Configuración del cliente VPN para la UCA en SUSE Linux 10 Solución propietaria de Nortel con IPSec

Transcripción

1 Configuración del cliente VPN para la UCA en SUSE Linux 10 Solución propietaria de Nortel con IPSec Gerardo Aburruzaga García Oficina del Software Libre de la Universidad de Cádiz 22 de noviembre de 2006 Índice 1. Introducción 1 2. Requisitos previos y restricciones 2 3. Resumen de la instalación 3 4. Instalación de paquetes 3 5. Configuración de VPN-UCA 3 6. Uso de VPN-UCA 6 1. Introducción El servicio de red privada virtual de la Universidad de Cádiz (VPN) permite a sus miembros (PAS, PDI, becarios), debidamente autenticados, acceder a la red de la UCA desde fuera de ella (Internet) como si se estuviera dentro, mediante el establecimiento de un túnel de datos cifrado. Este servicio se presta actualmente a través de una pasarela Nortel Contivity. La empresa Nortel suministra un cliente para Windows de muy fácil manejo; sin embargo, los clientes para GNU/Linux y Mac OS/X son hechos por otra empresa, llamada Página 1

2 Apani Networks, y no solo no son libres y hay que pagar por las licencias de uso (de las cuales se han comprado unas pocas), sino que además las versiones existentes son antiguas y no funcionan en distribuciones o versiones nuevas de estos sistemas operativos; concretamente, en la fecha de redacción de este documento, las versiones para GNU/Linux están empaquetadas solamente para SuSE Linux 8.2, 9.0 y 9.1 y para Red Hat 8 y 9, Fedora Core 1 y 2, y Red Hat Enterprise 3.0, siempre con la versión 3 del compilador GNU C. No obstante, Novell ha desarrollado un software capaz de tratar, mediante conectores (plugins), con soluciones cerradas de Nortel y otros fabricantes. Este software se compone de varios paquetes: turnpike Una estructura sobre Racoon que permite el desarrollo de conectores de IKE (Internet Key Exchange, intercambio de claves en Internet) para soportar pasarelas de terceros y otras características adicionales. ipsec-tools Paquete necesario para utilizar la funcionalidad IPsec del núcleo Linux. Este paquete está parcheado para hacer uso de turnpike, e incorpora racoon, un demonio Linux de claves IKE v1. Después de la instalación de este paquete, el gestor de actualizaciones de SUSE Linux intentará «actualizarlo» con la versión original de SUSE, ya que ésta tiene un número de versión mayor; esto debe evitarse, conviene desactivar la actualización automática, y en la manual siempre desmarcar la actualización del paquete ipsec-tools. En el futuro, la versión necesaria aquí se fundirá con la original. novell-nortelplugins El conector para turnpike que permite la conexión a la pasarela Nortel Contivity. La licencia de este paquete es comercial, propietaria, aunque se consigue gratis. 2. Requisitos previos y restricciones SUSE Linux 10 El autor de este documento ha probado el software con SUSE Linux 10.1 x86. El software sólo se encuentra empaquetado en formato RPM de momento para esta distribución y versión. No obstante es probable que los paquetes RPM funcionen directamente en otra versión, y también se dispone de los fuentes en formato tar.gz, con lo que usuarios de otras distribuciones de GNU/Linux pueden también tener suerte. ipsec-tools El paquete ipsec-tools suministrado con el sistema SUSE Linux original debe desinstalarse previamente, si es que estaba instalado. La versión que hay que poner está modificada para poder beneficiarse de turnpike. Ya se ha dicho en 1 que debe evitarse la actualización de este paquete, pues esta versión modificada tiene un número de versión menor que la original. Privilegios Por supuesto, hay que entrar como root para instalar los paquetes. Para usar el software cliente VPN simplemente hay que pertenecer al grupo users, cosa habitual en muchos sistemas GNU/Linux. Página 2

3 Cortafuegos Si se tiene habilitado un cortafuegos, hay que permitir el tráfico a los puertos UDP 500 y Resumen de la instalación Una vez comprobado que se cumplen los requisitos anteriores, estos son los pasos necesarios para hacer uso del VPN de la UCA: 1. Descargar e instalar los paquetes RPM necesarios. 2. Lanzar el programa cliente VPN IPSec (vpnlogin) y configurar un perfil con los datos necesarios para el VPN de la UCA. 3. Con el demonio racoon activo, lanzar de nuevo el programa anterior para conectar o desconectar una sesión VPN. A continuación se desarrollarán estos pasos. 4. Instalación de paquetes La URL de descarga es la siguiente. Para SUSE Linux 10.1 hay que entrar en el directorio SUSE 10.1 Stable. Para otras versiones o distribuciones, habrá que probar en los otros directorios de cada programa. Una vez descargados los paquetes, se instalan como root. Por supuesto, hay varias formas gráficas de hacerlo, pero lo más rápido es desde una consola o emulador de terminal mediante la orden: rpm -ivh ipsec-tools-0.6.3_turnpike-19.i586.rpm \ turnpike i586.rpm \ novell-nortelplugins i586.rpm 5. Configuración de VPN-UCA Hay que lanzar el programa llamado vpnlogin, por ejemplo desde un emulador de terminal; en el escritorio KDE aparecerá en el menú Página 3

4 Figura 1: Pestaña Gateway K Sistema Red IPSec VPN Client (VPN Login) Aparece una ventana con una pestaña: Gateway (Pasarela). De la lista desplegable titulada Profile name (Nombre de perfil) se escoge Profile manager (Gestor de perfiles) y aparece una nueva pestaña con ese nombre, donde entraremos. Véase la figura 1. Pulsamos el botón rotulado + Añadir. Véase la figura 2. Ahora hay que rellenar los datos como se ve en la figura 3 en la sub-pestaña General y se detallan a continuación. Profile name Nombre del perfil que estamos creando. Aquí se pone un nombre cualquiera descriptivo; VPNUCA puede ser razonable y adecuado, por ejemplo. Gateway type Tipo de pasarela. De la lista desplegable hay que escoger nortel. Authentication type Tipo de autenticación. De la lista desplegable escogeremos Extended Authentication (Autenticación extendida), ya que no usamos certificados. Gateway Nombre de la pasarela. En nuestro caso debe ponerse vpn2.uca.es. En la sección Nortel Contivity se pone el nombre del grupo definido en él (Groupname) y su contraseña (Group Password): estos son uca y uca (la contraseña no se ve al escribirla, y aparece en su lugar ). Nos pasaremos ahora a la sub-pestaña Additional (Adicional) y la rellenaremos como se ve en la figura 4: Página 4

5 Figura 2: Pestaña Profile manager Figura 3: Pestaña Profile manager: General Página 5

6 Figura 4: Pestaña Profile manager: Additional DH Group Como «grupo DH» se escoge del menú desplegable 768 bits (DH1). PFS Group Como «grupo PFS» se escoge del menú desplegable la opción 768 bits (PFS 1). No hay que añadir ninguna red para VPN (Use VPN for following Networks) puesto que se nos suministrarán automáticamente cuando nos conectemos. Ya solo queda pulsar el botón Guardar para guardar el perfil recién creado y poder usarlo. Ahora podemos salir del programa para usarlo más tarde, o conectarnos inmediatamente sin salir de él. 6. Uso de VPN-UCA Antes de lanzar una conexión VPN, el demonio racoon debe haber sido lanzado. Si vamos a usar VPN muy esporádicamente podemos escoger hacerlo a mano justo antes de establecer la conexión. Para ello, en una consola y siendo el usuario root, hay que dar la orden: rcracoon start Página 6

7 Figura 5: Conexión a VPNUCA Después de la desconexión, puede darse la orden rcracoon stop. Si en cambio usaremos VPN con relativa frecuencia o no nos importa tener el demonio siempre activo, para evitar olvidos, se puede hacer que se cargue automáticamente en el arranque. Esto puede hacerse gráficamente mediante la herramienta YaST2 escogiendo del panel de la izquierda Sistema y del de la derecha Editor de niveles de ejecución. En el «modo simple» solamente hay que desplazarse a la línea donde está racoon y pulsar el botón Activar si no estaba ya activado. Alternativamente, se puede dar desde una consola de texto y siempre como root la orden insserv racoon Una vez el demonio racoon está activo, se lanza de nuevo el programa vpnlogin como se dijo en 5. Ahora en la pestaña Gateway (Pasarela), que es la única que aparece, escogemos de la lista desplegable Profile name el perfil que acabamos de crear, VPNUCA si le pusimos ese nombre, y aparece lo que se ve en la figura 5. El nombre de la pasarela (Gateway) ya lo rellenamos antes y aparece aquí, vpn2.uca.es, pero podríamos cambiarlo (p. ej.: yun.uca.es). En la sección Nortel Contivity pondremos como Username el nombre de usuario que usamos en la UCA para acceder a RedC@mpus (nóminas, actas, notas, etc.), formado normalmente por la letra u minúscula y el número de nuestro DNI; y como User Password nuestra contraseña correspondiente, que por supuesto no aparece cuando la escribimos, sino que cada carácter se sustituye en la pantalla por un signo. Página 7

8 Una vez hecho esto, pulsamos el botón Connect. Si no hay problemas, en menos de medio minuto aproximadamente se establece la conexión. Se abre una pestaña nueva: Connection details (Detalles de la conexión) para que veamos lo que está ocurriendo. Cuando la conexión tiene lugar aparece la palabra Connected (Conectados) en Connection Status (Estado de la conexión), así como la dirección de la pasarela a la que nos hemos conectado y el tiempo que llevamos de conexión. Ya podemos hacer uso de los recursos de la red de la UCA, estamos dentro de ella a través de VPN. Cuando acabemos podemos pulsar el botón Disconnect : se cierra el programa y recuperamos los datos de red originales. La página web nos dice cuál es nuestra dirección IP real, por lo que podemos comprobar que realmente VPN está funcionando. Para los amantes de la consola, hay una forma alternativa de conectarse y desconectarse una vez creado el perfil. Desde un emulador de terminal o consola, como usuario normal (no hace falta ser root, sólo estar en el grupo users), para conectarnos escribiremos: nvpn -c VPNUCA Se pide el nombre de usuario y la contraseña. Para desconectarnos: nvpn -d Se pueden emplear las opciones largas --connect y --disconnect en lugar de -c y -d respectivamente. Este documento tiene licencia «Reconocimiento-No comercial-compartirigual 2.5 España» de Creative Commons, Página 8