Informe Final de Ipsec

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL
UNIVERSIDAD TCNICA DE AMBATO
F . I . S . E .EIINDUSTRIAL
FACULTAD DE INGENIERA EN SISTEMAS, ELECTRNICA
PERODO ACADMICO: MARZO/2013 AGOSTO/2013
I.
PORTADA
Facultad de Ingeniera en Sistemas, Electrnica e Industrial
Proyecto Acadmico de Fin de Semestre
Ttulo:
Armado de Tneles IPSec
Carrera:
Ingeniera Electrnica
rea Acadmica:
Redes de Comunicacin
Lnea de Investigacin:
Seguridad Informtica
Ciclo Acadmico y paralelo:
Quinto Semestre Paralelo A
Alumnos participantes:
Bermdez Cabascango David Andrs
Palacios Snchez Byron Rodrigo
Revelo Aguilar Fabin Ramiro
Mdulo y Docente:
II.
Gestin de Redes - Ing. Santiago Manzano
INFORME DEL PROYECTO

1.
2.
PP
YY
2.1 Ttulo
Armado de Tneles IPSec
2.2 Objetivos
General:
Establecer una comunicacin segura dentro de una red, utilizando las
funcionalidades de seguridad IPSec sobre el protocolo IP para un flujo de
datos
Especficos:
Verificar la flexibilidad de IPSec para ser utilizado en protocolos de capa 4
del modelo OSI, como TCP, UDP.
Determinar el nivel de proteccin para un paquete saliente, que debemos
proporcionar, a travs de los protocolos de seguridad que implementa
IPSec
Estimar con claridad, las caractersticas del protocolo IPSec que son
tiles a nivel empresarial y redes de comunicacin de datos en forma
general
Identificar los posibles puntos de deficiencia en seguridad, dentro de
nuestra estructura de defensa.
Comprender los algoritmos asociados al protocolo de seguridad IPSec
que permiten armar y fortalecer la proteccin de la red
2.3 Resumen
IPsec es uno de los protocolos de seguridad ms importantes. Este protocolo
proporciona servicios de seguridad en la capa IP, permitiendo al sistema
establecer los protocolos de seguridad necesarios. Utilizando dos protocolos
para proporcionar seguridad al trfico: la Cabecera de Autentificacin (AH) y la
Carga de Seguridad Encapsulada (ESP).
Estos protocolos pueden aplicarse solos o en conjunto con otros para
proporcionar una gama de servicios de seguridad en IPv4 e IPv6. Con la
particularidad de que este protocolo soporta dos modos de uso: modo
transporte y modo tnel.
Los protocolos que componen el suite de IPSec son: AH, ESP y IKE, pueden
ser utilizados solos o en distintas combinaciones entre s para proveer distintos
niveles de confidencialidad. Estableciendo as en el presente trabajo, un tnel,

para la proteccin del flujo de datos, en contra del ataque de un host sniffer.
2.4 Palabras clave:
Autentificacin, Seguridad, Protocolos, Encripcin, Informacin, Tnel, Sniffer
2.5 Introduccin
Gracias a IPsec podemos comunicar diferentes puntos de Internet de forma
segura, por esta razn este protocolo es ampliamente utilizado en redes
privadas, virtuales de nuestros hogares, pero tambin es utilizado en entornos
corporativos donde la seguridad es lo ms importante.
Si bien es cierto que todos los componentes de un sistema informtico estn
expuestos a un ataque, son los datos y la informacin los focos principales de
proteccin de las tcnicas de seguridad.
Es por ello que para mantener las caractersticas bsicas en materia de
seguridad como: disponibilidad, confidencialidad e integridad, hoy en da las
comunicaciones entre empresas y comercio electrnico la seguridad es materia
de inters para el manejo y distribucin adecuado de la informacin.
Cada vez se requieren de nuevas tcnicas y algoritmos ms eficaces para
mantener un nivel confiable de seguridad de nuestras redes, por tal motivo es de
vital importancia que entendamos el impacto que tiene en el mundo de las
comunicaciones establecer un flujo de datos en forma segura
2.6 Materiales y Metodologa
Marco terico
Configuracin de IPsec de red-a-red
IPsec tambin se puede configurar para conectar una red completa (tal como
una LAN o una WAN) a una red remota a travs de una conexin red-a-red. Una
conexin de red-a-red requiere la configuracin de enrutadores IPsec en cada
lado de las redes conectantes para procesar y enrutar la informacin de forma
transparente desde un nodo en una LAN a otro nodo en una LAN remota. [2]
Descripcin del protocolo
Los protocolos de IPsec actan en la capa de red, la capa 3 del modelo OSI.
IPsec tiene una ventaja sobre SSL y otros mtodos que operan en capas
superiores. Para que una aplicacin pueda usar IPsec no hay que hacer ningn
cambio, mientras que para usar SSL y otros protocolos de niveles superiores, las
aplicaciones tienen que modificar su cdigo. La arquitectura de seguridad IP
utiliza el concepto de asociacin de seguridad (SA) como base para construir
funciones de seguridad en IP [4]
Asociaciones de seguridad IPsec
Una asociacin de seguridad (SA) IPsec especifica las propiedades de seguridad

