 de 24 25/09/ :13 p.m. REJECT. Equivalente a DROP, pero se devuelve un mensaje de error. Solamente válido en las cadenas INPUT, FORWARD y OUTPUT (igual que DROP o ACCEPT). REJECT tiene el siguiente parámetro opcional: - - reject-with tipo. Le permite cambiar el mensaje predeterminado icmp-net-unreachable (red icmp no accesible) por uno de éstos : icmp-host-unreachable (servidor icmp no accesible), icmp-port-unreachable (puerto icmp no accesible) o icmp-proto-unreachable (protocolo icmp no accesible), Si la regla específica p icmp, entonces el parámetro reject-with puede aceptar echo-reply (respuesta de eco). TOS. Permite dar valor al campo de tipo de servicio. Solamente válido en la cadena PREROUTING o en la OUTPUT. Acepta un argumento obligatorio: - - set-tos tos. Donde tos puede ser uno de los valores numéricos de la tabla No MIRROR. Objetivo experimental que intenta hacer de espejo de los paquetes conmutando las direcciones IP de origen y destino. Válido solamente en las cadenas INPUT, FORWARD y OUTPUT. SNAT. Necesita la tabla nat (-t nat) y es válido solamente en la cadena POSTROUTING. Acepta un argumento obligatorio: - -to source dirección-ip[-dirección-ip] [:puerto-puerto]. Cambia la dirección origen del paquete de salida a la especificada en el parámetro. Cambiará también los puertos de los protocolos udp y tcp, si es necesario. Normalmente, no habrá alteración de puertos. DNAT. Necesita la tabla nat (-t nat) y es válido solamente en la cadena PREROUTING. Acepta un argumento obligatorio: - -to-destination dirección-ip[-dirección-ip] [:puerto-puerto]. Cambia la dirección destino del paquete de entrada a la(s) especificada(s) en el parámetro. Cambiará también los puertos de los protocolos udp y tcp si es necesario. Normalmente, no habrá alteración de puertos. MASQUERADE. Necesita la tabla nat (-t nat) y es válido solamente en la cadena POSTROUTING. Par uso de conexiones de acceso telefónico. Acepta un parámetro opcional: - -to-ports puerto[-puerto]. Este comando toma preferencia sobre la heurística de selección de puerto predeterminada. Válido solamente con p tcp o p udp. REDIRECT. Necesita la tabla nat (-t nat) y es válido solamente en las cadenas PREROUTING Y OUTPUT (o cadenas definidas por el usuario que se llamen desde esas cadenas). Envía paquetes a localhost. Acepta un parámetro opcional: - -to ports puerto[-puerto]. Este comando toma preferencia sobre la heurística de selección de puerto predeterminada. Válido solamente con p tcp o p udp. Cadenas definidas por el usuario Las cadenas definidas por el usuario proporcionan una manera de agrupar reglas de forma lógica. Se llama a estas cadenas desde cadenas predefinidas como objetivos. En cualquier punto de la cadena puede llamar a una cadena definida por el usuario desde la misma tabla. Cuando una cadena definida por el usuario termina sin establecer ninguna correspondencia, vuelve al siguiente parámetro de la cadena de llamada. Cuando se crean las cadenas definidas por el usuario, los nombres deben ir en minúsculas, dado que las mayúsculas se reservan para las cadenas predefinidas y para los objetivos. El nombre no puede ser ninguno de los nombres de las cadenas predefinidas ni de los valores especiales. Control de tráfico A partir del kernel 2.2.X, Linux posee un subsistema de red rediseñado, gracias al cual las facilidades como el routing, cortafuegos y código de clasificación de tráfico, se realizan ahora mediante la herramienta IPROUTE2. Además de que hace el trabajo que se hacía con ifconfig y route. IPROUTE2 proporciona 2 herramientas: ip tc (traffic control) En el nuevo diseño del subsistema de networking para Linux es posible definir varias tablas de enrutado, de forma que se puede decidir qué tabla es utilizada por un determinado tráfico IP. Esto es, podemos clasificar nuestro tráfico IP y aplicar un conjunto distinto de reglas de enrutado para cada tipo de tráfico. Por defecto hay tres tablas: local main default cada una con una prioridad distinta, y que se aplican a todos los tráficos. Para comprobar el número de tablas definidas en nuestro equipo, y como se clasifican los paquetes para ir a cada una de ellas, se ejecuta el siguiente comando de iproute2: # ip rule list La tabla local es la primera en ser aplicada y es la que tiene la prioridad menor. Por ejemplo supongamos que tenemos un router Linux con dos enlaces a Internet, uno de ellos con mayor ancho de banda que el otro. Supongamos además que damos acceso a Internet a una red clientes, de forma que proporcionamos dos tipos de servicio. El primero de ellos es un acceso sólo para consultar el hotmail y el segundo es un servicio de acceso normal. Lógicamente el primer servicio es más barato que el segundo, por lo que utilizará el acceso de menor ancho de banda. La dirección del acceso con mayor ancho de banda es y es un enlace PPP a la dirección el acceso de menor ancho de banda tiene dirección y es un enlace a la dirección Además nuestros clientes con acceso a hotmail tendrán una dirección de red /24, mientras que nuestros clientes con acceso normal tendrán una dirección de la red /24. Para implementar lo anterior, creamos la tabla y generamos la nueva regla a la que llamamos hotmail : # echo 200 hotmail >> /etc/iproute2/rt_tables # ip rule add from /24 table hotmail Si listamos nuestras tablas: # ip rule ls\n9 de 24 25/09/ :13 p.m. 0: from all lookup local 32765: from /24 lookup hotmail 32766: from all lookup main 32767: from all lookup default Ahora añadimos la ruta a la tabla hotmail y reiniciamos el caché de rutas: # ip route add default via dev ppp2 table hotmail # ip route flush cache Los usuarios de la red /24 accederán a través del otro acceso a Internet, el cuál estará configurado como gateway en las tablas por defecto. Para el control de tráfico, se usan los filtros y las colas. Los filtros colocan los paquetes en las colas y estas deciden qué paquetes mandar antes que otros. Filtros fwmarkmediante netfilter u32mediante las cabeceras de los paquetes Colas sin Clases PFIFO_FAST TOKEN BUCKET FILTER STOCHASTIC FAIRNESS QUEUEING Colas con clases PRIO CBQClass-Based Queueing HTBHierarchical Token Bucket Disciplinas de colas para la gestión de tráfico 0. Disciplina de colas Es el algoritmo que gestiona el proceso de encolar paquetes en un dispositivo (interfaz de red). Esta gestión puede ser tanto en la cola de entrada (ingress), como en la cola de salida (egress). Disciplina de colas sin clases Es aquella disciplina de colas que no admite una subdivisión interna que pueda ser configurada por el usuario. 