En esta página se especifica la información siguiente:
VPN permite que dos redes locales separadas se conecten de forma directa entre ellas sobre redes potencialmente no seguras como Internet. Todo el tráfico de red que pasa a través de la conexión VPN se transmite de manera segura dentro de un túnel cifrado, oculto de curiosos. Dicha configuración se denomina VPN Puerta de Enlace a Puerta de Enlace o VPN Gw2Gw de manera abreviada. De manera similar, un ordenador remoto en algún lugar de Internet puede utilizar un túnel VPN para conectarse a una LAN local confiable. El ordenador remoto, al que a veces se le llama Road Warrior parece estar directamente conectado a la LAN de confianza mientras el túnel VPN está activado.
El dispositivo Panda GateDefender admite la creación de VPN que se basan en el protocolo IPsec, admitido por la mayoría de los sistemas operativos y equipos de red, o en el servicio OpenVPN.
Puede configurarse el dispositivo Panda GateDefender como un servidor o un cliente OpenVPN, y hasta para que funcione de las dos maneras al mismo tiempo, con el fin de crear una red de dispositivos conectados a través de OpenVPN. Los elementos de menú que se encuentran disponibles en el submenú son los siguientes:
Si se configura el dispositivo Panda GateDefender como un servidor OpenVPN, puede aceptar conexiones remotas del enlace y permitir que se configure un cliente VPN y que funcione como si fuera una estación de trabajo o servidor local.
La página se abre con el resumen de la configuración actual del servidor, separada en dos casillas: Configuración general y Estado y control de conexión. Dos pestañas adicionales otorgan acceso a las configuraciones Avanzadas y a la Descarga de cliente VPN.
Nota
Siempre que se cambie la configuración del servidor OpenVPN o se modifique el modo en el que un usuario interactúa con los demás usuarios (p. ej., al alterar la opción Redes detrás del cliente, consulte a continuación), debe reiniciarse el servidor OpenVPN para que los cambios se propaguen a todos los usuarios. Dicha necesidad aparece después de una modificación a través de una casilla pequeña que muestra un mensaje que recuerda que hay que reiniciar el servidor. Los clientes conectados se desconectarán y se volverán a conectar de forma automática después de un breve período, generalmente sin darse cuenta de la interrupción.
Esta página muestra dos casillas: una que permite establecer una configuración general, y otra de carácter informativo que muestra los clientes conectados.
Configuración general
La casilla en la parte superior muestra la configuración actual, que puede cambiarse desde allí a voluntad, simplemente modificando las siguientes opciones, que están relacionadas con el OpenVPN enlazado. Sin embargo, cuando la opción es que se utilice una configuración de un VPN enrutado, solamente habrá una opción disponible: Subred VPN.
Marque esta opción para ejecutar el servidor OpenVPN en modo enlazado, es decir, dentro de una de las zonas existentes.
Nota
Si el servidor OpenVPN no está enlazado (es decir, está enrutado), los clientes recibirán sus direcciones IP desde una subred específica. En este caso, deberán crearse reglas del firewall apropiadas en Firewall VPN, para asegurar que los clientes puedan acceder a cualquier zona, o a algún servidor/recurso (por ej.: un repositorio de código fuente). Si el servidor OpenVPN está enlazado, hereda la configuración del firewall de la zona en la que se encuentra definido.
La última dirección IP posible en la red de la zona seleccionada que debería utilizarse para los clientes OpenVPN.
Nota
El tráfico hacia este conjunto de IP debe filtrarse utilizando el Firewall VPN.
La primera vez que se inicia el servicio se genera un nuevo certificado CA autofirmado para este servidor OpenVPN, operación que puede tomar un largo tiempo. Luego de que se haya generado el certificado, podrá descargárselo al hacer clic en el enlace Descargar certificado CA. Todos los clientes que deseen conectarse a este servidor OpenVPN deberán utilizar este certificado. De lo contrario, no podrán acceder.
Luego de que se haya configurado el servidor, es posible crear y configurar cuentas dentro de la pestaña Cuentas para los clientes que puedan conectarse al dispositivo Panda GateDefender.
Estado y control de conexión
La casilla en la parte inferior muestra una lista de los clientes actualmente conectados, aunque dicha lista estará vacía hasta que el servidor OpenVPN se encuentre en ejecución y los clientes hayan creado y accedido al servidor OpenVPN. Este cuadro es idéntico a la que se encuentra en Barra de menú ‣ Estado ‣ Conexiones OpenVPN y para cada cliente contiene su nombre, su dirección IP asignada y real, su tráfico (recibido y enviado) en bytes, su tiempo de conexión, su actividad, y la única acción posible:
Resolución de problemas de las conexiones VPN.