que se reconocen mediante hosts comunicados. Una nica SA protege los datos
en una direccin.
La proteccin es para un solo host o para una direccin de grupo (multidifusin).
Dado que la mayora de la comunicacin es de igual a igual o de cliente-servidor,
debe haber dos SA para proteger el trfico en ambas direcciones. [3]
Modos de funcionamiento
Modo transporte
En modo transporte, slo la carga til (los datos que se transfieren) del paquete
IP es cifrada y/o autenticada. El enrutamiento permanece intacto, ya que no se
modifica ni se cifra la cabecera IP; sin embargo, cuando se utiliza la cabecera de
autenticacin (AH), las direcciones IP no pueden ser traducidas, ya que eso
invalidara el hash. Las capas de transporte y aplicacin estn siempre
aseguradas por un hash, de forma que no pueden ser modificadas de ninguna
manera (por ejemplo traduciendo los nmeros de puerto TCP y UDP). El modo
transporte se utiliza para comunicaciones ordenador a ordenador.
Una forma de encapsular mensajes IPsec para atravesar NAT ha sido definido
por RFCs que describen el mecanismo de NAT-T
El propsito de este modo es establecer una comunicacin segura punto a
punto, entre dos hosts y sobre un canal inseguro. Este ejemplo ilustra esto:
Modo tnel
En el modo tnel, todo el paquete IP (datos ms cabeceras del mensaje) es
cifrado y/o autenticado. Debe ser entonces encapsulado en un nuevo paquete IP
para que funcione el enrutamiento. El modo tnel se utiliza para comunicaciones
red a red (tneles seguros entre routers, p.e. para VPNs) o comunicaciones
ordenador a red u ordenador a ordenador sobre Internet. El propsito de este
modo es establecer una comunicacin segura entre dos redes remotas sobre un
canal inseguro.
Cabeceras de Encriptacin
La cabecera de Carga de Seguridad Encapsulada (ESP) est diseada para
proporcionar un conjunto de servicios de seguridad en IPv4 y en IPv6. ESP
puede ser aplicado solo, o en conjunto con la Cabecera de Autentificacin.
La cabecera ESP se inserta antes que la cabecera IP y despus que la cabecera
de protocolo de capa superior (en modo transporte) o despus de una cabecera
IP encapsulada (en modo tnel)
Las cabeceras ESP y AH se pueden combinar de varias formas. ESP en modo
tnel puede ser empleado en hosts o security gateways.
Cuando se implementa ESP en una security gateway (para proteger el trfico en

trnsito del suscriptor), se debe utilizar el modo tnel. En modo tnel, la
cabecera IP "interna" lleva las ltimas direcciones de origen y de destino,
mientras que una cabecera IP "externa" puede contener direcciones IP distintas,
por ejemplo, las direcciones de las security gateways. En modo tnel, ESP
protege a todo el paquete IP interno, incluyendo toda la cabecera IP interna. [1]
Los tres elementos siguientes identifican una SA IPsec de modo exclusivo:
El protocolo de seguridad (AH o ESP)
La direccin IP de destino
El ndice de parmetros de seguridad
Materiales:
Computadora
Cable de red
GNS3
Virtual Box
Imgenes ISO Ubuntu desktop
Metodologa:
1. Creacin de mquinas virtuales en Virtual Box
2. Configurar los adaptadores de red de las mquinas virtuales en modo anfitrin.
3. Configuracin de las direcciones IP en las mquinas virtuales de Ubuntu
4. Crear las topologas de red simuladas en GNS3.
5. Escoger la tarjeta de red para la nube, en este caso ser la tarjeta de Red de
rea Local.
6. Conectar los hosts de GNS3 para establecer la conexin interna con las
mquinas virtuales de Ubuntu.
7. Establecer
las
IP en las mquinas.
direcciones
8. Establecer las direcciones IP de las interfaces de los routers de GNS3.
9. Verificar
entre mquinas virtuales y simulaciones.
conexin
10. Configurar los router 1 y 2, con el cdigo de encriptacin y habilitacin de

IPSEC.
11. Verificar
enrutamiento.
12. Establecer la encriptacin de los paquetes.

