|
|
---
|
|
|
title: "Redes Privadas Virtuales con OpenVPN"
|
|
|
date: 2023-01-25T08:44:05+01:00
|
|
|
draft: false
|
|
|
---
|
|
|
|
|
|
## Caso A: VPN de acceso remoto con OpenVPN y certificados x509
|
|
|
|
|
|
|
|
|
* Uno de los dos equipos (el que actuará como servidor) estará conectado a dos redes
|
|
|
* Para la autenticación de los extremos se usarán obligatoriamente certificados digitales, que se generarán utilizando openssl y se almacenarán en el directorio `/etc/openvpn`, junto con los parámetros Diffie-Helman y el certificado de la propia Autoridad de Certificación. * Se utilizarán direcciones de la red `10.99.99.0/24` para las direcciones virtuales de la VPN. La dirección `10.99.99.1` se asignará al servidor VPN.
|
|
|
* Los ficheros de configuración del servidor y del cliente se crearán en el directorio /etc/openvpn de cada máquina, y se llamarán servidor.conf y cliente.conf respectivamente.
|
|
|
* Tras el establecimiento de la VPN, la máquina cliente debe ser capaz de acceder a una máquina que esté en la otra red a la que está conectado el servidor.
|
|
|
Documenta el proceso detalladamente.
|
|
|
|
|
|
|
|
|
El Escenario es el siguiente:
|
|
|
|
|
|
|
|
|
|
|
|
Vamos a generar dicho en Vagrant utilizando el siguiente Vagrantfile:
|
|
|
|
|
|
```ruby
|
|
|
Vagrant.configure("2") do |config|
|
|
|
|
|
|
config.vm.synced_folder ".", "/vagrant", disabled: true
|
|
|
|
|
|
config.vm.define :cliente do |cliente|
|
|
|
cliente.vm.box = "debian/bullseye64"
|
|
|
cliente.vm.hostname = "cliente"
|
|
|
cliente.vm.network :private_network,
|
|
|
:libvirt__network_name => "red-externa",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.0.20",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
|
|
|
config.vm.define :servidor do |servidor|
|
|
|
servidor.vm.box = "debian/bullseye64"
|
|
|
servidor.vm.hostname = "servidor"
|
|
|
servidor.vm.network :private_network,
|
|
|
:libvirt__network_name => "red-externa",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.0.10",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
servidor.vm.network :private_network,
|
|
|
:libvirt__network_name => "red-interna",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.1.10",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
|
|
|
config.vm.define :maquina do |maquina|
|
|
|
maquina.vm.box = "debian/bullseye64"
|
|
|
maquina.vm.hostname = "maquina"
|
|
|
maquina.vm.network :private_network,
|
|
|
:libvirt__network_name => "red-interna",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.1.30",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
end
|
|
|
```
|
|
|
|
|
|
Ahora vamos a configurar las máquinas:
|
|
|
|
|
|
### Configuración de la máquina servidor
|
|
|
|
|
|
Vamos a instalar OpenVPN en la máquina servidor:
|
|
|
|
|
|
```bash
|
|
|
apt-get update
|
|
|
apt-get install openvpn
|
|
|
```
|
|
|
|
|
|
Activamos el bit de forwarding en el servidor editando el fichero `/etc/sysctl.conf` y descomentando la siguiente línea:
|
|
|
|
|
|
```bash
|
|
|
net.ipv4.ip_forward=1
|
|
|
```
|
|
|
|
|
|
y hacemos los cambios efectivos:
|
|
|
|
|
|
```bash
|
|
|
sudo sysctl -p
|
|
|
```
|
|
|
|
|
|
Como indica el enunciado, hay que copiar los ficheros del directorio `/usr/easy-rsa/` al directorio `/etc/openvpn/`:
|
|
|
|
|
|
```bash
|
|
|
cp -r /usr/share/easy-rsa /etc/openvpn
|
|
|
```
|
|
|
|
|
|
Ejecutamos el script de infraestructura de clave pública (PKI) para generar los certificados:
|
|
|
|
|
|
```bash
|
|
|
cd /etc/openvpn/easy-rsa
|
|
|
sudo ./easyrsa init-pki
|
|
|
```
|
|
|
|
|
|
Ahora podemos generar la clave privada:
|
|
|
|
|
|
```bash
|
|
|
sudo ./easyrsa build-ca
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
Se guardarán en el directorio `/etc/openvpn/easy-rsa/pki/`.
