VPN sobre FreeBSD usando IPSEC y cifrando con RACOON:

Transcripción

1 VPN sobre FreeBSD usando IPSEC y cifrando con RACOON: Autor: Iucki Fecha: 08/10/2002 Lo que en este artículo os propongo es algo que a simple vista parece algo bastante complicado y que debe llevar mucho tiempo y requerir unas configuraciones mas complicadas de lo que realmente es. Que es VPN? Una vpn es una red priva da virtua l, y en que c onsiste?, consiste en unir dos re des locales como las que pode mos tener e n el c ole gio, en casa o en la oficina entre sí. Las ve ntajas que esto tiene son innumerables ya que estamos haciendo de dos redes fisicamente separadas (ambas conectadas a internet) una estructura de red estable. Podemos tener un servidor en cada una de nuestras oficinas y compartir archivos entre equipos o imprimir en impresoras de red como si de una sola red se tratase, etc.. Qué necesitamos para montar una VPN?, necesitamos dos redes, dos maquinas que den acceso a internet a cada una de esas dos redes y un poco de tiempo para seguir con cuidado este artículo, el resultado está gara ntizado. La estructura bá sicamente es la siguiente: ---RED1--- IPPRIVADA1 {MAKINA1} IPPUBLICA1 ENLACEINTERNET INTERNET ENLACE2INTERNET IPPUBLICA2 {MAKINA2} IPPRIVADA2 ---RED2--- Eje mplo: / {MAKINA1} INTERNET {MAKINA2} /24-- La configuración que vamos a ver es para nuestra MAK IN A1, la configuración de la MÁK IN A2 será = pero cambiando los valores de las IPS y de las redes.

2 Paso Número 1: Añadir opciones a nuestro kernel: # ee /usr/src/sys/i386/conf/kernel Aña dimos: IPFIREWALL IPFIREWALL_VERBOSE IPDIVERT pseudo-device gif 4 IPSEC IPSEC_ESP IPSEC_DEBUG compilamos nuestro Kernel: # cd /usr/src/sys/i386/conf # config -r KERNEL # cd../../compile/kernel # make depend && make && make install Paso Número 2: Configuración de la red # ee /etc/rc.conf gateway_enable="yes" defaultrouter="enlace1" #escribimos nuestra IP de enlace. Ejemplo: defau ifconfig_fxp0="inet publica1 netmask mascarapublica1" #publica1 es una ifconfig_fxp1="inet privada1 netmask " #privada1 es una IP router_flags="-q" router="/sbin/routed" router_enable="yes" firewall_enable="yes" firewall_script="/etc/rc.firewall" firewall_logging="yes" firewall_type="/etc/firewall.rules" natd_enable="yes" natd_interface="fxp0" #Es el dispositivo conectado a internet. ipsec_enable="yes" ipsec_file="/etc/ipsec.conf" gif_interfaces="gif0" gifconfig_gif0="publica1 publica2" # Ejemplo: gifconfig_gif0=" network_interfaces="fxp1 fxp0 lo0 gif0" #aqui poneis los que tengais mas ifconfig_gif0="privada1 privada2 netmask " #ejemplo: ifco static_routes="vpn" route_vpn="-net red2/24 privada2" #ejemplo:route_vpn="-net vemos que es necesario tener dos dispositivos de red conectados,uno a Internet y el otro a una red privada. He añadido al kernel las opciones necesarias para activar el firewall y el natd ya que para poder movernos entre las dos redes necesitamos que nuestros dos servidores sean las puertas de enlace de las má kinas de sus redes respectivamente. Tambié n podemos ver que gif0 es el pseudo-dispositivo que utilizamos para enviar información a través de la vpn, o sea, el dispositivo por el que viaja la información a traves de la VPN. Paso Número 3: Firewall