2. Clases y Disciplinas de colas con clases Una disciplina de colas con clases puede contener muchas clases, cada una de las cuales es interna a la disciplina de colas. Además, cada clase contiene una nueva disciplina de colas, que puede ser con clases o sin ellas. 3. Clasificador y filtro Las disciplinas de colas con clases necesitan determinar a qué clase envían cada paquete que llega. Esto lo hacen utilizando un clasificador. A su vez la clasificación la llevan a cabo utilizando filtros, los cuales determinan una serie de condiciones que deben cumplir los paquetes. 2. DISCIPLINAS DE COLAS SIN CLASES Tienen la capacidad de reordenar, retrazar o descartar los paquetes que van llegando para ser enviados: Paquetes a enviar? [ reordena retraza descarta ]? Paquetes enviados Existen tres procesos de este tipo para encolar paquetes: PFIFO_FAST TOKEN BUCKET FILTER STOCHASTIC FAIRNESS QUEUEING PFIFO_FAST Esta disciplina de colas está formada por tres bandas (0, 1 y 2). Dentro de cada banda los paquetes son enviados siguiendo una política FIFO (First In, First Out). Pero ningún paquete de la banda 1 es enviado mientras existan paquetes por enviar de la banda 0, y lo mismo ocurre para la banda 2. Es decir, existe una prioridad definida entre dichas bandas, siendo la banda 0 la más prioritaria y la banda 2 la de menor prioridad. Aunque la cola pfifo_fast tiene una subdivisión interna de tres bandas, no puede ser modificada por el usuario. Para determinar los paquetes que van a cada banda se utiliza el campo TOS de la cabecera IP del mismo. El proceso consiste en que el kernel de Linux primero da una determinada prioridad a los paquetes en función del valor del campo, y posteriormente existe un mapeo de prioridades, definibles por el usuario, entre la prioridad asignada por el kernel y cada\n10 0 de 24 25/09/ :13 p.m. posteriormente existe un mapeo de prioridades, definibles por el usuario, entre la prioridad asignada por el kernel y cada una de las tres bandas. Los valores mas importantes para el campo TOS de la cabecera IP están dados en la tabla No. 2 y el mapeo en la tabla No. 3: Tabla No. 2 Prioridades para el campo TOS de la cabecera IP Binario Decimal Significado Minimize delay (md) Maximize throughput (mt) Maximize reliability (mr) Minimize monetary cost (mmc) Normal Service Tabla No. 3 Mapeo de prioridades pfifo_fast Para ver el gráfico seleccione la opción "Descargar" del menú superior La columna Banda pfifo_fast es la que determina cómo se mapea cada una de las prioridades del kernel de Linux a las bandas de la disciplina de colas. Este mapeo es configurable por el usuario a través del parámetro priomap. 2. Token Bucket Filter Este tipo de disciplina es el que se utiliza en el caso de que nuestra única necesidad sea limitar el ancho de banda de un determinado interfaz. El modelo de funcionamiento consiste en suponer que tenemos un buffer (bucket) al cual llegan los denominados tokens a un ritmo constante. Estos tokens además serán los que utilizarán los paquetes IP para salir del interfaz de red. Es como si cada paquete IP tuviese que esperar a una carretilla (token) que será la encargada de sacarlo del interfaz. Así pues, en función de cómo sean los ritmos de llegada de tokens y paquetes IP las situaciones que pueden plantearse son tres: Los paquetes IP llegan al mismo tiempo que los tokens. Es este caso, cada paquete IP es asignado automáticamente a una de las carretillas que lo sacará del interfaz. Los paquetes IP llegan a un ritmo mayor que el de los tokens. En este caso, los paquetes IP tendrán que esperar durante un tiempo a que haya disponible una carretilla que les pueda sacar. Se esta situación se prolonga, parte de los paquetes IP que esperan empezarán a ser descartados con lo cual limitamos el ancho de banda. Los paquetes IP llegan a un ritmo menor que el de los tokens. En este caso, cada paquete IP será asignado automáticamente a una carretilla que lo sacará del interfaz. Además los tokens que no han sido utilizados para sacar ningún paquete IP, serán almacenados en el buffer (bucket) hasta alcanzar el límite del mismo. De esta forma, si cambiara la tendencia y empezaran a llegar paquetes IP a un mayor ritmo, se podrían utilizar estos tokens almacenados para sacar, de manera instantánea, parte de esos paquetes IP que llegan. En realidad los tokens tienen correspondencia con bytes y no con paquetes IP, pero el resto del modelo es bastante aproximado. Por ejemplo, supongamos que tenemos una interfaz de red (eth0) del que queremos limitar el acho de banda de salida para que no sature a otro equipo que utilizamos como gateway de salida a Internet. Supongamos que queremos limitar el ancho de banda a 220 Kbits/seg. : # tc qdisc add dev eth0 root tbf rate 220kbit latency 50ms burst 1540 tc qdisc add dev eth0. Se va a añadir una disciplina de colas en el interfaz eth0. tbf. La disciplina es del tipo Token Bucket Filter. rate 220kbit. El ritmo al que llegarán los tokens a la disciplina de colas será de 220 Kbits/seg. y por lo tanto éste será el máximo ancho de banda de salida para la interfaz eth0. latency 50ms. El tiempo máximo que permanecerá un paquete IP esperando por un token será de 50 milisegundos. burst El tamaño del buffer (bucket) donde se almacenarán los tokens no utilizados será de 1540 bytes. Normalmente mientras mayor es el límite impuesto al ancho de banda, mayor deberá ser el tamaño de este bucket. Stochastic Fairness Queueing Este