Red VPN (Virtual Private Network)

Informática. Computación. Redes. Autenticación. Disponibilidad. Compatibilidad. Seguridad. Confiabilidad. Tecnología túnel. Servidores. Configuración de redes

11 downloads 614 Views 797KB Size

Report

DOWNLOAD PDF

Recommend Stories

CONFIGURACION DE UNA VPN (Virtual Personal Network)

Red SNA (Systems Network Architecture)

Red de Inversores Investor Network

Red privada virtual

{PPTP}. L2TP (Layer 2 Tunnelling Protocol). Servidor VPN. {GPRS}. IPSec

Aprendizaje y Asistencia Virtual en Red

Encuesta realizada por Red de Blogs, Ocio Network S.L

Network Setup Troubleshooting Solución de problemas de configuración de red

ENGLISH ESPAÑOL Network Setup Troubleshooting Solución de problemas de configuración de red This manual mainly describes problems you may encounter

Redes privadas virtuales VPN

s VPN de Pago

Private School CICLO ESCOLAR

Story Transcript

ALUMNO : PROFESOR : CARRERA : COMPUTACIÃ“N E INFORMÃTICA INDICE • INTRODUCCION...5 • OBJETIVOS.7 • ANTECEDENTES..8 • QUE ES VPN?.....................................................................................................9 • DESCRIPCION...11 • POR QUE UNA VPN?.......................................................................................13 • QUIEN LO SOPORTA?.....................................................................................13 • REQUISITOS PARA ESTABLECER UNA VPN.13 • REQUERIMIENTOS BASICOS DE LAS VPN....14 • AUTENTICACION DE USUARIO...14 • ADMINISTRACION DE DIRECCION.14 • ENCRIPTACION DE DATOS...15 • ADMINISTRACION DE LLAVES...15 • SOPORTE DE PROTOCOLO MULTILPE...15 • COMPONENTES QUE CONFORMAN UNA VPN.15 • DISPONIBILIDAD.....15 • CONTROL..15 • COMPATIBILIDAD...15 • SEGURIDAD..16 • CONFIABILIDAD..16 • AUTENTICACION DE DATOS Y USUARIOS...16 • SOBRECARGA DE TRAFICO..16 • SIN REPUDIO16 • HERRAMIENTA DE UNA VPN...17 • TECNOLOGIA TUNEL.17 • COMO FUNFIONA?..............................................................................18 • ASPECTOS BASICOS...19 • PROTOCOLOS DE TUNELES..20 • LOS PROTOCOLOS Y REQUERIMIENTOS BASICOS DE TUNELES...20 • AUTENTICACION DE DATOS....20 • SOPORTE DE TARJETA DE SEÃ‘ALES..20 • ASIGNACION DE DIRECCION DINAMICA..21 • COMPRESION DE DATOS...21 • ENCRIPTACION DE DATOS...21 • ADMINISTRACION DE LLAVES21 • SOPORTE DE PROTOCOLO MULTIPLE...21 • PROTOCOLOS DE PUNTO A PUNTO22 • FASE 1: ESTABLECER EL ENLACE DEL PPP..22 • FASE 2: AUTENTICAR AL USUARIO22 • PROTOCOLO DE AUTENTICACION DE CONTRASEÃ‘A...23 1

• PROTOCOLO DE AUTENTICACION DE SALUDO CHALLENGE (CHAP)..23 • MICROSOFT CHALLENGEHANDSHAKE AUT 1 IDENTICATION PROTOCOL (MSCHAP).23 • FASE 3: CONTROL DE INTERACCION DEL PPP....24 • FASE 4: INVOCAR LOS PROTOCOLOS A NIVEL DE RED24 • FASE DE TRANFERENCIA DE DATOS.25 • MODO DEL TUNEL DE SEGURIDAD DE PROTOCOLOS PARA INTERNET.25 • PROTOCOLO DE TUNEL DE PUNTO A PUNTO..26 • REENVIO DE NIVEL 2 (L2F).......26 • PROTOCOLO DE TUNEL DE NIVEL 2 (L2TP)..26 • PPTP COMPARADO CON EL L2TP27 • TIPOS DE TUNEL..27 • TUNELES VOLUNTARIOS..28 • TUNELES OBLIGATORIOS.28 • TIPOS DE REDES VIRTUALES PRIVADAS..29 • VPN DE ACCESO REMOTO....29 • VPN DE INTRANET..30 • VPN DE EXTRANET.30 • TECNOLOGIA DE LAS REDES PRIVADAS VIRTUALES...31 • SEGURIDAD..31 • CALIDAD DE SERVICIO.31 • GESTION............................31 • SEGURIDAD DE LAS VPNs.....................31 • CLASIFICACION DE PAQUETES...............32 • IMPLEMENTACION.............32 • TIPOS DE CONEXIÃ“N......................33 • CONEXIÃ“N DE ACCESO REMOTO.......33 • CONEXIÃ“N VPN ROUTER−TO−ROUTER..34 • PROPIEDADES DE LA CONEXIÃ“N34 • CONEXIONES VPN BASADAS EN INTERNET E INTRANET35 • CONEXIONES VPN BASADAS EN INTERNET35 • ACCESO REMOTO SOBRE INTERNET.36 • CONECTANDO REDES SOBRE INTERNET..36 • CONECTANDO REDES USANDO ENLACES WAN DEDICADOS..................36 • CONECTANDO REDES USANDO ENLACES WAN ACCESO TELEFONICO.37 • CONEXIONES VPN BASADAS EN INTRANET................37 • ACCESO REMOTO SOBRE INTRANET.37 • CONECTANDO REDES SOBRE INTRANET.38 • CONEXIÃ“N COMBINADA VPN INTERNET E INTRANET.38 • INSTALACION Y CONFIGURACION DEL SERVIDOR VPN..39 • CONFIGURACION COMUN DEL SERVIDOR VPN.................39 • CONFIGURACION DE RED DEL SERVIDOR...40 • CONFIGURACION DEL DOMINIO.....42 • CONFIGURACION DE LA SEGURIDAD...43 • EL SERVIDOR VPN QUE PROPORCIONA CONEXIONES VPN DE ACCESO REMOTO...43 • CONFIGURACION DE LA DIRECTIVA DE ACCESO REMOTO...43 • CONFIGURACION DE CLIENTES DE ACCESO REMOTO EN L2TP...44 • EQUIPOS PARA REDES PRIVADAS VIRTUALES..45 • PROTOCOLOS VPN.46 • POINT−TO−POINT−TUNNELING PROTOCOL (PPTP)..47 • LAYER TWO TUNNELING PROTOCOL (L2TP)...48 • INTERNET PROTOCOL SECURITY (IPSec)..49 • MICROSOFT POINT−TO−POINT ENCRYPTION (mppe)...51 2

• Mschap.51 • IPIP..51 • IP−GRE51 • SOCKS NETWORK SECURITY PROTOCOL.51 • VPN DINAMICAS..51 • VENTAJAS E INCONVENIENTES DE LA VPN53 • POR QUE ES IMPORTANTE LA SEGURIDAD CUANDO SE IMPLEMENTA UNA VPN?...............................................................................55 • CONCLUSIONES...............................................................................................56 Sin duda alguna, una red es una colecciÃ³n de estÃ¡ndares, basada en dispositivos que encadenan todo lo referente a la compaÃ±Ã-a, como computadoras de escritorio, anfitriones y recursos, sin sacrificar velocidad, costo o maniobrabilidad. La tecnologÃ-a en nuestros dÃ-as avanza muy rÃ¡pidamente y con ello la inseguridad en las redes, por ello surge la tecnologÃ-a en software y hardware que nos proporcionan ayuda en cuanto a velocidad y seguridad de la informaciÃ³n. Una RED se extiende sobre un Ã¡rea geogrÃ¡fica amplia, a veces un paÃ-s o un continente; contiene una colecciÃ³n de mÃ¡quinas dedicadas a ejecutar programas de usuario (aplicaciones). En los Ãºltimos aÃ±os las redes se han convertido en un factor crÃ-tico para cualquier organizaciÃ³n. Cada vez en mayor medida, las redes transmiten informaciÃ³n vital, por tanto dichas redes cumplen con atributos tales como seguridad, fiabilidad, alcance geogrÃ¡fico y efectividad en costos. Se ha demostrado en la actualidad que las redes reducen en tiempo y dinero los gastos de las empresas, eso ha significado una gran ventaja para las organizaciones sobre todo las que cuentan con oficinas remotas a varios kilÃ³metros de distancia, pero tambiÃ©n es cierto que estas redes remotas han despertado la curiosidad de algunas personas que se dedican a atacar los servidores y las redes para obtener informaciÃ³n confidencial. Por tal motivo la seguridad de las redes es de suma importancia, es por eso que escuchamos hablar tanto de los famosos firewalls y las VPN Ante la necesidad de comunicar puntos remotos, y lo costoso que significarÃ-a tener una WAN (Wide Area Network) que significarÃ-a tirar lÃ-neas entre cada sucursal de una empresa X se ideo la forma de utilizar redes publicas para comunicar estas sucursales. Para poder habilitar redes privadas distribuidas para comunicar de forma segura cada uno de los nodos de una red pÃºblica hay una necesidad de aplicar algÃºn sistema de seguridad, debido a que los datos de la empresa son valiosos, y no deben ser interceptados. Con una Red Privada Virtual (VPN), los usuarios remotos, que pertenecen a una red privada, pueden comunicarse de forma libre y segura entre redes remotas a travÃ©s de redes pÃºblicas. Una VPN normalmente usa la red Internet como transporte para establecer enlaces seguros, extendiendo las comunicaciones a oficinas aisladas. Significativamente, decrece el coste de las comunicaciones porque el acceso a Internet es generalmente local y mucho mÃ¡s barato que las conexiones mediante Acceso Remoto a Servidores. Una Red Privada Virtual (VPN) transporta de manera segura por Internet por un tÃºnel establecido entre dos puntos que negocian un esquema de encriptaciÃ³n y autentificaciÃ³n para el transporte. Una VPN permite el acceso remoto a servicios de red de forma transparente y segura con el grado de conveniencia y seguridad que los usuarios conectados elijan. Las VPN estÃ¡n implementadas con firewalls, routers para lograr esa encriptaciÃ³n y autentificaciÃ³n. 2. OBJETIVOS

3

1Âº. Proporcionar movilidad a los empleados. 2Âº. Acceso a la base de datos central sin utilizaciÃ³n de operadores telefÃ³nicos. 3Âº. InterconexiÃ³n total a la red de todos los comerciales (empleados), de forma segura a travÃ©s de una infraestructura pÃºblica. 4Âº. Intercambio de informaciÃ³n en tiempo real. 5Âº.Correo electrÃ³nico corporativo 6Âº.Acceso remoto a la informaciÃ³n corporativa 7Âº. Teletrabajo. 8Âº. Flexibilidad y facilidad de uso. 9Âº. ObtenciÃ³n de la mÃ¡xima velocidad de transferencia de datos usando con eficiencia los recursos empleados. 10Âº. FÃ¡cil adaptaciÃ³n a las nuevas tecnologÃ-as. 3. ANTECEDENTES Inicialmente los viajantes empleados de la empresa accedÃ-an a los datos que necesitaban de la central mediante llamadas telefÃ³nicas, en ella se encontraban varias operadoras que se encargaban de acceder a los datos y comunicÃ¡rselos a los empleados. Ante el gran desarrollo de las tecnologÃ-as de telecomunicaciones se pensÃ³ en una reestructuraciÃ³n total en el modo de acceder a los datos por parte de los viajantes, creando una red que interconectara a Ã©stos con la central y posibilitando que tuvieran acceso total a todos los equipos conectados a la red con independencia del tiempo o del lugar donde se encontraran. La empresa deseaba tambiÃ©n una garantÃ-a de seguridad en las transferencias de informaciÃ³n que evitara que sus datos fuesen interceptados por personas ajenas a la empresa. 4. QUE ES VPN Es una Red Privada Virtual que se extiende, mediante un proceso de encapsulaciÃ³n, y en su caso, de encriptaciÃ³n, de los paquetes de datos a distintos puntos remotos mediante el uso de infraestructuras pÃºblicas de transporte. Los paquetes de datos de la red privada viajan por medio de un "tÃºnel" definido en la red pÃºblica. En el caso de acceso remoto, la VPN permite al usuario acceder a su red corporativa, asignÃ¡ndole a su ordenador remoto las direcciones y privilegios de la misma, aunque la conexiÃ³n la haya realizado por medio de un acceso a Internet publico. En ocasiones puede ser interesante que la comunicaciÃ³n que viaja por el tÃºnel establecido en la red pÃºblica vaya encriptada para permitir una mayor confidencialidad. La forma mÃ¡s avanzada, mÃ¡s utilizada de encriptaciÃ³n es el IPSec

