UNIVERSIDAD TÈCNICA DEL NORTE

FICA-CIERCOM
SEGURIDAD EN REDES

MANUAL ADMINISTRADOR – SERVIDOR VPN/IPSEC

Mayra Valencia, Styben Bustos, Arnaldo Pillajo, Vallejos Mauricio

Requerimientos: Tener instalado Ubuntu 14.04 y tener acceso al internet.

Configurar DNS si existe algún problema para acceder a los repositorios

nano /etc/resolv.conf

Actualizar repositorios e instalar paquetes

apt-get update

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

apt-get upgrade

Instalación de los paquetes requeridos

apt-get install openswan xl2tpd ppp lsof

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

Firewall and sysctl

Hay que poner la ip del servidor VPN y por la tarjeta de red que está configurado

iptables -t nat -A POSTROUTING -j SNAT --to-source 192.168.1.13 -o eth0

echo "net.ipv4.ip_forward = 1" | tee -a /etc/sysctl.conf

echo "net.ipv4.conf.all.accept_redirects = 0" | tee -a /etc/sysctl.conf

echo "net.ipv4.conf.all.send_redirects = 0" | tee -a /etc/sysctl.conf

echo "net.ipv4.conf.default.rp_filter = 0" | tee -a /etc/sysctl.conf

echo "net.ipv4.conf.default.accept_source_route = 0" | tee -a /etc/sysctl.conf

echo "net.ipv4.conf.default.send_redirects = 0" | tee -a /etc/sysctl.conf

echo "net.ipv4.icmp_ignore_bogus_error_responses = 1" | tee -a /etc/sysctl.conf

for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 >

$vpn/send_redirects; done

sysctl -p

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

Configuraciones persistentes a través de /etc/rc.local

for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 >

$vpn/send_redirects; done

iptables -t nat -A POSTROUTING -j SNAT --to-source 186.46.201.185 -o eth0

 ip externa
 interfaz del servidor

Configure Openswan (IPSEC)

nano /etc/ipsec.conf

 186.46.201.185

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

 left= Ip externa

Compartir la clave secreta

 nano /etc/ipsec.secrets
 192.168.1.13 any: PSK "69EA16F2C529E74A7D1B0FE99E69F6BDCD3E44"

 Ver como sale la encriptación de la clave.

o openssl rand -hex 30

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM
Verificar la configuración IPSEC

ipsec verify

Configuración de xl2tp

nano /etc/xl2tpd/xl2tpd.conf

[global]

ipsec saref = yes

saref refinfo = 30

;debug avp = yes

;debug network = yes

;debug state = yes

;debug tunnel = yes

[lns default]

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM
ip range = 192.168.1.20-192.168.1.100

local ip = 192.168.1.13

refuse pap = yes

require authentication = yes

;ppp debug = yes

pppoptfile = /etc/ppp/options.xl2tpd

length bit = yes

Autenticación de usuario local (PAM / / etc / passwd)

nano /etc/xl2tpd/xl2tpd.conf

Añadir

 unix authentication = yes

Eliminar línea

 refuse pap = yes

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

nano /etc/ppp/options.xl2tpd

login

nano /etc/pam.d/ppp

nano /etc/ppp/pap-secrets

añadir

 * l2tpd "" *

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

Configuración de PPP

nano /etc/ppp/options.xl2tpd

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

Agregar usuarios
Cada usuario debe estar definido en el archivo:
nano / etc / ppp / chap-secrets

mauri l2tpd 0F92E5FC2414101EA *

lenin l2tpd DF98F09F74C06A2FY *
teran l2tpd EIGBWSEG6W4B352J *

Comandos de comprobación
/etc/init.d/ipsec restart
/etc/init.d/xl2tpd restart

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

Ver logs
nano /var/log/syslog
nano /var/log/auth.log

Pruebas

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ

 UNIVERSIDAD TÈCNICA DEL NORTE
FICA-CIERCOM

MATERIA SEGURIDAD EN REDES ING. CARLOS VASQUEZ