Guia VPN Parte 1 – OpenVPN RoadWarrior

Hola amigos, hace mucho tiempo que no escribo por estos lados, espero que ahora pueda tener un poco más de tiempo para hacerlo, voy a volver con una serie de tutoriales sobre el servicio VPN, vamos a partir por lo más básico, RoadWarrior con OpenVPN, RoadWarrior con PPTP para poder usar el cliente nativo de Windows, luego tuneles red-red y finalmente un bridge transparente entre redes.

Una VPN es una conexión de red virtual que se realiza entre dos puntos. Un equipo hacia una red remota, dos redes remotas o hacer un bridge entre dos redes. Es una forma segura de poder trabajar de forma remota, ya que los datos que pasan por este túnel están -por lo general- encriptados.

Existen para esto una serie de programas que nos ayudarán a configurar este tipo de túneles: OpenVPN, PPTP, L2TP, VPN-1, SSH. En esta serie de guías vamos a utilizar OpenVPN y PPTP.

Ahora instalaremos un servidor VPN Standalone, siguiendo el siguiente diagrama, esta modalidad es conocida como RoadWarrior y nos servirá para conectar una serie de clientes remotos y móviles hacia un único concentrado (Nuestro Servidor VPN), tengan en cuenta que este servidor puede ser el mismo firewall el cual nos unirá a nuestra red LAN -por ejemplo- estas funcionalidades las iremos agregando más adelante en la guía.

Manos a la obra. Lo primero que debemos hacer es instalar OpenVPN, para los efectos de esta guía utilizaré Debian Lenny y apt como administrador de paquetes pero puedes replicar este proceso para cualquier otro sistema.

Como vimos anteriormente OpenVPN es un servicio de tunel VPN encriptado, esta encriptación la realiza utilizando openssl, lo que debemos hacer ahora es generar los certificados de seguridad que nos permitirán realizar la encriptación de los datos.

Tenemos la opcion de utilizar un certificado de seguridad que hayamos adquirido con algun vendedor (Cl Cert, Verisign, etc), si este es tu caso, no es necesario realizar el siguiente paso.

Por defecto tenemos que podemos crear certificados de seguridad de 1024 bits, usando md5 y con una duración de 10 años. Podemos cambiar estos parámetros cambiándolos en el archivo openssl.cnf y vars del directorio /usr/share/doc/openvpn/examples/easy-rsa/2.0

Entramos al directorio

Configuramos los parametros generales

Creamos nuestro certificado raíz (CA), si ya poseen un certificado raíz válido, no es necesario crearlo y sólo deberán copiarlo (junto a su llave) al directorio keys bajo el nombre ca.crt

Al hacer esto nos pedirá algunos datos, los llenamos con los que consideremos necesarios

Ya tenemos nuestro certificado raíz creado. Este mismo certificado te servirá para firmar otros para ser instalados en distintos servicios (Apache, Correo, FTP, etc).

Ahora tenemos que crear el certificado cliente del servidor (el parametro debe ser distinto al Common Name del certificado raíz).

Cuando nos pida los datos debemos poner los mismos datos que pusimos al crear el certificado raiz (CL, RM, Santiago, etc), nos pedirá ademas una contraseña, debemos escribir la contraseña más complicada que se nos ocurra. Finalmente nos pedirá confirmar los datos y hacer commit al certificado que acabamos de crear. Si no terminamos con lo siguiente es por que algo nos faltó.

Ahora tenemos que crear nuestra llave Diffie Hellman (esto es necesario para crear el canal SSL para nuestro túnel VPN) esto puede demorar un poco.

Ahora tenemos todo lo necesario para comenzar la configuración de nuestro servidor. Debemos copiar los siguientes archivos al directorio /etc/openvpn

Ahora tenemos que crear el archivo server.conf en el directorio /etc/openvpn/

Ahora que tenemos lista la configuración podemos iniciar el servicio vpn

Sólo nos queda crear los archivos de los clientes VPN. Volvemos al directorio easy-rsa/2.0 y creamos al cliente

Recuerden que cuando les pidan los datos, estos deben ser los mismos que pusimos cuando creamos el certificado Raíz.

En lo personal me gusta utilizar nombres de dominio para los clientes, pero esto es una decisión personal, puede ser perfectamente ./build-key mariofix

Si cerraron la sesión y desean crear otro cliente deben ejecutar primero source ./vars y luego creen la llave.

Una vez ejecutado el comando, debemos copiar los siguientes archivos hacia el cliente (usando ftp, scp o algún protocolo de transferencia de archivos) ca.crt, mariofix.spooky.cl.key, mariofix.spooky.cl.crt

Al cliente tambien tenemos que instalarle OpenVPN pero como será un cliente, no es necesario pasar por la creacion de los certificados de seguridad, solo basta con instalarlo y crear el archivo /etc/openvpn/guia-vpn.conf con el siguiente contenido

Luego iniciamos openvpn con una de las siguientes opciones

Opción 1 (En sistemas SysV -Debian, RedHat, etc.)

Opción 2 (en Linux/Windows)

Opción 3 (en Windows)

Descargar e instalar OpenVPN-GUI desde http://openvpn.se

Opcion 4 (Ubuntu)

Clic derecho en el notificador de Red -> Editar las conexiones -> VPN -> Añadir -> OpenVPN

Y configuramos lo que nos pidan ahí (Habiliten la compresión LZO).