Crear claves y certificados

Transcripción

1 Hace algunos días escribí sobre Hulu, su restricción para usuarios fuera de los Estados Unidos y como utilizar una red privada virtual (VPN) con un servidor en ese país podía ayudarnos a conectar con el servicio. Pero una VPN no sirve solo para acceder a servicios como Hulu o Pandora (aún cuando fue eso lo que me animó a dedicarle unas horas al tema), es mucho más que eso y es importante que todo aquel que pasa más de la mitad de su vida conectado a la Red (y esos son ustedes, queridos lectores) entienda el concepto. Veamos cómo instalar OpenVPN en Ubuntu Gutsy. Qué es una VPN Una red privada virtual (virtual private network) es una red de comunicaciones canalizada a través de otra red y dedicada a un uso específico. Para nuestro caso esa otra red es Internet. Establecer una VPN que use una red pública como Internet permite eliminar los costos de contratar un enlace dedicado. Pero Internet no es una red segura así que una VPN debe utilizar autenticación y encriptar el contenido que viaja a través de ella para evitar el uso de packet sniffers (software o hardware que puede interceptar el tráfico en una red insegura). Utilizar una VPS puede sonar muy esotérico para muchos pero con el incremento de conexiones WiFi y hotspots inseguros en todo el mundo pronto será una necesidad para todos los que no quieren que su información viaje desnuda por la Red. En el siguiente artículo veremos cómo instalar OpenVPN, una aplicación de código abierto para VPN, en Ubuntu Son los pasos que seguí para conectar mis computadoras en Lima con uno de mis servidores en Nueva York y navegar la Red usando su IP. Ahora todos los sitios web y servicios que visito usando OpenVPN detectan mi conexión como si fuera hecha desde los Estados Unidos y todos mis datos viajan seguros. Y aún con más de una decada trabajando con muchos tipos de redes no pretendo ser un experto en TCP/IP y seguridad o que este sea un tratado sobre el tema así que no puedo ofrecer asistencia técnica sobre el tema pero estoy que tendremos a varios especialistas que podrán aportar en los comentarios. Instalar OpenVPN en Ubuntu paso a paso Vale, aquí los pasos que seguí para instalar OpenVPN en un cliente y un servidor, ambos corriendo con Ubuntu 7.10 aunque el procedimiento debe ser muy parecido en otras distribuciones. Gracias a Javier Albarracín, Bruno Kamiche y César Villegas por los tips. Primero definamos algunos puntos: Servidor: es el equipo que aceptará las conexiones de los clientes a través de la VPN. En mi ejemplo usará el IP x.y.z.w (reemplaza por el IP público de tu servidor) y tiene como nombre servo. Cliente: el equipo que se conectará al servidor a través de la VPN. Lo llamaremos cliento. Red privada: la red que definiremos en nuestra VPN, usaremos por lo que tendremos IP's como , , etc. Todos los comandos deben ser ejecutados por root o través de sudo. Los comandos que debes escribir están en negrita. Para comentar una línea en openvpn.conf usa # al inicio de la línea. Lo primero es instalar OpenVPN: sudo apt-get install openv pn OpenVPN se instala tanto en el cliente como en el servidor, el archivo de configuración que usaremos al iniciar OpenVPN más adelante definirá el rol de cada equipo. Ahora comenta todas las líneas en /etc/default/openvpn y añade: AUTOSTART="openv pn" Esto le dice a OpenVPN cuál archivo de configuración predeterminado utilizará al iniciar el servicio. Los archivos de configuración se guardan en /etc/openvpn y usan la extensión.conf por lo que la instrucción de arriba le dice a OpenVPN que use /etc/openvpn/openvpn.conf, es un archivo que aún no existe y que crearemos en un momento. ventanazul.com/ /instalar-openvpn-ubu 1/5

2 Ahora el servicio OpenVPN puede ser iniciado, detenido o reiniciado en la forma usual, veamos: Iniciar OpenVPN: /etc/init.d/openv pn start Detener OpenVPN: /etc/init.d/openv pn stop Reiniciar OpenVPN: /etc/init.d/openv pn restart Cada vez que se cambian parámetros en /etc/openvpn/openvpn.conf se debe reiniciar OpenVPN. Crear claves y certificados Pero antes de continuar crearemos los certificados y claves de seguridad. Todo esto se hace en el servidor como root. Ejecuta: cd /etc/openv pn/ Y ahora copia el directorio easy-rsa a /etc/openvpn: cp -r /usr/share/doc/openv pn/examples/easy-rsa/. Recuerda que seguimos en el directorio /etc/openvpn. Ahora editaré el archivo vars con nuestro editor favorito (reemplaza vi con el que tú prefieras): v i easy-rsa/v ars Comenta esta línea: #export D=pwd Añade esta: export D=/etc/openv pn/easy-rsa Y modifica los siguientes parámetros: export KEY_COUNTRY=PE export KEY_PROVINCE=LI export KEY_CITY=Lima export KEY_ORG="Nombre-OpenVPN" export KEY_ ="[email protected]" Graba y cierra el archivo. Ahora ejecuta:../v ars Importante, eso es un punto, un espacio y luego otro punto y seguido por /vars. Muchos lo olvidan. A continuación:./clean-all El siguiente comando crea la autoridad de certificados (CA) usando los parámetros arriba definidos, solo deberás añadir Common Name, yo usé OpenVPN-CA. Este paso usa OpenSSL y si no lo tenías en tu servidor deberás instalarlo primero con: sudo apt-get install openssl Ahora sí: ventanazul.com/ /instalar-openvpn-ubu 2/5

