L2TP/IPSec

En el sexto capítulo, L2TP/IPSec, se tratará la forma de establecer VPNs combinando los protocolos L2TP e IPSec. L2TP, a diferencia de otros protocolos, es incapaz de autenticar, cifrar y garantizar la integridad de los paquetes que fluyen a través de un túnel. Por esta razón se utiliza junto con IPSec, ya que este último es el que verdaderamente se encarga de dotar al sistema de las carencias anteriormente mencionadas.

Comenzaremos el capítulo exponiendo los rasgos principales de la arquitectura L2TP, así como el formato del paquete empleado y los mensajes de control (establecimiento, mantenimiento y finalización de la conexión) y datos (encapsulación de la información de los usuarios y enviada a través del túnel) intercambiados entre los participantes. A continuación estudiaremos el soporte ofrecido por el protocolo IPSec, de cara a garantizar la seguridad de los mensajes de control y datos transmitidos. Para ello, también será presentado el formato de encapsulado generado por la combinación de estos dos protocolos.

Posteriormente será introducida la aplicación l2tpd, que será utilizada tanto como cliente y servidor en los sistemas operativos pertenecientes a la familia GNU/Linux. El lector podrá aprender la manera en la que se instala y configura en este tipo de plataformas, así como las herramientas que acompañan al propio programa y que facilitarán al usuario las tareas de administración de la VPN. Alternativamente al cliente GNU/Linux, también será mostrado el proceso de configuración de Microsoft Windows XP como usuario remoto L2TP/IPSec.

Una vez planteados los conceptos teóricos de L2TP sobre IPSec, pasaremos a desarrollar un ejemplo ilustrativo configurando una VPN L2TP/IPSec entre un usuario remoto y un servidor. Finalizaremos el capítulo recopilando los errores más frecuentes que pueden darse durante el transcurso de la configuración y establecimiento de una conexión L2TP.

PPTP

En el quinto capítulo, PPTP, comenzaremos con la exposición de los conceptos teóricos de dicho protocolo. PPTP utiliza el protocolo PPP para establecer una conexión y posteriormente, reutilizarla para levantar el túnel entre los usuarios remotos y el servidor. Por este motivo, serán estudiados los procesos de establecimiento, autenticación y transmisión de datos a través de un enlace PPP. Una vez levantado el canal PPP, veremos la forma en la que PPTP constituye una conexión TCP, con el objetivo de establecer un canal de control utilizado para el intercambio de mensajes de inicio, mantenimiento y finalización de la VPN PPTP. También será analizado el mecanismo de cifrado y encapsulado de la información enviada a través del túnel. Y ya para finalizar esta primera parte del capítulo, serán mostradas las vulnerabilidades más conocidas para este protocolo, ya que debido a su antigüedad, ha quedado bastante obsoleto.

A continuación serán presentadas las herramientas utilizadas en el resto del capítulo, las cuales tomarán los papeles de cliente (PPTP Client y Microsoft Windows XP) y servidor PPTP (Poptop). Para cada uno de estos elementos serán desarrolladas las tareas de instalación y configuración, así como las distintas opciones de cara a la administración de la VPN. Una vez que el lector tenga un conocimiento más exhaustivo acerca de las herramientas disponibles para este tipo de implementación, se expondrá un escenario real basado en un servidor PPTP y distintos usuarios remotos, que accederán de manera confidencial a los recursos ubicados detrás de la oficina. Y para finalizar, serán explicados los mensajes de error más comunes que pueden darse durante el proceso de establecimiento de un túnel VPN PPTP.

IPSec

En el cuarto capítulo, IPSec, comenzaremos a estudiar la primera de las cuatro VPNs que serán tratadas en el presente libro. En primer lugar, serán expuestos los conceptos genéricos de IPSec, los posibles formatos de cabecera utilizados (AH y ESP), los modos de funcionamiento (transporte y túnel), los métodos de autenticación soportados (clave compartida, firmas digitales RSA, certificados X.509 y XAuth) y las dos fases relativas al proceso de establecimiento de la conexión IPSec.

Seguidamente se presentará la forma de instalar el paquete Openswan - distribución libre de IPSec desarrollada por la compañía Xelerance - en los sistemas operativos pertenecientes a la familia GNU/Linux, se estudiarán los distintos parámetros utilizados en el fichero de configuración y se mostrarán aquellas herramientas implícitas al programa y que facilitarán las tareas al administrador. También se analizará la aplicación TauVPN, utilizada como cliente remoto IPSec en los sistemas operativos de tipo Microsoft Windows.

A continuación serán presentadas una serie de configuraciones permitidas por este tipo de protocolo (punto a punto, LAN a LAN y LAN a road warrior), así como dos escenarios complejos en donde se introducirán distintos elementos que podrán aparecer en una situación real (configuración avanzada de LAN a road warrior y de LAN a LAN). Todos estos esquemas serán tratados en base a distintos tipos de autenticación: clave compartida, firmas digitales RSA, X.509 y XAuth. Y por último, serán descritos los mensajes de error más comunes que podrán aparecer durante el proceso de conexión de una VPN IPSec a través de Openswan.