Verificar la encriptacin y la creacin del Tnel IPSEC.
Los podemos mostrar con:
Show crypto isakmp sa
Show crypto ipsec sa
13. Realizar el
mismo proceso
para la otra
computadora.
14. Conectar un Host Sniffer para tratar de vulnerar la encriptacin entre router 1 y 2
Por medio de la conexin Solo anfitrin tenemos nuestra maquina conectada a la red de
las otras mquinas virtuales. Como ya comprobamos se pudo hacer ping desde la
Maquina Sniffer, y lo que procedemos a hacer es a realizar las pruebas en Wireshark. Y
analizar y tratar de ver el trfico de datos para verificar si nuestro tnel Ipsec est ya
funcionando.
2.7 Resultados y Discusin

El algoritmo de encriptacin empleado es especificado por la SA. ESP est
diseado para usarse con algoritmos de encriptacin simtricos
Debido a que los paquetes IP pueden llegar en desorden, cada paquete debe
llevar necesariamente algn tipo de dato para permitir que el receptor establezca
la sincronizacin criptogrfica para la desencriptacin. Estos datos se pueden
llevar explcitamente en el campo carga til
El algoritmo de autentificacin empleado para el clculo del ICV est
especificado por la SA. Para la comunicaciones punto a punto, los algoritmos de
autentificacin ms aptos incluyen claves con Cdigo de Autentificacin de
Mensaje (MACs) basados en algoritmos de encriptacin simtricos (por ejemplo,
3DES) o funciones hash unidireccionales (por ejemplo, MD5 o SHA-1)
En modo transporte, el emisor encapsula la informacin del protocolo de la capa
superior dentro de ESP, y mantiene la cabecera IP especificada (y cualquiera de
las cabeceras IP de extensin, en el contexto de IPv6).
En modo tnel, la cabecera/extensiones IP externas e internas se pueden
interrelacionar de diversas formas
Si se requiere ms de una cabecera/extensin IPsec debido a la poltica de
seguridad, el orden de aplicacin de las cabeceras de seguridad se DEBE definir
en la poltica de seguridad
2.8 Conclusiones
El grupo de protocolos IPsec y dems algoritmos asociados permiten
proporcionar seguridad de alta calidad para el flujo de trfico de Internet. Sin
embargo, la seguridad ofrecida por estos protocolos depende en ltima
instancia de la calidad de su implementacin
La seguridad proporcionada por el uso de IPsec depender bastante de

diversos aspectos del ambiente operativo en el cual la implementacin de
IPsec se ejecuta.
La seguridad de un sistema informtico o en una red es una funcin de

muchos factores. IPsec solo es una parte de un sistema global de seguridad
Los defectos en la seguridad del sistema operativo, negligencia en la prctica

de manejo de protocolos, etc., todo esto puede degradar la seguridad
proporcionada por IPsec
El concepto de Asociacin de Seguridad (SA) es fundamental para IPsec. AH

y ESP hacen uso de SAs y una funcin importante de IKE es el
establecimiento y el mantenimiento de SAs
2.9 Recomendaciones:
Poner el adaptador de la mquina virtual en solo anfitrin para que la

conexin se pueda realizar satisfactoriamente.
Realizar la configuracin de los routers en GNS3 en un documento de

texto, puesto que si se llegase a cerrar el programa se tendra un
respaldo para no perder todo el avance.
Tener en cuenta que interfaz se est utilizando para evitar inconvenientes

en el momento de comprobar conexin entre una red a la otra.
Usar y conectar con cuidado los cables fsicos, puesto que una mala
conexin evita que se corra el tnel.
2.10
Referencias bibliogrficas
[1] http://francisconi.org/sites/default/files/IPsec_en_Ambientes_IPv4_e_IPv6.pdf
[2] http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-sg-es-4/s1-ipsec-net2net.html
[3] http://docs.oracle.com/cd/E26921_01/html/E25871/ipsec-ov-5.html
[4] http://www.redeszone.net/ipsec-todo-lo-que-debes-saber-sobre-ipsec
Anexos
Cabeceras de Encriptacin
Configuracin de IPSec de Red a Red
Configuracion Router 1:
in se 1/0
ip add 192.168.141.2 255.255.255.0
clock rate 9600
no sh
exit
in fa 0/0
ip add 192.168.140.1 255.255.255.0

