pfSense - OpenVPN

 

Introducción

En esta práctica implementaremos un servidor VPN en un entorno controlado, utilizando OpenVPN en pfSense. Este servidor VPN nos permitirá conectarnos de forma segura a la red local (LAN) y administrar un servidor Windows Server 2025 a través del protocolo de escritorio remoto (RDP). Al finalizar, habremos logrado establecer un acceso remoto seguro a la infraestructura de la red, garantizando la confidencialidad y autenticidad de las conexiones.

Para llevar a cabo esta configuración, seguiremos los pasos esenciales de implementación y seguridad, incluyendo la creación de certificados, configuración del servidor OpenVPN, ajuste de reglas de firewall, y pruebas de conectividad. Este escenario es ideal para simular entornos reales de administración remota en una red empresarial.

Pasos a realizar

1. Preparación de certificados:

   • Generaremos los certificados necesarios para establecer conexiones seguras. Esto incluye la creación de una Autoridad Certificadora (CA) y un certificado específico para el servidor OpenVPN.

2. Configuración del servidor OpenVPN:

   • Configuraremos el servidor OpenVPN en pfSense, definiendo parámetros como la dirección IP virtual de los clientes, el método de autenticación y el cifrado de la conexión.

3. Configuración del firewall:

   • Añadiremos reglas específicas en el firewall de pfSense para permitir el tráfico de la VPN hacia la LAN y autorizar conexiones al servidor Windows Server 2025 por RDP.

4. Creación de un usuario:

   • Crearemos un usuario llamado bob con los permisos necesarios para conectarse al servidor VPN.

5. Instalación del cliente OpenVPN:

   • Descargaremos el archivo de configuración para el cliente OpenVPN y lo utilizaremos en la aplicación OpenVPN Connect instalada en nuestro equipo cliente.

6. Pruebas de conexión:

   • Realizaremos pruebas de conexión para verificar que el cliente puede establecer una sesión VPN con éxito y acceder al servidor Windows Server 2025 por RDP.

Objetivos

• Configurar una VPN segura: Aprender a implementar un servidor OpenVPN en pfSense.
• Fortalecer la seguridad: Gestionar certificados y aplicar buenas prácticas para conexiones seguras.
• Configurar reglas de acceso: Definir políticas de acceso en el firewall para habilitar el tráfico necesario.
• Administrar remotamente: Conectar a un servidor Windows mediante RDP a través de la VPN.
• Realizar pruebas: Verificar la funcionalidad y seguridad del acceso remoto.

Con esta práctica desarrollaremos habilidades fundamentales en la gestión de redes seguras, reforzando conocimientos teóricos con experiencia práctica. Al finalizar, comprenderemos cómo implementar y operar una solución VPN que permita conexiones seguras y controladas a una red interna desde ubicaciones remotas.

SERVIDOR VPN

Un servidor VPN (Red Privada Virtual, por sus siglas en inglés: Virtual Private Network) es un sistema que permite establecer conexiones seguras y privadas entre dispositivos a través de una red pública, como Internet. Su función principal es crear un "túnel" cifrado que garantiza la confidencialidad, integridad y autenticidad de los datos transmitidos entre los dispositivos conectados. Esto es especialmente útil para acceder de manera remota y segura a recursos en una red privada, como servidores, impresoras, o aplicaciones corporativas.

¿Cómo funciona un servidor VPN?

El servidor VPN actúa como un intermediario seguro entre el cliente (el dispositivo que se conecta) y la red privada a la que se quiere acceder. Para comprender su funcionamiento, dividámoslo en las etapas principales:

1. Establecimiento de la conexión segura:

   • Cuando un cliente VPN se conecta al servidor VPN, este primero autentica la identidad del cliente. Esto se realiza a través de credenciales como un nombre de usuario y contraseña, certificados digitales o claves precompartidas.
   • Una vez autenticado, el servidor establece un "túnel" cifrado entre el cliente y la red privada. Este túnel asegura que los datos transmitidos no puedan ser interceptados o manipulados por terceros.

2. Cifrado de los datos:

   • Los datos que viajan entre el cliente y el servidor VPN están cifrados, lo que significa que solo el cliente y el servidor pueden descifrarlos. Esto protege la información contra posibles escuchas o accesos no autorizados.