Mientras que pueden reconocerse fácilmente varios problemas con las conexiones VPN mirando la configuración, una de las fuentes sutiles de problemas de conexión es un valor erróneo del tamaño MTU. El dispositivo Panda GateDefender fija un límite de 1450 bytes para el tamaño MTU de VPN, para prevenir problemas con el valor MTU predeterminado que utiliza el ISP, que es 1500. Sin embargo, algún ISP puede utilizar un tamaño MTU menor al valor que se utiliza comúnmente, haciendo que el valor MTU de Panda sea demasiado grande, lo que causa problemas de conexión (el más notorio es probablemente la imposibilidad de descargar archivos grandes). Puede modificarse dicho valor al acceder al dispositivo Panda GateDefender desde CLI y seguir las siguientes pautas:
Ver también
Más información sobre el tamaño MTU.
Dentro de esta pestaña, hay tres casillas que especifican las configuraciones avanzadas para el servidor OpenVPN. Aquí puede configurarse la autenticación basada en certificados (en oposición a la basada en contraseñas), entre otras configuraciones.
Nota
Pueden mantenerse los valores por defecto para una utilización normal de estas configuraciones.
Configuración avanzada
La primera casilla contiene algunas configuraciones generales del demonio:
Opciones globales de envío de parámetros
En la segunda casilla puede modificarse la configuración de red que se envía al cliente. Cada opción debe activarse marcando la casilla correspondiente después de haberla modificado.
Configuración de autenticación
La última casilla se ocupa de la elección del método de autenticación entre los tres que se encuentran disponibles y también determina las opciones de configuración disponibles.
PSK (nombre de usuario/contraseña)
El método por defecto del dispositivo Panda GateDefender es PSK (nombre de usuario/contraseña). El cliente realiza la autenticación utilizando un nombre de usuario y una contraseña. No se necesita cambio adicional alguno para utilizar este método, mientras que los otros dos métodos se describen debajo.
Al hacer clic en el enlace Descargar certificado CA, se descarga el certificado público de este servidor OpenVPN. Los clientes deben verificar la autenticidad del servidor al que se están conectando. Además, al hacer clic en el enlace de archivo Exportar CA como PKCS#12, se descarga el certificado en formato PKCS#12 (lo que debería mantenerse en privado), que se puede importar a cualquier servidor OpenVPN que se debe utilizar como un servidor de backup.
Finalmente, si este sistema fuera un sistema de backup, existen dos opciones más disponibles:
Certificado X.509 y certificado X.509 y PSK (dos factores)
Al configurar el método de autenticación basado en certificado X.509 (ya sea solamente por certificado o por certificado más el nombre de usuario y la contraseña), la configuración se vuelve un poco más complicada. Se asume (y se requiere) que se utilice una autoridad de certificado (CA) independiente para este fin. No es posible ni se recomienda mantener dicha autoridad de certificado en el dispositivo Panda GateDefender.
Es necesario generar y firmar certificados para el servidor y para cada cliente que utilice la autoridad de certificado elegida. Debe especificarse de manera explícita el tipo de certificado y ser uno de “servidor” y “cliente” en el campo “Tipo de certificado Netscape”.
Debe subirse el archivo de certificado del servidor en formato PKCS#12 en esta sección (indique la Contraseña de cifrado que se ha especificado para la autoridad de certificado antes o durante la creación del certificado).
Los certificados del cliente deben poseer los campos de nombre en común iguales a sus nombres de usuario de OpenVPN.
Advertencia
¡Al utilizarse la autenticación solo por certificado, se otorgará acceso al servidor OpenVPN a un cliente con un certificado válido aunque no posea cuenta válida!
Finalmente, puede subirse una lista de revocación (CRL), en caso de que se haya perdido un certificado de cliente, para revocar dicho certificado de cliente en el CA.
En esta página aparece la lista de las conexiones como clientes OpenVPN del dispositivo Panda GateDefender, es decir, todas las conexiones en túnel hacia servidores OpenVPN remotos. La lista informa sobre el estado, el nombre, cualquier opción adicional, una observación y las acciones disponibles para cada conexión. El estado es cerrada cuando la conexión está desactivada, y establecida cuando la conexión está activada. Además de activar y desactivar una conexión, las acciones disponibles son las de editar o eliminar la conexión. En el primer caso se abrirá un formulario que es igual que el que se abre al añadir una conexión (ver debajo) en el que se ven y modifican las configuraciones actuales, mientras que en el último caso solamente se permite la eliminación de ese perfil del dispositivo Panda GateDefender.
