Configuración del cliente VPN para la UCA en GNU/Linux Solución libre con OpenVPN

Transcripción

1 Configuración del cliente VPN para la UCA en GNU/Linux Solución libre con OpenVPN de la Universidad de Cádiz Oficina del Software Libre de la Universidad de Cádiz (OSLUCA) 13 de diciembre de 2007 Índice 1. Introducción 1 2. Requisitos previos 2 3. Resumen 3 4. Obtención de certificados y configuración 3 5. Uso de VPN-UCA con OpenVPN Uso de OpenVPN con NetworkManager Prueba Introducción El servicio de red privada virtual de la Universidad de Cádiz (VPN) permite a sus miembros (PAS, PDI, becarios), debidamente autenticados, acceder a la red de la UCA desde fuera de ella (Internet) como si se estuviera dentro, mediante el establecimiento de un túnel de datos cifrado. Este servicio se presta actualmente a través de una pasarela Nortel Contivity. La empresa Nortel suministra un cliente para Windows de muy fácil manejo; sin embargo, los clientes para GNU/Linux y Mac OS/X son hechos por otra empresa, Página 1

2 llamada Apani Networks, y no solo no son libres y hay que pagar por las licencias de uso (de las cuales se han comprado unas pocas), sino que además las versiones existentes son antiguas y no funcionan en distribuciones o versiones nuevas de estos sistemas operativos. Aunque Novell ha desarrollado un software capaz de tratar, mediante conectores (plugins), con soluciones cerradas de Nortel y otros fabricantes, y esta solución ya está presente en su distribución OpenSUSE 10.3 y en otras, se ha visto que sigue dando problemas con algunos rúters domésticos, y también los usuarios de ordenadores MacIntosh e incluso algunos de Windows tienen problemas diversos. Por lo tanto, el ha puesto en marcha una solución alternativa basada en el software libre o de fuente abierta OpenVPN 1, de más fácil manejo en todos los sistemas operativos habituales de escritorio. La solución escogida utiliza para la autenticación certificados personales, como los de la red inalámbrica ucair (de hecho, valen los mismos). En este documento se explica cómo conectarse desde casa a la red de la UCA mediante VPN con un sistema GNU/Linux. Aunque el autor lo ha probado con la distribución OpenSUSE Linux 10.3 x86_64, se intentará ser lo más general posible para que el usuario de cualquier otra distribución no tenga problemas. En este documento se supone que el lector tiene un ordenador con una distribución de GNU/Linux instalada y funcional, con red, y que conoce su manejo básico, incluyendo tareas de administración sencillas, como instalar paquetes de software o ejecutar órdenes desde una consola o emulador de terminal como superusuario (root). 2. Requisitos previos Es necesario instalar los siguientes paquetes. Los nombres podrían variar ligeramente según las distribuciones, y por supuesto los métodos de instalación variarán con cada una. openvpn El programa que crea el túnel cifrado, y sus ficheros auxiliares y documentación. Este paquete es obligatorio; los demás a continuación son opcionales (y además no funcionan de momento: vea 5.1). NetworkManager-openvpn Si Ud. usa para la conexión de red el programa NetworkManager, este paquete hace que pueda hacer uso de OpenVPN desde él. En Ubuntu y derivadas (Guadalinex), se llama network-manager-openvpn. NetworkManager-openvpn-kde Si Ud. usa además de NetworkManager el escritorio KDE y el applet knetworkmanager, este paquete añade la funcionalidad de controlar OpenVPN desde dicho applet. NetworkManager-openvpn-gnome Ídem para los usuarios del escritorio Gnome. 1 Toda la información sobre OpenVPN en incluyendo interfaces gráficas. Página 2

3 3. Resumen Una vez instalado al menos el paquete openvpn y satisfechos los otros requisitos, estos son los pasos necesarios para hacer uso del VPN de la UCA: 1. Obtener los certificados digitales y el fichero de configuración para Linux, y ponerlos en el sitio adecuado: 2. Lanzar el programa openvpn de la forma adecuada para activar el servicio: sudo /etc/init.d/openvpn start. 3. Parar el servicio cuando queramos desconectar la sesión de VPN: sudo /etc/init.d/openvpn stop. A continuación se desarrollarán estos pasos. 4. Obtención de certificados y configuración 1. Conéctese a la página web 2. Lea el texto, seleccione el sistema operativo Linux y pulse el botón Obtener Certificado Personal. 3. Pulse en cada enlace de la nueva página y guarde todos los ficheros. 4. Como se explica en esa página, debe poner («mover») esos ficheros en el directorio /etc/openvpn. Debe ser superusuario para poder hacerlo, ya que sólo él puede escribir en ese sitio. Hay muchas formas de hacerlo, gráficamente o en consola. En este último caso, si por ejemplo estamos en el directorio donde hemos descargado los ficheros, podemos hacer: sudo mv -v cacert.pem certificado.{pem,key} vpnuca.conf \ /etc/openvpn No es obligatorio pero sí muy conveniente proteger los ficheros para que solo el superusuario pueda acceder a ellos. Particularmente importante a este respecto es proteger el fichero donde se encuentra la clave del certificado. Una forma de hacerlo: sudo chmod 600 /etc/openvpn/certificado.* Notas para usuarios expertos: Los ficheros se pueden llamar de otra forma, mientras se mantenga su extensión. También se pueden poner en otro directorio los de certificados, siempre que todo eso se refleje en el fichero de configuración, que habría que modificar. Por ejemplo, los ficheros de certificados podrían llamarse correo@uca.es.pem, correo@uca.es.key y Página 3