3. Reenvío del tráfico:

   • Una vez establecida la conexión, el servidor VPN reenvía las solicitudes del cliente hacia los recursos de la red privada, como si el cliente estuviera conectado directamente a esa red.
   • Por ejemplo, si un cliente se conecta a un servidor VPN corporativo desde su hogar, podrá acceder a servidores, archivos compartidos o aplicaciones como si estuviera físicamente en la oficina.

Componentes principales de un servidor VPN

1. Hardware/Software del servidor:

   • Puede ser un dispositivo físico dedicado (appliance VPN) o una solución basada en software instalada en sistemas como pfSense, Windows Server, o servidores Linux.

2. Protocolo VPN:

   • Los servidores VPN utilizan protocolos específicos para gestionar la conexión y el cifrado. Algunos de los más comunes son:
     • OpenVPN: Flexible y ampliamente compatible, basado en SSL/TLS.
     • IPsec: Protocolo de seguridad para redes IP.
     • WireGuard: Ligero y de alto rendimiento, conocido por su simplicidad.
     • L2TP: Usualmente combinado con IPsec para mayor seguridad.

3. Cifrado:

   • Los servidores VPN emplean algoritmos de cifrado como AES-256 para proteger los datos durante la transmisión.

4. Método de autenticación:

   • Esto incluye credenciales (usuario/contraseña), certificados digitales, o autenticación multifactor para garantizar que solo usuarios autorizados accedan a la VPN.

Tipos de configuraciones de servidor VPN

1. VPN de acceso remoto:

   • Permite a usuarios individuales conectarse a una red privada desde cualquier lugar. Es comúnmente utilizada para teletrabajo o administración remota.

2. VPN de sitio a sitio:

   • Conecta redes completas entre ubicaciones diferentes, como sucursales de una empresa, permitiendo que los dispositivos de ambas redes se comuniquen de forma segura.

Beneficios de un servidor VPN

• Seguridad:
  • Protege la información frente a amenazas externas gracias al cifrado.
• Privacidad:
  • Oculta la dirección IP del cliente, protegiendo su identidad en redes públicas.
• Acceso remoto:
  • Facilita el trabajo remoto, permitiendo a los empleados conectarse a la red corporativa desde cualquier lugar.
• Conexiones seguras:
  • Permite establecer una red privada a través de una red pública como Internet.
• Facilidad de administración:
  • Centraliza el control de acceso y permite gestionar políticas de seguridad de forma eficiente.

Ejemplo práctico de uso

Imaginemos una empresa con un servidor central donde se almacenan documentos críticos. Un empleado trabaja desde casa y necesita acceso a esos documentos:

1. El empleado se conecta al servidor VPN de la empresa desde su laptop usando OpenVPN.
2. El servidor autentica al empleado y crea un túnel seguro entre su laptop y la red corporativa.
3. El empleado accede al servidor de archivos como si estuviera en la oficina, pero con la tranquilidad de que su conexión es segura y los datos están protegidos.

En resumen, un servidor VPN es una herramienta esencial para garantizar la seguridad, privacidad y flexibilidad en el acceso a redes privadas desde cualquier lugar del mundo.

OPENVPN - PFSENSE

OpenVPN en pfSense es la implementación de un servicio de red privada virtual (VPN) dentro del sistema operativo pfSense, que es una plataforma de firewall y enrutador basada en FreeBSD. OpenVPN es un software de VPN ampliamente utilizado debido a su flexibilidad, seguridad y compatibilidad con diferentes sistemas operativos. Cuando se configura en pfSense, permite a los usuarios establecer conexiones seguras entre dispositivos remotos y redes privadas.

Características principales de OpenVPN en pfSense

1. Seguridad robusta:

   • Utiliza protocolos de cifrado avanzados como TLS y SSL, junto con algoritmos de cifrado como AES-256 para proteger los datos transmitidos.
   • Soporta autenticación mediante certificados digitales, usuario/contraseña o incluso autenticación multifactor.

2. Flexibilidad en la configuración:

   • Permite personalizar opciones como el puerto, protocolo (TCP o UDP), políticas de acceso, y niveles de cifrado.
   • Compatible con redes IPv4 e IPv6.

3. Compatibilidad multiplataforma:

   • Los clientes OpenVPN están disponibles para Windows, macOS, Linux, Android e iOS, facilitando su uso en cualquier dispositivo.

