Configuracin de tneles VPN mediante OpenVPN

Instalacin del software openvpn en Linux.

1. Desde un paquete RPM openvpn-1.6.0-1.rh90.dag.i386.rpm Tue 11 May 2004 185 kB Red Hat 9 - i386 Necesita las dependencias: openssl lzo pam Si se requiere puede construirse el paquete RPM e instalarlo #rpmbuild -tb openvpn-[version].tar.gz #rpm -ivh openvpn-[details].rpm Se necesitan entonces la dependencias openssl-devel lzo-devel pam-devel

Instalacin del software openvpn en Linux. (II)

2. Compilando el fuente #tar xfz openvpn-[version].tar.gz #./configure #make #make install

Instalacin en Windows
1. Ejecutar el programa (sin GUI) Windows Installer openvpn-2.0.9-install.exe 2. Ejecutar el programa+GUI Installation Package (Both 32-bit and 64-bit TAP driver included): openvpn-2.0.9-gui-1.0.3-install.exe

Como autenticar los equipos que establecen el tnel

1. Mediante el empleo de una contrasea comn simtrica
Generar una clave simtrica para utilizar en ambos equipos #openvpn --genkey --secret static.key Configuracin en el servidor (servidor.ovpn) dev tun ifconfig 10.8.0.1 10.8.0.2 ---> direcciones virtuales secret static.key Configuracin en el cliente (cliente.ovpn) remote 192.168.100.5 ---> direccin real (Ip pblica) dev tun ifconfig 10.8.0.2 10.8.0.1 ---> direcciones virtuales secret static.key

Primer escenario
Cliente
10.8.0.2 10.8.0.1

Servidor VPN

192.168.100.2

192.168.100.5

cliente.ovpn remote 192.168.100.5 dev tun ifconfig 10.8.0.2 10.8.0.1 secret static.key

server.ovpn dev tun ifconfig 10.8.0.1 10.8.0.2 secret static.key

Segundo escenario
Cliente

Servidor VPN (Router)

10.8.0.1 10.0.100.5 192.168.100.5 192.168.100.10

10.8.0.2 10.0.100.2

cliente.ovpn remote 10.0.100.5 dev tun ifconfig 10.8.0.2 10.8.0.1 route 192.168.100.0 255.255.255.0 dhcp-option DNS 192.168.100.10 secret static.key

server.ovpn dev tun ifconfig 10.8.0.1 10.8.0.2 secret static.key

Habilitar el enrutamiento en el servidor OpenVpn

1. En Linux #echo 1 > /proc/sys/net/ipv4/ip_forward 2. En Windows a) Configurar Enrutamiento y acceso remoto con la opcin enrutador o b) Editar en el registro la clave IPEnableRouter con el valor 1 HLM/system/currentcontrolset/services/tcpip/parameters

Aadir la ruta hacia la VPN en los equipos de la LAN

c:\>route add 0.0.0.0 mask 0.0.0.0 192.168.100.5

Tercer escenario
Cliente Firewall

Servidor VPN

192.168.100.5 10.8.0.2 10.0.100.2 10.8.0.1 10.0.100.252 192.168.100.252 192.168.100.10

server.ovpn cliente.ovpn remote 10.0.100.252 dev tun ifconfig 10.8.0.2 10.8.0.1 route 192.168.100.0 255.255.255.0 dhcp-option DNS 192.168.100.10 secret static.key dev tun ifconfig 10.8.0.1 10.8.0.2 secret static.key

Configurar el firewall
Habilitar el enrutado #echo 1 > /proc/sys/net/ipv4/ip_forward Establecer reglas de filtrado #iptables P INPUT DROP #iptables P OUTPUT DROP #iptables P FORWARD DROP #iptables t nat A PREROUTING p udp --dport 1194 j DNAT--to 192.168.100.5 #iptables A FORWARD d 192.168.100.5 p udp--dport 1194 j ACCEPT #iptables A FORWARD s 192.168.100.5 p udp--sport 1194 j ACCEPT

Aadir la ruta hacia la VPN en los equipos de la LAN

C:\>route add 0.0.0.0 mask 0.0.0.0 192.168.100.252 c:\>route add 10.8.0.0 mask 255.255.255.0 192.168.100.5

Como autenticar los equipos

2. Mediante certificados digitales
Generar e Instalar la AC (Autoridad Certificacin) C:\>cd c:\Archivos de programa\OpenVPN\easy-rsa C:\> init-config Editar el fichero vars.bat con la informacin adecuada para:
KEY_COUNTRY KEY_PROVINCE KEY_CITY KEY_ORG KEY_EMAIL

Ejecutar los siguientes comandos C:\> vars C:\> clean-all C:\> build-ca

2. Autenticacin mediante certificados digitales (generar certificados)

Generar el certificado para el servidor (server.crt, server.key) C:\>build-key-server server (incluir el mismo nombre a la pregunta de CN) Generar el certificado para el cliente (cliente.crt, cliente,key) C:\>build-key cliente (incluir el mismo nombre a la pregunta de CN) Generar los parmetros para Diffie-Hellman (dh{n}.pem) C:\>build-dh Copiar tanto en el servidor como en los clientes el archivo CA.CRT (generado al crear la AC)

Tercer escenario
Cliente Firewall

Servidor VPN

192.168.100.5 10.8.0.2 10.0.100.2 10.8.0.1 10.0.100.252 192.168.100.252 192.168.100.10

cliente.ovpn dev tap remote 10.0.100.252 ca ca.crt cert server.crt key server.key

server.ovpn dev tap server 10.8.0.0 255.255.255.0 push route 192.168.100.0 255.255.255.0 push dhcp-option DNS 192.168.100.10 ca ca.crt cert server.crt key server.key dh dh1024.pem

Configurar el firewall
Habilitar el enrutado #echo 1 > /proc/sys/net/ipv4/ip_forward Establecer reglas de filtrado #iptables P INPUT DROP #iptables P OUTPUT DROP #iptables P FORWARD DROP #iptables t nat A PREROUTING p udp --dport 1194 j DNAT--to 192.168.100.5 #iptables A FORWARD d 192.168.100.5 p udp--dport 1194 j ACCEPT #iptables A FORWARD s 192.168.100.5 p udp--sport 1194 j ACCEPT

Aadir la ruta hacia la VPN en los equipos de la LAN

C:\>route add 0.0.0.0 mask 0.0.0.0 192.168.100.252 c:\>route add 10.8.0.0 mask 255.255.255.0 192.168.100.5

Gracias por su asistencia