4

En una red privada virtual todos los usuarios parecen estar en el mismo segmento de LAN, pero en realidad estÃ¡n a varias redes (generalmente pÃºblicas) de distancia. Para lograr esta funcionalidad, la tecnologÃ-a de redes seguras, privadas y virtuales debe completar tres tareas: primero, deben ser capaces de pasar paquetes IP a travÃ©s de un tÃºnel en la red pÃºblica, de manera que dos segmentos de LAN remotos no parezcan estar separados por una red pÃºblica; la soluciÃ³n debe agregar encriptaciÃ³n, de manera que el trÃ¡fico que cruce por la red pÃºblica no pueda ser espiado, interceptado, leÃ-do o modificado; y por Ãºltimo, la soluciÃ³n debe ser capaz de autenticar positivamente cualquier extremo del enlace de comunicaciÃ³n, de modo que un adversario no pueda acceder a los recursos del sistema. Una definiciÃ³n simple es que se trata de una red de comunicaciones privada implementada sobre una infraestructura pÃºblica. Las razones que impulsan al mercado en ese sentido son, fundamentalmente, de costos: es mucho mÃ¡s barato interconectar filiales utilizando una infraestructura pÃºblica que despliega una red fÃ-sicamente privada. Por otro lado, como es lÃ³gico, es necesario exigir ciertos criterios de privacidad y seguridad, por lo que normalmente debemos recurrir al uso de la criptografÃ-a. Una red privada virtual conecta los componentes de una red sobre otra red. Las VPN logran esto al permitir que el usuario haga un tÃºnel a travÃ©s de Internet u otra red pÃºblica, de manera que permita a los participantes del tÃºnel disfrutar de la misma seguridad y funciones que antes sÃ³lo estaban disponibles en las redes privadas Las VPN permiten a los usuarios que trabajan en el hogar o en el camino conectarse en una forma segura a un servidor corporativo remoto, mediante la infraestructura de entubamiento que proporciona una red pÃºblica (como Internet). Desde la perspectiva del usuario, la VPN es una conexiÃ³n de punto a punto entre la computadora del usuario y un servidor corporativo. Por su parte, la naturaleza de la red intermedia es irrelevante para el usuario, debido 5

a que aparece enviando como si los datos se estuvieran enviando sobre un enlace privado dedicado. La tecnologÃ-a VPN tambiÃ©n permite que una compaÃ±Ã-a se conecte a las sucursales o a otras compaÃ±Ã-as (extranets) sobre una red pÃºblica (como Internet), manteniendo al mismo tiempo comunicaciones seguras. La tecnologÃ-a de la VPN estÃ¡ diseÃ±ada para tratar temas relacionados con la tendencia actual de negocios hacia mayores telecomunicaciones, operaciones globales ampliamente distribuidas y operaciones con una alta interdependencia de socios, donde los trabajadores deben conectarse a recursos centrales y entre sÃ-. Para proporcionar a los empleados la capacidad de conectarse a recursos de cÃ³mputo corporativos sin importar su ubicaciÃ³n, una compaÃ±Ã-a debe instalar una soluciÃ³n de acceso remoto que sea confiable y escalable. Por lo comÃºn, las compaÃ±Ã-as eligen una soluciÃ³n basada en un departamento de sistemas que estÃ¡ encargado de adquirir, instalar y mantener los conjuntos de mÃ³dems corporativos y la infraestructura de red privada; tambiÃ©n eligen una soluciÃ³n de Red de Valor Agregado (VAN), donde contratan a una compaÃ±Ã-a externa para adquirir, instalar y mantener los conjuntos de mÃ³dems y una infraestructura de telecomunicaciones. Sin embargo, ninguna de estas soluciones proporciona la escalabilidad necesaria en tÃ©rminos de costo, la flexibilidad de la administraciÃ³n y gestiÃ³n, asÃ- como la demanda de conexiones. Por tanto, tiene sentido encontrar un terreno intermedio donde la organizaciÃ³n complemente sus inversiones actuales en conjuntos de mÃ³dems y su infraestructura de red privada, con una soluciÃ³n menos costosa basada en tecnologÃ-a de Internet. De esta manera, las empresas se pueden enfocar a su negocio principal con la garantÃ-a de que nunca se comprometerÃ¡ su accesibilidad y que se instalen las soluciones mÃ¡s econÃ³micas. La disponibilidad de una soluciÃ³n de Internet permite pocas conexiones a Internet (a travÃ©s de Proveedores Independientes de Servicio, PSI) y la implementaciÃ³n de varias computadoras de servidor VPN en el borde de la red, a fin de dar servicio a las necesidades remotas de red de cientos o miles de clientes y sucursales remotas. a. DescripciÃ³n de VPN Una Red Privada Virtual (VPN) consiste en dos mÃ¡quinas (una en cada "extremo" de la conexiÃ³n) y una ruta o "tÃºnel" que se crea dinÃ¡micamente en una red pÃºblica o privada. Para asegurar la privacidad de esta conexiÃ³n los datos transmitidos entre ambos ordenadores son encriptados por el Point−to−Point Protocol, tambiÃ©n conocido como PPP, un protocolo de acceso remoto, y posteriormente enrutados o encaminados sobre una conexiÃ³n previa (tambiÃ©n remota, LAN o WAN) por un dispositivo PPTP. Una Red Privada Virtual es una forma de compartir y transmitir informaciÃ³n entre un cÃ-rculo cerrado de usuarios que estÃ¡n situados en diferentes localizaciones geogrÃ¡ficas. Es una red de datos de gran seguridad que permite la transmisiÃ³n de informaciÃ³n confidencial entre la empresa y sus sucursales, socios, proveedores, distribuidores, empleados y clientes, utilizando Internet como medio de transmisiÃ³n. Aunque Internet es una red pÃºblica y abierta, la transmisiÃ³n de los datos se realiza a travÃ©s de la creaciÃ³n de tÃºneles virtuales, asegurando la confidencialidad e integridad de los datos transmitidos.

6

Un escenario tÃ-pico de uso de VPN es una compaÃ±Ã-a que tiene una serie de trabajadores remotos a los que quiere permitir el acceso a sus servicios. Si esto es lo Ãºnico que se desea hacer, no hace falta una VPN: basta con utilizar tecnologÃ-as como Firewalls o proxys. Ahora bien, una VPN permite, ademÃ¡s que la comunicaciÃ³n se realice por un canal seguro. Existen varias formas de garantizar la existencia de un canal seguro entre emisor y receptor. Algunas de ellas pueden ser el uso de extranets, o bien proteger los servidores propios mediante passwords utilizando mecanismos de autentificaciÃ³n de terceras partes, o incluso utilizar lÃ-neas privadas para todas las comunicaciones que requieran un canal seguro. AsÃ-, las VPN constituyen una estupenda combinaciÃ³n entre la seguridad y garantÃ-a que ofrecen las costosas redes privadas y el gran alcance, lo asequible y lo escalable del acceso a travÃ©s de Internet. Esta combinaciÃ³n hace de las Redes Privadas Virtuales o VPNs una infraestructura confiable y de bajo costo que satisface las necesidades de comunicaciÃ³n de cualquier organizaciÃ³n. Las VPNs permiten: • La administraciÃ³n y ampliaciÃ³n de la red corporativa al mejor costo−beneficio. • La facilidad y seguridad para los usuarios remotos de conectarse a las redes corporativas. Los requisitos indispensables para esta interconectividad son: • PolÃ-ticas de seguridad. • Requerimiento de aplicaciones en tiempo real. • Compartir datos, aplicaciones y recursos. • Servidor de acceso y autentificaciÃ³n. • AplicaciÃ³n de autentificaciÃ³n. 4. Â¿Por quÃ© una VPN? Cuando deseo enlazar mis oficinas centrales con alguna sucursal u oficina remota tengo tres opciones: Modem: Las desventajas es el costo de la llamada, ya que el costo de esta llamada serÃ-a por minuto conectado, ademas serÃ-a una llamada de larga distancia, a parte no contarÃ-a con la calidad y velocidad adecuadas. LÃ-nea Privada: TendrÃ-a que tender mi cable ya sea de cobre o fibra Ã³ptica de un punto a otro, en esta opciÃ³n el costo es muy elevado porque si por ejemplo necesito enlazar mi oficina central con una sucursal que se encuentra a 200 KilÃ³metros de distancia el costo serÃ-a por la renta mensual por KilÃ³metro. Sin importar el uso. 7

VPN: Los costos son bajos porque solo realizo llamadas locales, ademas de tener la posibilidad de que mis datos viajen encriptados y seguros, con una buena calidad y velocidad. Las redes privadas virtuales surgen como una alternativa a los servicios de comunicaciones tradicionales de red amplia (WAN) de enlaces dedicados. 5. Â¿QUIEN SOPORTA LAS VPN? Los PSI experimentan con los tÃºneles de las redes privadas mas recientes y con los protocolos de seguridad que se usaran en un futuro en Internet. Los tres principales protocolos de seguridad que existen actualmente son el Protocolo de ReenvÃ-o de nivel 2 (L2F), el Protocolo para establecimiento de tÃºneles punto a punto (PPTP) y el Protocolo de seguridad en Internet (IPSec). Lo mÃ¡s probable es que uno o dos de estos prevalecerÃ¡ o posiblemente se combinarÃ¡n de hecho el Protocolo de ReenvÃ-o de Nivel 2 Y el Protocolo para establecimientos punto a punto se han combinado en lo que se conocen como el Protocolo para establecimiento de tÃºneles del nivel 2 (L2TP). 6. Requisitos para establecer una VPN Para poder establecer una VPN, ya sea entre varias subnets o entre una LAN y un host "mÃ³vil", son necesarios algunos requisitos: Requisitos Hardware: Es necesario tener un encaminador o router a internet, que va a ser la pieza clave de la VPN. Cualquier tipo de encaminador, en principio, serÃ-a suficiente. Por supuesto, tambiÃ©n es necesario el soporte fÃ-sico para la comunicaciÃ³n entre las dos subnets o entre la LAN y el host "mÃ³vil". Requisitos Software: Se debe tener un sistema de transporte 'opaco' entre los dos puntos a unir por la VPN. Esto es, que debe actuar sÃ³lo como transporte, sin `mirar' dentro de los datos que va a transportar. El transporte debe asegurar una cierta calidad de servicio, si esto es posible, y debe proporcionar seguridad (encriptaciÃ³n) a los datos. AdemÃ¡s serÃ¡ necesario que junto con los encaminadores (ya comentados en los requisitos hardware) se disponga de algÃºn tipo de encapsulamiento disponible para que la red de transporte intermedio (ya sea dialup, Internet u otro tipo de red) sea capaz de entregar los paquetes entre los desencaminadores de la VPN, sin tener que 'mirar' dentro de los datos de la transmisiÃ³n que, ademÃ¡s, podrÃ-an estar encriptados. Otro de los requisitos mÃ¡s importantes a la hora de construir una VPN es el hecho de que las aplicaciones deberÃ-an seguir funcionando perfectamente como hasta ahora habÃ-an funcionado. Es decir, la creaciÃ³n de la VPN deberÃ-a ser transparente a las aplicaciones que se estÃ©n usando o se puedan usar en cualquiera de las redes que forman la VPN. 7. REQUERIMIENTOS BASICOS DE LAS VPN Por lo general, al implementar una soluciÃ³n de red remota, una compaÃ±Ã-a desea facilitar un acceso controlado a los recursos y a la informaciÃ³n de la misma. La soluciÃ³n deberÃ¡ permitir la libertad para que los clientes roaming o remotos autorizados se conecten con facilidad a los recursos corporativos de la red de Ã¡rea local (LAN) asÃ- como las oficinas remotas se conecten entre si para compartir recursos e informaciÃ³n (conexiones de N). Por Ãºltimo, la soluciÃ³n debe garantizar la privacidad y la integridad de los datos al viajar a travÃ©s de Internet pÃºblico. Lo mismo se aplica en el caso de datos sensibles que viajan a travÃ©s de una red corporativa. Por lo tanto, como mÃ-nimo, una soluciÃ³n de VPN debe proporcionar lo siguiente: a. AutenticaciÃ³n de usuario. La VPN debe ser capaz de verificar la identidad de los usuarios y restringir el acceso a la VPN a aquellos usuarios que no estÃ©n autorizados. AsÃ- mismo, debe proporcionar registros estadÃ-sticos que muestren quien acceso, que informaciÃ³n y cuando.

8

b. AdministraciÃ³n de direcciÃ³n. La soluciÃ³n deberÃ¡ asignar una direcciÃ³n al cliente en la red privada, y asegurarse de que las direcciones privadas se mantengan asÃ-. c. EncriptaciÃ³n de datos. Los datos que se van a transmitir a traves de la red pÃºblica deben ser previamente encriptados para que no puedan ser leÃ-dos por clientes no autorizados de la red. d. AdministraciÃ³n de llaves. La soluciÃ³n deberÃ¡ generar y renovar las llaves de encriptaciÃ³n para el cliente y para el servidor. e. Soporte de protocolo mÃºltiple. La soluciÃ³n deberÃ¡ manejar protocolos comunes utilizados en las redes pÃºblicas; Ã©stos incluyen Protocolo de Internet. Una soluciÃ³n de VPN de Internet basada en un Protocolo de tÃºnel de punto a punto (PPTP) o un Protocolo de tÃºnel de nivel 2 (L2TP) cumple con todos estos requerimientos bÃ¡sicos, y aprovecha la amplia disponibilidad de Internet a nivel mundial. 8. COMPONENTES QUE CONFORMAN UNA VPN Las VPN consisten hardware y software, y ademÃ¡s requieren otro conjunto de componentes. Estos componentes son simples requisitos que garantizan que la red sea segura, estÃ© disponible y sea fÃ¡cil de mantener. Son necesarios ya sea que un PSI proporcione la VPN o que usted halla decidido instalar una por si mismo. a. Disponibilidad Se aplica tanto al tiempo de actualizaciÃ³n como al de acceso. b. Control Suministra capacitaciÃ³n, experiencia, supervisiÃ³n meticulosa y funciones de alerta que ofrece algunos proveedores de servicios administrados. Una consideraciÃ³n significativa es que sin importar que tan grande sea la organizaciÃ³n, es probable que solo cuente con una VPN; puede tener otros puntos de acceso pero seguirÃ¡ siendo una VPN corporativa. c. Compatibilidad Para utilizar tecnologÃ-a VPN e Internet como medio de transporte, la arquitectura interna del protocolo de red de una compaÃ±Ã-a debe ser compatible con el IP nativo de Internet. d. Seguridad Lo es todo en una VPN, desde el proceso de cifrado que implementa y los servicios de autenticaciÃ³n que usted elige hasta las firmas digitales y las autoridades emisoras de certificados que utilizan. Abarca el software que implementa los algoritmos de cifrado en el dispositivo de la VPN. e. Confiabilidad Cuando una compaÃ±Ã-a decide instalar el producto VPN de un PSI, estÃ¡ a merced de este. f. AutenticaciÃ³n de Datos y Usuarios Datos: Reafirma que el mensaje a sido enviado completamente y que no ha sido alterado de ninguna forma. Usuarios: Es el proceso que permite que el usuario acceda a la red. 9

g. Sobrecarga de TrÃ¡fico En todo tipo de tecnologÃ-as existen sacrificios: velocidad contra desempeÃ±o, seguridad contra flexibilidad. Las VPN caben en la misma categorÃ-a cuando se hablan de tamaÃ±o de paquetes cifrados las sobre carga esta en juego, ya que si mandamos varios paquetes se incrementa el tamaÃ±o de estos y por lo tanto se afecta la utilizaciÃ³n del ancho de banda. h. Sin Repudio Es el proceso de identificar positivamente al emisor de tal manera que no pueda negarlo. 9. Herramientas de una VPN VPN Gateway Software Firewall Router VPN Gateway Dispositivos con un software y hardware especial para proveer de capacidad a la VPN Software Esta sobre una plataforma PC o Workstation, el software desempeÃ±a todas las funciones de la VPN. Â 10. TECNOLOGÃA DE TÃšNEL Las redes privadas virtuales crean un tÃºnel o conducto de un sitio a otro para transferir datos a esto se le conoce como encapsulaciÃ³n ademÃ¡s los paquetes van encriptados de forma que los datos son ilegibles para los extraÃ±os.

El servidor busca mediante un ruteador la direcciÃ³n IP del cliente VPN y en la red de transito se envÃ-an los datos sin problemas. a. Â¿CÃ³mo funciona.?