3 Es necesario dar acceso a ambas redes desde ambas redes. # ee /etc/firewall.rules -f flush add divert natd all from any to any via fxp1 add allow all from red1/24 to red2/24 #ejemplo: add allow all from add allow all from red2/24 to red1/24 #ejemplo: add allow all from #...demás reglas... add allow icmp from any to any out icmptypes 8 add allow icmp from any to any out icmptypes 0 add deny icmp from any to any in icmptypes 8 add deny icmp from any to any out icmptypes 0 #...más reglas... add pass all from any to any add allow all from any to any Paso Número4: Establecimiento del tunel ipsec # ee /etc/ipsec.conf flush; spdflush; spdadd red1/24 red2/24 any -P out ipsec esp/tunnel/publica1-publica2/req spdadd red2/24 red1/24 any -P in ipsec esp/tunnel/publica2-publica1/requ Paso Número 5:Cifrado del tunel con Racoon Racoon es lo que vamos a usa r para c ifrar toda la información que via ja por nuestro tunel. # cd /usr/ports/security/racoon && make install clean Configuración de racoon, archivo: /usr/local/etc/racoon/racoon.conf, teneis un ejemplo a seguir en /usr/local/etc/racoon/racoon.conf. dist. Yo el rac oon.c onf que uso es el siguiente: path include "/usr/local/etc/racoon" ; path pre_shared_key "/usr/local/etc/racoon/psk.txt" ; path certificate "/usr/local/etc/cert" ; log debug; log notify; remote anonymous { exchange_mode main, aggressive; doi ipsec_doi; situation identity_only; nonce_size 16; lifetime time 1 hour; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key ; dh_group 2 ;

4 } } sainfo anonymous { pfs_group 2; lifetime time 1 hour; encryption_algorithm 3des ; authentication_algorithm hmac_sha1; compression_algorithm deflate ; } Editamos el archivo en el que van las claves que utiliza el algoritmo 3des para cifrar nuestros datos: # ee psk.txt publica2 clave_bastante_larga #ejemplo: eldemonio.org publica1 clave_bastante_larga #ejemplo: Salimos y guardamos, es importante que en vuestro archivo de claves metais las claves para la red a la que quereis conectar y las claves necesarias para que se conecten a vuestra red.también es necesario que para que racoon pueda leer este archivo cambieis los permisos de este mismo a 400: # chmod 400 /usr/local/etc/racoon/psk.txt en Nuestro servidor2 las claves en psk.tx t será n: publica1 clave_bastante_larga #ejemplo: publica2 clave_bastante_larga #ejemplo: eldemonio.org Script de arranque para racoon : # ee /usr/local/etc/rc.d/racoon.sh #!/bin/sh if [ -x /usr/local/sbin/racoon ]; then echo -n "racoon " /usr/local/sbin/racoon -f /usr/local/etc/racoon/racoon.conf fi Salimos y guardamos: # chmod 755 /usr/local/etc/rc.d/racoon.sh (Ya solo que da reiniciar e sta má kina ). Ahora hay que hacer lo mismo en la otra má kina y reiniciar amba s. Montar VPN entre más de dos puntos Si en lugar de unir 2 rede s entre sí lo que quereis es unir 3 redes, o una má kina con 2 redes distintas tendríais que hace r esta s modific acione s: Imaginemos que nuestra RED1 la queremos unir ahora tambié n a una RED3, de modo que el esquema sería: ---RED1--- IPPRIVADA1 {MAKINA1} IPPUBLICA1 ENLACEINTERNET