tipo de disciplina de colas intenta distribuir el ancho de banda de un determinado interfaz de la forma más justa posible. Pare ello esta disciplina implementa una política de Round Robin entre todos y cada uno de los flujos de comunicación establecidos en el interfaz, dando a cada uno la oportunidad de enviar sus paquetes por turnos. Un flujo de comunicación será cualquier sesión TCP o flujo UDP, y de esta forma\n11 1 de 24 25/09/ :13 p.m. lo que conseguimos es que ninguna comunicación impida al resto poder enviar parte de la información. Lógicamente esta disciplina de colas sólo tendrá sentido en aquellos interfaces que normalmente estén saturados y en los que no queramos que una determinada comunicación eclipse al resto. DISCIPLINAS DE COLAS CON CLASES Cuando los paquetes IP llegan a una disciplina de este tipo, son enviados a una de las clases que la componen, es decir, necesitan ser clasificados. Para realizar esta clasificación se consultan los filtros asociados a la disciplina de colas, los cuales devuelven un resultado que permite a la disciplina de colas determinar a qué clase debe ser enviado el paquete. Además, cada clase sabemos que tiene asociada una nueva disciplina de colas (con o sin clases), con lo que nuevas consultas a filtros pueden ser realizadas hasta conseguir clasificar el paquete completamente. En Linux, cada interfaz de red tiene una disciplina de colas de salida (egress) llamada root, que es la primera de su estructura interna. Por defecto, si no se especifica otra cosa, esta disciplina es del tipo pfifo_fast. Además, a cada disciplina de colas le es asignado un manejador que se utilizará en los comandos de configuración de dicha disciplina. Estos manejadores constan de dos partes, un numero mayor y un número menor separados por :, así el manejador de la disciplina de colas root es 1:0. Normalmente el número menor del manejador de una disciplina de colas es siempre cero, y el número mayor de las clases adjuntas a una disciplina de colas debe coincidir con el número mayor de la misma. 0. Disciplina de colas PRIO Esta disciplina de colas recuerda a la disciplina sin clases pfifo_fast, aunque es mucho más versátil y ofrece mayores posibilidades. Por defecto esta disciplina de colas define tres clases, y cada una de ellas tiene asociada una nueva disciplina de colas con política FIFO. Entre las tres clases existe una prioridad de forma que mientras haya un paquete en la clase 1 no se envían paquetes de la clase 2, y lo mismo entre las clases 2 y 3. En esta clase podemos definir los filtros que consideremos necesarios, de forma que no estamos limitados a hacer una clasificación de los paquetes en función del campo TOS, sino que podemos hacer una clasificación tan compleja como queramos. Aunque por defecto cada una de las tres clases asociadas a la disciplina PRIO tienen una disciplina con política FIFO, en realidad podemos definir la disciplina de colas que queramos. Por tanto, podría ser por ejemplo una nueva disciplina con clases, filtros asociados, etc. 0. Parámetros de las disciplinas de colas PRIO En este tipo de disciplinas se pueden configurar dos parámetros: bands. Este parámetro permite especificar el número de clases (por defecto 3) que queremos que tenga la disciplina. priomap. Podemos decidirnos por no adjuntar ningún filtro que realice la clasificación del tráfico entre las distintas clases que tengamos. En este caso la clasificación se hace siguiendo el mismo criterio (campo TOS) que en el caso de la disciplina pfifo_fast. Así, este parámetro permite determinar el mapeo que queremos establecer entre las prioridades del kernel de Linux, y nuestras clases. Por ejemplo supongamos un interfaz en el que queremos dar prioridad al tráfico que necesita interactividad, frente al resto del tráfico. Para ello crearíamos la estructura en la disciplina de colas mostrada en la tabla No. 4: Tabla No. 4 Ejemplo de prioridad con disciplina PRIO Para ver la tabla seleccione la opción "Descargar" del menú superior El tráfico normal es enviado a la clase 30:, el tráfico que necesita interactividad es enviado a las clases 20: o 10:. Los comandos serían los siguientes: Esta orden crea de forma instantánea las clases 1:1, 1:2, 1:3 # tc qdisc add dev eth0 root handle 1: prio A continuación adjuntamos las disciplinas de colas a cada una de las tres clases # tc qdisc add dev eth0 parent 1:1 handle 10: sfq # tc qdisc add dev eth0 parent 1:2 handle 20: tbf rate 20kbit buffer 1600 limit 3000 # tc qdisc add dev eth0 parent 1:3 handle 30: sfq Ahora podemos comprobar lo que hemos creado: # tc s qdisc ls dev eth0 qdisc sfq 30: quantum 1514b Sent 0 bytes 0 pkts (dropped 0, overlimits 0) qdisc tbf 20: rate 20 Kbit burst 1599b lat 667.6ms Sent 0 bytes 0 pkts (dropped 0, everlimits 0) qdisc sfq 10: quantum 1514b Sent 132 bytes 2 pkts (dropped 0, overlimits 0)\n12 2 de 24 25/09/ :13 p.m. qdisc prio 1: bands 3 priomap Sent 174 bytes 3 kpts (dropped 0, overlimits 0) Si comprobamos este mapeo de prioridades entre el kernel de Linux y nuestras tres clases, veremos como efectivamente hemos conseguido lo que íbamos persiguiendo. Para ello es necesario recordar que la banda 0 corresponde a la clase 1:1, la banda 1 a la clase 1:2 y la banda 2 a la clase 1:3. Disciplina de colas Class-Based Queueing (CBQ) Esta disciplina de colas fue la primera que se creó, y probablemente la más utilizada. De hecho, en muchos ámbitos aún se asocia el Control de Tráfico en Linux exclusivamente en referencia a este tipo de disciplina de colas. CBQ es la más compleja, menos entendida y más empírica de todas las disciplinas de colas. Esto obedece básicamente al hecho de que, además de ser una disciplina de colas con clase, CBQ ofrece la capacidad de regular el ancho de banda (shaping), siendo en este terreno donde surgen sus mayores dificultades. Supongamos que se intenta reducir el ancho de banda de una conexión de red de 10 Mbit/seg a 1 Mbit/seg. Para lograrlo tendremos que conseguir que el enlace esté inactivo el 90 % del tiempo. Sin embargo, medir con exactitud ese porcentaje entraña mucha dificultad. CBQ utiliza un algoritmo basado en la estimación del intervalo de tiempo trascurrido entre dos peticiones consecutivas del hardware para el envió de datos. Así, se ha comprobado que no siempre se consiguen buenas aproximaciones de este modo, e incluso a veces los resultados son totalmente equívocos. No obstante, para la mayoría de las situaciones, este algoritmo trabaja de forma adecuada cumpliendo perfectamente con nuestras necesidades. 