|
|
|
|
|
|
Ahora generamos el certificado del servidor:
|
|
|
|
|
|
```bash
|
|
|
sudo ./easyrsa build-server-full server nopass
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
Ahora vamos a generar los certificados diffie-helman (este proceso puede tardar varios minutos):
|
|
|
|
|
|
```bash
|
|
|
sudo ./easyrsa gen-dh
|
|
|
```
|
|
|
|
|
|
Por último, vamos a generar el certificado y la clave para la máquina cliente:
|
|
|
|
|
|
```bash
|
|
|
sudo ./easyrsa build-client-full cliente nopass
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
Como indica el comando, la clave se encuentra en `/etc/openvpn/easy-rsa/pki/private/cliente.key`y el certificado en `/etc/openvpn/easy-rsa/pki/issued/cliente.crt`.
|
|
|
|
|
|
|
|
|
Ahora copiamos los ficheros del cliente a la máquina cliente:
|
|
|
|
|
|
primero los movemos al directorio home:
|
|
|
|
|
|
```bash
|
|
|
sudo cp /etc/openvpn/easy-rsa/pki/ca.crt ~
|
|
|
sudo mv /etc/openvpn/easy-rsa/pki/issued/cliente.crt ~
|
|
|
sudo mv /etc/openvpn/easy-rsa/pki/private/cliente.key ~
|
|
|
```
|
|
|
|
|
|
Cambiamos el propietario de los ficheros (aprovechando que los tres ficheros empiezan por c*):
|
|
|
|
|
|
```bash
|
|
|
sudo chown vagrant: c*
|
|
|
```
|
|
|
|
|
|
Y ahora los copiamos a la máquina (aprovechando también que los tres ficheros empiezan por c* para ahorrar código):
|
|
|
|
|
|
```bash
|
|
|
scp c* vagrant@cliente:/home/vagrant
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
utilizando como plantilla el fichero que se encuentra en `/usr/share/doc/openvpn/examples/sample-config-files/server.conf`, creamos el fichero de configuración del servidor en `/etc/openvpn/server/servidor.conf`:
|
|
|
|
|
|
```bash
|
|
|
port 1194
|
|
|
proto udp
|
|
|
dev tun
|
|
|
|
|
|
ca /etc/openvpn/easy-rsa/pki/ca.crt
|
|
|
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
|
|
|
key /etc/openvpn/easy-rsa/pki/private/server.key
|
|
|
dh /etc/openvpn/easy-rsa/pki/dh.pem
|
|
|
|
|
|
topology subnet
|
|
|
|
|
|
# DIRECCIONAMIENTO PARA EL TÚNEL
|
|
|
#
|
|
|
# El servidor será: 10.99.99.1
|
|
|
|
|
|
server 10.99.99.0 255.255.255.0
|
|
|
ifconfig-pool-persist /var/log/openvpn/ipp.txt
|
|
|
|
|
|
push "route 192.168.1.0 255.255.255.0"
|
|
|
|
|
|
keepalive 10 120
|
|
|
cipher AES-256-CBC
|
|
|
persist-key
|
|
|
persist-tun
|
|
|
status /var/log/openvpn/openvpn-status.log
|
|
|
verb 3
|
|
|
explicit-exit-notify 1
|
|
|
```
|
|
|
|
|
|
Ahora activamos el servicio de OpenVPN:
|
|
|
|
|
|
```bash
|
|
|
sudo systemctl enable --now openvpn-server@servidor
|
|
|
sudo systemctl status openvpn-server@servidor
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
### Configuración de la máquina cliente
|
|
|
|
|
|
Ahora vamos a configurar la máquina cliente. Primero instalamos OpenVPN:
|
|
|
|
|
|
```bash
|
|
|
sudo apt update
|
|
|
sudo apt install openvpn
|
|
|
```
|
|
|
|
|
|
Movemos los ficheros que hemos copiado de la máquina servidor a la máquina cliente a la ruta `/etc/openvpn/client/`:
|
|
|
|
|
|
```bash
|
|
|
sudo mv c* /etc/openvpn/client/
|
|
|
sudo chown root: /etc/openvpn/client/*
|
|
|
```
|
|
|
|
|
|
Al igual que con el servidor, tomando de ejemplo el fichero `/usr/share/doc/openvpn/examples/sample-config-files/client.conf`, creamos el fichero de configuración del cliente en `/etc/openvpn/client/cliente.conf`:
|
|
|
|
|
|
```bash
|
|
|
client
|
|
|
dev tun
|
|
|
proto udp
|
|
|
´
|
|
|
remote 192.168.0.10 1194
|
|
|
resolv-retry infinite
|
|
|
nobind
|
|
|
|
|
|
persist-key
|
|
|
persist-tun
|
|
|
|
|
|
ca /etc/openvpn/client/ca.crt
|
|
|
cert /etc/openvpn/client/cliente.crt
|
|
|
key /etc/openvpn/client/cliente.key
|
|
|
|
|
|
remote-cert-tls server
|
|
|
cipher AES-256-CBC
|
|
|
verb 3
|
|
|
```
|
|
|
|
|
|
Ahora activamos el servicio de OpenVPN:
|
|
|
|
|
|
```bash
|
|
|
sudo systemctl enable --now openvpn-client@cliente
|
|
|
sudo systemctl status openvpn-client@cliente
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
### Configuración de la máquina interna
|
|
|
|
|
|