4 cacert.pem y estar en $HOME/MisCertificados. En el ejemplo, correo sería la dirección de correo electrónico. El fichero de configuración podría ser /etc/openvpn/openvpn-uca.conf y las líneas ca, cert y key reflejarían los nombres completos de los ficheros de certificados. Uso de los certificados de ucair: Si Ud. ya es usuario de la red inalámbrica de la UCA, ucair, y por tanto tiene los certificados, puede usarlos directamente, aunque tiene que dar el paso adicional de extraer la clave privada, lo que se haría con la orden openssl rsa -inform PEM -in certificado.pem \ -out certificado.key -passout pass: donde certificado es el nombre del fichero, seguramente de la forma nombre.apellido@uca.es. Se le pedirá la contraseña para esa operación. Una vez obtenido ese fichero, se pone junto con los otros y se modifica el fichero de configuración para reflejar los nombres de los ficheros de certificados (V. nota anterior). De todas formas esto no es preciso, ya que cada vez que Ud. se conecte a la página de los certificados, se le da el mismo (salvo en caso de caducidad, claro está), aunque codificado de otra forma con otra clave, así que lo más fácil es obtenerlos de nuevo. 5. Uso de VPN-UCA con OpenVPN Aunque podríamos tener el servicio activado desde el arranque, permanentemente, esto no es recomendable, sino que lo mejor es lanzarlo a mano justo antes de establecer la conexión o túnel. Para ello, en una consola 2, hay que dar la orden: sudo /etc/init.d/openvpn start Cuando queramos desconectar de la red de la UCA, podemos parar el servicio de forma análoga: sudo /etc/init.d/openvpn stop Notas: En OpenSUSE puede sustituir /etc/init.d/openvpn por la orden alternativa /usr/sbin/rcopenvpn, o, si /usr/sbin está en su PATH, simplemente rcopenvpn, más corto. En Ubuntu y derivadas, para que OpenVPN no arranque automáticamente al encender el ordenador, cosa que no se recomienda, hay que editar el fichero /etc/default/openvpn y quitar el comentario del principio de la línea que pone AUTOSTART=none. También hay entonces que añadir el parámetro vpnuca (el nombre de la conexión VPN) después de start o stop. 2 O de otra forma: por ejemplo, en KDE, presionando Alt-F2 o pulsando con el botón derecho del ratón en el escritorio y escogiendo del menú «Ejecutar orden». Página 4

5 5.1. Uso de OpenVPN con NetworkManager NetworkManager es un sistema muy útil para portátiles, que suelen tener varias interfaces de red cambiantes: una conexión Ethernet por cable, que quizá se use en el trabajo, o en casa, una interfaz inalámbrica (con la posibilidad de conectarse a varias redes WiFi distintas en diversos lugares), un módem, quizá otra tarjeta de red PCMCIA, VPN... Este programa o sistema permite que el portátil se conecte automáticamente a la mejor red que encuentre en cada momento, manteniendo el usuario normal el control no obstante sobre la conexión o desconexión a una u otra red sobre una u otra interfaz. Los applets (esto es, aplicacioncillas en inglés: programas que están siempre activos y controlables mediante un pequeño icono en la barra de tareas) para KDE y Gnome permiten al usuario ese control mencionado anteriormente de una forma fácil e intuitiva. Un «conector» o pluguín ( plugin en inglés) para VPN permite además que el usuario abra o cierre la sesión VPN simplemente pulsando en el icono del applet de NetworkManager y escogiendo del menú la conexión VPN. Lamentablemente, en la fecha de escritura de este documento, diciembre de 2007, un error de NetworkManager hace que no haga caso de uno de los parámetros necesarios en nuestra configuración (concretamente, para el curioso, se llama tls-remote), y aunque el fallo ya está registrado y existe un parche, se recomienda esperar a que se incorpore oficialmente a su distribución Prueba La página web nos dice cuál es nuestra dirección IP real, por lo que podemos comprobar que realmente VPN está funcionando. Aparte por supuesto de conectarnos a páginas web de la Intranet de la UCA, a nuestro PC de escritorio supuestamente encendido, etc. Este documento tiene licencia «Reconocimiento-No comercial-compartirigual 2.5 España» de Creative Commons, Página 5