10

En la figura anterior se muestra como viajan los datos a travÃ©s de una VPN ya que el servidor dedicado es del cual parten los datos, llegando a firewall que hace la funciÃ³n de una pared para engaÃ±ar a los intrusos a la red, despuÃ©s los datos llegan a nube de Internet donde se genera un tÃºnel dedicado Ãºnicamente para nuestros datos para que estos con una velocidad garantizada, con un ancho de banda tambiÃ©n garantizado y lleguen a su vez al firewall remoto y terminen en el servidor remoto. Las VPN pueden enlazar oficinas corporativas con los socios, con usuarios mÃ³viles, con oficinas remotas mediante los protocolos como Internet, IP, Ipsec, Frame Relay, ATM como lo muestra la figura siguiente.

b. Aspectos bÃ¡sicos de tÃºneles Trabajar en un sistema de tÃºnel es un mÃ©todo de utilizar una infraestructura de la red para transferir datos de una red sobre otra; los datos que serÃ¡n transferidos (o carga Ãºtil) pueden ser las tramas (o paquetes) de otro protocolo. En lugar de enviar una trama a medida que es producida por el nodo promotor, el protocolo de tÃºnel la encapsula en un encabezado adicional. Ã‰ste proporciona informaciÃ³n de entubamiento de manera que la carga Ãºtil encapsulada pueda viajar a travÃ©s de la red intermedia. De esta manera, se pueden enrutar los paquetes encapsulados entre los puntos finales del tÃºnel sobre la red (la trayectoria lÃ³gica a travÃ©s de la que viajan los paquetes encapsulados en la red se denomina tÃºnel). Cuando las tramas encapsuladas llegan a su destino sobre la red se desencapsulan y se envÃ-an a su destino final; nÃ³tese que este sistema de tÃºnel incluye todo este proceso (encapsulamiento, transmisiÃ³n y desencapsulamiento de paquetes). Existen muchos otros ejemplos de tÃºneles que pueden realizarse sobre intranets corporativas. Y aunque la Red de redes proporciona una de las intranets mÃ¡s penetrantes y econÃ³micas, las referencias a Internet en 11

este artÃ-culo se pueden reemplazar por cualquier otra intranet pÃºblica o privada que actÃºe como de trÃ¡nsito. Las tecnologÃ-as de tÃºnel existen desde hace tiempo. Algunos ejemplos de tecnologÃ-as maduras incluyen: TÃºneles SNA sobre intranets IP. Cuando se envÃ-a trÃ¡fico de la Arquitectura de la red del sistema (SNA) a travÃ©s de una intranet IP corporativa, la trama SNA se encapsula en un encabezado UPN e IP. TÃºneles IPX para Novell NetWare, sobre intranets IP. Cuando un paquete IPX se envÃ-a a un servidor NetWare o ruteador IPX, el servidor o ruteador envuelve el paquete IPX en un encabezado UDP e IP y luego lo envÃ-a a travÃ©s de una intranet IP. Modo de tÃºnel de seguridad IP (IPSec). Deja que se encripten las cargas Ãºtiles IP y luego se encapsulen en un encabezado IP, para enviarse a travÃ©s de una red corporativa IP o una red pÃºblica IP como Internes c. Protocolo de tÃºneles Para que se establezca un tÃºnel, tanto el cliente de Ã©ste como el servidor deberÃ¡n utilizar el mismo protocolo de tÃºnel. La tecnologÃ-a de tÃºnel se puede basar en el protocolo del tÃºnel de Nivel 2 o Nivel 3; estos niveles corresponden al Modelo de referencia de interconexiÃ³n de sistemas abiertos (OSI). Los protocolos de nivel 2 corresponden al nivel de Enlace de datos, y utilizan tramas como su unidad de intercambio. PPTP y L2TP y el envÃ-o de nivel 2 (L2F) son protocolos de tÃºnel de Nivel 2, ambos encapsulan la carga Ãºtil en una trama de Protocolo de punto a punto (PPP) que se enviarÃ¡ a travÃ©s de la red. Los protocolos de Nivel 3 corresponden al nivel de la red y utilizan paquetes. IP sobre IP y el modo de tÃºnel de seguridad IP (IPSec) son ejemplos de los protocolos de tÃºnel de Nivel 3; Ã©stos encapsulan los paquetes IP en un encabezado adicional antes de enviarlos a travÃ©s de una red IP. 11. Los protocolos y los requerimientos bÃ¡sicos del tÃºnel Puesto que se basan en protocolos PPP bien definidos, los protocolos de Nivel 2 (como PPTP v L2TP) heredan un conjunto de funciones Ãºtiles. Como se seÃ±ala adelante, estas funciones y sus contrapartes de Nivel 3 cubren los requerimientos bÃ¡sicos de la VPN a. AutenticaciÃ³n de usuario. Los protocolos de tÃºnel Nivel 2 hereda los esquemas de autenticaciÃ³n del usuario de PPP. Muchos de los esquemas de tÃºnel de Nivel 3 suponen que los puntos finales han sido bien conocidos (y autenticados) antes de que se estableciera el tÃºnel. Una excepciÃ³n es la negociaciÃ³n IPSec ISAKMP que proporciona una autenticaciÃ³n mutua de los puntos Finales del tÃºnel. (NÃ³tese que la mayor parte de las implementaciones IPSec dan soporte sÃ³lo a certificados basados en equipo, mÃ¡s que en certificados de usuarios; como resultado, cualquier usuario con acceso a uno de los equipos de punto final puede utilizar el tÃºnel. Se puede eliminar esta debilidad potencial de seguridad cuando se conjunta el IPSec con un protocolo de Nivel 2, como el L2TP.) b. Soporte de tarjeta de seÃ±ales. Al utilizar el Protocolo de autenticaciÃ³n ampliable (EAP), los protocolos de tÃºnel Nivel 2 pueden ofrecer soporte a una amplia variedad de mÃ©todos de autenticaciÃ³n, incluidas contraseÃ±as de una sola vez, calculadores criptogrÃ¡ficos y tarjetas inteligentes. Los protocolos de tÃºnel Nivel 3 pueden utilizar mÃ©todos similares; por ejemplo, IPSec define la AutenticaciÃ³n de los certificados 12

de llaves pÃºblicas en su negociaciÃ³n ISAKMP/Oakley. c. AsignaciÃ³n de direcciÃ³n dinÃ¡mica. El tÃºnel de Nivel 2 da soporte a la asignaciÃ³n dinÃ¡mica de direcciones de clientes basadas en un mecanismo de negociaciÃ³n de protocolos de control de la red en general los esquemas del tÃºnel de nivel 3 suponen que ya se ha asignado una direcciÃ³n antes de la iniciaciÃ³n del tÃºnel. Cabe mencionar que los esquemas para la asignaciÃ³n de direcciones en el modo de tÃºnel IPSec estÃ¡n actualmente en desarrollo, por lo que aÃºn no estÃ¡n disponibles. d. CompresiÃ³n de datos. Los protocolos de tÃºnel Nivel 2 proporcionan soporte a esquemas de compresiÃ³n basados en PPP Por ejemplo, las implementaciones de Microsoft tanto de PPTP como L2TP utilizan Microsoft Point to Point Compression (MPPC). La IETF estÃ¡ investigando mecanismos similares (como la compresiÃ³n IP) para los protocolos de tÃºnel Nivel 3. e. EncriptaciÃ³n de datos. Los protocolos de tÃºnel Nivel 2 dan soporte a mecanismos de encriptaciÃ³n de datos basados en PPP. Por su parte, la implementaciÃ³n de Microsoft de PPTP da soporte al uso opcional de Microsoft Point to Point Encription (MPPE), basado en el algoritmo RSA/RC4. Los protocolos de tÃºnel Nivel 3 pueden utilizar mÃ©todos similares; por ejemplo, IPSec define varios mÃ©todos de EncriptaciÃ³n opcional de datos que se negocian durante el intercambio ISAKMP/Oaklev. La implementaciÃ³n de Microsoft del protocolo L2TP utiliza la encriptaciÃ³n IPSec para proteger el flujo de datos del cliente al servidor del tÃºnel. f. AdministraciÃ³n de llaves. MPPE, un protocolo de Nivel 2, se basa en las claves iniciales generadas durante la AutenticaciÃ³n del usuario y luego las renueva en forma periÃ³dica. IPSec negocia explÃ-citamente una llave comÃºn durante el intercambio ISAKMP y tambiÃ©n las renueva de manera periÃ³dica. g. Soporte de protocolo mÃºltiple. El sistema de tÃºnel de Nivel 2 da soporte a protocolos mÃºltiples de carga Ãºtil, lo que facilita a los clientes de tÃºnel tener acceso a sus redes corporativas utilizando IP, IPX, NetBEUI, etc. En contraste, los protocolos de tÃºnel Nivel 3, como el modo de tÃºnel IPSec, por lo comÃºn dan soporte sÃ³lo a redes objetivo que utilizan el protocolo IP. 12. PROTOCOLOS DE PUNTO A PUNTO Debido a que los protocolos de Nivel 2 dependen principalmente de las funciones especificadas para PPP, vale la pena examinar este protocolo mÃ¡s de cerca. PPP se diseÃ±Ã³ para enviar datos a travÃ©s de conexiones de marcaciÃ³n o de punto a punto dedicadas. Encapsula paquetes de IP, IPX y NetBEUI dentro de las tramas del PPP, y luego transmite los paquetes encapsulados del PPP a travÃ©s de un enlace punto a punto. Es utilizado entre un cliente de marcaciÃ³n y un NAS. Existen cuatro fases distintivas de negociaciÃ³n en una sesiÃ³n de marcaciÃ³n del PPP, cada una de las cuales debe completarse de manera exitosa antes de que la conexiÃ³n del PPP estÃ© lista para transferir los datos del usuario. Estas fases se explican posteriormente. a. Fase 1: Establecer el enlace del PPP PPP utiliza el Protocolo de Control de Enlace (LCP) para establecer, mantener y concluir la conexiÃ³n fÃ-sica. Durante la fase LCP inicial, se seleccionan las opciones bÃ¡sicas de comunicaciÃ³n. 13

NÃ³tese que durante la fase de establecimiento de enlace (Fase i), se seleccionan los protocolos de AutenticaciÃ³n, peto no se implementan efectivamente hasta la fase de AutenticaciÃ³n de conexiÃ³n (Fase 2). De manera similar, durante el LCP se toma una decisiÃ³n respecto a que si dos iguales negociarÃ¡n el uso de compresiÃ³n y/o encriptaciÃ³n. Durante la Fase 4 ocurre la elecciÃ³n real de algoritmos de compresiÃ³n/encriptaciÃ³n y los otros detalles. b. Fase 2: Autenticar al usuario En la segunda fase, la PC cliente presenta las credenciales del usuario al servidor de acceso remoto. Por su parte, un esquema seguro de AutenticaciÃ³n proporciona protecciÃ³n contra ataques de reproducciÃ³n y personificaciÃ³n de clientes remotos. (Un ataque de reproducciÃ³n ocurre cuando un tercero monitoriza una conexiÃ³n exitosa y utiliza paquetes capturados para reproducir la respuesta del cliente remoto, de manera que pueda lograr una conexiÃ³n autenticada. La personificaciÃ³n del cliente remoto ocurre cuando un tercero se apropia de una conexiÃ³n autenticada. La gran parte de la implementaciones del PPP proporcionan mÃ©todos limitado, de AutenticaciÃ³n, tÃ-picamente el Protocolo de autenticaciÃ³n de contraseÃ±a (PAP), el Protocolo de autenticaciÃ³n de saludo Challenge (CHAP) Y Microsoft Challenge Handshake Authentication Protocol (MSCHAP). i. Protocolo de autenticaciÃ³n de contraseÃ±a (PAP). El PAP es un esquema simple y claro de autenticaciÃ³n de texto: el NAS solicita al usuario el nombre y la contraseÃ±a y el PAP le contesta el texto claro (no encriptado). Obviamente, este esquema de autenticaciÃ³n no es seguro ya que un tercero podrÃ-a capturar el nombre y la contraseÃ±a para tener seÃ±a del usuario Y Ãºtil os un acceso subsecuente al NAS y todos los recursos que proporciona el mismo cuando se ha escrito la contraseÃ±a del usuario, PAP no proporciona protecciÃ³n contra ataques de reproducciÃ³n o personificaciÃ³n de cliente remoto. ii. Protocolo de autenticaciÃ³n de saludo Challenge (CHAP). El CHAP es un mecanismo encriptado que evita la transmisiÃ³n de contraseÃ±as reales en la conexiÃ³n. El NAS envÃ-a un Challenge, que consiste de una identificaciÃ³n de sesiÃ³n y una extensiÃ³n arbitraria al cliente remoto. Por su parte, el cliente remoto deberÃ¡ utilizar el algoritmo de control unidireccional MD5 para devolver el nombre i del usuario y una encriptaciÃ³n del challenge, la identificaciÃ³n de la sesiÃ³n y la contraseÃ±a del cliente. El CHAP es una mejora sobre el PAP en cuanto a que no se envÃ-a la contraseÃ±a de texto transparente sobre el enlace. En su lugar, se utiliza la contraseÃ±a a fin de crear una verificaciÃ³n encriptada del challenge original. El servidor conoce la contraseÃ±a del texto transparente del cliente y, por tanto, puede duplicar la operaciÃ³n y comparar el resultado con la contraseÃ±a enviada en la respuesta del cliente. El CHAP protege contra ataques de reproducciÃ³n al utilizar una extensiÃ³n challenge arbitraria para cada intento de autenticaciÃ³n. Asimismo, protege contra la personificaciÃ³n de un cliente remoto al enviar de manera impredecible challenges repetidos al cliente remoto, a todo lo largo de la duraciÃ³n de la conexiÃ³n. iii. Microsoft ChallengeHandshake Aut 1 identicatÃ-on Protocol (MSCHAP). Es un mecanismo de autenticaciÃ³n encriptado muy similar al CHAP. Al igual que en este Ãºltimo, el NAS envÃ-a un challenge, que consiste en una identificaciÃ³n de sesiÃ³n y una extensiÃ³n challenge arbitraria, al cliente remoto. El cliente remoto debe devolver el nombre del usuario y una verificaciÃ³n MD4 de la extensiÃ³n challenge, el identificador de sesiÃ³n y la contraseÃ±a MD4 verificada.