Tenemos que cambiar la ruta por defecto también de la máquina interna para que sea a través del servidor:
|
|
|
|
|
|
```bash
|
|
|
sudo ip route del default
|
|
|
sudo ip route add default via 192.168.1.10
|
|
|
```
|
|
|
|
|
|
### Comprobación de funcionamiento
|
|
|
|
|
|
Ahora vamos a comprobar que funciona el túnel. En la máquina cliente, vamos a hacer un traceroute a la máquina de la red interna (de ip `192.168.1.30`):
|
|
|
|
|
|
```bash
|
|
|
traceroute 192.168.1.30
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
Como podemos ver, el primer salto es a la máquina servidor utilizando el túnel VPN del servidor, y el segundo salto es a la máquina de la red interna.
|
|
|
|
|
|
Podemos incluso, realizar una conexión SSH a la máquina de la red interna:
|
|
|
|
|
|
|
|
|
|
|
|
---
|
|
|
|
|
|
## Caso B: VPN sitio a sitio con OpenVPN y certificados x509
|
|
|
|
|
|
|
|
|
* Cada equipo estará conectado a dos redes, una de ellas en común
|
|
|
* Para la autenticación de los extremos se usarán obligatoriamente certificados digitales, que se generarán utilizando openssl y se almacenarán en el directorio /etc/openvpn, junto con con los parámetros Diffie-Helman y el certificado de la propia Autoridad de Certificación.
|
|
|
* Se utilizarán direcciones de la red 10.99.99.0/24 para las direcciones virtuales de la VPN.
|
|
|
* Tras el establecimiento de la VPN, una máquina de cada red detrás de cada servidor VPN debe ser capaz de acceder a una máquina del otro extremo.
|
|
|
|
|
|
|
|
|
El Escenario es el siguiente:
|
|
|
|
|
|
|
|
|
|
|
|
Vamos a generar dicho en Vagrant utilizando el siguiente Vagrantfile:
|
|
|
|
|
|
```ruby
|
|
|
Vagrant.configure("2") do |config|
|
|
|
|
|
|
config.vm.synced_folder ".", "/vagrant", disabled: true
|
|
|
|
|
|
config.vm.define :maquina1 do |maquina1|
|
|
|
maquina1.vm.box = "debian/bullseye64"
|
|
|
maquina1.vm.hostname = "maquina1"
|
|
|
maquina1.vm.network :private_network,
|
|
|
:libvirt__network_name => "interna1",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.0.20",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
|
|
|
config.vm.define :cliente do |cliente|
|
|
|
cliente.vm.box = "debian/bullseye64"
|
|
|
cliente.vm.hostname = "cliente"
|
|
|
cliente.vm.network :private_network,
|
|
|
:libvirt__network_name => "interna1",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "192.168.0.10",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
cliente.vm.network :private_network,
|
|
|
:libvirt__network_name => "internet",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "10.20.30.1",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
|
|
|
config.vm.define :servidor do |servidor|
|
|
|
servidor.vm.box = "debian/bullseye64"
|
|
|
servidor.vm.hostname = "servidor"
|
|
|
servidor.vm.network :private_network,
|
|
|
:libvirt__network_name => "internet",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "10.20.30.2",
|
|
|
:libvirt__netmask => '255.255.255.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
servidor.vm.network :private_network,
|
|
|
:libvirt__network_name => "interna2",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "172.22.0.10",
|
|
|
:libvirt__netmask => '255.255.0.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
|
|
|
config.vm.define :maquina2 do |maquina2|
|
|
|
maquina2.vm.box = "debian/bullseye64"
|
|
|
maquina2.vm.hostname = "maquina2"
|
|
|
maquina2.vm.network :private_network,
|
|
|
:libvirt__network_name => "interna2",
|
|
|
:libvirt__dhcp_enabled => false,
|
|
|
:ip => "172.22.0.20",
|
|
|
:libvirt__netmask => '255.255.0.0',
|
|
|
:libvirt__forward_mode => "veryisolated"
|
|
|
end
|
|
|
end
|
|
|
```
|
|
|
|
|
|
Ahora configuraremos las máquinas;
|
|
|
|
|
|
### Configuración del servidor
|
|
|
|
|
|
La configuración es exactamente igual que en el caso anterior, por lo que tenemos que replicar la misma configuración (incluyendo copiar los ficheros al cliente) hasta el momento de editar el fichero `/etc/openvpn/server/servidor.conf`, donde empieza la configuración diferente.