0. Parámetros CBQ para ajustar la regulación del ancho de banda. CBQ trabaja intentando que el enlace esté inactivo durante un porcentaje de tiempo que asegure que se regula hasta conseguir el ancho de banda deseado. También hemos hecho referencia a la complejidad del algoritmo y su falta de exactitud en determinadas situaciones. De hecho, el número de parámetros que se utilizan para esta tarea es elevado y a veces no se sabe cuál es exactamente su función, de ahí que en la mayoría de ocasiones debe ser la propia experiencia la que enseñe como jugar con estos parámetros. Algunos de los más importantes son: avpkt. Tamaño medio del paquete medido en bytes bandwidth. Ancho de banda del dispositivo físico. Se necesita para calcular el tiempo muerto entre petición y petición. mpu. Tamaño mínimo del paquete. Es necesario porque incluso un paquete de cero bytes de datos da lugar a una trama Ethernet de un tamaño mínimo distinto de cero. rate. Ancho de banda regulado con el que queremos que funcione nuestra disciplina de colas. Parámetros CBQ para definir el comportamiento como disciplina de colas con clases. Al igual que la disciplina PRIO, CBQ permite definir prioridades dentro de las clases que componen su estructura interna. De esta forma, cada vez que el nivel hardware solicita un paquete, CBQ lanza un proceso Round Robin por prioridades. Para la confirmación de este proceso CBQ pone a disposición del usuario los siguientes parámetros: prio. Establece las distintas prioridades entre las clases que componen la estructura interna de la disciplina de colas. allot y weight. Ambos parámetros permiten configurar el hecho de que aquellas clases con un mayor ancho de banda puedan enviar mayor cantidad de información cada vez que les toque el turno durante el proceso Round Robin por prioridades. Parámetros CBQ para definir la posibilidad de prestar y pedir prestado ancho de banda entre las distintas clases. Manteniendo siempre la limitación global en el ancho de banda establecido para la disciplina de colas CBQ, existe la posibilidad de que entre las clases se presten ancho de banda en el caso que sea posible. Los parámetros de que se dispone para ellos son: isolated / sharing. Una clase configurada con el parámetro isolated no prestará nunca ancho de banda a sus hermanas. El comportamiento contrario viene establecido por el parámetro sharing. Por defecto, si no se indica lo contrario se supondrá que el sharing está activo. bounded / borrow. Una clase configurada con el parámetro bounded no intentará pedir prestado ancho de banda a ninguna de sus hermanas. El comportamiento contrario viene establecido por el parámetro borrow. Por defecto, si no se indica nada, se supondrá que el borrow está activo. Básicamente CBQ es muy apropiada para casos en los que se dispone de un ancho de banda fijo que se quiera dividir en varios propósitos, dando a cada uno de ellos un ancho de banda garantizado, y con la posibilidad de prestar ancho de banda entre ellos. Disciplina de colas Hierarchical Token Bucket (HTB). HTB tiene una funcionalidad muy similar a la de CBQ, aunque su implementación es completamente distinta y sus configuración mucho más sencilla. El único pero es que HTB aún no forma parte del kernel estándar de Linux y hay que parcharlo y recompilarlo para utilizarla UTILIZACIÓN DE FILTROS PARA LA CLASIFICACIÓN DE PAQUETES. Sabemos que en las disciplinas de colas con clases es necesario llevar a cabo una clasificación del tráfico. Es decir, es necesario determinar a qué clase debe ir cada paquete IP. Para ello utilizamos el concepto de filtro que asociaremos a cada disciplina de colas en la que sea necesario llevar a cabo una clasificación. Las posibilidades a la hora de filtrar los paquetes son múltiples, incluso hay algunos tipos de filtros que son específicos de determinadas disciplinas de colas.\n13 3 de 24 25/09/ :13 p.m. u32mediante las cabeceras de los paquetes fwmarkmediante netfilter route Filtro u32 Este tipo de filtro proporciona una versatilidad enorme al permitir muchos criterios a la hora de llevar a cabo el filtrado, lo cual hace que sean los más ampliamente utilizados. Por definición, este tipo de filtro permite filtrar en función de cualquier conjunto de bits, tanto de la cabecera del paquete IP, como de la cabecera del segmento de datos. Sin embargo, este tipo de utilización es bastante complicada, por lo que normalmente se suelen utilizar formas más directas para estos filtros. Así, algunos de estos criterios directos son: Dirección IP de origen / destino del paquete Protocolo utilizado tcp, udp, icmp, gre,... Puertos de origen y destino utilizados Valor del campo TOS de la cabecera IP Por ejemplo: # tc filter add dev eth0 parent 10:0 protocol ip prio 1 u32 \_ mach ip src /32 mach ip dport 80 0xffff flowid 10:1 Este filtro seleccionará aquellos paquetes IP que tenga como dirección origen y puerto destino el 80. Filtro route Este tipo de filtros toman su decisión en función del resultado obtenido al pasar el paquete IP por la tabla de rutas. Por ejemplo: # ip route add /24 via dev eth1 realm 10 Con este comando indicamos que los paquetes que vayan a cualquiera de las direcciones /24 será marcado con el realm 10 si son consultados por un filtro de tipo route. # tc filter add dev eth1 parent 1:0 protocol ip prio 100 \_ route to 1 0 classid 1:10 Como vemos, cualquier paquete con destino /24 será enviado a la clase con manejador 1: Instalación del S.O. Linux, distribución Red Hat. La