19.14. Establecimiento de una conexión IPsec

IPsec viene de Internet Protocol Security o Protocolo de Seguridad de Internet. Es una solución de Red Virtual Privada en la cual se establece una conexión encriptada entre dos sistemas (host-a-host) o dos redes (red-a-red).

SugerenciaSugerencia
 

Para más información sobre IPsec, vaya al http://www.ipsec-howto.org/.

19.14.1. Configuración de host-a-host

Una conexión IPsec host-a-host es una conexión encriptada entre dos sistemas, ambos ejecutando IPsec con la misma llave de autenticación. Con la conexión IPsec activa, cualquier tráfico de la red entre los dos hosts es encriptada.

Para configurar una conexión IPsec host-a-host, siga los siguientes pasos para cada host:

  1. Inicie la Herramienta de administración de redes.

  2. Desde la pestaña IPsec, seleccione Nuevo.

  3. Pulse Siguiente para iniciar la configuración de la conexión IPsec host-a-host.

  4. Proporcione un apodo de una sola palabra tal como ipsec0 para la conexión, y seleccione si la conexión se debería activar automáticamente cuando la computadora arranca. Pulse en Siguiente.

  5. Seleccione Encriptación de host-a-host como el tipo de conexión. Pulse en Siguiente.

  6. Seleccione el tipo de encriptación a utilizar: manual o automática.

    Si el tipo seleccionado es manual, más adelante en el proceso se debe proporcionar una llave de encriptación. Si se selecciona el tipo automático, el demonio racoon es utilizado para gestionar la llave de encriptación. Si utiliza racoon, debe tener instalado el paquete ipsec-tools.

    Haga clic en el botón Siguiente para continuar.

  7. Especifique la dirección IP del otro host.

    Si desconoce la dirección IP del otro sistema, ejecute el comando /sbin/ifconfig <dispositivo> en el otro sistema, donde <dispositivo> es el dispositivo Ethernet usado para conectarse al otro host. Si solamente existe una tarjeta Ethernet en el sistema, el nombre del dispositivo es eth0. La dirección IP es el número que sigue la etiqueta inet addr:.

    Haga clic en el botón Siguiente para continuar.

  8. Si seleccionó la encriptación manual en el paso 6, especifique la llave de encriptación a utilizar o pulse en Generar para crear una.

    Indique una llave de autenticación o pulse en Generar para generar una. Puede ser cualquier combinación de números y letras.

    Haga clic en el botón Siguiente para continuar.

  9. Verifique la información en la página Resúmen IPsec — y pulse en Aplicar.

  10. Seleccione Archivo => Guardar para guardar la configuración.

  11. Seleccione la conexión IPsec desde la lista y luego pulse en Activar.

  12. Repita para el próximo host. Es extremadamente importante que se usen las mismas llaves desde el paso 8 en los otros hosts. De lo contrario, IPsec no funcionará.

Después de haber configurado la conexión IPsec, ésta aparece en la lista IPsec como se muestra en la Figura 19-22.

Figura 19-22. Conexión IPsec

Se crean dos archivos en /etc/sysconfig/network-scripts/ifcfg-<apodo> y keys-<apodo>. Si selecciona la encriptación automática, /etc/racoon/racoon.conf se crea también.

Cuando se activa la interfaz, se crean <remote-ip>.conf y psk.txt en /etc/racoon/ y se modifica racoon.conf para incluir <remote-ip>.conf.

Consulte la Sección 19.14.3 para determinar si la conexión IPsec se ha establecido exitósamente.

19.14.2. Conexión de red-a-red (VPN)

Una conexión IPsec red-a-red utiliza dos enrutadores IPsec, uno para cada red, a través del cual se enruta el tráfico de la red para las subredes privadas.

Por ejemplo, como se muestra en la Figura 19-23, si la red privada 192.168.0/24 desea enviar el tráfico de la red a la red privada 192.168.2.0/24, los paquetes pasan a través gateway0, a ipsec0, a través de la Internet, a psec1, a gateway1, y a la subred 192.168.2.0/24.

Los enrutadores IPsec deben tener direcciones IP públicamente direccionables así como también otro dispositivo Ethernet conectado a su red privada. El tráfico solamente viaja a través de este si está dirigido al otro enrutador IPsec con el cual tiene una conexión encriptada.

Figura 19-23. IPsec de red-a-red

Las opciones de configuraciones alternas de la red incluyen un cortafuegos entre cada enrutador IP y la Internet y un cortafuegos de Intranet entre cada enrutador IPsec y puerta de enlace de la subred. El enrutador IPsec y la puerta de enlace para la subred pueden ser un mismo sistema con dos dispositivos Ethernet, uno con una dirección IP pública que actúa como el enrutador IPsec y uno con una dirección IP privada que actúa como la puerta de enlace para la subred privada. Cada enrutador IPsec puede utilizar la puerta de enlace para su red privada o una puerta de enlace pública para enviar los paquetes al otro enrutador IPsec.