5 INTERNET _ ENLACE2INTERNET ENLACE3INTERNET IPPUBLICA2 IPPUBLICA3 ( ) {MAKINA2} {MAKINA3} {MAKINA2} IPPRIVADA2 IPPRIVADA3 ( ) ---RED RED3--- Partiendo de la configuracíon que ya hemos hecho para unir las redes 1 y 2 vamos a ir viendo que cambios habría que hacer para añadir nuevos túneles. # ee /etc/rc.conf gateway_enable="yes" defaultrouter="enlace1" #escribimos nuestra IP de enlace. Ejemplo: defau ifconfig_fxp0="inet publica1 netmask mascarapublica1" #publica1 es una ifconfig_fxp1="inet privada1 netmask " #privada1 es una IP router_flags="-q" router="/sbin/routed" router_enable="yes" firewall_enable="yes" firewall_script="/etc/rc.firewall" firewall_logging="yes" firewall_type="/etc/firewall.rules" natd_enable="yes" natd_interface="fxp0" #Es el dispositivo conectado a internet. ipsec_enable="yes" ipsec_file="/etc/ipsec.conf" gif_interfaces="gif0 gif1" gifconfig_gif0="publica1 publica2" # Ejemplo: gifconfig_gif0=" gifconfig_gif1="publica1 publica3" # Ejemplo: gifconfig_gif1=" network_interfaces="fxp1 fxp0 lo0 gif0 gif1" #aqui poneis los que tengai ifconfig_gif0="privada1 privada2 netmask " #ejemplo: ifco ifconfig_gif1="privada1 privada3 netmask " #ejemplo: ifco static_routes="vpn vpn2" route_vpn="-net red2/24 privada2" #ejemplo:route_vpn="-net route_vpn2="-net red3/24 privada3" #ejemplo:route_vpn2="-net # ee /etc/firewall.rules -f flush add divert natd all from any to any via fxp1 add allow all from red1/24 to red2/24 #ejemplo: add allow all from add allow all from red2/24 to red1/24 #ejemplo: add allow all from add allow all from red1/24 to red3/24 #ejemplo: add allow all from add allow all from red3/24 to red1/24 #ejemplo: add allow all from #...demás reglas... add allow icmp from any to any out icmptypes 8 add allow icmp from any to any out icmptypes 0 add deny icmp from any to any in icmptypes 8 add deny icmp from any to any out icmptypes 0 #...más reglas... add pass all from any to any add allow all from any to any # ee /etc/ipsec.conf

6 flush; spdflush; spdadd red1/24 red2/24 any -P out ipsec esp/tunnel/publica1-publica2/req spdadd red2/24 red1/24 any -P in ipsec esp/tunnel/publica2-publica1/requ spdadd red1/24 red3/24 any -P out ipsec esp/tunnel/publica1-publica3/req spdadd red3/24 red1/24 any -P in ipsec esp/tunnel/publica3-publica1/requ publica3 clave_bastante_larga publica2 clave_bastante_larga publica1 clave_bastante_larga #ejemplo: #ejemplo: #ejemplo: Por cada nuevo tunel que abrais debereís usar una nueva ipvirtual de vuestra subred, si quisiésemos crear uno nuevo por ejemplo para unir nuestra red con la red /24 cuya IP-Publica es diríamos: gifconfig_gif2=" " ifconfig_gif2=" netmask " Curiosidades Esta configuración ha sido probada en una má kina que tiene establecidos distintos túneles, 2 tuneles con otros servidores FreeBSD que funcionan perfectamente, un tunel con un router zyxell zywall 100, un tunel con un router DrayTeck Vigor2600 y un último tunel con una má kina windows XP que tiene cargado el siguiente cliente de vpn sentinel que se puede descargar gratuítamente de esta url: com/produc ts/sentinel/eval/ Los routers funcionan bien aunque aún con algunas anomalías que según vaya solucionando os iré comentando, es importante que si montais VPN con algun router dentro de la configuración de este especifiqueis que el sistema de seguridad sobre IPSEC es High (ESP) 3DES.Y que el algoritmo de autentifiacion es SHA1. También tendreis que especificar el "Key Group" en alguno y en este campo pondríamos dh2. Todos estos valores los especificamos previamente en /usr/local/etc/racoon/racoon.conf. Ya sabeis todos que para cualquier duda o sugerencia podeis escribirme a mi dirección de correo electrónico juan@aficiona.com,espero que os haya sido de utilidad, con el tiempo iré añadiendo cosas y lo profundizaré todo un poco má s.