La creación de conexiones nuevas de clientes OpenVPN es directa y puede realizarse de dos maneras: Se puede hacer clic sobre el botón Añadir configuración de túnel e introducir la información necesaria sobre el servidor OpenVPN al que conectarse (puede haber más de uno), o importar las configuraciones del cliente desde el Servidor de acceso OpenVPN al hacer clic en Importar perfil desde el Servidor de acceso OpenVPN.
Añadir configuración del túnel
Existen dos tipos de preferencias que pueden configurarse para cada configuración del túnel: La más básica incluye opciones obligatorias para que se establezca el túnel, mientras que la avanzada es opcional y generalmente solo debe cambiarse si el servidor OpenVPN posee una configuración que no es la estándar. Para acceder a las configuraciones avanzadas, haga clic en el botón >> que se encuentra al lado de la etiqueta Configuración avanzada del túnel. Las configuraciones básicas son:
Configuración avanzada del túnel
En esta casilla, que aparece al hacer clic en el botón >> de la casilla anterior, se pueden modificar opciones adicionales, aunque los valores en esta casilla solamente deberán modificarse si el servidor no se ha configurado con los valores estándares.
Si el dispositivo Panda GateDefender solamente puede acceder a la Internet a través de un proxy de subida HTTP, igual puede ser utilizado como un cliente OpenVPN con una configuración Puerta de Enlace a Puerta de Enlace, pero el protocolo TCP para OpenVPN debe seleccionarse en ambos lados y debe rellenarse la información de cuenta de proxy HTTP en los campos de texto:
Una vez que se ha configurado la conexión, aparecerá una nueva casilla en la parte inferior de la página, que se llama Autenticación TLS, desde la que se podrá subir un archivo de clave TLS para utilizarse para la conexión. Las siguientes opciones se encuentran disponibles:
Importar perfil del servidor de acceso OpenVPN
La segunda posibilidad para añadir una cuenta es importar directamente el perfil desde un Servidor de acceso OpenVPN: En este caso, debe proveerse la siguiente información:
La dirección URL del Servidor de acceso OpenVPN.
Nota
Nótese que el dispositivo Panda GateDefender solamente admite la configuración XML-RPC del Servidor de acceso OpenVPN, por lo que una entrada URL aquí tiene la siguiente forma: https://<<SERVERNAME>/RPC2.
La página IPsec contiene dos pestañas (IPsec y L2TP), que permiten instalar y configurar los túneles IPsec y activar el soporte L2TP, respectivamente.
La pestaña IPsec contiene tres cuadros: La primera, Configuración general, sirve para activar y configurar IPsec. La segunda, Estado y control de la conexión, muestra todas las conexiones y permite añadir una nueva. Finalmente, la casilla Autoridades de certificación permite gestionar los certificados. Tenga en cuenta que al añadir una nueva conexión, aparecerán nuevos cuadros que ayudan en la configuración de los tipos de conexiones y de sus opciones.
IPSec en resumen.
IPsec es una solución genérica VPN estandarizada, en la que las tareas de cifrado y autenticación se llevan a cabo en la capa 3 OSI como una extensión del protocolo IP. Por lo tanto, IPsec debe implementarse en la pila IP del kernel. Aunque IPsec es un protocolo estandarizado y es compatible con la mayor parte de los proveedores que implementan soluciones IPsec, la implementación real puede ser muy diferente de un proveedor a otro, lo que a veces causa problemas severos de interoperabilidad.
Asimismo, la configuración y administración de IPsec generalmente es bastante difícil debido a su complejidad y diseño, mientras que algunas situaciones en particular podrían ser imposibles de manejar, por ejemplo cuando existe la necesidad de lidiar con NAT.
En comparación con IPSec, OpenVPN es más fácil de instalar, configurar y gestionar. El dispositivo Panda GateDefender utiliza una interfaz de administración fácil de utilizar que admite diferentes métodos de autenticación. Se sugiere utilizar IPsec solo si es absolutamente necesario, por ejemplo para respaldar instalaciones IPsec existentes o al lidiar con dispositivos que no admiten OpenVPN debido a los problemas de interoperabilidad que puedan surgir, mientras que se fomenta la utilización de OpenVPN en todos los demás casos, en especial si hay necesidad de trabajar con NAT.
Configuración general
En esta casilla se pueden configurar los parámetros principales de la configuración IPsec:
Estado y control de conexión
Aquí se muestra una lista de cuentas y su estado de conexión. La lista muestra el nombre, tipo, nombre común, observación y estado de cada conexión. Se añaden nuevas conexiones al hacer clic en el botón Añadir (ver debajo).
