Red Privada Virtual. IPSec

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Red Privada Virtual. IPSec"

Miguel Lara Agüero
hace 10 años
Vistas:

1 Universidad Simón Bolívar Coordinación de Postgrado en Ciencias de la Computación Seguridad de Datos, CI-6352, ene-mar 2012 Autor: Ing. Alvaro Hernández Orence. Carnet: Caracas, 13 de Marzo de 2012 Autor: Ing. Roger Clotet. Carnet: Red Privada Virtual. IPSec 1. VPN. Topología La práctica se realizará a través del establecimiento de un túnel VPN entre dos estaciones de trabajo Linux. La topología y las IP empleadas por los equipos serán: Figura 1: Topología e IPs Estación A: IP = /24, red VPN: /24 Estación B: IP = /24, red VPN: /24 2. Instalación y configuración de IPSec La práctica emplea computadoras que corren sistemas operativos Linux (Debian 7.0- Wheezy y Ubuntu Maverick Meerkat). Para hacer funcionar IPSec de deben descargar e instalar los siguientes paquetes: ipsec-tools y racoon, usando un usuario con privilegios administrativos: apt-get install ipsec-tools racoon 1

Topología La práctica se realizará a través del establecimiento de un túnel VPN entre dos estaciones de trabajo Linux.

2 Para configurar racoon, se debe editar el archivo /etc/racoon/racoon.conf en ambas estaciones de trabajo, escribiendo: path pre_shared_key "/etc/racoon/psk.txt"; remote { exchange_mode main,aggressive; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group 2; sainfo address /24 any address /24 any { pfs_group 2; lifetime time 1 hour; encryption_algorithm 3des, blowfish 448, rijndael; authentication_algorithm hmac_sha1, hmac_md5; compression_algorithm deflate; path pre_shared_key "/etc/racoon/psk.txt"; remote { exchange_mode main,aggressive; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group 2; sainfo address /24 any address /24 any { pfs_group 2; lifetime time 1 hour; encryption_algorithm 3des, blowfish 448, rijndael; authentication_algorithm hmac_sha1, hmac_md5; compression_algorithm deflate; Donde en ambos casos debemos indicar: remote x.x.x.x: IP de los equipos a comunicar, en nuestro caso en particular se utilizan dos IPs privadas. exchange mode: modo de intercambio de clave de internet (IKE), indicar todos aquellos que se suportarán. Pueden ser aggressive o main. El método aggressive es un poco más rápido con el coste de no proporcionar protección de la identidad. encryption algorithm: algoritmo utilizado para el cifrado. Racoon puede usar DES, 3DES, RC5, IDEA, CAST, BLOWFISH. 2

$2.168.1.0/24 any address 172.16.1.0/24 any { pfs_group 2; lifetime time 1 hour; encryption_algorithm 3des, blowfish 448, rijndael; authentication_algorithm hmac_sha1, hmac_md5; compression_algorithm$

3 hash algorithm: algoritmo de hash (resumen criptográfico) a utilizar. Son soportados SHA1 y MD5. authentication method: método de autenticación, puede ser pre shared key o RSA. dh group: grupo para el algoritmo de Diffie-Hellman, pueden ser 1, 2 o 5. sainfo x.x.x.x any address x.x.x.x any: IP de las redes a utilizar en cada extremo de la VPN. pfs group: grupo para el algoritmo de Diffie-Hellman, pueden ser 1, 2 o 5. lifetime time: tiempo de vida de la asociación de seguridad (SA) de la conexión. encryption algorithm: algoritmo utilizado para el cifrado. Racoon puede usar DES, 3DES, CAST, BLOWFISH, TWOFISH, RIJNDAEL y null enc. authentication algorithm: método de autenticación, puede ser HMAC-SHA1, HMAC- MD5 y Keyed-MD5. compression algorithm: algoritmo de compresión a utilizar; únicamente puede ser deflate. Cuando en alguno de los parámetros se indica más de una opción, el sistema intentará usarlas empezando de derecha a izquierda hasta que encuentre una coincidencia entre ambos extremos. Algunas versiones de racoon aportan algunos algoritmos adicionales; se han indicado las soportadas en las versiones utilizadas para la prueba. Luego, en el archivo /etc/racoon/psk.txt se colocará la llave precompartida (en la configuración indicamos pre shared key en authentication method): abcde abcde Las políticas de seguridad se especifican en el fichero /etc/ipsec-tools.conf de cada una de las máquinas, en los cuales se escribe: flush; spdflush; spdadd / /24 any -P out ipsec esp/tunnel/ /require; spdadd / /24 any -P in ipsec esp/tunnel/ /require; flush; spdflush; spdadd / /24 any -P out ipsec esp/tunnel/ /require; spdadd / /24 any -P in ipsec esp/tunnel/ /require; 3

pfs group: grupo para el algoritmo de Diffie-Hellman, pueden ser 1, 2 o 5. lifetime time: tiempo de vida de la asociación de seguridad (SA) de la conexión.

4 Se indican las direcciones IP origen y destino de los paquetes a proteger, el protocolo (y puerto) a proteger (any para todos) y la política a emplear (-P). La política especifica la dirección (in/out), la acción a aplicar (ipsec/discard/none), el protocolo (ah/esp/ipcomp), el modo (tunnel) y el nivel (use/require). Ya con racoon e ipsec-tools configurados, se procede a reiniciar los demonios. Ambos lados deben ejecutar los siguientes comandos (con un superusuario): /etc/init.d/setkey restart; /etc/init.d/racoon restart; Para establecer las rutas estáticas que comunicarán ambas computadoras, el comando ip es empleado tal como se indica a continuación (usando todavía un usuario privilegiado): ip addr add /24 dev eth0; ip route add to /24 via src ; ip addr add /24 dev eth0; ip route add to /24 via src ; Finalmente, para verificar que se establece el túnel VPN, se ejecuta un telnet desde cada estación a la red opuesta. Por ejemplo: En la Estación A se ejecuta un telnet (sin pasar por la VPN) hacia la Estación B: telnet La siguiente figura muestra en texto claro el usuario y la contraseña empleada en este intento de autenticación. Se emplea la herramienta Wireshark, el cual es un sniffer o analizador de tráfico, corriendo en una tercera máquina dentro de la red: 4

Ya con racoon e ipsec-tools configurados, se procede a reiniciar los demonios. Ambos lados deben ejecutar los siguientes comandos (con un superusuario): /etc/init.d/setkey restart; /etc/init.

5 Figura 2: Captura sin VPN (clara) Ahora se intenta el mismo telnet, usando ahora como destino la IP de la VPN: telnet Se aprecia que tanto el usuario como la contraseña están cifradas, dado que no se pueden leer en texto claro como en la ejecución anterior: 5

2.16.1.1 Se aprecia que tanto el usuario como la contraseña están

6 Figura 3: Captura usando la VPN 6

7 Referencias

Documentos relacionados

VPN - Virtual Private Network

VPN - Virtual Private Network Seguridad en Redes Alejandro Valdés Jimenez [email protected] Tabla de contenidos 1. Objetivos...3 2. Introducción...3 3. Instalación soporte para una VPN...4 4. Configuración de una VPN en modo túnel...6