Para configurar una conexión IPse de red-a-red, siga los pasos siguientes:

  1. Inicie la Herramienta de administración de redes.

  2. Desde la pestaña IPsec, seleccione Nuevo.

  3. Pulse en Siguiente para comenzar a configurar una conexión IPsec de red-a-red.

  4. Proporcione un apodo de una sola palabra tal como ipsec0 para la conexión, y seleccione si la conexión se debería activar automáticamente cuando la computadora arranca. Pulse en Siguiente.

  5. Seleccione Encriptación de red-a-red (VPN) y haga click en Siguiente.

  6. Seleccione el tipo de encriptación a utilizar: manual o automática.

    Si selecciona el modo manual, debe proporcionar una llave de encriptación más adelante en el proceso. Si selecciona automático, se utilizará el demonio racoon para manejar la llave de encriptación. Si utiliza racoon, debe tener instalado el paquete ipsec-tools. Pulse en Siguiente para continuar.

  7. En la página Red local, introduzca la información siguiente:

    • Dirección de red local — La dirección IP del dispositivo en el enrutador IPsec conectado a la red privada.

    • Máscara de subred local — La máscara de la subred de la dirección IP de red local.

    • Puerta de enlace de red local — La puerta de enlace para la red privada.

    Haga clic en el botón Siguiente para continuar.

    Figura 19-24. Información de la red local

  8. En la página Red remota, ingrese la siguiente información:

    • Dirección IP remota — La dirección IP públicamente direccionable del enrutador IPsec para la otra red privada. En nuestro ejemplo, para ipsec0, ingrese la dirección IP públicamente direccionable de ipsec1, y viceversa.

    • Dirección de red remota — La dirección de red de la subred privada detrás del otro enrutador IPsec. En nuestro ejemplo, ingrese 192.168.1.0 si está configurando ipsec1, e introduzca 192.168.2.0 si está configurando ipsec0.

    • Máscara de la subred remota — La máscara de la subred de la dirección IP remota.

    • Puerta de enlace remota — La dirección IP de la puerta de enlace para la dirección de red remota.

    • Si seleccionó la encriptación manual en el paso 6, especifique la llave de encriptación a utilizar o pulse en Generate para crear una.

      Indique una llave de autenticación o pulse en Generar para generar una. Puede ser cualquier combinación de números y letras.

    Haga clic en el botón Siguiente para continuar.

    Figura 19-25. Información de la red remota

  9. Verifique la información en la página Resúmen IPsec — y pulse en Aplicar.

  10. Seleccione Archivo => Guardar para guardar la configuración.

  11. Seleccione la conexión IPsec desde la lista y luego pulse en Activar.

  12. Como usuario root, en el intérprete de comandos active el reenvio IP:

    1. Modifique /etc/sysctl.conf y configure net.ipv4.ip_forward a 1.

    2. Ejecute el comando siguiente para activar el cambio:

      sysctl -p /etc/sysctl.conf

El script de red para activar la conexión IPsec crea automáticamente rutas de red para enviar paquetes a través del enrutador IPsec si es necesario:

Consulte la Sección 19.14.3 para determinar si la conexión IPsec se ha establecido exitósamente.

19.14.3. Evaluación de la conexión IPsec

Utilice la utilidad tcpdump para visualizar los paquetes de red que están siendo transferidos entre los hosts (o redes) y verificar que sean encriptados a través de IPsec. El paquete debería incluir un encabezado AH y mostrarse como paquetes ESP. ESP significa que está encriptado. Por ejemplo:

17:13:20.617872 pinky.example.com > ijin.example.com: \
	    AH(spi=0x0aaa749f,seq=0x335): ESP(spi=0x0ec0441e,seq=0x335) (DF)

19.14.4. Iniciar y detener la conexión

Si la conexión IPsec no fue configurada para activarse al momento de arranque, iníciela y deténgala como root a través de la línea de comandos:

Para arrancar la conexión, ejecute el comando siguiente como usuario root en cada host para IPsec de host-a-host o en cada enrutador IPsec para IPsec de red-a-red (reemplace <ipsec-nick> con el apodo configurado anteriormente, tal como ipsec0):

/sbin/ifup <ipsec-nick>

Para detener la conexión, ejecute el comando siguiente como usuario root en cada IPsec de host-a-host o en cada enrutador IPsec para IPsec de red-a-red (sustituya <ipsec-nick> con el apodo configurado anteriormente, tal como ipsec0):

/sbin/ifdown <ipsec-nick>