Criptografía de clave pública

Ya en el tercer capítulo, Criptografía de clave pública, asentaremos las bases de los sistemas criptográficos simétricos y asimétricos, así como toda la estructura que los rodea. La criptografía será el pilar fundamental sobre el que se sustenten las redes privadas virtuales, ya que gracias a ella, se podrá asegurar y autenticar la información enviada a través de un túnel VPN.

En una primera parte, haremos un breve recorrido a lo largo de la historia de la criptografía, comenzando por la clásica, siguiendo con la medieval y finalizando con la moderna. A continuación presentaremos los sistemas criptográficos simétricos, también conocidos como de clave privada, y los asimétricos, también llamados de clave pública. Estudiaremos las características de los dos tipos de cifrado, así como las propiedades de los principales algoritmos de cifrado simétrico (DES, 3DES, RC5, IDEA y AES), cifrado asimétrico (Diffie-Hellman y RSA) y autenticación (MD5 y SHA-1). Por último, también serán expuestas una serie de herramientas que permitirán desarrollar estos tipos de técnicas de cifrado y autenticación: mcrypt, md5sum y sha1sum.

En una segunda parte, será presentada toda la teoría referida a las Infraestructuras de Clave Pública, empezando por su máximo exponente, el certificado digital, y continuando por los distintos elementos que conforman esta clase de arquitectura: Autoridades de Certificación, Autoridades de Registro y Autoridades de Validación.

Administración de redes TCP/IP

Debido a que para el seguimiento general del libro son necesarios unos mínimos conocimientos acerca de las redes de comunicación, se va a dedicar el segundo capítulo, Administración de redes TCP/IP, a realizar un breve recorrido por el modelo de referencia TCP/IP, estudiando los detalles de los niveles de acceso a red, internet, transporte y aplicación. A continuación se dedicará una sección entera a los routers, pieza clave dentro de las redes de datos, haciendo especial hincapié en el mecanismo de NAT (Network Address Translation, Traducción de Dirección de Red), la publicación de servicios en Internet y la redirección de puertos.

También será tratada la forma de asociar gratuitamente una dirección IP dinámica a un nombre concreto de dominio, de tal forma que aunque nuestra dirección IP sea modificada periódicamente por el ISP (Internet Service Provider, Proveedor de Servicios de Internet), esto no suponga ningún tipo de problema, ya que las VPNs se podrán establecer utilizando para ello nombres de dominio. Y por último, serán presentadas una serie de herramientas básicas de cara a la administración y monitorización de las redes (iptables, mtr, netcat, netstat y tcpdump). Para ello se mostrará su formato de ejecución, opciones de la línea de órdenes y distintos ejemplos demostrativos.

Introducción a las VPNs

En el primer capítulo, Introducción a las VPNs, se va a realizar una presentación global de las redes privadas virtuales, mostrando el motivo de su aparición, los requisitos necesarios para establecer este tipo de infraestructura, las clases de VPNs y las ventajas que aporta el empleo de esta clase de tecnología. A continuación se analizarán las propiedades de los sistemas de comunicación (confidencialidad, integridad, autenticidad y no repudio) y los tipos de ataques por los que podrán verse afectados (interceptación, interrupción, modificación y fabricación). Por último, serán expuestos los elementos partícipes en las redes privadas virtuales (subredes locales, redes inseguras, túneles, servidores, routers, usuarios y oficinas remotas) y los tipos de escenarios que serán utilizados en el resto de capítulos a la hora de configurar los distintos esquemas de las VPNs (punto a punto, LAN a LAN y LAN a road warrior).

Planteamiento del libro

La forma en la que se han estructurado los distintos capítulos del libro es la siguiente: se ha dedicado un capítulo entero a la introducción de los conceptos de las VPNs; otro a presentar de forma genérica, un breve resumen de la arquitectura TCP/IP, pilar fundamental de cara a las redes de comunicación. A continuación se tiene un capítulo destinado completamente a los sistemas criptográficos modernos, ya que ésta será la base principal sobre la que se sustenten las VPNs. Y por último, se ha dedicado un capítulo por cada clase de VPN tratada: IPSec, PPTP, L2TP/IPSec y SSL. En total se han reunido un conjunto de siete capítulos, en los que el planteamiento de exposición será común para todos ellos.

Al principio se presentarán todos aquellos conceptos teóricos que giren en torno al capítulo. A continuación se mostrarán una serie de herramientas informáticas que permitirán poner en práctica dichos conocimientos teóricos, y ya por último y en base a las herramientas propuestas, se desarrollarán un conjunto de ejemplos prácticos que facilitarán al lector el asentamiento de los conocimientos adquiridos. A su vez, también se ha incluido una sección entera dedicada a la exposición y tratamiento de los mensajes de error. Esta parte resultará muy útil a aquellos administradores de redes privadas virtuales, ya que cuando tengan que configurar algún tipo de enlace VPN y éste no funcione por algún tipo de error, podrán confrontar en esta sección el mensaje concreto ofrecido por el log y consultar los posibles motivos que hayan llevado a tal situación, así como la solución disponible.