Autoridades de certificación
En la última casilla de la página principal de IPsec, se muestran los certificados de root y de host y pueden gestionarse los certificados existentes. Si los certificados de root y de host todavía deben ser generados, se muestra un mensaje en el que se lee “No presente”.
Para borrar un Certificado que ya ha sido creado, haga clic en este botón al final de la página.
Advertencia
Tenga en cuenta que al resetear los certificados de root, no solamente se eliminarán los certificados sino también las conexiones basadas en los certificados.
Crear certificados root/host
Deberá introducir la siguiente información para crear nuevos certificados de host y de root.
Los certificados se crean después de hacer clic en el botón Crear certificados de root/host. El proceso puede tardar bastantes minutos en completarse.
En lugar de generar nuevos certificados, puede subirse un archivo de certificado PKCS12 que se haya creado con anterioridad al utilizar la casilla que está en la parte inferior de la página.
Añadir un túnel/Tipo de conexión
Al hacer clic en Añadir dentro de Estado y control de conexión, se abrirá una página desde la que se puede seleccionar una Red privada virtual host a red, una Red privada virtual red a red, o una Red privada virtual L2TP host a red. Luego de la elección del tipo de conexión y un clic en el botón Añadir, se abrirá la página del editor de conexión, que contiene dos casillas que agrupan los tipos de opciones: Configuración de la conexión y Autenticación.
Configuración de conexión
La primera casilla se utiliza para configurar los parámetros de red:
La acción a realizarse si un extremo se desconecta. Las opciones disponibles del menú desplegable son Limpiar, Mantener, o Reiniciar el extremo.
Nota
A diferencia de otros lugares, al hacer clic o mover el ratón sobre el signo ? no aparecerá una ventana de ayuda sino una página web con una descripción detallada de las funciones de la detección de extremo muerto.
Autenticación
Esta casilla sirve para configurar la autenticación.
Introduzca una frase de contraseña para autenticar el otro lado del túnel. Elija esta opción para una VPN simple red a red.
Advertencia
¡No utilice PSK para autenticar las conexiones host a red!
Configuración avanzada
En esta página, que se abre al definir y guardar una conexión nueva, pueden definirse algunas configuraciones avanzadas para dicha conexión.
Advertencia
¡Los usuarios que no tengan experiencia no deberían cambiar las siguientes configuraciones avanzadas!
Cómo crear una VPN red a red con IPsec utilizando la autenticación por certificado.
Panorama:
Problema: Conectar LocalFW a CoreFW utilizando IPSec.
Solución:
Se describe L2TP, el Protocolo de túnel de capa dos, en RFC 2661. En resumen, es un protocolo que permite una conexión de túnel que transporta paquetes PPP. Se la utiliza para apoyar a las conexiones VPN utilizando IPSec.
Las siguientes opciones se encuentran disponibles para configurar L2TP.
La casilla que aparece en esta página contiene la lista de los usuarios OpenVPN, que al principio está vacía. Por lo tanto, la única acción disponible es la de Añadir nuevo usuario, mientras que la lista contiene la lista de cuentas que ya se encuentran definidas con algún tipo de información: El nombre de la cuenta, una observación, si es un usuario OpenVPN o L2TP, las redes que utiliza la cuenta, su estado y las acciones disponibles.
Haga clic en Añadir nuevo usuario para añadir una cuenta VPN. Se pueden especificar las siguientes opciones para cada usuario dentro del formulario que aparecerá:
Añadir usuario
Bajo el panel Protocolos VPN, aparecen dos casillas que permiten elegir el protocolo que se utilizará para la conexión VPN:
Justo debajo, es posible especificar configuraciones más avanzadas para cada uno de los protocolos que utilizará el usuario. Al hacer clic en el hipervínculo Configuración avanzada, se mostrarán otros dos hipervínculos: Al hacer clic sobre cada uno de ellos aparecerá un nuevo panel en el cual se podrán configurar más preferencias de conexión.
Opciones de OpenVPN
Nota
Si planea poseer dos o más sucursales conectadas a través de una VPN de Puerta de Enlace a Puerta de Enlace, se recomienda elegir diferentes subredes para las LAN en las diferentes sucursales. Por ejemplo, una sucursal podría poseer una zona VERDE con la subred 192.168.1.0/24 mientras que la otra sucursal utilizaría 192.168.2.0/24. Al usar esta solución, se podrán evitar varias fuentes probables de errores y conflictos. De hecho, esto trae varias ventajas gratis, que incluyen: la asignación automática de rutas correctas sin la necesidad de enviar rutas personalizadas, ningún mensaje de advertencia sobre rutas posiblemente conflictivas, la resolución correcta del nombre local y una configuración más sencilla de la red WAN.
Opciones de L2TP
Enter search terms or a module, class or function name.