instalación se realizó con los CD s quemados a partir de las imágenes iso, del Red Hat Linux release 9 Shrike, Kernel , bajadas de un espejo encontrado a través de Con la 9 Shrike, la configuración de las tarjetas de red, se realiza con el control de dispositivos de red, en el entorno X s. Anteriormente se realizaba mediante linuxconf desde la consola. CONFIGURACIÓN NAT Introducción Linux utiliza el software netfilter a través de una interfaz a nivel de usuario llamada iptables para llevar a cabo un filtrado de paquetes de estados completos. Utiliza la misma interfaz de nivel de usuario para llevar a cabo la traducción de direcciones de red (NAT), el enmascaramiento y el reencaminamiento de puertos. Básicamente, existen dos tipos de cortafuegos en Linux y cada tipo básico tiene sus subtipos. Los dos tipos básicos son filtros de paquetes y cortafuegos proxy. Los filtros de paquetes pueden ser : Reencaminamiento. Es en este tipo de cortafuegos de filtro de paquetes donde se toma la decisión de reencaminar o no. Enmascaramiento. Estos cortafuegos rescriben las direcciones de origen y destino. Los cortafuegos proxy pueden ser: Estándar. Con este tipo, un cliente se conecta a un puerto especial y se le redirecciona para salir por otro puerto. Transparente. Con este cortafuegos, el cliente no usa un puerto especial, sino que el software del cortafuegos hace las funciones de proxy de la conexión de modo transparente. Filtros de paquetes Los cortafuegos de filtrado funcionan siguiendo este principio: la información que se necesita para tomar una decisión sobre qué hacer con un paquete está en la cabecera. La cabecera contiene información sobre las direcciones origen y destino, el tiempo de vida (TTL), el protocolo, y mucha más información. También contiene la suma de comprobación de la cabecera, que ayuda a identificar si la cabecera ha sido corrompida. En resumen, en una cabecera de IP van contenidos unos trece campos distintos, muchos de los cuales contienen múltiples piezas de información.\n14 4 de 24 25/09/ :13 p.m. IP no comprueba el valor de payload nada más que para ver si es del tamaño correcto. El protocolo de control de transporte TCP, es el responsable de asegurar la integridad de la carga. Los paquetes UDP no tienen ningún método de comprobación de errores inherente. Linux, desde el kernel 2.4.0, utiliza netfilter y la herramienta de nivel de usuario iptables, para proporcionar el filtrado de paquetes. Para implementar un cortafuegos de filtrado de paquetes, se tienen que tomar decisiones al respecto de qué tipo de paquetes filtrar específicamente y qué hacer con ellos cuando se encuentran esos paquetes. El software de iptables permite aplicar varios criterios diferentes a los paquetes. Los criterios se pueden aplicar a paquetes de entrada, de salida, o a paquetes que atraviesen el cortafuegos. Estás decisiones se pueden basar en: de dónde vienen los paquetes por la dirección, a dónde van por la dirección o a dónde van por el puerto. Se pueden aplicar diferentes reglas, dependiendo de si son paquetes TCP, paquetes UDP o paquetes ICMP. La forma de funcionamiento de netfilter también permite manipular el post y preencaminamiento de los paquetes, y pude filtrar conexiones basándose en conexiones nuevas, establecidas o relacionadas, igual que con los paquetes de dirección, basándose en indicadores específicamente activados en el paquete. Netfilter también pude alterar los paquetes, cambiando los indicadores, que se pueden utilizar luego para cambiar la prioridad de la colocación de los paquetes en la cola. Finalmente, para aquellos paquetes que no tienen especificado un tratamiento concreto, la política general determina su destino final. La capacidad de netfilter de manejar paquetes asociados con conexiones establecidas o relacionadas, la convierte en una herramienta de "estados completos". Éste es un término empleado por el marketing, del que se abusa, y que significa que el software puede hacer el seguimiento total de las conexiones. De hecho, cualquier software de filtrado de paquetes (como ipchains, anterior al kernel 2.2.x de Linux) que permite secciones activas de FTP, es de estados completos. Esto también se aplica a cualquier software capaz de hacer el seguimiento de conexiones enmascaradas. Netfilter también hace el seguimiento de estas conexiones y los siguientes paquetes (establecidos o relacionados) no son sometidos al conjunto completo de reglas. sino sólo a aquellas que se aplicaron a la conexión inicial, haciendo que netfilter se ejecute más rápido. 2. Cortafuegos Proxy Los cortafuegos proxy funcionan de manera diferente que los filtros de paquetes. Todo el tráfico se recibe en el cortafuegos, bien sea de entrada o de salida. Pero los proxy redirigen el tráfico permitido a través del cortafuegos rescribiendo sus cabeceras. Para ser redirigido, el tráfico ha de registrarse en el cortafuegos. De hecho, gran parte del análisis de la sección previa se puede aplicar a un proxy. La diferencia es sutil; dado que el software de filtrado de paquetes lo que hace es rescribir las cabeceras cuando hace enmascaramiento y normalmente no redirige el tráfico, y el proxy transparente, reencamina (localmente) el tráfico que llega a una interfaz, y sale por otra. Los proxy funcionan a más alto nivel en el modelo OSI que los filtros de paquetes, por lo que tienen mas sobrecarga de trabajo, pero pueden inspeccionar paquetes enteros con más detenimiento. También pueden hacer cosas como mantener un caché de conexiones para aumentar la velocidad de acceso. Cualquier encaminador, pasarela o servidor que transporta un paquete de red de una red a otra, rescribe la cabecera. Pero la reescritura no altera las direcciones de origen o destino; sólo altera el valor de TTL y la suma de comprobación, y, ocasionalmente, la longitud total y el valor de desplazamiento relativo de fragmento (entre otros), si hay que fragmentar los paquetes para continuar. En estas notas, la reescritura de las cabeceras se refiere principalmente a la reescritura de las direcciones. 