Administración de Red en Linux

Operational Scope & Technical Objective

El stack de red de Linux se administra con dos familias de herramientas: net-tools (ifconfig, route, arp, netstat) y su sucesor iproute2 (ip a, ip route, ip neigh). iproute2 es la interfaz canónica en sistemas modernos, pero netstat/ifconfig siguen presentes en muchos targets. La configuración persistente de interfaces vive en /etc/network/interfaces (Debian) o /etc/sysconfig/network (RHEL), y la resolución de nombres en /etc/resolv.conf. Para un operador red-team, este conjunto cubre dos objetivos: inventariar la superficie de red local (interfaces, puertos, conexiones, rutas, vecinos ARP) y modificar la configuración para pivotar.

High-Impact Syntax & Command Cheatsheet

Detalle de la red

/sbin/ifconfig -a          # todas las interfaces (net-tools)
ip a                       # iproute2: direcciones por interfaz
ip addr                    # alias de ip a
ip -s link                 # estadísticas por interfaz (TX/RX)
ip help                    # ayuda de ip

cat /etc/network/interfaces     # config persistente (Debian)
cat /etc/sysconfig/network      # config de red (RHEL)
cat /etc/resolv.conf            # servidores DNS
cat /etc/networks               # tabla de nombres de red
iptables -L                     # reglas de filtrado actuales
hostname                        # nombre del host
dnsdomainname                   # dominio DNS del host

Conexiones existentes

lsof -i                  # sockets y archivos abiertos en red
lsof -i :80              # quién usa el puerto 80
grep 80 /etc/services    # qué servicio nominal ocupa el puerto 80
netstat -antup           # conexiones TCP/UDP (-a todas, -n sin DNS, -t/-u, -p programa)
netstat -antpx           # variante con proceso (x)
netstat -tulpn           # puertos en escucha TCP/UDP con PID/programa
netstat -at              # conexiones TCP abiertas
netstat -lt              # puertos TCP en escucha
chkconfig --list         # estado de servicios por runlevel (RHEL)
chkconfig --list | grep 3:on
last                     # historial de logins
w                        # quién está conectado y qué hace

IPs cacheadas y rutas

arp -e              # tabla ARP (mapeo IP↔MAC)
route               # tabla de rutas
/sbin/route -nee    # rutas con flags y nexthop numérico
ip neigh            # vecinos (tabla ARP) vía iproute2
ip route            # tabla de rutas vía iproute2

Captura de tráfico

tcpdump tcp dst 192.168.1.7 80 and tcp dst 10.5.5.252 21
# tráfico TCP hacia los dst port 80 (192.168.1.7) y 21 (10.5.5.252)

Configuración de interfaz estática (Debian)

vi /etc/network/interfaces

# The primary network interface
auto eth0
iface eth0 inet static
address 10.0.0.100
netmask 255.255.255.0
gateway 10.0.0.1

service networking restart   # aplica la configuración

Conectividad y DNS

ping google.com        # prueba conectividad bidireccional
ping -c 4 google.com   # envía 4 paquetes

nslookup google.com    # consulta DNS
dig google.com         # consulta DNS con más detalle
dig -x 8.8.8.8         # reverse lookup PTR

Real-World Offensive/Defensive Scenarios

• Inventario post-compromiso (ofensivo): netstat -antup + lsof -i revelan servicios internos y conexiones salientes hacia otros hosts de la red, candidatos para pivoting. arp -e permite mapear el segmento local sin escaneo activo.

• Detección de puertos en escucha no esperados (defensivo): comparar netstat -lt contra el inventario de servicios conocidos y iptables -L para verificar que el filtrado coincide con la política.

• Pivotar a otra red (ofensivo): reconfigurar la interfaz con una IP estática del segmento destino (bloque address/netmask/gateway + service networking restart) permite saltar de segmento cuando se dispone de acceso a una interfaz adicional o una VLAN.