no sh
exit
ip route 192.168.142.0 255.255.255.0 192.168.141.4
crypto isakmp policy 1

encr 3des
authentication pre-share
group 1
exit
crypto isakmp key prueba123 address 192.168.141.4

crypto ipsec transform-set myset esp-3des esp-md5-hmac
access-list 141 permit ip 192.168.140.0 0.0.0.255 192.168.142.0 0.0.0.255
crypto map test 1 ipsec-isakmp

set peer 192.168.141.4
set transform-set myset
match address 141
exit
in se 1/0
crypto map test
exit
exit
ping 192.168.141.4
ping 192.168.140.3
ping 192.168.141.3
ping 192.168.141.4
ping 192.168.140.3
ping 192.168.141.3
show crypto session

show crypto ipsec sa
show crypto isakmp sa
show crypto engine connections active
debug crypto isakmp
ping 192.168.141.4 source fa 0/0
Configuracion Router 2:
in se 1/0
ip add 192.168.141.4 255.255.255.0
clock rate 9600
no sh
exit
in fa 0/0
ip add 192.168.142.1 255.255.255.0
no sh
exit
ip route 192.168.140.0 255.255.255.0 192.168.141.2

crypto isakmp policy 1
encr 3des
authentication pre-share
group 1
exit
crypto isakmp key prueba123 address 192.168.141.2

crypto ipsec transform-set myset esp-3des esp-md5-hmac
access-list 141 permit ip 192.168.142.0 0.0.0.255 192.168.140.0 0.0.0.255
crypto map test 1 ipsec-isakmp

set peer 192.168.141.2
set transform-set myset
match address 141
exit
in se 1/0
crypto map test
exit
exit
show ip route
show crypto session
ping 192.168.141.2
ping 192.168.141.4
ping 192.168.142.3
ping 192.168.140.3
ping 192.168.141.2 source fa0/0
show crypto isakmp sa
show crypto ipsec sa
show crypto engine connections active

Informe Final de Ipsec

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Informe Final de Ipsec

Cargado por

Copyright:

Formatos disponibles

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

Gestin de Redes - Ing. Santiago Manzano

INFORME DEL PROYECTO

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

niveles de confidencialidad. Estableciendo as en el presente trabajo, un tnel,

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

Una asociacin de seguridad (SA) IPsec especifica las propiedades de seguridad

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

Cuando se implementa ESP en una security gateway (para proteger el trfico en

Los tres elementos siguientes identifican una SA IPsec de modo exclusivo:

El protocolo de seguridad (AH o ESP)

El ndice de parmetros de seguridad

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

3. Configuracin de las direcciones IP en las mquinas virtuales de Ubuntu

4. Crear las topologas de red simuladas en GNS3.

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

8. Establecer las direcciones IP de las interfaces de los routers de GNS3.

10. Configurar los router 1 y 2, con el cdigo de encriptacin y habilitacin de

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

12. Establecer la encriptacin de los paquetes.

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

2.7 Resultados y Discusin

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

La seguridad proporcionada por el uso de IPsec depender bastante de

La seguridad de un sistema informtico o en una red es una funcin de

Los defectos en la seguridad del sistema operativo, negligencia en la prctica

El concepto de Asociacin de Seguridad (SA) es fundamental para IPsec. AH

Poner el adaptador de la mquina virtual en solo anfitrin para que la

Realizar la configuracin de los routers en GNS3 en un documento de

Tener en cuenta que interfaz se est utilizando para evitar inconvenientes

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

Configuracin de IPSec de Red a Red

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

ip add 192.168.140.1 255.255.255.0

ip route 192.168.142.0 255.255.255.0 192.168.141.4

crypto isakmp policy 1

crypto isakmp key prueba123 address 192.168.141.4

crypto map test 1 ipsec-isakmp

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

show crypto session

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

ip route 192.168.140.0 255.255.255.0 192.168.141.2

crypto isakmp key prueba123 address 192.168.141.2

crypto map test 1 ipsec-isakmp

FACULTAD DE INGENIERIA EN SISTEMAS, ELECTRONICA E INDUSTRIAL

UNIVERSIDAD TCNICA DE AMBATO

También podría gustarte