3. SNAT La traducción de direcciones de red, básicamente le permite rescribir las cabeceras de paquetes según pasan por el cortafuegos. Estas cabeceras pueden ser escritas según van saliendo del cortafuegos (post-encaminamiento) e implica el cambio de la dirección original del sistema que inicia la conexión por la dirección externa del cortafuegos. Un servidor de Internet verá entonces una conexión que se origina en el cortafuegos o sistema NAT. Dado que la dirección original es la que se cambia, netfilter la denomina NAT del origen o SNAT. Puede utilizar este mecanismo para proteger una red con direcciones IP públicas. En una forma especializada de SNAT, el enmascaramiento de IP, se utiliza comúnmente para permitir que una red con direcciones IP privadas (direcciones IP no encaminables hacia Internet) sea capaz de acceder a Internet. Ambos mecanismos hacen lo mismo, y ambos se pueden utilizar con direcciones IP privadas. Sin embargo el enmascaramiento de IP está reservado, generalmente, para cuentas de acceso telefónico con direcciones IP dinámicas. Si no sabe qué dirección IP se le ha asignado cuando se conecta a su ISP, esto es probablemente lo que tiene, así que necesitará emplear enmascaramiento en lugar de SNAT. 4. DNAT El otro tipo de NAT, o alteración de paquetes, que permite netfilter se llama NAT de destino o DNAT. Esta forma de alteración de la dirección de hace antes del encaminamiento y se usa para tomar una conexión inicial al sistema NAT y redirigirla a un sistema interno. En algunos círculos, a este mecanismo se le denomina reencaminamiento de puertos, porque el reencaminamiento generalmente se basa en el puerto inicial de la conexión. Esto le permitiría tener sistemas independientes en sus red de confianza capaces de manejar HTTP, FTP, correo, DNS, y demás, pero aparentado que la máquina NAT es la que está haciendo todo el trabajo. Esta particular forma de alteración de direcciones requiere que disponga de una dirección IP encaminable. Si tiene que utilizar enmascaramiento de IP, entonces no podrá utilizar DNAT. 5. Enmascaramiento Con mucha frecuencia, el software de cortafuegos de filtrado de paquetes se usa para ocultar una red pública interna y permitir que entre solamente cierto tráfico. En otro esquema de red, no se tienen bloques de direcciones IP públicos para trabajar, y en muchas ocasiones, solo tienen acceso telefónico a otras redes TCP/IP, en particular a Internet. Por lo que le les asigna una dirección IP de un grupo de IP disponibles con cada conexión. Utilizando el enmascaramiento de IP, una red de negocio pequeño o familiar puede dar acceso a todas las máquinas conectadas a una red externa como Internet, utilizando una dirección IP única en un servidor en una única máquina. Todos los paquetes que vayan a Internet se enmascaran como\n15 5 de 24 25/09/ :13 p.m. como Internet, utilizando una dirección IP única en un servidor en una única máquina. Todos los paquetes que vayan a Internet se enmascaran como si estuvieran enviados desde el servidor que está ejecutando el enmascaramiento de IP. El servidor mantiene la información necesaria para encaminar los paquetes de la red de vuelta a las máquinas que los deben recibir. Cada conexión es tanto SNAT como DNAT, dependiendo de en qué dirección vayan los paquetes. Sin embargo, es el paquete de la conexión inicial (un paquete con el bit SYN a 1), el que determina que estamos haciendo. Después de eso, el seguimiento de la conexión permite que los paquetes de retorno vuelvan al sistema origen. El seguimiento de paquetes convierte a netfilter en una herramienta de filtrado de paquetes estados completos, también permite que se ejecute más rápidamente, dado que netfilter recuerda las reglas que afectan a la conexión, las utiliza, y se salta el resto. Componentes del kernel necesarios Linux, viene en la mayoría de las distribuciones con el kernel precompilado con todo lo que se necesita para utilizar el enmascaramiento de IP. Todo lo que se necesita para implementarlo es cargar algunos módulos del kernel y configurar algunas reglas sencillas de cortafuegos. Para recompilar nuestro propio kernel, la lista de elementos necesarios es la siguiente: Code maturity options. Indicar una de las sig. development incomplete code drivers Loadabel module support. Habilite (enable) Kernel module loader Networking options. Network packet filtering Network packet filtering debugging TCP/IP Networking IP Netfilter configuration Connection tracking FTP protocol support IP tables support Full NAT MASQUERADE target support IPv6 protocol (opcional) IPv6 Netfilter configuration IPv6 tables suport Packet filtering Módulos Cuando un paquete de salida de red llega a la máquina cortafuegos (el servidor que tiene el enmascaramiento de IP instalado), el cortafuegos rescribe los elementos de cada paquete para hacer que parezca que salen del cortafuegos y no de la máquina que está detrás del cortafuegos. Los paquetes de retorno se modifican para que vuelvan a la máquina que envió los paquetes de salida originales. Para ninguno de los dos extremos de la transacción nada raro en absoluto parece estar pasando. Algunos servicios, como FTP, necesitan un trato especial, de ahí el módulo para soportar el seguimiento de conexiones FTP. La razón de este trato especial es que una conexión activa de FTP utiliza dos puertos distintos, el 21 para control, y el 20 para transferencia de datos. Esto complica las cosas porque la conexión del puerto 20 viene, no del cliente, sino del servidor en respuesta al cliente. Esto es necesario para descargas pasivas, que sólo utilizan el canal de control (puerto 21). Este es el comportamiento predeterminado en Netscape e Internet Explorer. Pero, para otros clientes FTP, necesitará el seguimiento de la conexión y que estén cargados los módulos FTP de traducción de direcciones de red (a menos que los arrancase en el modo pasivo o como ncftp que automáticamente conmutará de un modo