|
|
|
|
|
|
Ahora creamos el fichero `/etc/openvpn/server/servidor.conf` con el siguiente contenido:
|
|
|
|
|
|
```bash
|
|
|
dev tun
|
|
|
ifconfig 10.99.99.1 10.99.99.2
|
|
|
route 192.168.0.0 255.255.255.0
|
|
|
tls-server
|
|
|
|
|
|
dh /etc/openvpn/easy-rsa/pki/dh.pem
|
|
|
ca /etc/openvpn/easy-rsa/pki/ca.crt
|
|
|
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
|
|
|
key /etc/openvpn/easy-rsa/pki/private/server.key
|
|
|
|
|
|
comp-lzo
|
|
|
keepalive 10 60
|
|
|
log /var/log/openvpn/prueba.log
|
|
|
|
|
|
verb 3
|
|
|
```
|
|
|
|
|
|
```bash
|
|
|
sudo systemctl enable --now openvpn-server@servidor
|
|
|
sudo systemctl status openvpn-server@servidor
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
### Configuración del cliente
|
|
|
|
|
|
Ahora vamos a configurar la máquina cliente. Primero instalamos OpenVPN:
|
|
|
|
|
|
```bash
|
|
|
sudo apt update
|
|
|
sudo apt install openvpn
|
|
|
```
|
|
|
|
|
|
Activamos el bit de forwarding en el servidor editando el fichero `/etc/sysctl.conf` y descomentando la siguiente línea:
|
|
|
|
|
|
```bash
|
|
|
net.ipv4.ip_forward=1
|
|
|
```
|
|
|
|
|
|
y hacemos los cambios efectivos:
|
|
|
|
|
|
```bash
|
|
|
sudo sysctl -p
|
|
|
```
|
|
|
|
|
|
Movemos los ficheros que hemos copiado de la máquina servidor a la máquina cliente a la ruta `/etc/openvpn/client/`:
|
|
|
|
|
|
```bash
|
|
|
sudo mv c* /etc/openvpn/client/
|
|
|
sudo chown root: /etc/openvpn/client/*
|
|
|
```
|
|
|
|
|
|
Al igual que con el servidor, tomando de ejemplo el fichero `/usr/share/doc/openvpn/examples/sample-config-files/client.conf`, creamos el fichero de configuración del cliente en `/etc/openvpn/client/cliente.conf`:
|
|
|
|
|
|
```bash
|
|
|
dev tun
|
|
|
remote 10.20.30.2
|
|
|
ifconfig 10.99.99.2 10.99.99.1
|
|
|
route 172.22.0.0 255.255.0.0
|
|
|
tls-client
|
|
|
ca /etc/openvpn/client/ca.crt
|
|
|
cert /etc/openvpn/client/cliente.crt
|
|
|
key /etc/openvpn/client/cliente.key
|
|
|
comp-lzo
|
|
|
keepalive 10 60
|
|
|
log /var/log/openvpn/cliente.log
|
|
|
|
|
|
verb 3
|
|
|
```
|
|
|
|
|
|
Ahora activamos el servicio de OpenVPN:
|
|
|
|
|
|
```bash
|
|
|
sudo systemctl enable --now openvpn-client@cliente
|
|
|
sudo systemctl status openvpn-client@cliente
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
### Configuramos las máquinas internas
|
|
|
|
|
|
Ahora vamos a configurar las rutas en las maquinas internas:
|
|
|
|
|
|
Máquina1:
|
|
|
|
|
|
```bash
|
|
|
sudo ip route del default
|
|
|
sudo ip route add default via 192.168.0.10
|
|
|
```
|
|
|
|
|
|
Máquina2:
|
|
|
|
|
|
```bash
|
|
|
sudo ip route del default
|
|
|
sudo ip route add default via 172.22.0.10
|
|
|
```
|
|
|
|
|
|
### Pruebas de funcionamiento
|
|
|
|
|
|
traceroute desde maquina1 a maquina2:
|
|
|
|
|
|
|
|
|
|
|
|
traceroute desde maquina2 a maquina1:
|
|
|
|
|
|
 |