14

Este diseÃ±o, que manipula una verificaciÃ³n del MD4 de la contraseÃ±a, proporciona un nivel adicional de seguridad, debido a que permite que el servidor almacene las contraseÃ±as verificadas en lugar de contraseÃ±as con texto transparente. MSCHAP tambiÃ©n proporciona cÃ³digos adicionales de error, incluido un cÃ³digo de ContraseÃ±a ya expirado, asÃ- como mensajes adicionales cliente−servidor encriptado que permite a los usuarios cambiar sus contraseÃ±as. En la implementaciÃ³n de Microsoft del MSCHAP, tanto el Cliente como el NAS, de manera independiente, una llave inicial para encriptaciones posteriores de datos por el MPPE. El Ãºltimo punto es muy importante, ya que explica la forma en que se te quiere la autenticaciÃ³n del MSCHAP, a fin de permitir la encriptaciÃ³n de datos con base en MPPE. Durante la fase 2 de la configuraciÃ³n del enlace del PPP, el NAS recopila los datos de autenticaciÃ³n y luego valida los datos contra su propia base de datos del usuario o contra un servidor central para la autenticaciÃ³n de base de datos, como el que mantiene un Controlador del dominio primario Windows NT, un servidor de Servicio remoto de usuario con marcaciÃ³n de autenticaciÃ³n (RA, DIUS). c. Fase 3: Control de interacciÃ³n del PPP La implementaciÃ³n de Microsoft del PPP incluye una Fase opcional de control de interacciÃ³n. Esta fase utiliza el protocolo de control de iteraciÃ³n (CBCP) inmediatamente despuÃ©s de la fase de autenticaciÃ³n. Si se configura para iteraciÃ³n, despuÃ©s de la autenticaciÃ³n, le desconectan tanto el cliente remoto como el NAS. En seguida, el NAS vuelve a llamar al cliente remoto en el nÃºmero telefÃ³nico especificado, lo que proporciona un nivel adicional de seguridad a las redes de marcaciÃ³n. El NAS permitirÃ¡ conexiones partir de los clientes remotos que fÃ-sicamente residan sÃ³lo en nÃºmeros telefÃ³nicos especÃ-ficos. d. Fase 4: Invocar los Protocolos a nivel de Red Cuando se hayan terminado las fases previas, PPP invoca los distintos Protocolos de control de red (NCP), que se seleccionaron durante la fase de establecimiento de enlace (fase i) para configurar los protocolos que utiliza el cliente remoto. Por ejemplo, durante esta fase el Protocolo de control de IP (IPCP) puede asignar una direcciÃ³n dinÃ¡mica a un usuario de marcaciÃ³n. En la implementaciÃ³n del PPP de Microsoft, el protocolo de control de compresiÃ³n se utiliza para negociar tanto la compresiÃ³n de datos (utilizando MPPC) como la encriptaciÃ³n de Ã©stos (utilizando MPPE), por la simple razÃ³n de que ambos se implementan en la misma rutina. e. Fase de transferencia de datos Una vez que hayan concluido las cuatro fases de negociaciÃ³n, PPP empieza a transferir datos hacia y desde los dos iguales. Cada paquete de datos transmitidos se envuelve en un encabezado del PPP, que elimina el sistema receptor. Si se seleccionÃ³ la compresiÃ³n de datos en la fase 1 y se negociÃ³ en la fase 4, los datos se comprimirÃ¡n antes de la transmisiÃ³n. Pero si se seleccionÃ³ y se negociÃ³ de manera similar la encriptaciÃ³n de datos, Ã©stos (comprimidos 15

opcionalmente) se encriptarÃ¡n antes de la transmisiÃ³n. 13. MODO DEL TUNEL DE SEGURIDAD DE PROTOCOLOS PARA INTERNET El IPSec es un estÃ¡ndar de protocolo de Nivel 3 que da soporte a la transferencia protegida de informaciÃ³n a travÃ©s de una red IR En su conjunto se describe con mayor detalle en la secciÃ³n de Seguridad avanzada. Hay un aspecto del IPSec que debe analizarse en el contexto de los protocolos de tÃºnel: ademÃ¡s de su definiciÃ³n de mecanismos de encriptaciÃ³n para trÃ¡fico IP, IPSec define el 1 formato de paquete para un modo de tÃºnel IP sobre IP, generalmente referido como un modo de tÃºnel IPSec. Un tÃºnel IPSec consiste en un cliente de tÃºnel v un servidor de tÃºnel, ambos configurados para utilizar los tÃºneles IPSec y un mecanismo negociado de encriptaciÃ³n. El modo del tÃºnel del IPSec utiliza el mÃ©todo de seguridad negociada (de existir) para encapsular y encriptar todos los paquetes IP, para una transferencia segura a travÃ©s de una red privada o pÃºblica IP. AsÃ-, se vuelven a encapsular la carga Ãºtil encriptada con un encabeza do IP de texto Y se envÃ-a en la red para su entrega a un servidor de tÃºnel. Al recibir este datagrama, el servidor del tÃºnel procesa y descarta el encabezado IP de texto y luego desencripta su contenido, a fin de recuperar el paquete original IP de carga Ãºtil. En seguida, se procesa el paquete IP de carga Ãºtil de manera normal y se en ruta su destino en la red objetivo. El modo de tÃºnel IP tiene las siguientes funciones y limitaciones: • Solo da soporte a trÃ¡fico IP • Funciona en el fondo de la pila IP por tanto, las aplicaciones y los protocolos de niveles mÃ¡s altos hereda su comportamiento. • • EstÃ¡ controlado por una PolÃ-tica de seguridad (un conjunto de reglas que se cumplen a travÃ©s de filtros). Esta polÃ-tica de seguridad establece los mecanismos de encriptaciÃ³n y de tÃºnel disponibles en orden de preferencia, asÃ- como los mÃ©todos de autenticaciÃ³n disponibles, tambiÃ©n en orden de preferencia. Tan pronto como existe trÃ¡fico, ambos equipos realizan una autenticaciÃ³n mutua, y luego negocian los mÃ©todos de encriptaciÃ³n que se utilizarÃ¡n. Posteriormente, se encripta todo el trÃ¡fico de encriptaciÃ³n, y luego se envuelve en un encabezado de tÃºnel. 14. PROTOCOLO DE TUNEL DE PUNTO A PUNTO El PPTP es un protocolo de Nivel 2 que encapsula las tramas del PPP en datagramas del IP para transmisiÃ³n sobre una red IP, como la de Internet. TambiÃ©n se puede utilizar en una red privada de LAN a LAN. El Protocolo de tÃºnel de punto a punto (PPTP) utiliza una conexiÃ³n TCP, para mantenimiento del tÃºnel y tramas encapsuladas del PPP de Encapsulamiento de entubamiento genÃ©rico (GRE) para datos de tÃºnel. Se pueden encriptar y/o comprimir las cargas Ãºtiles de las i tramas del PPP encapsulado. La forma en que se ensambla el paquete del PPTP antes de la transmisiÃ³n (el dibujo exhibe un cliente de marcaciÃ³n que crea un tÃºnel a travÃ©s de una red). El diseÃ±o de la trama final muestra la encapsulamiento para un cliente de marcaciÃ³n (controlador de dispositivo PPP). a. ReenvÃ-o de nivel 2 (L2F) Una tecnologÃ-a propuesta por cisco, es un protocolo de transmisiÃ³n que permite que los servidores de 16

acceso de marcaciÃ³n incluyan el trÃ¡fico de marcaciÃ³n en el PPP, y lo transmitan sobre enlaces WAN hacia un servidor L2F (un ruteador). Luego, el servidor L2F envuelve los paquetes y los inyecta en la red; a diferencia del PPTP y L2TP, L2F no tiene un cliente definido. NÃ³tese que L2F funciona sÃ³lo en tÃºneles obligatorios (para un anÃ¡lisis detallado de los tÃºneles voluntarios y obligatorios, vÃ©ase la secciÃ³n "Tipos de tÃºnel", mÃ¡s adelante en este artÃ-culo). b. Protocolo de tÃºnel de nivel 2 (L2TP) Es una combinaciÃ³n del PPTP y L2F. Sus diseÃ±adores esperan que el L2TP represente las mejores funciones del PPTP y L2E, L2TP es un protocolo de red cÃ¡psula las tramas de] PPP que viajan sobre redes IP, x.25, Frame Relay, o modo de transferencia ATM. Cuando estÃ¡ configurado para utilizar al IP como su transporte de datagrama, L2TP se puede utilizar como un protocolo de tÃºnel sobre Internet. TambiÃ©n se Puede utilizar directamente sobre varios medios WAN (como Frame Relay), sin nivel de transporte IP. El L2TP sobre las redes IP utiliza UDP y una serie de mensajes para el mantenimiento de tÃºnel. Asimismo, emplea UDP para enviar tramas del PPP encapsuladas del L2TP como los datos enviados por el tÃºnel; se pueden encriptar Y/O comprimir las cargas Ãºtiles de las tramas PPP encapsuladas. c. PPTP comparado con el L2TP Tanto el PPTP como L2TP utilizan el PPP para proporcionar una envoltura inicial de los datos, y luego incluir encabezados adicionales a fin de transportarlos a travÃ©s de la red. Aunque ambos protocolos son muy similares, existen diferencias entre ellos: El PPTP requiere que la red sea de tipo IP, y el L2TP requiere sÃ³lo que los medios del tÃºnel proporcionen una conectividad de punto a punto orientada a paquetes. Se puede utilizar L2TP sobre IP (utilizando UDP), circuitos virtuales permanentes (PVC), circuitos virtuales X25 (VC) o VC ATM. El PPTP sÃ³lo puede soportar un tÃºnel Ãºnico entre puntos terminales, y el L2TP permite el uso de varios tÃºneles entre puntos terminales. Con el L2TP es posible crear diferentes tÃºneles para diferentes calidades de servicio. L2TP proporciona la compresiÃ³n de encabezados. Cuando se activa la compresiÃ³n de encabezado, el L2TP opera sÃ³lo con 4 bytes adicionales, comparado con los 6 bytes para el PPTP. L2TP proporciona la autenticaciÃ³n de tÃºnel, no asÃ- el PPTP. Sin embargo, cuando se utiliza cualquiera de los protocolos sobre IPSec, se proporciona la autenticaciÃ³n de tÃºnel por el IPSec, de manera que no sea necesaria la autenticaciÃ³n del tÃºnel Nivel 2. 15. TIPOS DE TUNEL Se pueden crear tÃºneles en diferentes formas. TÃºneles voluntarios: Una computadora de usuario o de cliente puede emitir una solicitud VPN para configurar y crear un tÃºnel voluntario. En este caso, la computadora del usuario es un punto terminal del tÃºnel y actÃºa como un cliente de Ã©ste. TÃºneles obligatorios: Un servidor de acceso de marcaciÃ³n capaz de soportar una VPN configura y crea un 17

tÃºnel obligatorio. Con uno de Ã©stos, la computadora del usuario deja de ser un punto terminal del tÃºnel. Otro dispositivo, el servidor de acceso remoto, entre la computadora del usuario y el servidor del tÃºnel, es el punto terminal del tÃºnel y actÃºa como el cliente del mismo. A la fecha, los tÃºneles voluntarios han robado ser el tipo mÃ¡s popular de tÃºnel. Las siguientes secciones describen cada uno de estos tipos con mayor detalle. a. TÃºneles voluntarios Un tÃºnel voluntario ocurre cuando, una estaciÃ³n de trabajo o un servidor de entubamiento utilizan el software del cliente del tÃºnel, a fin de crear una conexiÃ³n virtual al servidor del tÃºnel objetivo; para lograr esto se debe instalar el protocolo apropiado de tÃºnel en la computadora cliente. Para los protocolos que se analizan en este artÃ-culo, los tÃºneles voluntarios requieren una conexiÃ³n IP (ya sea a travÃ©s de una LAN o marcaciÃ³n). En determinadas situaciones, el cliente debe establecer una conexiÃ³n de marcaciÃ³n con el objeto de conectarse a la red antes de que el cliente pueda establecer un tÃºnel (Ã©ste es el caso mÃ¡s comÃºn). Un buen ejemplo es el usuario de Internet por marcaciÃ³n, que debe marcar a un ISP y obtener una conexiÃ³n a Internet antes de que se pueda crear un tÃºnel sobre Internet. Para una PC conectada a una LAN, el cliente ya tiene una conexiÃ³n a la red que le puede proporcionar un entubamiento a las cargas Ãºtiles encapsuladas al servidor del tÃºnel LAN elegido. Este serÃ-a el caso para un cliente en una LAN corporativa, que inicia, un tÃºnel para alcanzar una subred privada u oculta en la misma LAN (como serÃ-a el caso de la red de Recursos Humanos). Es falso que las VPN requieran una conexiÃ³n de marcaciÃ³n, pues sÃ³lo requieren de una red IP. Algunos clientes (como las PC del hogar) utilizan conexiones de marcaciÃ³n 1 Internet para establecer transporte IP; esto es un paso preliminar en la preparaciÃ³n para la creaciÃ³n de un tÃºnel, y no es parte del protocolo del tÃºnel mismo. b. TÃºneles obligatorios Diversos proveedores que venden servidores de acceso de marcaciÃ³n han implementado la capacidad para crear un tÃºnel en nombre del cliente de marcaciÃ³n. La computadora o el dispositivo de red que proporciona el tÃºnel para la computadora del cliente es conocida de varias maneras: Procesador frontal (FEP) en PPTP, un Concentrador de acceso a L2TP (LAC) en L2TP o un gateway de seguridad IP en el IPSec. En este artÃ-culo, el tÃ©rmino FEP se utilizarÃ¡ para describir esta funcionalidad, sin importar el protocolo de tÃºnel. Para realizar esta funciÃ³n, el FEP deberÃ¡ tener instalado el protocolo apropiado de tÃºnel y ser capaz de establecer el tÃºnel cuando se conecte la computadora cliente. En el ejemplo de Internet, la computadora cliente coloca una llamada de marcaciÃ³n al NAS activado por los tÃºneles en el ISP; puede darse el caso de que una empresa haya contratado un ISP para instalar un conjunto nacional de FEP. Esta configuraciÃ³n se conoce como "tÃºnel obligatorio" debido a que el cliente estÃ¡ obligado a utilizar el tÃºnel creado por FER Cuando se realiza la conexiÃ³n inicial, todo el trÃ¡fico de la red de y hacia el cliente se envÃ-a automÃ¡ticamente a travÃ©s del tÃºnel. En los tÃºneles obligatorios, la computadora cliente realiza una conexiÃ³n Ãºnica PPP, y cuando un cliente 18

marca en el NAS se crea un tÃºnel y todo el trÃ¡fico se enruta de manera automÃ¡tica a travÃ©s de Ã©ste. Es posible configurar un FEP para hacer un tÃºnel a todos los clientes de marcaciÃ³n hacia un servidor especÃ-fico del tÃºnel. De manera alterna, el FEP podrÃ-a hacer tÃºneles individuales de los clientes basados en el nombre o destino del usuario. A diferencia de los tÃºneles por separado creados para cada cliente voluntario, un tÃºnel entre el FEP y servidor puede estar compartido entre varios clientes de marcaciÃ³n. Cuando un segundo cliente marca al servidor de acceso (FEP) a fin de alcanzar un destino no hay necesidad de crear una nueva instancia del tÃºnel entre el FEP y el servidor del tÃºnel. Las VPNs proveen hoy ahorros de un 50 a un 75 por ciento en los costos de comunicaciones, y permiten mantener la arquitectura de las redes flexible para adaptarse a los nuevos mecanismos de negocio de las empresas. Estudios de mercado asignan a las VPNs oportunidades de negocio por U$S 1.1 mil millones a nivel mundial para el aÃ±o 2001, con un crecimiento anual del 72 por ciento. Esto lo vemos reflejado en nuestro mercado local, dado que los principales vendedores comenzaron a ofrecer este tipo de servicio. 16. TIPOS DE REDES VIRTUALES PRIVADAS Las redes privadas virtuales se dividen en 3 categorÃ-as de acuerdo con el servicio de conectividad que brinden: a.. VPN de Acceso Remoto. (Remote Acces VPNs). Provee acceso remoto a la intranet o extranet corporativa a travÃ©s de una infraestructura pÃºblica, conservando las mismas polÃ-ticas, como seguridad y calidad de servicio, que en la red privada. Permite el uso de mÃºltiples tecnologÃ-as como discado, ISDN, xDSL, cable, o IP para la conexiÃ³n segura de usuarios mÃ³viles, telecommuters o sucursales remotas a los recursos corporativos (ver figura1 "VPN de acceso"). CaracterÃ-sticas: • Outsourcing de acceso remoto • llamadas locales o gratuitas (nÂ° 900) • ubicuidad del acceso • InstalaciÃ³n y soporte del PS (Proveedor de servicio) • Acceso Ãºnico al nodo central (elimina la competencia por puertos) • TecnologÃ-as de acceso RTC, ISDN, xDSL • Movilidad IP • Seguridad reforzada por el cliente − AAA en el ISP proporciona 1Â° y posiblemente 2Â° nivel de seguridad. b. VPN de Intranet. Vincula la oficina remota o sucursal a la red corporativa, a travÃ©s de una red pÃºblica, mediante enlace dedicado al proveedor de servicio. La VPN goza de las mismas cualidades que la red privada: seguridad, 19