a otro) Para tener un servidor de enmascaramiento se deberán tener los sig. módulos: ip_tables iptable_nat ip_conntrack ip_conntrack_ftp ip_nat_ftp ipt_masquerade ipt_mark Los cuales se pueden cargar manualmente, o al ejecutar el archivo de configuración de reglas. Configuración de reglas\n16 6 de 24 25/09/ :13 p.m. Configuración de reglas Para cargar automáticamente los módulos y las reglas cada vez que el sistema se reinicie, se crea un archivo con atributos de ejecutable en el directorio /etc/rc.d cd /etc/rc.d touch ip_tables chmod 744 ip_tables Se edita el archivo ip_tables y se carga con lo siguiente: /sbin/depmod -a /sbin/insmod ip_tables /sbin/insmod ip_conntrack /sbin/insmod ip_conntrack_ftp /sbin/insmod ip_conntrack_irc /sbin/insmod iptable_nat /sbin/insmod ip_nat_ftp /sbin/insmod ipt_masquerade /sbin/insmod ipt_state /sbin/insmod ipt_mark echo "1" > /proc/sys/net/ipv4/ip_forward echo "1" > /proc/sys/net/ipv4/ip_dynaddr /sbin/iptables -P INPUT ACCEPT /sbin/iptables -F INPUT /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -F OUTPUT /sbin/iptables -P FORWARD ACCEPT /sbin/iptables -F FORWARD /sbin/iptables -t nat -F /sbin/iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT /sbin/iptables -A FORWARD /sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE Donde eth0 es NIC que va a tu bridge y eth1 con la NIC a tu LAN. Si se utiliza un módem ADSL, sustituir eth0 por ppp0 y emplear: /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE La última línea se puede sustituir por : /sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to Donde es la IP de la tarjeta de red a Internet O por: /sbin/iptables -t nat -A POSTROUTING -j MASQUERADE -o eth0 -s /24 -d0/0 Donde /24 es la red local. Se edita el archivo rc.local y para que se cargue al inicio el archivo de reglas, se le agrega al final: /etc/rc.d/./ip_tables Bloqueando salida a Internet Si tenemos la necesidad de no permitir que determinada IP salga a Internet, solo basta con agregar su dirección a la cadena FORWARD, por ejemplo : iptables -A FORWARD -s /32 -j DROP Donde el /32 se refiere a que todos los octetos son ocupados para la identificación de la IP. Para permitirle salir a Internet nuevamente, solo haya que borrar la regla anterior : iptables -D FORWARD -s /32 -j DROP Lo anterior desde la consola o para el caso de varias direcciones se hace con un script ejecutable como por ejemplo: touch Aip\n17 7 de 24 25/09/ :13 p.m. touch Aip chmod 744 Aip Aip : touch Dip chmod 744 Dip /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP /sbin/iptables -A FORWARD -s /32 -j DROP Dip: /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP /sbin/iptables -D FORWARD -s /32 -j DROP Si llegáramos a ejecutar los scripts mas de una ocasión, las cadenas se duplican tantas veces como agreguemos la cadena, en el caso del borrado, si no existe una regla similar, se arroja un error indicándolo solamente. Para listar lo que tengamos en iptables : iptables -L Ahora podemos activarlas (Aip para bloquear) desde el arranque en el rc.local y borrarlas (Dip para permitir) desde consola. Automatización de las cadenas Una buena opción es utilizar al demonio CRON, para programar el horario de activación - desactivación de las cadenas. Por ejemplo si en el arranque en el rc.local tenemos: # shaper /etc/rc.d/./spr # bloqueo de IP s /etc/rc.d/./aip Podemos programar el CRON para que las active o desactive en determinado horario, en el caso de que se desee que los usuarios de determinadas máquinas puedan tener acceso a Internet solo a determinadas horas: edita el archivo crontab para el root : crontab -e en el cual ponemos : * * 1-6 /etc/rc.d/./dip * * 1-6 /etc/rc.d/./aip * * 1-6 /etc/rc.d/./dip * * 1-6 /etc/rc.d/./aip Que activará el archivo Dip de lunes a Sábado (1-6) a las 9 de la mañana y a las 14:00 Hrs. y Activará el archivo Aip a las 10 dela mañana y a las 16:00 Hrs. ya que los campos utilizados son * * * * * tarea donde los asteriscos respresentan: minutos 0-59 horas 0-23 días del mes meses 1-12\n18 8 de 24 25/09/ :13 p.m meses 1-12 días de la semana 0-7 donde 0 ó 7 es el domingo Como separadores se utiliza la coma (, separa números) el guión (- especifica rangos). Listar lo que tenemos en el crontab: crontab -l Borrar lo que hay en el crontab: crontab -r Pruebas y Optimizaciones Actualmente en Linux se pueden implementar facilidades como: Regulación del ancho de banda de alguna interfaz de red (abriéndola o cerrándola) Repartir en función de múltiples criterios, el ancho de banda de nuestra interfaz de red. Proteger a nuestra red de ataques clásicos como el Deny of Service. Proteger a Internet de nuestros propios clientes malandros. Multiplexar varios servidores como uno solo, permitiendo implementar el balanceo de carga o la alta disponibilidad. Hacer enrutamiento según criterios tan variados como el usuario, dirección, MAC, IP de Origen, tipo de servicio, hora del día, etc. Regulación del ancho de banda -Traffic Shaping- Existen varias formas de regular el ancho de banda al cual trabajan nuestras interfaces de red todas ellas tinen que ver con el control del tráfico, para prevenir que las aplicaciones que corren en determinada parte, dejen muy limitadas a las que corren en alguna otra. Esto es muy importante si se está conectado al propio cabezal de Internet, ya que de otra forma existe la posibilidad de quitar ancho de banda a los propios clientes. Lo anterior se consigue mediate los siguientes módulos o scripts: shaper. Limita el caudal en la salida de las interfaces exclusivamente. rshaper. Limita en ambos sentidos, por IP o bloques de IP s, pero no está documentado su empleo junto con NAT. wondershaper. Utiliza a CBQ o a HTB. cbq init script. shaper.o El modulo shaper, se puede seleccionar en la instalación del Red Hat Linux, o se puede conseguir fácilmente en la red. Aunque existe información sobre como hacerlo andar, es algo confusa y contradictoria en la forma que quedan las rutas del dispositivo físico y el shaper. 