4. Escalabilidad:

   • Puede usarse para conexiones de acceso remoto (usuarios individuales) o para redes completas mediante configuraciones de VPN de sitio a sitio.

5. Integración con pfSense:

   • pfSense ofrece una interfaz gráfica de usuario (GUI) que simplifica la configuración y administración de OpenVPN, incluso para usuarios con poca experiencia en redes.
   • Permite gestionar certificados, reglas de firewall y usuarios desde un único panel.

¿Para qué se utiliza OpenVPN en pfSense?

1. Acceso remoto seguro:

   • Los usuarios pueden conectarse desde ubicaciones remotas para acceder a recursos internos de una red (servidores, aplicaciones, archivos, etc.) de forma segura.

2. Interconexión de redes (sitio a sitio):

   • Permite conectar redes en ubicaciones geográficas diferentes, creando un túnel seguro entre ellas. Por ejemplo, unir la red de una oficina matriz con una sucursal.

3. Trabajo remoto:

   • Muy utilizado por empresas para permitir a los empleados trabajar desde casa mientras acceden a los sistemas internos como si estuvieran en la oficina.

4. Seguridad en redes públicas:

   • Protege la comunicación de usuarios que se conectan desde redes públicas, como Wi-Fi en cafeterías o aeropuertos, evitando posibles ataques.

Ventajas de utilizar OpenVPN en pfSense

• Integración total: pfSense simplifica la instalación y administración de OpenVPN mediante su interfaz gráfica.
• Economía: OpenVPN es de código abierto y gratuito, lo que lo hace accesible para pequeñas empresas y proyectos personales.
• Control centralizado: Puedes gestionar usuarios, certificados, y reglas de acceso desde pfSense.
• Estabilidad y soporte: OpenVPN es ampliamente reconocido y tiene una gran comunidad que ofrece soporte técnico y guías.

¿Cómo funciona OpenVPN en pfSense?

1. Creación de la Autoridad Certificadora (CA):

   • Se genera una CA dentro de pfSense para emitir certificados necesarios para la autenticación de los clientes y el servidor VPN.

2. Configuración del servidor OpenVPN:

   • Configuras un servicio VPN definiendo parámetros como el puerto de escucha, tipo de autenticación, cifrado, y rango de direcciones IP que se asignarán a los clientes.

3. Configuración de reglas de firewall:

   • Es necesario permitir el tráfico entrante al puerto del servidor OpenVPN y el tráfico interno desde los clientes VPN hacia la red local.

4. Creación de usuarios y claves:

   • Se crean cuentas de usuario (con sus respectivos certificados) para autorizar el acceso a la VPN.

5. Distribución del archivo de configuración al cliente:

   • Los usuarios descargan un archivo de configuración generado por pfSense y lo utilizan en el cliente OpenVPN instalado en sus dispositivos.

6. Establecimiento de la conexión:

   • El cliente utiliza el archivo de configuración para conectarse al servidor OpenVPN en pfSense. Una vez autenticado, el cliente accede a la red privada de forma segura.

Ejemplo de uso práctico

Supongamos que una empresa tiene su red interna protegida detrás de un firewall pfSense y desea permitir que sus empleados trabajen desde casa:

1. Configuran un servidor OpenVPN en pfSense.
2. Generan un archivo de configuración para cada empleado con sus respectivas credenciales.
3. Los empleados instalan un cliente OpenVPN en sus laptops y cargan el archivo de configuración.
4. Cuando los empleados se conectan, OpenVPN establece un túnel seguro entre sus laptops y la red interna de la empresa, permitiéndoles trabajar de forma remota como si estuvieran en la oficina.

OpenVPN en pfSense es una solución versátil, segura y de fácil configuración que permite implementar servicios de VPN en una red local o empresarial con un alto nivel de seguridad y confiabilidad.

TUNEL VPN

Un túnel en una VPN es una conexión segura y cifrada que se establece entre un cliente y un servidor a través de una red pública, como Internet. Este "túnel" encapsula los datos enviados entre los dispositivos, protegiéndolos contra interceptaciones o manipulaciones. Desde el punto de vista del usuario, el túnel VPN crea la ilusión de que su dispositivo está conectado directamente a la red privada, a pesar de utilizar una infraestructura pública como Internet.