calidad de servicio y disponibilidad, entre otras (ver figura 2. "Intranet VPN"). CaracterÃ-stica: • Extiende el modelo IP a travÃ©s de la WAN compartida. c. VPN de Extranet. Permite la conexiÃ³n de clientes, proveedores, distribuidores o demÃ¡s comunidades de interÃ©s a la intranet corporativa a travÃ©s de una red pÃºblica (ver figura "Extranet VPN"). CaracterÃ-sticas: • Extiende la conectividad a proveedores y clientes • sobre una infraestructura compartida • usando conexiones virtuales dedicadas • Los pharters tienen diferentes niveles de autorizaciÃ³n • accses control lists, firewalls, filtros, segÃºn decida la empresa 17. TECNOLOGÃA DE LAS REDES PRIVADAS VIRTUALES La arquitectura de las VPNs se debe basar en elementos esenciales de la tecnologÃ-a para proteger la privacidad, mantener la calidad y confibilidad, y asegurar la operatoria de la red en toda la empresa. Estos elementos son: a. Seguridad: uso de tÃºneles, encripciÃ³n de datos, autenticaciÃ³n de usuarios y paquetes, control de acceso. b. Calidad de Servicio: uso de colas, manejo de congestiÃ³n de red, priorizaciÃ³n de trÃ¡fico, clasificaciÃ³n de paquetes. c. GestiÃ³n: implementaciÃ³n y mantenimiento de las polÃ-ticas de seguridad y calidad de servicio a lo largo de la VPN. 18. Seguridad en las VPNs Un punto fundamental es el particionamiento de las redes pÃºblicas o de uso compartido para implementar las VPN que son disjuntas. Esto se logra mediante el uso de tÃºneles que no son ni mÃ¡s ni menos que tÃ©cnicas de encapsulado del trÃ¡fico. Las tÃ©cnicas que se utilizan son: GRE, que permite que cualquier protocolo sea transportado entre dos puntos de la red encapsulado en otro protocolo, tÃ-picamente IP; L2TP que permite el armado de tÃºneles para las sesiones PPP remotas, y por Ãºltimo IPSec para la generaciÃ³n de tÃºneles con autenticaciÃ³n y encriptado de datos. La calidad de servicio permite la asignaciÃ³n eficiente de los recursos de la red pÃºblica a las distintas VPNs para que obtengan una performance predecible. A su vez, las VPNs asignarÃ¡n distintas polÃ-ticas de calidad de servicio a sus usuarios, aplicaciones o servicios. Las componentes tecnolÃ³gicas bÃ¡sicas son: a. ClasificaciÃ³n de Paquetes: asignaciÃ³n de prioridades a los paquetes basados en la polÃ-tica corporativa. Se pueden definir hasta siete clases de prioridades utilizando el campo de IP precedence dentro del 20

encabezado del paquete IP. Committed Access Rate (CAR): garantiza un ancho de banda mÃ-nimo para aplicaciones o usuarios basÃ¡ndose en la polÃ-tica corporativa. Weighted Fair Queuing (WFQ): determina la velocidad de salida de los paquetes en base a la prioridad asignada a Ã©stos, mediante el encolado de los paquetes. Weighted Random Early Detection (WRED): complementa las funciones de TCP en la prevenciÃ³n y manejo de la congestiÃ³n de la red, mediante el descarte de paquetes de baja prioridad. Generic Traffic Shaping (GTS): reduce la velocidad de salida de los paquetes con el fin de reducir posibles congestiones de la red que tengan como consecuencia el descarte de paquetes. 19. ImplementaciÃ³n En una primera aproximaciÃ³n, se puede implementar una VPN mediante mecanismos hardware. Ã‰stos se basan normalmente en routers con encriptaciÃ³n, que tienen la ventaja de ser lo mÃ¡s parecido a equipos "plug&play". Su Ãºnica tarea es encriptar y desencriptar las tramas que pasan a travÃ©s de ellos, por lo que tienen buenas prestaciones y no introducen demasiado retardo en la red. Ahora bien, no tienen tanta flexibilidad como los sistemas basados en software. Otra aproximaciÃ³n son sistemas basados en Firewalls. Estos sistemas aprovechan las ventajas del firewall como la restricciÃ³n de acceso a la red o generaciÃ³n de registros de posibles amenazas, y ofrecen ademÃ¡s otros como traducciÃ³n de direcciones o facilidades de autentificaciÃ³n fuerte. Ahora bien, el hecho de insertar el servicio de VPN dentro de un firewall puede afectar en mayor o menor medida al rendimiento del sistema, lo que puede o no ser un problema dependiendo de nuestras necesidades. Si esto se convierte en un problema, algunos fabricantes de firewalls ofrecen procesadores dedicados a encriptaciÃ³n para minimizar el efecto del servicio VPN en el sistema. Por Ãºltimo, los sistemas puramente software son ideales en los casos en los que los dos extremos de la comunicaciÃ³n no pertenecen a la misma organizaciÃ³n, o cuando aun estando dentro de la misma organizaciÃ³n, las tecnologÃ-as de routers y/o firewalls difieren. Esta soluciÃ³n permite mayor flexibilidad en cuanto a la decisiÃ³n de quÃ© trÃ¡fico enviar o no por el tÃºnel seguro, pudiendo decidir por protocolo o por direcciÃ³n, a diferencia de los sistemas hardware, que normalmente sÃ³lo permiten decidir por direcciÃ³n. Puede ser conveniente en situaciones donde la VPN es Ãºtil en algunos casos (consultas a una base de datos) pero irrelevante en otros (navegaciÃ³n normal por la web). TambiÃ©n es Ãºtil en los casos en los que la conexiÃ³n se realiza por lÃ-neas lentas. Ahora bien, no todo son ventajas. Los sistemas software son difÃ-ciles de administrar, ya que requieren estar familiarizados con el sistema operativo cliente, la aplicaciÃ³n VPN y los mecanismos de seguridad adecuados. Y algunos paquetes VPN requieren cambios en las tablas de encaminamiento y los esquemas de traducciÃ³n de direcciones. Sin embargo, las fronteras entre estas tres aproximaciones se van diluyendo conforme pasa el tiempo. Existen fabricantes que proporcionan soluciones basadas en hardware, pero que incluyen clientes software para VPN e incluso caracterÃ-sticas que sÃ³lo se encontraban en los sistemas basados en firewalls. Por otro lado, la introducciÃ³n del protocolo IPSec estÃ¡ facilitando la mezcla de distintos productos VPN. En cuanto a los algoritmos de encriptaciÃ³n, se puede utilizar prÃ¡cticamente cualquiera: desde la encriptaciÃ³n de 40 bits que lleva W9x por defecto a algoritmos mÃ¡s elaborados como triple DES. La autentificaciÃ³n de usuarios se realiza utilizando cualquier tÃ©cnica, desde mÃ©todos software a passwords dinÃ¡micos tanto software como hardware. 20. Tipos de conexiÃ³n VPN

21

Crear una VPN es muy similar a establecer una conexiÃ³n de acceso telefÃ³nico a una red punto a punto. Hay dos tipos de conexiones VPN: la conexiÃ³n de acceso remoto VPN y la conexiÃ³n router to router. a. ConexiÃ³n de Acceso Remoto. Una conexiÃ³n de acceso remoto es realizada por un cliente de acceso remoto, o un usuario de un computador que se conecta a una red privada. El servidor de VPN provee de acceso a los recursos del servidor VPN, o a la red completa a la cual el servidor VPN esta conectado. Los paquetes enviados a travÃ©s de la conexiÃ³n VPN son originados al cliente de acceso remoto. El cliente de acceso remoto (cliente VPN), se autentifica al servidor de acceso remoto (el servidor VPN), y para una mutua autentificaciÃ³n, el servidor se autentifica ante el cliente. b. ConexiÃ³n VPN Router−to−Router Una conexiÃ³n VPN router−to−router Es realizada por un router, y este conecta 2 porciones de una red privada. El servido VPN provee una conexiÃ³n ruteada hacia la red en la cual el servidor VPN esta conectado. En una conexiÃ³n VPN router to router, los paquetes enviados desde cualquier router a travÃ©s de la conexiÃ³n VPN tÃ-pica, no se origina en los routers. El router que realiza la llamada (Cliente VPN), se autentifica ante el router que responde (El servidor VPN), y para una autentificaciÃ³n mutua el router que responde, se autentifica ante el router que realiza la llamada. i. Propiedades de la ConexiÃ³n VPN La conexiÃ³n VPN, tiene las siguientes partes. Encapsulacion AutentificaciÃ³n EncriptaciÃ³n de datos Asignamiento de servidor de nombres y direcciÃ³n. EncapsulaciÃ³n La tecnologÃ-a VPN, provee una vÃ-a de encapsulamiento datos privados con encabezados que permiten a los datos pasar por el trÃ¡fico inter−redes. Autentificacion La autentificaciÃ³n para conexiones VPN, toma dos formats Autentificacion de usuario para que la conexiÃ³n VPN sea establecida, El servidor VPN autentifica al cliente VPN intentando la conexiÃ³n y verificando que el cliente VPN tiene los permisos apropiados. Si se acepta, se usa la autentificaciÃ³n mutua, el cliente VPN tambiÃ©n autentifica al servidor VPN proveyendo una protecciÃ³n ante servidores VPN enmascarados AutentificaciÃ³n e integraciÃ³n de datos, verifica que los datos enviados en la conexiÃ³n VPN, son originados al otro lado de la conexiÃ³n y no han sido modificados en el camino, los datos contienen una suma de comprobaciÃ³n criptogrÃ¡fica basaba en un cÃ³digo conocido solo por el emisor y el receptor.

22

EncriptaciÃ³n de datos Para asegurar la confiabilidad de los datos que son enviados a travÃ©s del transito inter redes compartido o publico, este es encriptado por el emisor, y desencriptado por el receptor. El proceso de encriptaciÃ³n y desencriptaciÃ³n depende de que el emisor y el receptor tengan conocimiento de una llave de encriptaciÃ³n conocida por ambos Los paquetes interceptados a lo largo de la conexiÃ³n VPN en el transito inter red, son ilegibles para quien no conozca la llave de encriptaciÃ³n. La longitud de la llave de encriptaciÃ³n es un parÃ¡metro importante de seguridad. TÃ©cnicas computacionales puedes ser usadas para determinar la llave de encriptaciÃ³n, como estas tÃ©cnicas requieren mayor poder computacional y tiempo de cÃ¡lculos mientras mas larga sea la llave de encriptaciÃ³n, por lo tanto, es muy importante usar una llave lo mas larga posible. AdemÃ¡s mientras mÃ¡s informaciÃ³n es encriptada con la misma llave, es mas facial de descifrar los datos encriptados. Con algunas tÃ©cnicas de encriptaciÃ³n, se le da la opciÃ³n de configurar cuan a menudo las llaves de encriptaciÃ³n son cambiadas durante una conexiÃ³n. Asignamiento servidor de nombres y direcciÃ³n Cuando un servidor VPN es configurado, se crea una interfaz virtual que representa la interfaz en la cual todas las conexiones VPN son hechas. Cuando un cliente VPN establece una conexiÃ³n, una interfaz virtual es creada en el cliente VPN que representa la interfaz conectada al servidor VPN. La interfaz virtual en el cliente de VPN se conecta con la interfaz virtual en el servidor de VPN creando una conexiÃ³n VPN punto a punto. Las interfaces virtuales del cliente VPN y del servidor VPN se deben asignar direcciones IP. La asignaciÃ³n de estas direcciones es hecha por el servidor de VPN. Por defecto, el servidor de VPN obtiene a las direcciones IP para sÃ- mismo y a clientes de VPN usando Dynamic Host Configuration Protocol (DHCP). TambiÃ©n se puede configurar una uniÃ³n estÃ¡tica de las direcciones IP definidas por una identificaciÃ³n de la red IP y una mascara de subred. 21. Conexiones VPN basadas en Internet e Intranet Las conexiones VPN pueden ser utilizados siempre que una conexiÃ³n segura punto a punto necesite conectar otros usuarios o redes. TÃ-picamente las conexiones vpn son basadas en Internet o en Intranet. a. Las conexiones VPN basadas en Internet Usando una conexiÃ³n Internet−basada de VPN, usted puede evitar llamadas larga distancia y 1−800 mientras que se aprovecha de la disponibilidad global del Internet. i. Acceso remoto sobre Internet Antes que un cliente de acceso remoto tenga que hacer una llamada distancia o 1−800 a un corporativo o el servidor del acceso de red (NAS), el cliente puede llamar al ISP local. Usando la conexiÃ³n fÃ-sica establecida a la ISP local, el cliente del acceso remoto inicia una conexiÃ³n de VPN a travÃ©s del Internet al servidor de VPN de la organizaciÃ³n. Cuando se crea la conexiÃ³n de VPN, el cliente del acceso remoto puede tener acceso a los recursos del Intranet privado.

23

fig. ConexiÃ³n VPN, conectando un cliente remoto a una red privada. ii. Conectando redes sobre Internet Cuando las redes estÃ¡n conectadas sobre Internet, router reenvÃ-a los paquetes a otro router a travÃ©s de una conexiÃ³n de VPN. Hacia los routers la VPN funciona como vinculo de capa data link fig. ConexiÃ³n VPN de dos sitios remotos a travÃ©s de Internet. iii. Conectando redes, usando enlaces WAN dedicados Antes que usar un costoso enlace dedicado larga distancia WAN entre las oficinas, los routers de la oficina estÃ¡n conectadas a Internet usando enlaces dedicados locales WAN a una ISP local. Una conexiÃ³n VPN router to router por cualquier router a travÃ©s del Internet. Cuando estÃ¡n conectadas, los router pueden remitir trÃ¡fico dirigido o trafico de protocolo de ruteo hacia otro usando la conexiÃ³n VPN. iv. Conectando redes, usando enlaces WAN acceso telefÃ³nico Antes que tener un router de la sucursal realizando llamadas larga distancia o 1−800 a un corporativo, el router de la sucursal, puede llamar a su isp local. Usando la conexiÃ³n establecida al ISP local, una conexiÃ³n router to router es iniciada por el router de la sucursal al router de la oficina corporativa a travÃ©s de Internet. El router de la sucursal que actÃºa como servidor de VPN se debe conectar con un ISP local usando un enlace WAN dedicado. Es posible tener ambas oficinas conectadas con el Internet usando un enlace WAN de marcado manual. Sin embargo, esto es solamente factible si la ISP soporta el ruteo a los clientes segÃºn requerimientos de llamada, El ISP llama al router del cliente cuando un IP DATAGRAM debe ser entregado al cliente. El ruteo a los clientes segÃºn requerimientos de llamada no es apoyado extensamente por los ISPs. b. Conexiones VPN basadas en Intranet Las Conexiones VPN basadas en Intranet aprovechan la conectividad del IP en un Intranet de la organizaciÃ³n. i. Acceso Remoto sobre Intranet En algunos intranets de una organizaciÃ³n, los datos de un departamento, tales como los del departamento de recursos humanos, es tan delicado que el segmento de la red del departamento este desconectado fÃ-sicamente del resto del Intranet de la organizaciÃ³n. Mientras que esto protege los datos del departamento, 24

crea problemas de accesibilidad hacia la informaciÃ³n para el resto de los usuarios no conectados fÃ-sicamente con el segmento de la red separada. Las conexiones de VPN permiten que el segmento delicado de la red del departamento sea conectado fÃ-sicamente con el Intranet de la organizaciÃ³n pero separado por un servidor VPN. El servidor de VPN no proporciona una conexiÃ³n ruteada directa entre el Intranet corporativo y el segmento de la red separada. Los usuarios en el Intranet corporativo con los permisos apropiados pueden establecer una conexiÃ³n de acceso remoto VPN con el servidor de VPN y pueden acceder a los recursos protegidos de la red delicada del departamento. AdemÃ¡s, toda la comunicaciÃ³n a travÃ©s de la conexiÃ³n de VPN se cifra para confidencialidad de los datos. Para esos usuarios que no tengan permisos de establecer una conexiÃ³n de VPN, el segmento de la red separada esta oculto para ellos.

fig. ConexiÃ³n VPN, permitiendo el acceso remoto a una red segura sobre Intranet ii. Conectando redes sobre un Intranet Se puede tambiÃ©n conectar dos redes sobre un Intranet usando una conexiÃ³n router to router VPN. Este tipo de conexiÃ³n VPN puede ser necesario, por ejemplo, para dos departamentos en lugares separadas, en que los datos son altamente delicados a comunicarse con uno a. Por ejemplo, el departamento de finanzas puede necesitar comunicarse con el departamento de los recursos humanos para intercambiar la informaciÃ³n de la nÃ³mina de pago. El departamento de finanzas y el departamento de los recursos humanos estÃ¡n conectados a una Intranet comÃºn con las computadoras que pueden actuar como clientes de o servidores VPN. Cuando se establece la conexiÃ³n VPN, los usuarios en las computadoras en cualquier red pueden intercambiar datos sensibles a travÃ©s del Intranet corporativo.

fig. ConexiÃ³n VPN conectando dos departamentos sobre Intranet c. ConexiÃ³n combinada VPN Internet e Intranet Una VPN es una herramienta de red que puede proporcionar una conexiÃ³n segura punto a punto cualquier manera usted ve ajuste. Una conexiÃ³n combinada menos comÃºn del Internet y del Intranet VPN, llamada 25

una conexiÃ³n del paso VPN, permite a cliente del acceso remoto conectarse con una Intranet de la compaÃ±Ã-a para tener acceso a los recursos de otra Intranet de una compaÃ±Ã-a usando el Internet. En este panorama con, una conexiÃ³n de acceso remoto VPN pasa por una Intranet y el Internet para tener acceso a una segunda Intranet.

fig. ConexiÃ³n VPN de paso 22. InstalaciÃ³n y configuraciÃ³n del servidor VPN. El equipo servidor VPN se conectarÃ¡ a la Intranet de la empresa a travÃ©s de la tarjeta de red instalada en Ã©l y se instalarÃ¡ el MODEM conectÃ¡ndolo a su puerto serie y Ã©ste a su vez a la Red TelefÃ³nica BÃ¡sica. Se instalarÃ¡ en el equipo servidor el paquete Windows 2000 Server, el cual contiene el software y los protocolos necesarios para establecer conexiones con los clientes de acceso remoto. a. ConfiguraciÃ³n comÃºn del servidor VPN. Para distribuir una soluciÃ³n VPN a la empresa interesada, se realizarÃ¡ un anÃ¡lisis y una toma de decisiones acerca de su diseÃ±o teniendo en cuenta lo siguiente: • ConfiguraciÃ³n de la red. • ConfiguraciÃ³n de las directivas de acceso remoto. • ConfiguraciÃ³n del dominio. • ConfiguraciÃ³n de la seguridad. ConfiguraciÃ³n de la red Los elementos clave de la configuraciÃ³n de la red son: • La intranet de la empresa utiliza las direcciones 192.168.0.1 con la mÃ¡scara de subred 255.255.255.0. El equipo servidor VPN estÃ¡ conectado a Internet las 24 horas a travÃ©s de un ISP con una direcciÃ³n IP fija. • La direcciÃ³n IP fija de Internet, asignada por el proveedor de servicios Internet (ISP) a la empresa, se supondrÃ¡ que serÃ¡ la 207.46.130.1. En Internet se alude a la direcciÃ³n IP mediante el nombre de dominio vpn.francisco.comerciales.com. • El equipo servidor VPN estÃ¡ configurado con una direcciÃ³n IP estÃ¡tica, con el fin de asignar clientes de acceso remoto. La siguiente figura muestra la configuraciÃ³n de red del servidor VPN b. ConfiguraciÃ³n de red del servidor VPN.

26

El equipo servidor VPN se configura de la siguiente manera: • Se instala el hardware en el servidor VPN. Se instalarÃ¡ el adaptador de red utilizado para conectar al segmento de Intranet, y el MODEM utilizado para la conexiÃ³n a Internet siguiendo las instrucciones del fabricante de ambos adaptadores. Cuando los controladores estÃ©n instalados y en funcionamiento, ambos adaptadores aparecerÃ¡n como conexiones de Ã¡rea local en la carpeta Conexiones de red y de acceso telefÃ³nico. • ConfiguraciÃ³n TCP/IP en los adaptadores LAN y WAN. Para el adaptador de red de Ã¡rea local se configura la direcciÃ³n IP 192.168.0.1 con la mÃ¡scara de subred 255.255.255.0. Para el MODEM se configura la direcciÃ³n IP 207.46.130.1 con la mÃ¡scara de subred 255.255.255.255. Para ninguno de los dos elementos se configurarÃ¡ una puerta de enlace, o gateway, predeterminada. TambiÃ©n se configurarÃ¡n las direcciones de servidor DNS y WINS. • InstalaciÃ³n del Servicio de enrutamiento y acceso remoto. Se ejecutarÃ¡ el Asistente para la instalaciÃ³n del servidor de enrutamiento y acceso remoto. En el asistente, se seleccionarÃ¡ la opciÃ³n Servidor configurado manualmente. Para obtener mÃ¡s informaciÃ³n, consultar el procedimiento "Habilitar el Servicio de enrutamiento y acceso remoto" en el anexo A. Cuando el asistente finalice, se habrÃ¡ configurado un conjunto de direcciones IP estÃ¡ticas con la direcciÃ³n IP inicial 192.168.0.1 y la direcciÃ³n IP final 192.168.0.254. Esto crea un conjunto de direcciones estÃ¡ticas para un mÃ¡ximo de 253 clientes VPN. Para obtener mÃ¡s informaciÃ³n, consulte el procedimiento "Crear un grupo de direcciones IP estÃ¡ticas" en el anexo B. El mÃ©todo predeterminado para autenticar el acceso remoto y las conexiones de marcado a peticiÃ³n consiste en utilizar la autenticaciÃ³n de Windows, que resulta apropiada para esta configuraciÃ³n que contiene Ãºnicamente un servidor VPN. • ConfiguraciÃ³n de rutas estÃ¡ticas en el servidor VPN para llegar a ubicaciones de Internet. Para llegar a ubicaciones de Internet, se establecerÃ¡ una ruta estÃ¡tica con la siguiente configuraciÃ³n: ♦ Interfaz: el MODEM conectado a Internet ♦ Destino: 0.0.0.0 ♦ MÃ¡scara de red: 0.0.0.0 ♦ Puerta de enlace: 0.0.0.0 ♦ MÃ©trica: 1 Esta ruta estÃ¡tica resume todos los destinos en Internet. Permite que el servidor VPN responda a un cliente de acceso remoto o a una conexiÃ³n VPN de enrutador de marcado a peticiÃ³n desde cualquier parte en Internet. • Aumentar el nÃºmero de puertos PPTP y L2TP. De forma predeterminada, Ãºnicamente cinco puertos L2TP y otros cinco PPTP estÃ¡n habilitados para 27

conexiones VPN. El nÃºmero de puertos L2TP y PPTP aumenta hasta 253. Para obtener mÃ¡s informaciÃ³n, consultar el procedimiento "Agregar puertos PPTP o L2TP" en el anexo C. • ConfiguraciÃ³n de filtros de paquetes PPTP y L2TP sobre IPSec. Tanto PPTP como L2TP sobre filtros de paquetes IPSec se configurarÃ¡n en el MODEM conectado a Internet. Para evitar que el servidor VPN envÃ-e o reciba trÃ¡fico en su interfaz de Internet, excepto el trÃ¡fico PPTP o L2TP sobre IPSec proveniente de clientes de acceso remoto, se configurarÃ¡n PPTP y L2TP sobre filtros de entrada y salida IPSec en la interfaz de Internet. Debido a que el enrutamiento IP estÃ¡ habilitado en la interfaz de Internet, si no se configura L2TP sobre filtros IPSec y PPTP en la interfaz de Internet del servidor VPN, todo el trÃ¡fico recibido en esta interfaz se enrutarÃ¡ y es posible que se reenvÃ-e trÃ¡fico no deseado a la intranet. Para obtener mÃ¡s informaciÃ³n, consultar los procedimientos "Agregar filtros de paquetes PPTP" y "Agregar filtros de paquetes L2TP" en el anexo D. • Establecimiento del nÃºmero de telÃ©fono para los dispositivos PPTP y L2TP. Para ayudar en la configuraciÃ³n de directivas de acceso remoto que limiten las conexiones VPN provenientes de usuarios de Internet, las propiedades de puerto para los dispositivos minipuerto WAN (PPTP) y minipuerto WAN (L2TP) se modificarÃ¡n con la direcciÃ³n IP de la interfaz de Internet del servidor VPN en el campo NÃºmero de telÃ©fono para este dispositivo. Para obtener mÃ¡s informaciÃ³n, consulte el procedimiento "Configurar un nÃºmero de telÃ©fono en un dispositivo" en el anexo E. c. ConfiguraciÃ³n del dominio Para aprovechar la capacidad para aplicar las diferentes configuraciones de conexiÃ³n a distintos tipos de conexiones VPN se crearÃ¡ el siguiente grupo de Windows 2000: • VPN_Usuarios (VPN_Users) Se usa para las conexiones VPN de acceso remoto d. ConfiguraciÃ³n de la seguridad Para habilitar las conexiones L2TP sobre IPSec, el dominio de la empresa se configura para inscribir automÃ¡ticamente certificados de equipo para todos los miembros del dominio. Para obtener mÃ¡s informaciÃ³n, consulte el procedimiento "Configurar la asignaciÃ³n automÃ¡tica de certificados" en el anexo F. El acceso remoto para empleados de la empresa se distribuirÃ¡ por Internet mediante las conexiones VPN de acceso remoto en funciÃ³n de la configuraciÃ³n establecida en la secciÃ³n "ConfiguraciÃ³n comÃºn del servidor VPN" de este documento y en la configuraciÃ³n adicional siguiente. La siguiente figura muestra el servidor VPN que proporciona conexiones VPN de acceso remoto.

28

e. El servidor VPN que proporciona conexiones VPN de acceso remoto ConfiguraciÃ³n del dominio Para cada empleado con acceso a la red privada virtual: • El permiso de acceso remoto en las propiedades de acceso telefÃ³nico de la cuenta del usuario se establecerÃ¡ a Controlar acceso a travÃ©s de la directiva de acceso remoto. • La cuenta de usuario se agregarÃ¡ al grupo VPN_Usuarios de Windows 2000. f. ConfiguraciÃ³n de la directiva de acceso remoto Para definir los parÃ¡metros de autenticaciÃ³n y de cifrado para los clientes VPN de acceso remoto se crearÃ¡ la siguiente directiva de acceso remoto: • Nombre de directiva: clientes VPN de acceso remoto Condiciones: • Puerto−NAS se establecerÃ¡ a Virtual (VPN). • Grupos−Windows se establecerÃ¡ a VPN_Usuarios. • Id−estaciÃ³n−llamada se establecerÃ¡ a 207.46.130.1. • El permiso se establecerÃ¡ a Conceder permiso de acceso remoto. ConfiguraciÃ³n del perfil: • Ficha AutenticaciÃ³n: se seleccionarÃ¡ Protocolo de autenticaciÃ³n extensible para usar el certificado de equipo instalado. TambiÃ©n se seleccionarÃ¡n AutenticaciÃ³n cifrada de Microsoft versiÃ³n 2 (MS−CHAP v2) y AutenticaciÃ³n cifrada de Microsoft (MS−CHAP). • Ficha Cifrado: BÃ¡sica y Fuerte son las Ãºnicas opciones seleccionadas. Nota.− La condiciÃ³n Id−estaciÃ³n−llamada se establecerÃ¡ como la direcciÃ³n IP de la interfaz de Internet para el servidor VPN. Ãšnicamente se permitirÃ¡n los tÃºneles iniciados desde Internet. No se permiten los tÃºneles iniciados desde la Intranet. Aquellos usuarios de la empresa que necesiten tener acceso a Internet desde la intranet deben pasar por el servidor proxy donde se controla y supervisa el acceso a Internet.

29

2.5.2. InstalaciÃ³n y configuraciÃ³n de los clientes de acceso remoto. En cada ordenador portÃ¡til se instalarÃ¡ el paquete Windows 2000. Se instalarÃ¡ tambiÃ©n el software incluido con el cable de datos del telÃ©fono mÃ³vil que se observa en la siguiente figura:

TelÃ©fono mÃ³vil conectado a la tarjeta PCMCIA a travÃ©s del cable de datos El cable se conectarÃ¡ a la tarjeta PCMCIA insertada en el PC. portÃ¡til y a la salida de datos del mÃ³vil. El terminal (telÃ©fono) debe encenderse despuÃ©s de haber sido conectado a la tarjeta PCMCIA, con lo que se producirÃ¡n dos breves pitidos seÃ±alando que todo es correcto. g. ConfiguraciÃ³n de clientes de acceso remoto basada en L2TP El equipo de acceso remoto iniciarÃ¡ una sesiÃ³n en el dominio de la empresa mediante una conexiÃ³n de red de Ã¡rea local (LAN) con la intranet de esta organizaciÃ³n y recibirÃ¡ un certificado por la inscripciÃ³n automÃ¡tica. A continuaciÃ³n, el Asistente para realizar conexiÃ³n nueva se usarÃ¡ para crear una conexiÃ³n VPN con la siguiente configuraciÃ³n: • Nombre de host o direcciÃ³n IP: vpn.francisco.comerciales.com La configuraciÃ³n de la conexiÃ³n VPN se modificarÃ¡ de la siguiente manera: • En la ficha Funciones de red, el Tipo de servidor de acceso telefÃ³nico al que estoy llamando se establecerÃ¡ a Protocolo de tÃºnel de capa 2 (L2TP). Cuando Tipo de servidor de acceso telefÃ³nico al que estoy llamando se establece a AutomÃ¡tico, se probarÃ¡ primero con una asociaciÃ³n de seguridad IPSec (SA) para una conexiÃ³n L2TP. Si la asociaciÃ³n de seguridad IPSec no se efectÃºa correctamente, se intentarÃ¡ una conexiÃ³n PPTP. 23. Equipos para Redes privadas virtuales VPN gateway: Dispositivos con un software y hardware especial para proveer capacidad a la VPN.Varias funciones son optimizadas sobre varios componentes de software y hardware. Algunos ejemplos de esto tenemos Alcatel 7130,Altiga C10, VPN−1 Gateway, Lucent VPN Gateway, Intel Shiva Lan Rover VPN Gateway Plus, TimeStep Permit/Gate 4620 y VPNet VPNware VSU−1010, las cuales incluyen el software y hardware necesario para realizar y administra VPN.

30

Acatel 7130 Gateways de VPN SÃ³lo Software: El software estÃ¡ sobre una plataforma PC o Workstation, el software desempeÃ±a todas las funciones de la VPN. Algunos ejemplos de esto el Sistema Operativo Windows 9x, ME, NT, 2000 y XP Basado en Firewall: Funciones adicionales son agregadas al firewall para habilitar capacidades de VPN. Algunos ejemplos de esto son los modelos PIX de Cisco como 506, 515, 525 y 535.

Cisco 535 Secure PIX Firewall 535 Basado en Router: Funciones adicionales son agregadas al router para habilitar capacidades de VPN, las cuales se encuentran en el IOS de los router de Cisco como los modelos 804, 806, 827, 905, 1710, 1720, 1750, 2611, 2621, 2651, 3620, 3640, 3660, 7120, 7140 y 7200.

31

router cisco serie 7200 Aunque los router son mejores que los concentradores, existen algunos capaces de realizar VPN como los modelos 3005, 3015, 3030, 3060 y 3080.

Concentrador Cisco serie 3000 24. Protocolos de VPN Han sido implementados varios protocolos de red para el uso de las VPN. Estos protocolos intentan cerrar todos los hoyos de seguridad inherentes en VPN. Estos protocolos continÃºan compitiendo por la aceptaciÃ³n, ya que ninguno de ellos ha sido mÃ¡s admitido que otro. Estos protocolos son los siguientes: a. Point−to−Point Tunneling Protocol (PPTP): PPTP es una especificaciÃ³n de protocolo desarrollada por varias compaÃ±Ã-as. Normalmente, se asocia PPTP con Microsoft, ya que Windows incluye soporte para este protocolo. Los primeros inicios de PPTP para Windows contenÃ-an caracterÃ-sticas de seguridad 32

demasiado dÃ©biles para usos serios. Por eso, Microsoft continÃºa mejorando el soporte PPTP. La mejor caracterÃ-stica de PPTP radica en su habilidad para soportar protocolos no IP. Sin embargo, el principal inconveniente de PPTP es su fallo a elegir una Ãºnica encriptaciÃ³n y autentificaciÃ³n estÃ¡ndar: dos productos que acceden con la especificaciÃ³n PPTP pueden llegar a ser completamente incompatibles simplemente porque la encriptaciÃ³n de los datos sea diferente. En el escenario tÃ-pico de PPTP, el cliente establecerÃ¡ una conexiÃ³n dial−up con el servidor de acceso a red (NAS) del proveedor del servicio, empleando para ello el protocolo PPP. Una vez conectado, el cliente establecerÃ¡ una segunda conexiÃ³n con el servidor PPTP el cual estarÃ¡ situado en la red privada. Dicho servidor serÃ¡ utilizado como intermediario de la conexiÃ³n, recibiendo los datos del cliente externo y transmitiÃ©ndolos al correspondiente destino en la red privada. PPTP encapsula los paquetes PPP en datagramas IP. Una vez que los datagramas llegan al servidor PPTP, son desensamblados con el fin de obtener el paquete PPP y desencriptados de acuerdo al protocolo de red transmitido. Por el momento, PPTP Ãºnicamente soporta los protocolos de red IP, IPX, y NetBEUI. El protocolo PPTP especifica ademÃ¡s una serie de mensajes de control con el fin de establecer, mantener y destruir el tÃºnel PPTP. Estos mensajes son transmitidos en paquetes de control en el interior de segmentos TCP. De este modo, los paquetes de control almacenan la cabecera IP, la cabecera TCP, el mensaje de control PPTP y los trailers apropiados. La autenticaciÃ³n PPTP estÃ¡ basada en el sistema de acceso de Windows NT, en el cual todos los clientes deben proporcionar un par login/password. La autenticaciÃ³n remota de clientes PPTP es realizada empleando los mismos mÃ©todos de autenticaciÃ³n utilizados por cualquier otro tipo de servidor de acceso remoto (RAS). En el caso de Microsoft, la autenticaciÃ³n utilizada para el acceso a los RAS soporta los protocolos CHAP, MS−CHAP, y PAP. Los accesos a los recursos NTFS o a cualquier otro tipo, precisa de los permisos adecuados, para lo cual resulta recomendable utilizar el sistema de ficheros NTFS para los recursos de ficheros a los que deben acceder los clientes PPTP. En cuanto a la encriptaciÃ³n de datos, PPTP utiliza el proceso de encriptaciÃ³n de secreto compartido en el cual sÃ³lo los extremos de la conexiÃ³n comparten la clave. Dicha clave es generada empleando el estÃ¡ndar RSA RC−4 a partir del password del usuario. La longitud de dicha clave puede ser 128 bits (para usuarios de Estados Unidos y CanadÃ¡) o 40 bits (para el resto de usuarios). b. Layer Two Tunneling Protocol (L2TP): El principal competidor de PPTP en soluciones VPN fue L2F, desarrollado por Cisco. Con el fin de mejorar L2F, se combinaron las mejores caracterÃ-sticas de PPTP y L2F para crear un nuevo estÃ¡ndar llamado L2TP. L2TP existe en el nivel de enlace del modelo OSI. L2TP, al igual que PPTP soporta clientes no IP, pero tambiÃ©n da problemas al definir una encriptaciÃ³n estÃ¡ndar. L2TP encapsula datos de aplicaciÃ³n, datagramas de protocolos Lan e informaciÃ³n de tramas punto a punto dentro de un paquete que, ademÃ¡s contiene una cabecera de entrega, una cabecera IP y una cabecera Generic Routing Encapsulation (GRE). La cabecera de entrega mantiene la informaciÃ³n de tramas necesaria para el medio a travÃ©s del cual se establece el tÃºnel, sea una red Frame Relay o IP. La cabecera IP contiene, entre otros datos importantes, las direcciones IP de fuente y destino. GRE, finalmente, incluye extensiones como, por ejemplo, la de seÃ±alizaciÃ³n de llamada, que aÃ±aden inteligencia de conexiÃ³n. Para formar un tÃºnel, L2TP emplea dos funciones bÃ¡sicas: LAC y LNS. LAC (L2TP Concentrador de acceso) realiza funciones de servidor de lÃ-nea para el cliente, mientras que LNS (L2TP servidor de red), como su nombre indica, actÃºa como servidor de red en el lado del servidor. En un escenario en el cual L2TP resida en el concentrador de accesos de un punto de presencia del operador, 33

la funciÃ³n LAC iniciarÃ¡ un tÃºnel cuando un usuario remoto active una conexiÃ³n PPP con un proveedor de servicios Internet. DespuÃ©s de realizar la autenticaciÃ³n inicial, LAC acepta la llamada, aÃ±ade las diferentes cabeceras comentadas a la carga Ãºtil (payload) de PPP, y establece un tÃºnel hacia el dispositivo de terminaciÃ³n LNS del extremo de la red corporativa. Este dispositivo puede tratarse de un servidor de acceso remoto, un conmutador VPN especializado o un router convencional. Una vez establecido el tÃºnel, un servicio de nombres de seguridad, como ACE/Server de Security Dynamics o el servicio de nombres y seguridad integrado en Windows NT, autentifica las identidades del usuario y del punto final. LNS acepta el tÃºnel y establece una interfaz virtual para el payload PPP. A las tramas entrantes se les elimina la informaciÃ³n de cabecera de L2TP y se las procesa como si fueran tramas PPP normales. Entonces se asigna a la sesiÃ³n un direcciÃ³n IP corporativa local. c. Internet Protocol Security (IPsec): IPsec es en realidad una colecciÃ³n de mÃºltiples protocolos relacionados. Puede ser usado como una soluciÃ³n completa de protocolo VPN o simplemente como un esquema de encriptaciÃ³n para L2TP o PPTP. IPsec existe en el nivel de red en OSI, para extender IP para el propÃ³sito de soportar servicios mÃ¡s seguros basados en Internet. VÃ¡lido tanto para IPv4 como para IPv6, permite definir los protocolos de seguridad, los algoritmos criptogrÃ¡ficos y las claves manejadas entre los sistemas que se comunican. Una de las caracterÃ-sticas mÃ¡s importantes de IPSec es su compatibilidad con las redes IP actuales. IPSec puede dividirse bÃ¡sicamente en IP Security Protocols, mecanismos de gestiÃ³n de claves, mecanismo de creaciÃ³n de asociaciones seguras y algoritmos criptogrÃ¡ficos para autenticaciÃ³n y cifrado. Los primeros son los protocolos de seguridad propiamente dichos que definen la informaciÃ³n que se ha de aÃ±adir a la cabecera de un paquete IP para proporcionar los servicios de seguridad requeridos. Dichos protocolos son AH (Authentication Header) y ESP (Encapsulating Security Payload). La gestiÃ³n de claves puede ser manual o automÃ¡tica. La gestiÃ³n automÃ¡tica de claves se realiza mediante IKE (Internal Key Exchange). Los mecanismos criptogrÃ¡ficos que emplea IPSec son intercambio de claves basado en el algoritmo Diffie−Hellman, criptografÃ-a de clave pÃºblico, algoritmos simÃ©tricos de cifrado de datos (como DES, IDEA...), algoritmos hash con clave (HMAC, por ejemplo), junto con otros mÃ¡s tradicionales (como MD5 y SHA), para proporcionar autenticaciÃ³n de paquetes, y manejo de certificados digitales. IPSec combina estos mecanismos criptogrÃ¡ficos para ofrecer confidencialidad, integridad y autenticidad a los datagramas IP. Es importante hacer notar que IPSec no define los algoritmos especÃ-ficos a utilizar, sino que proporciona un mecanismo para que las entidades negocien aquellos que emplearÃ¡n en su comunicaciÃ³n. Por otro lado, segÃºn recoge el estÃ¡ndar, todas las implementaciones de IPSec deberÃ¡n soportar un conjunto mÃ-nimo de algoritmos que garantice la interoperatividad entre fabricantes. Paquetes IPSec IPSec define un nuevo conjunto de cabeceras que se aÃ±aden al datagrama IP. Esas nuevas cabeceras se colocan despuÃ©s de la cabecera IP y antes de la de nivel de transporte. Existen dos tipos de cabeceras: • Authencation Header (AH): cuando es aÃ±adida asegura la integridad y la autenticidad de los datos que transporta el datagrama IP y de los campos invariables de la propia cabecera IP. AH no proporciona confidencialidad. • Encapsulating Security Protocol (ESP): esta cabecera, cuando se aÃ±ade al datagrama IP, proporciona confidencialidad, integridad y autenticidad de los datos transmitidos. 34

• IPSec propociona dos modos de operaciÃ³n: ♦ Modo transporte: en este modo la cabecera IP del paquete original no se modifica. Este modo es utilizado entre dispositivos finales de una comunicaciÃ³n que cumplen el estÃ¡ndar IPSec. ♦ Modo tÃºnel: en este caso el datagrama IP entero es encapsulado dentro de otro datagrama IP. Este modo permite que un dispositivo actÃºe como proxy IPSec en beneficio de mÃ¡quinas que no soporten el estÃ¡ndar. Los dos sistemas comunicantes deben ponerse de acuerdo en los algoritmos a usar y en la clave de sesiÃ³n que han de compartir. Una vez realizado este proceso se puede decir que se ha creado una asociaciÃ³n segura entre las dos entidades. Durante este proceso se crea un tÃºnel seguro entre los dos sistemas y despuÃ©s se negocia la asociaciÃ³n segura para IPSec. El proceso de crear un tÃºnel seguro consiste en una autenticaciÃ³n mutua y el establecimiento de una clave compartida. Existen diversos mecanismos de autenticaciÃ³n, entre ellos se encuentran: • Pre−shared key: en este caso la misma clave es preinstalada en ambos sistemas. La autenticaciÃ³n se realiza basÃ¡ndose en este secreto compartido. • CriptografÃ-a de clave pÃºblica. • Firma digital d. Microsoft Point−to−Point Encryption (mppe): protocolo que sirve para encriptar los datos de las transmisiones. e. mschap: tanto la versiÃ³n 1 como la nÃºmero 2, que sirve para establecer la conexiÃ³n segura y el intercambio de las claves. En la versiÃ³n 1 se descubriÃ³ una vulnerabilidad, que todavÃ-a no ha sido confirmada, que le obligÃ³ a evolucionar hasta la versiÃ³n 2 (actual). f. IPIP: protocolo de encapsulamiento de IP sobre tramas IP. Este protocolo, que puede parecer poco Ãºtil, nos sirve para hacer el tunneling que se marca como uno de los requisitos de VPN. g. IP−GRE: protocolo de encapsulamiento de otros protocolos sobre IP. En un principio el trÃ¡fico que puede encapsular IP−GRE serÃ-a cualquiera. Es Ãºtil en el sentido de que podemos tener redes de otro tipo ademÃ¡s de IP (como por ejemplo IPX) y funcionar con una VPN de igual manera. MÃ¡s adelante se verÃ¡ como IPSec sirve para este mismo fin (a la vez que proporciona otros muchos servicios). h. SOCKS Networks Security Protocol: El sistema SOCKS proporciona otra alternativa a los protocolos de VPN. SOCKS se aloja en el nivel de sesiÃ³n de OSI. Como SOCKS trabaja en un nivel OSI mÃ¡s alto que los protocolos anteriores, permite a los administradores limitar el trÃ¡fico VPN. 25. VPN DinÃ¡micas Conceptos de las VPN DinÃ¡micas Internet no fue diseÃ±ada, originalmente, para el Ã¡mbito de los negocios. Carece de la tecnologÃ-a necesaria para la seguridad en las transacciones y comunicaciones que se producen en los negocios. Entonces, Â¿CÃ³mo establecer y mantener la confianza en un entorno el cual fue diseÃ±ado desde el comienzo para permitir un acceso libre a la informaciÃ³n?, es decir, Â¿CÃ³mo conseguir seguridad en una intranet sin chocar con los principios bÃ¡sicos de Internet sobre la flexibilidad, interoperatibilidad y facilidad de uso? La respuesta apropiada se encuentra en la utilizaciÃ³n de VPNs DinÃ¡micas. A diferencia de una VPN tradicional, una VPN DinÃ¡mica proporciona, ademÃ¡s de un alto nivel de seguridad a ambos extremos, una flexibilidad necesaria para acoplarse dinÃ¡micamente a la informaciÃ³n que necesitan los distintos grupos de usuarios. Las VPNs DinÃ¡micas pueden ofrecer esta flexibilidad ya que estÃ¡n basadas en una Ãºnica 35

arquitectura. AdemÃ¡s, una VPN DinÃ¡mica proporciona mÃ¡s recursos y servicios a una Intranet, para hacer mayor uso de los recursos de la informaciÃ³n. Alguna de las caracterÃ-sticas que se proporciona son las siguientes: Proporciona una seguridad importante para la empresa. Se ajusta dinÃ¡micamente al colectivo dispar de usuarios. Permite la posibilidad de intercambio de informaciÃ³n en diversos formatos. El ajuste que hace para cada usuario lo consigue gracias a los diferentes navegadores, aplicaciones, sistemas operativos, etc... Permite a los usuarios unirse a distintos grupos, asÃ- como a los administradores asignar identidades en un entorno simple pero controlado. Mantiene la integridad total, independientemente del volumen administrativo, cambios en la tecnologÃ-a o complejidad del sistema de informaciÃ³n corporativo. Funcionamiento de las VPN DinÃ¡micas Las VPNs DinÃ¡micas constan de una plataforma de seguridad de red y un conjunto de aplicaciones para usar en la plataforma de seguridad.

Siguiendo los pasos ilustrados en la figura, un usuario realiza una peticiÃ³n de informaciÃ³n a un servidor, por ejemplo, pulsando con su ratÃ³n en un hipervÃ-nculo. Los pasos seguidos se pueden describir en los siguientes puntos: 36

Un usuario solicita informaciÃ³n usando una aplicaciÃ³n tal como un navegador de Internet, desde un ordenador de sobremesa: El intercambio de informaciÃ³n comienza cuando un usuario envÃ-a informaciÃ³n a otro usuario o solicita informaciÃ³n al servidor. En el supuesto de que un usuario haya accedido a un hipervÃ-nculo desde dentro de algÃºn documento Web, dicho hipervÃ-nculo serÃ¡ seguro y solamente podrÃ¡ ser accedido por usuarios autorizados. La aplicaciÃ³n envÃ-a y asegura el mensaje: Cuando un cliente y un servidor detectan que se necesita seguridad para transmitir la peticiÃ³n y para ver el nuevo documento, ellos se interconectan en un mutuo protocolo de autentificaciÃ³n. Este paso verifica la identidad de ambas partes antes de llevar a cabo cualquier acciÃ³n. Una vez que se produce la autentificaciÃ³n se asegura el mensaje encriptÃ¡ndolo. Adicionalmente, se puede atribuir un certificado o firma electrÃ³nica al usuario. El mensaje se transmite a travÃ©s de Internet: Para que la peticiÃ³n alcance el servidor debe dejar la LAN y viajar a travÃ©s de Internet, lo cual le permitirÃ¡ alcanzar el servidor en algÃºn punto de la misma. Durante este viaje, puede darse el caso de que atraviese uno o mÃ¡s firewalls antes de alcanzar su objetivo. Una vez atravesado el firewall, la peticiÃ³n circula a lo largo del pasillo Internet hasta alcanzar el destino. El mensaje recibido debe pasar controles de seguridad: El mensaje se transfiere al servidor. El servidor conoce la identidad del usuario cliente cuando recibe la peticiÃ³n. Durante la peticiÃ³n, se verifican los derechos de acceso de los usuarios: En una VPN dinÃ¡mica, el sistema debe poder restringir que usuarios pueden y no pueden acceder a la misma. El servidor debe determinar si el usuario tiene derechos para realizar la peticiÃ³n de informaciÃ³n. Esto lo hace usando mecanismos de control, alojados en el Servidor de Control de Acceso. De este modo, incluso si un usuario presenta un certificado vÃ¡lido, puede ser que se le deniegue el acceso basÃ¡ndose en otros criterios. La peticiÃ³n de informaciÃ³n es devuelta por Internet, previamente asegurada: El servidor de informaciÃ³n encripta la informaciÃ³n y opcionalmente la certifica. Las claves establecidas durante los pasos de autentificaciÃ³n mutua se usan para encriptar y desencriptar el mensaje. De esta forma, un usuario tiene su documento asegurado. 26. VENTAJAS E INCONVENIENTES DE LA VPN La principal ventaja de usar una VPN es que permite disfrutar de una conexiÃ³n a red con todas las caracterÃ-sticas de la red privada a la que se quiere acceder. El cliente VPN adquiere totalmente la condiciÃ³n de miembro de esa red, con lo cual se le aplican todas las directivas de seguridad y permisos de un ordenador en esa red privada, pudiendo acceder a la informaciÃ³n publicada para esa red privada: bases de datos, documentos internos, etc. a travÃ©s de un acceso pÃºblico. Al mismo tiempo, todas las conexiones de acceso a Internet desde el ordenador cliente VPN se realizaran usando los recursos y conexiones que tenga la red privada. Dentro de las ventajas mÃ¡s significativas podremos mencionar la integridad, confidencialidad y seguridad de los datos. • ReducciÃ³n de costos. • Sencilla de usar. • Sencilla instalaciÃ³n del cliente en cualquier PC Windows. • Control de Acceso basado en polÃ-ticas de la organizaciÃ³n • Herramientas de diagnostico remoto. • Los algoritmos de compresiÃ³n optimizan el trÃ¡fico del cliente. • Evita el alto costo de las actualizaciones y mantenimiento a las PCÂ´s remotas.

37

Entre los inconvenientes podemos citar: una mayor carga en el cliente VPN puesto que debe realizar la tarea adicional de encapsular los paquetes de datos una vez mÃ¡s, situaciÃ³n que se agrava cuando ademÃ¡s se realiza encriptaciÃ³n de los datos que produce una mayor ralentizaciÃ³n de la mayorÃ-a de conexiones. TambiÃ©n se produce una mayor complejidad en el trÃ¡fico de datos que puede producir efectos no deseados al cambiar la numeraciÃ³n asignada al cliente VPN y que puede requerir cambios en las configuraciones de aplicaciones o programas (proxy, servidor de correo, permisos basados en nombre o nÃºmero IP). VPN puede provocar una sobrecarga en la conexiÃ³n de red debido a la encriptaciÃ³n utilizada. La mayorÃ-a de dispositivos VPN, tanto software como hardware podrÃ¡n manejar encriptaciÃ³n para velocidades de conexiÃ³n 10baseT. Para conexiones mÃ¡s lentas, como los mÃ³dems, el procesamiento puede ser mÃ¡s rÃ¡pido que la latencia de la red. Muchas veces las bajas prestaciones dependen mÃ¡s de la pÃ©rdida de paquetes provocada por una mala conexiÃ³n a Internet que por la sobrecarga debida a la encriptaciÃ³n. Ahorro en costes de comunicaciones. En el caso de usuarios remotos, cuando quieren utilizar los servicios de la compaÃ±Ã-a no necesitan conectarse directamente a los servidores de la compaÃ±Ã-a, sino que se conectan directamente por su conexiÃ³n a Internet. Por otro lado, la compaÃ±Ã-a puede utilizar sus lÃ-neas de conexiÃ³n a Internet para realizar transmisiones de datos, sin necesidad de contratar lÃ-neas privadas adicionales. Ahorro en costes operacionales. Usando VPN para dar acceso a los usuarios, la compaÃ±Ã-a puede deshacerse de los bancos de mÃ³dems y de los servidores para acceso remoto, de manera que ya no habrÃ¡ que administrar esos dispositivos. Entorno de trabajo independiente de tiempo y lugar a un coste reducido. Mediante el uso de una VPN, los trabajadores remotos pueden acceder a los servicios de la compaÃ±Ã-a sin necesidad de realizar llamadas a larga distancia ni utilizando lÃ-neas privadas. Los servicios de la compaÃ±Ã-a estÃ¡n disponibles siempre. Una VPN permite a las compaÃ±Ã-as ofrecer servicios globales. Los trabajadores remotos pueden conectarse a la red interna sin importar dÃ³nde estÃ©n situados fÃ-sicamente. Esto implica que pueden utilizar los servicios de la LAN de la compaÃ±Ã-a, como impresoras o archivos compartidos, sin problemas. Una compaÃ±Ã-a puede ofrecer servicios a sus socios mediante una VPN, ya que la tecnologÃ-a VPN permite accesos controlados y proporciona un canal seguro para compartir informaciÃ³n de negocios. Este tipo de comunicaciones presentan mÃºltiples ventajas y beneficios para los usuarios: Flexibilidad. Se puede optar por mÃºltiples tecnologÃ-as o proveedores de servicio. Esa independencia posibilita que la red se adapte a los requerimientos de los negocios, y se puede elegir el medio de acceso mÃ¡s adecuado. Por ejemplo, si se trata de una pequeÃ±a oficina remota, se puede utilizar acceso discado, ISDN, xDSL o cable mÃ³dem. ImplementaciÃ³n rÃ¡pida. El tiempo de implementaciÃ³n de un "backbone" de WAN para una empresa es muy alto frente a la implementaciÃ³n de una red privada virtual sobre un "backbone" ya existente de un proveedor de servicio. MÃ¡s aÃºn, la flexibilidad de esta arquitectura permite implementar nuevos servicios de manera muy rÃ¡pida, que concuerdan con los tiempos del negocio de la empresa. Escalabilidad. El desarrollo masivo de redes como Internet permite que la empresa tenga puntos de presencia en todo tipo de lugares. Por otro lado, la independencia con respecto a la tecnologÃ-a de acceso posibilita escalar el ancho de banda de la red de acuerdo con el requerimiento del usuario. AdemÃ¡s, la escalabilidad de la red no incide en la operatoria y gestiÃ³n de Ã©sta, dado que la infraestructura de la WAN es responsabilidad del proveedor del servicio. 38

27. Â¿PORQUE ES IMPORTANTE LA SEGURIDAD CUANDO SE IMPLEMENTA UNA VPN? • Solo a las partes autorizadas se les permite el acceso a las aplicaciones y servidores corporativos, ya que se permite que las personas entren y salgan de Internet o de otras redes pÃºblicas y tambiÃ©n se les ofrece acceso a los servidores. • Cualquiera que pase a travÃ©s de flujo de datos cifrados de la VPN no debe estar capacitado para descifrar el mensaje. • Los datos deben permanecer intocables al 100%. • Se debe tener facilidad de administraciÃ³n, la configuraciÃ³n debe ser directa y el mantenimiento y actualizaciÃ³n deben estar asegurados. 28. CONCLUSIONES Se han cumplido sobradamente nuestros tres principales objetivos en cuanto a la interconexiÃ³n de todos los equipos con los usuarios mÃ³viles, la capacidad de los viajantes de tener una libre movilidad lo que facilitarÃ¡ enormemente su trabajo y la protecciÃ³n de los datos que viajan por la red. El uso de este tipo de red nos ha facilitado un menor coste en el presupuesto de equipos, asÃ- como menor complejidad de manejo por parte de los usuarios finales. Por Ãºltimo, el uso del protocolo Ipsec nos proporciona una gran garantÃ-a de privacidad y autenticaciÃ³n de los datos transmitidos. En cuanto a los aspectos negativos, reseÃ±ar que el plazo de ejecuciÃ³n total del proyecto va a depender en parte de la puntualidad en los plazos por parte de los proveedores de materiales y de servicios. Las redes VPN proporcionan principalmente dos ventajas: • Bajo coste de una VPN: Una forma de reducir coste en las VPN es eliminando la necesidad de largas lÃ-neas de coste elevado. Con las VPN, una organizaciÃ³n sÃ³lo necesita una conexiÃ³n relativamente pequeÃ±a al proveedor del servicio. Otra forma de reducir costes es disminuir la carga de telÃ©fono para accesos remotos. Los clientes VPN sÃ³lo necesitan llamar al proveedor del servicio mÃ¡s cercano, que en la mayorÃ-a de los casos serÃ¡ una llamada local. • Escalabilidad de las VPNs: Las redes VPN evitan el problema que existÃ-a en el pasado al aumentar las redes de una determinada compaÃ±Ã-a, gracias a Internet. Internet simplemente deriva en accesos distribuidos geogrÃ¡ficamente. Las redes VPN contraen cuatro inconvenientes: • Las redes VPN requieren un conocimiento en profundidad de la seguridad en las redes pÃºblicas y tomar precauciones en su desarrollo. • Las redes VPN dependen de un Ã¡rea externa a la organizaciÃ³n, Internet en particular, y por lo tanto depende de factores externos al control de la organizaciÃ³n. • Las diferentes tecnologÃ-as de VPN podrÃ-an no trabajar bien juntas. • Las redes VPN necesitan diferentes protocolos que los de IP. Se estima que una soluciÃ³n VPN para una determinada empresa puede reducir sus costes entre un 30% y un 50% comparada con las conexiones punto a punto. Las VPN representan una gran soluciÃ³n para las empresas en cuanto a seguridad, confidencialidad e integridad de los datos y prÃ¡cticamente se ha vuelto un tema importante en las organizaciones, debido a que 39

reduce significativamente el costo de la transferencia de datos de un lugar a otro, el Ãºnico inconveniente que pudieran tener las VPN es que primero se deben establecer correctamente las polÃ-ticas de seguridad y de acceso porque si esto no esta bien definido pueden existir consecuencias serias.

40