3 ./build-ca Ahora creamos las claves, primero para el servidor:./build-key-serv er serv er Esta parte es muy importante. Cuando build-key-server te solicite Common Name escribe serv er, el mismo parámetro que le diste al comando. Hay dos preguntas más: Sign the certificate? [y/n] y 1 out of 1 certificate requests certified, commit? [y/n], responde afirmativamente en ambos casos. Y ahora la clave para el cliente:./build-key client1 Recuerda usar client1 como Common Name, al igual que el parámetro que usaste para build-key. Si vas a tener más clientes puedes repetir este último paso para client2, client3, etc. Ahora genera parámetros Diffie Hellman:./build-dh Ahora debes tener un nuevo directorio con claves y certificados en tu servidor: /etc/openvpn/easy-rsa/keys. Para configurar tu primer cliente copia los siguientes archivos de servo a cliento: ca.crt client1.crt client1.key Lo ideal es usar un canal seguro, yo prefiero scp con autenticación RSA (tema para otro artículo), ejecutando algo como esto en el cliente: scp alexis@serv o:ca.crt. scp alexis@serv o:client1.crt. scp alexis@serv o:client1.key. Estos comandos asumen que copiaste los archivos al directorio personal del usuario alexis en el servidor y les asignaste permisos de lectura. Luego debes moverlos a /etc/openvpn en el cliente. Los archivos de configuración: openvpn.conf Aún en el cliente crea un archivo llamado openvpn.conf en /etc/openvpn y escribe lo siguiente en él: dev tun client proto tcp remote x.y.z.w 1194 resolv-retry infinite nobind user nobody group nogroup # Try to preserve some state across restarts. persist-key persist-tun ca ca.crt cert client1.crt key client1.key comp-lzo ventanazul.com/ /instalar-openvpn-ubu 3/5

4 # Set log file verbosity. verb 3 No olvides reemplazar x.y.z.w por el IP público de tu servidor. Ahora en el servidor crea un archivo openvpn.conf en /etc/openvpn y escribe lo siguiente en él: dev tun proto tcp port 1194 ca /etc/openvpn/easy-rsa/keys/ca.crt cert /etc/openvpn/easy-rsa/keys/server.crt key /etc/openvpn/easy-rsa/keys/server.key dh /etc/openvpn/easy-rsa/keys/dh1024.pem user nobody group nogroup server persist-key persist-tun #status openvpn-status.log #verb 3 client-to-client push "redirect-gateway def1" #log-append /var/log/openvpn comp-lzo En mi primeras pruebas tuve conexiones muy lentas y me ayudó desactivar la compresión en cliente y servidor comentando esta línea: #comp-lzo Y finalmente configura IP forwarding e iptables para NAT en el servidor: echo 1 > /proc/sys/net/ipv 4/ip_forward sudo iptables -t nat -A POSTROUTING -s /24 -o eth0 -j MASQUERADE Puedes verificar que la regla fue escrita correctamente con un listado: sudo iptables -L -t nat Si tienes un Firewall deberás desactivarlo para probar y luego crear reglas que permitan que el tráfico de tu VPN pase. Si quieres remover todas las reglas si cometiste un error con: sudo iptables -F -t nat Reiniciar OpenVPN en ambos equipos, cliente y servidor, y deberías estar listo. Si ahora ejecutas ifconfig y route -n deberías ver una nueva interfaz, tun0, en cliente y servidor. Puedes confirmar que hay conexíon haciendo ping entre ambos usando los IP de las interfaces tun0, por ejemplo: ping Ahora tu cliente está conectado al servidor a través de OpenVPN y puedes navegar en forma segura a través del IP del servidor (y usar Hulu y Pandora). ventanazul.com/ /instalar-openvpn-ubu 4/5

5 Suerte. ventanazul.com/ /instalar-openvpn-ubu 5/5