¿Cómo funciona un túnel VPN?

1. Encapsulación de datos:

   • El túnel VPN encapsula los paquetes de datos originales (que incluyen información como direcciones IP y contenido) dentro de un nuevo paquete.
   • Este nuevo paquete incluye una capa adicional de datos que protege y dirige la información a través del túnel.

2. Cifrado:

   • Los datos encapsulados están cifrados, lo que significa que solo el cliente y el servidor VPN pueden descifrar el contenido.
   • Esto protege la información contra accesos no autorizados durante su transmisión.

3. Transporte a través de la red pública:

   • Los datos viajan desde el cliente al servidor a través de Internet u otra red pública, pero permanecen seguros debido al cifrado y encapsulación.

4. Desencapsulación:

   • Cuando los datos llegan al destino, el túnel los desencapsula y descifra, permitiendo que sean utilizados en la red privada o devueltos al cliente.

Tipos de túneles en VPN

1. Túnel completo (Full Tunnel):

   • Todo el tráfico del cliente pasa a través del túnel VPN, incluidas las solicitudes para acceder a Internet.
   • Ventaja: Mayor seguridad, ya que todo el tráfico está protegido.
   • Desventaja: Puede generar mayor latencia, ya que incluso el tráfico de Internet se enruta a través del servidor VPN.

2. Túnel dividido (Split Tunnel):

   • Solo el tráfico destinado a la red privada se envía a través del túnel VPN, mientras que el resto (como el tráfico de Internet) se dirige normalmente a través de la conexión pública.
   • Ventaja: Menor latencia para el tráfico general.
   • Desventaja: Menor seguridad para el tráfico fuera del túnel.

Protocolos utilizados para crear túneles VPN

1. IPSec (Internet Protocol Security):

   • Se utiliza ampliamente para establecer túneles seguros, especialmente en VPN de sitio a sitio.
   • Proporciona cifrado y autenticación en el nivel de red.

2. OpenVPN:

   • Basado en SSL/TLS, proporciona un túnel seguro y altamente configurable.
   • Soporta múltiples tipos de cifrado y es compatible con diferentes plataformas.

3. L2TP (Layer 2 Tunneling Protocol):

   • Normalmente combinado con IPSec para agregar cifrado.
   • Proporciona un método de túnel seguro en la capa de enlace de datos.

4. WireGuard:

   • Protocolo moderno, más rápido y simple, diseñado para crear túneles seguros con un alto rendimiento.

Ventajas del túnel en una VPN

1. Confidencialidad:

   • Protege los datos mediante cifrado, impidiendo que terceros puedan leer la información en tránsito.

2. Integridad:

   • Garantiza que los datos no sean alterados durante su transmisión.

3. Seguridad:

   • Permite a los usuarios enviar datos sensibles a través de redes públicas sin riesgo de intercepción o manipulación.

4. Acceso remoto:

   • Facilita el acceso a recursos privados desde ubicaciones remotas de manera segura.

5. Anonimato:

   • Oculta la dirección IP del cliente, lo que dificulta el rastreo de su actividad en línea.

Ejemplo práctico

Imaginemos que un empleado trabaja desde una cafetería y necesita acceder a recursos internos de la empresa:

1. Conexión al servidor VPN:

   • El cliente VPN del empleado establece un túnel seguro con el servidor VPN de la empresa.

2. Encapsulación y cifrado:

   • Todo el tráfico generado por el empleado (como solicitudes para acceder a un servidor interno) se encapsula y cifra antes de enviarse a través de Internet.

3. Desencapsulación en el servidor VPN:

   • Al llegar al servidor VPN, los datos son desencapsulados y descifrados. Luego, el servidor los reenvía a los recursos internos de la empresa.

4. Respuesta de la red privada:

   • Las respuestas de la red interna se envían al servidor VPN, que las cifra nuevamente antes de reenviarlas al cliente.

Este proceso garantiza que la información confidencial de la empresa no sea interceptada o expuesta, incluso si el empleado está conectado a una red pública insegura.

Un túnel en una VPN es la pieza clave que permite transmitir datos de manera segura entre el cliente y el servidor, protegiendo la información contra amenazas externas y asegurando la privacidad de las comunicaciones.

La estructura de red empleada para este proyecto es la siguiente.