0. Creación de ligas simbólicas Como el kernel solo acepta un módulo a la vez, hay que crear tantas ligas simbólicas al shaper.o, como interfaces de red vayamos a utilizar, por ejemplo utilizamos el módulo shaper.o y la liga shapero para el caso de dos interfaces: ln - s /lib/modules/ /kernel/drivers/net/shaper.o /lib/modules/ /kernel/drivers/net/shapero Carga del módulo insmod /lib/modules/ /kernel/drivers/net/shaper.o insmod /lib/modules/ /kernel/drivers/net/shapero Al levanter el primer modulo del shaper, queda como shaper0, y los siguientes aparecen como shaper1, shaper2, shapern. Podemos listar los módulos mediante lsmod more 2. Fijación a la interface de red La interfaz del dispositivo físico debe de estar levantada para que se pueda fijar el shaper a la misma. shapecfg attach shaper0 eth0 shapecfg speed shaper shapecfg attach shaper1 eth1 shapecfg speed shaper La parte shapecfg attach shaper0 eth0, se puede hacer solo una vez y queda fija hasta no apagar la PC. Pero la parte shapecfg speed shaper se puede modificar desde consola o script y refleja cambios de inmediato. Según las referencias encontradas, se le puede dar una velocidad de 8000 a , pero las pruebas que se realizaron, salieron bien en velocidades de 8000 a Levantamiento del shaper y configuración de rutas El shaper lo levantamos como cualquier otra interfaz: ip link set shaper0 up ip link set shaper1 up\n19 9 de 24 25/09/ :13 p.m. ip link set shaper1 up Ahora le agregamos las direcciones, las cuales deben ser las mismas que la interfaz real, pues si se le quitan, se cae el NAT. En el caso de la ruta por default de nuestra interfaz con salida a Internet, si se elimina y se levanta la misma pero con salida por el shaper correspondiente. ip address add /24 brd dev shaper0 ip route del default via dev eth0 ip route add default via dev shaper0 ip address add /24 brd dev shaper1 ip route flush cache Se refresca el cache de rutas 4. Levantamiento de módulos para el NAT Ahora se procede a cargar los módulos para el NAT : /sbin/depmod -a /sbin/insmod ip_tables /sbin/insmod ip_conntrack /sbin/insmod ip_conntrack_ftp /sbin/insmod ip_conntrack_irc /sbin/insmod iptable_nat /sbin/insmod ip_nat_ftp /sbin/insmod ipt_masquerade /sbin/insmod ipt_state /sbin/insmod ipt_mark echo "1" > /proc/sys/net/ipv4/ip_forward echo "1" > /proc/sys/net/ipv4/ip_dynaddr /sbin/iptables -P INPUT ACCEPT /sbin/iptables -F INPUT /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -F OUTPUT /sbin/iptables -P FORWARD ACCEPT /sbin/iptables -F FORWARD /sbin/iptables -t nat -F /sbin/iptables -A FORWARD -i shaper0 -o shaper1 -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -A FORWARD -i shaper1 -o shaper0 -j ACCEPT /sbin/iptables -A FORWARD /sbin/iptables -t nat -A POSTROUTING -o shaper0 -j SNAT --to Artesanía para que jale el shaper Teóricamente el shaper debería de estar funcionando con el NAT en este punto, solo que se encontró en la práctica que no era así, ya que se procedió a montar el shaper cuando ya se tenía el NAT, por lo que se utiliza lo siguiente para que el sistema comience a andar: Dar de baja y volver a colocar las direcciones de las interfaces de red: ip address del /24 brd dev eth0 ip address del /24 brd dev eth1 ip route flush cache ip address add /24 brd dev eth0 ip route del default via dev shaper0 ip route add default via dev eth0 ip address add /24 brd dev eth1 ip route flush cache Ahora colocar el gateway por default nuevamente\n20 0 de 24 25/09/ :13 p.m. Ahora colocar el gateway por default nuevamente ip route del default via dev eth0 ip route add default via dev shaper0 ip route flush cache 6. Agrupando scripts Para la implementación y la interactividad fácil desde la consola, se encontró que es mejor separar en pequeños scripts la forma de levantar el NAT y el shaper, siendo la forma como quedó finalmente: 2. Se edita el archivo rc.local quitando o comentado /etc/rc.d/./ip_tables y agregándole al final: /etc/rc.d/./spr El archivo spr se hace ejecutable cd /etc/rc.d touch spr chmod 744 spr y se le agrega: insmod /lib/modules/ /kernel/drivers/net/shaper.o insmod /lib/modules/ /kernel/drivers/net/shapero shapecfg attach shaper0 eth0 shapecfg speed shaper shapecfg attach shaper1 eth1 shapecfg speed shaper /etc/rc.d/./s_prutas /etc/rc.d/./ip_modulos /etc/rc.d/./s_ip_reglas /etc/rc.d/./qrutas /etc/rc.d/./prutas ip route del default via dev eth0 ip route add default via dev shaper0 2. ip route flush cache El archivo s_prutas lleva: ip link set shaper0 up ip link set shaper1 up ip address add /24 brd dev shaper0 ip route del default via dev eth0 ip route add default via dev shaper0 ip address add /24 brd dev shaper1 ip route flush cache ip_modulos lleva: /sbin/depmod -a /sbin/insmod ip_tables /sbin/insmod ip_conntrack /sbin/insmod ip_conntrack_ftp /sbin/insmod ip_conntrack_irc /sbin/insmod iptable_nat /sbin/insmod ip_nat_ftp /sbin/insmod ipt_masquerade /sbin/insmod ipt_state /sbin/insmod ipt_mark 3. s_ip_reglas lleva:\nRouting avanzado con el núcleo Linux\nRouting avanzado con el núcleo Linux Eric Van Buggenhaut Andago eric@andago.com El núcleo Linux, a partir de la versión 2.4 nos ofrece una interfaz que permite implementar herramientas profesionales de


consejos | 05.01.22\nHonda Motor Argentina te acerca estas recomendaciones y consejos a la hora de viajar en moto. Desde documentación hasta la postura.\nLa pandemia acrecentó la compra de motos en nuestro país por considerarse la mejor opción de movilidad frente a las restricciones que hubo en el transporte público. Además, son más económicas, se acortan los tiempos de traslado y son más seguras frente a la posibilidad de contagio del Covid 19. Su uso diario facilita la circulación.\nCon la llegada de las vacaciones, muchos planean viajar en sus motos, puede ser un trayecto corto o largo. Sea cual sea el modelo con el que se van a desplazar, como así también la distancia del recorrido, siempre antes de salir hay que tener en cuenta ciertas recomendaciones para que el viaje sea lo más placentero y seguro posible: