Seguridad y alta disponibilidad PAP CHAP

Transcripción

1 Escenarios CISCO: Interconexión de redes mediante protocolos PPP, PAP, CHAP PAP En estas dos imágenes vemos la configuración de dos routers que hemos configurado el protocolo pap para ellos primero le ponemos un nombre al router, luego vamos a poner el nombre del usuario y contraseña del router con el que nos vamos a conectar, ponemos la encapsulación que es ppp luego le ponemos la autenticación que va a ser pap y para finalizar vamos a poner el usuario y la contraseña que vamos a enviar desde el router de origen. CHAP Ahora vamos configurar los router por el protocolo chap para ellos ponemos el nombre del router y el usuario y contraseña del otro router, nos metemos en la interfaz y ponemos la encapsulación y la autenticación que va a ser chap y en el otro router hacemos lo mismo 1

2 Configurar un router de acceso inalámbrico CISCO Linksys WRT54GL, utilizando el simulador. Para configurar la seguridad de una red inalámbrica nos vamos a la pestaña de wireless y lego le damos a wireless security aquí vamos a seleccionar de la lista wpa personal, el tipo de algoritmos de encriptación va a ser AES y la clave que vamos a compartir va a ser clave, ya le damos a save settings para que se guarde los cambios Nos vamos a las misma pestaña que la anterior, en este camos la seguridad va a ser wpa Enterprise, el algoritmos vamos a seleccionar el mismo AES y en este tipo de seguridad ya vemos una cosa nueva que es la direccion ip del servidor radius, le ponemos la direccion ip de nuestro servidor, el puerto le dejamos el que tiene por defecto y la clave precompartida será clave, y guardamos los cambios 2

3 Configurar router inalámbrico Linksys WRT54GL en modo seguro: (Cambia el SSID por defecto y desactivar el broadcasting SSID, deshabilitar DHCP, cambiar nombre de usuario y contraseña, activar el filtrado de MAC, WPA2, cifrado TKIP+AES). Se va a configurar el router Linksys como seguro, para ello se accede a él y se le desactiva el servicio DHCP: Se le modifica el SSID Se le asigna el cifrado TKIP + AES con la configuración de WPA2 Personal. 3

4 Ahora se accede con el cliente inalámbrico, dadas estas pautas. Para ello se agrega una nueva red y, con una configuración de direcciones IP estática, se accede mediante AES (que conecta también TKIP+AES) y se le asigna la contraseña. Con estos parámetros conecta a la red. 4

5 5

6 Simulación de un entorno de red con servidor RADIUS CISCO en el simulador Packet Tracer. Aquí podemos ver el escenario donde vamos a simular un servidor radius Nos vamos al servidor DNS y nos vamos a config, luego le vamos a dar a la pestaña de fastethernet y vamos a configurar la direccion ip del servidor dns 6

7 Ahora nos vamos a la pestaña HTTP y vamos a poner a ON para poder entrar a nuestra página de bienvenida tanto en http como en https Ahora nos vamos a la pestaña de DNS y vamos a añadir al registro los nombres para poder conectarnos a través del navegador con el nombre en vez de con la dirección ip 7

8 Nos vamos al servidor radius y vamos a la pestaña AAA, lo primero que vamos a hacer es configurar la red, para ello vamos a poner el nombre del cliente, la clave secreta y la dirección ip y lo añadimos. Más abajo vamos a añadir los usuarios con su contraseña y los añadimos a la lista Ahora nos vamos al router y nos vamos a setup y en la lista desplegable seleccionamos la ip estática y configuramos la dirección ip, mascara, la puerta de enlace, etc. 8

9 En la misma pestaña donde estamos vamos a habilitar el servidor dhcp y dejamos el rango de las dirección que va a dar como viene por defecto, le vamos a poner la ip del servidor dns Ahora nos vamos a la pestaña de wireless y vamos a configurar los datos del servidor radius Ahora nos vamos a los clientes y vamos a la opción de pc wireless para conectarnos al servidor radius 9

10 En esta pantalla lo que vamos a hacer es darle a advanced setup y empezar a configurar la conexión En esta pantalla vamos a seleccionar la primera opción y le damos a next Vamos a dejar la opción que viene por defecto para que obtenga la dirección ip por dhcp y le damos a next 10

11 Vamos a seleccionar la seguridad que va a ser wpa2-enterprise y le damos a next Vamos a poner el nombre de usuario y contraseña que están dados de alta en el servidor radius Aquí nos sale un resumen de la configuración que hemos realizado anteriormente y le damos a save 11

12 CISCO CCNA Security 1.1. Laboratorio Lab-3-A; Acceso administrativo seguro utilizando AAA y RADIUS (WinRadius en Windows XP) Se configuran los parámetros de los routers para que se reconozcan en el escenario siguiente. Se va a configurar el router R1 para probar la autenticación local. Se realiza una conexión Telnet a R1. 12

13 Se habilita el protocolo AAA en R3 Se configura el reloj. Se le asigna el protocolo aaa y se realiza un debug del mismo para observar lo que ocurre. Se realiza un Telnet a R3, aparece una pantalla de que se ha generado una clave RSA. 13

14 Se observa lo ocurrido en R3. Se modifca el R1 devolviéndole su configuración inicial. Se habilita WinRADIUS en Windows XP, para ello se instala y se inicia. 14

15 Escucha en el 1812 y Se limpia el log con Log > Clear 15

16 Se realiza un test para observar la conexión. 16

17 Se configura R1 para asignarle el servidor RADIUS. Se observan los comandos que se pueden realizar. 17

18 Se observa la configuración RADIUS en el running-config. Se ve en Windows 7 la configuración del servidor. 18

19 Se realiza un test desde WinRADIUS, en el sistema operativo Windows 7. 19

20 Instalación de un servidor RADIUS bajo GNU/LINUX (freeradius), para autenticar conexiones que provienen de un punto de acceso CISCO AIRONET 1130AG. a) Autenticación en texto plano Se le agregan las direcciones IP por las que escuchará el servidor (en caso de haber varias tarjetas, es recomendable seleccionar la dirección IP que escuchará) en el fichero principal radiusd.conf, que se encuentra en /etc/freeradius En el fichero clients.conf se le asignará la dirección del punto de acceso, la clave precompartida y el nombre de la red. En el fichero users se le añaden los usuarios que se requieran para conectar, en este caso se le agrega el usuario luis con clave inves, todo sin comillas. (Es necesario configurar las dos partes del fichero para cada usuario). 20

21 Tras configurar el servidor, se configura el punto de acceso para conectar con el mismo. (Se ha conectado previamente vía hiperterminal y se le ha asignado una IP). 21

22 Ahora se comprueba que la interfaz inalámbrica está habilitada. Se le asigna la configuración IP. Ahora se le añade la seguridad WPA a la red, añadiéndole la dirección del servidor RADIUS y la clave precompartida. También puede verse la red creada. Al crearla es IMPORTANTE activar rellenar la casilla relacionada con SNMP. 22

23 Finalmente, en la pestaña Security > SSID Manager se le asigna la autenticación con PEAP el método EAP habilitado. Para terminar, se configura el cliente inalámbrico con los parámetros debidos y se conecta a la red W1ASIR. Para ello se agrega la red. 23

24 Y se le editan las opciones de configuración. Tras seleccionar el autenticación por usuarios, la clave TKIP y el empleo del algoritmo EAP seguro (PEAP), se procede a conectar. 24

25 25

26 Instalación de un servidor RADIUS bajo GNU/LINUX (freeradius), para autenticar conexiones que provienen de un router de acceso CISCO Linksys WRT54GL. Autenticación de usuarios en texto plano. Lo siguiente que vamos a hacer es instalar el paquete freeradius en el servidor. Ahora nos metemos en /etc/freeradius y modificamos el fichero users y introducimos los usuarios y las contraseñas para poder acceder a la red wifi mediante radius, estos son los usuarios radius. Ahora desde el mismo directorio modificamos el archivo clients.conf y ponemos la Ip del router la contraseña que comparten y el nombre del SSID de la red. Esta es la configuración de validación por usuarios a una red wifi mediante radius en texto plano. 26

27 La configuración que se debe realizar en el cliente radius es la siguiente: Configuración de usuario Radius 1. La configuración con Windows 7 es muy parecida a la de Windows XP, por lo que voy a intentar ser breve. Lo primero que haremos es acceder al Panel de control Redes e Internet Administrar redes inalámbricas y pulsamos sobre el botón Agregar, tal y como se muestra en la siguiente imagen. 2. En la ventana que se abre, crearemos un nuevo perfil de red de forma manual. Para ello, pulsaremos en el área señalada en rojo de la siguiente imagen: 27

28 3. Ahora, introduciremos el Nombre de la red inalámbrica (SSID del punto de acceso), en nuestro caso FPINFORMATICA y en el Tipo de seguridad seleccionaremos WPA2- Entreprise. Por último, en el Tipo de cifrado elegiremos el valor AES. El resto de opciones de la ventana las dejaremos como están. 4. El siguiente paso, consiste en Cambiar la configuración de conexión, para ello sólo tenemos que pulsar el correspondiente enlace, señalado en rojo en la siguiente ventana. 28

29 5. Lo primero que hacemos, en la pestaña Seguridad de la ventana que se nos abre, es pulsar en el botón Configuración. Después desmarcamos la casilla Validad un certificado de servidor, y al igual que en XP, pulsamos configurar y desmarcamos la opción de utilizar el usuario de Windows para validarnos. Aceptamos y Aceptamos, para volver a la ventana inicial (izquierda de la imagen). 6. En el último paso, pulsaremos sobre el botón Configuración avanzada y añadiremos las credenciales de nuestro usuario RADIUS, para que conecte de forma automática a la red. Una vez que aceptemos, y cerremos todas las ventanas abiertas, sólo nos queda conectarnos a la red WiFi y listo. 29

30 Autenticación de usuarios basado en bases de datos (MySQL,SQL Server,etc.) Para poder realizar freeradius con mysql tendremos que instalar en el sistema operativo ubuntu server lo siguiente: - php5 - MySqlServer - phpmyadmin - Apache2 Una vez instalado lo anterior procedemos a la instalación del paquete freeradius y freeradius con mysql. 30

31 Podemos ver que está instalado. Ahora editamos el fichero /etc/freeradius/users. Creamos un usuario llamado "usu1" con contraseña inves y descomentamos algunas líneas. 31

32 Ahora entramos en modo debug con el siguiente comando: Lo comprobamos con un comando y nos tiene que salir Acces-accept. 32

33 Ahora nos vamos al fichero radius.conf y descomentamos la línea que viene "$Include sql.conf". Después accedemos a mysql y creamos una base de datos y un usuario con contraseña "inves" con todos los privilegios. 33

34 Utilizando el usuario radius, o el que se haya designado para utilizar la base de datos recién creada, inserta en la base de datos que acaba de crear con los esquemas incluidos con freeradius, insertamos las tablas correspondientes a la base de datos radius, estas tablas están ubicadas en forma de fichero ".sql" en el directorio /etc/freeradius/sql/mysql. Para ver las tablas creadas entramos en la base de datos. 34

35 Ahora editamos el archivo sql.conf y configuramos los setting para la conexión con el servidor de mysql Y descomentamos la línea readclient=yes. 35

36 Luego editamos el archivo: /etc/freeradius/sites-available/default y descomentamos la variable "sql" en las secciones de: authorize{}, accounting{}, session{} y posth-auth{} esto para traer los datos desde las tablas en la base de datos "radius" para ello: nano /etc/freeradius/sites-available/default. Ahora creamos los usuarios en la base de datos radius de mysql, más en concreto en la tabla radcheck, estos usuarios serán con los que nos tendremos que autentificar para tener acceso a la red wifi. 36

37 Para comprobar que se han creado los usuarios ejecutamos el siguiente comando: Para comprobar que los usuarios son validos para el funcionamiento ejecutamos el siguiente comando: 37

38 En el fichero clients.conf, ubicado en el directorio /etc/freeradius, añadimos al final la siguiente línea, en la cual indicaremos la ip del router, que validara usuarios radius para la wifi, la contraseña compartida por el router, el servidor mysql y el SSID de la red. A continuación nos dirigimos al fichero inner_tunnel, ubicado en el directorio /tec/freeradius/sites-availables, descomentamos la línea que pone "sql" en la parte de authorize{} y post-auth{}. 38

39 Con esta configuración tendremos accesos a nuestra red wifi autenticándonos como usuarios radius dado de altas en una base de datos mysql. La configuración del cliente raidus será la siguiente: 1. La configuración con Windows 7 es muy parecida a la de Windows XP, por lo que voy a intentar ser breve. Lo primero que haremos es acceder al Panel de control Redes e Internet Administrar redes inalámbricas y pulsamos sobre el botón Agregar, tal y como se muestra en la siguiente imagen. 2. En la ventana que se abre, crearemos un nuevo perfil de red de forma manual. Para ello, pulsaremos en el área señalada en rojo de la siguiente imagen: 39

40 3. Ahora, introduciremos el Nombre de la red inalámbrica (SSID del punto de acceso), en nuestro caso FPINFORMATICA y en el Tipo de seguridad seleccionaremos WPA2- Entreprise. Por último, en el Tipo de cifrado elegiremos el valor AES. El resto de opciones de la ventana las dejaremos como están. 4. El siguiente paso, consiste en Cambiar la configuración de conexión, para ello sólo tenemos que pulsar el correspondiente enlace, señalado en rojo en la siguiente ventana. 40

41 5. Lo primero que hacemos, en la pestaña Seguridad de la ventana que se nos abre, es pulsar en el botón Configuración. Después desmarcamos la casilla Validad un certificado de servidor, y al igual que en XP, pulsamos configurar y desmarcamos la opción de utilizar el usuario de Windows para validarnos. Aceptamos y Aceptamos, para volver a la ventana inicial (izquierda de la imagen). 6. En el último paso, pulsaremos sobre el botón Configuración avanzada y añadiremos las credenciales de nuestro usuario RADIUS, para que conecte de forma automática a la red. Una vez que aceptemos, y cerremos todas las ventanas abiertas, sólo nos queda conectarnos a la red WiFi y listo. 41

42 Instalación de un servidor RADIUS en Zentyal para autenticar conexiones que provienen de un router de acceso Linksys WRT54GL. Comprobación en un escenario real. Se ven los parámetros básicos del router inalámbrico. Se le cambia el nombre a la red. Ahora se configuran los parámetros para conectar con RADIUS. 42

43 Tras modificar las opciones del router inalámbrico, se le modifican las opciones de configuración de RADIUS en el servidor Zentyal, conectándolo mediante cable. 43

44 Se instala el servidor RADIUS. 44

45 Se activa el servicio tras su instalación. Se le agrega el cliente, en este caso el punto de acceso. 45

46 Se le modifica el puerto al configurado en el router y se ve el cliente. 46

47 Ahora, se añadirá el usuario gabri para realizar la conexión. **Zentyal se emplea de certificados para ello** 47

48 Se configura el cliente con los parámetros anteriores. 48

49 49

50 50

51 51

52 Se ve la red y se procederá a conectar. 52

53 Busca información sobre EDUROAM y elabora un breve informe sobre dicha infraestructura. Eduroam (contracción de education roaming) es el servicio mundial de movilidad segura desarrollado para la comunidad académica y de investigación. Eduroam persigue el lema "abre tu portátil y estás conectado". El servicio permite que estudiantes, investigadores y personal de las instituciones participantes tengan conectividad Internet a través de su propio campus y cuando visitan otras instituciones participantes. Eduroam es una iniciativa englobada en el proyecto RedIRIS que se encarga de coordinar a nivel nacional los esfuerzos de instituciones académicas con el fin de conseguir un espacio único de movilidad. En este espacio de movilidad participa un amplio grupo de organizaciones que en base a una política de uso y una serie de requerimientos tecnológicos y funcionales, permiten que sus usuarios puedan desplazarse entre ellas disponiendo en todo momento de conectividad. Por otro lado, eduroam forma parte de la iniciativa eduroam a nivel internacional, financiada a través de GEANT 3, y operada por varias redes académicas europeas y TERENA. Esta iniciativa amplía el espacio de movilidad al ámbito académico europeo, a través de eduroam Europa, y tiende puentes con eduroam Canadá, eduroam US, y eduroam APAN (Asia y Pacífico). 53