CONFIGURACION VPN SERVER 2003

tener el paquete de instalacion   ISA server 2006



Principalmente debemos tener actualizado nuestro sistema operativo antes de empezar a configurar VPN. (Virtual Private Network)

en nuestra maquina virtual de virtualbox de Oracle agregamos dos tarjetas de red, red interna para una y adaptador puente para la otra.
en red interna se agrega manualmente el direccionamiento a utilizar, en nuestro caso una clase C 192.168.8.0/24

toma de los adaptadores de red , red interna y la red en puente.

debemos descargar un paquete de microsoft Isa Server, lo ejecutamos
inicio de instalación de ISA SERVER 2006.

luego de ejecutar el programa se instala automáticamente

se ingresa los datos del cliente. nombre, serial, organización.

escogemos la instalación típica y siguiente.

se agregan las dos tarjetas que se eligieron al principio. y aceptar.

en las dos anteriores imágenes configuraremos el Pool de cada una de las tarjetas, una tarjeta con red privada 192.168.8.0/24 y mascara y red externa la que nos da conexión  con internet 192.168.50.0/24. esto se requiere para que funcione el VPN y pueda salir a internet los usuarios que hacen parte de este servicio, en otro caso estos no podrían acceder a internet.

damos click en aceptar observando que nuestro Pool de direcciones este bien configuradas

nos pide que la aceptación de clientes cifrados, se deja predeterminado y siguiente.

luego nos advierte de los programas y aplicaciones que tendrá el ISA. siguiente

se inicia la instalación de ISA y la configuración anterior

termina esta instalación y damos click en finalizar chuleamos el recuadro para que inicie inmediatamente.

pagina principal de ISA.

antes de empezar a configurar el ISA Server, debemos crear algunos usuarios y un grupo que en nuestro caso sera clientesvpn. ingreso los usuarios a este grupo.(vpn,natalia,yesenia)

nos ubicamos en redes privadas virtuales(VPN)

elegimos la opcion configurar metodo de asignacion de direcciones. damos click en la pestaña redes de acceso. y chuleamos el cheskbox de todas las redes como muestra la imagen.aplicar.

en la misa ventana elegimos asignacion  de direcciones, y click en agregar, acá se

ingresara un IP diferente a las utilizadas en nuestras tarjetas. en nuestro caso es 192.168.200.0  192.168.200.254 se asigna un Pool. aplicar.

en la misma ventana, damos clic en pestaña autentificaron y damos click en permitir la directiva de ipsec personalizada para la conexión L2TP. y se agrega un password como vemos en la imagen, damos click en aceptar

habilitamos acceso de clientes de VPN en general se habilitan cuantos accesos se van a permitir, en nuestro caso 10.

en pestaña grupos, se agrega el grupo que creamos. aplicar

nos fijamos que quede agregado nuestro grupo, vpn.

en la misma ventana, seleccionamos la pestaña protocolo y habilitamos el PPTP y el L2TP/ipsec.aplicar y aceptar

 

desglosamos el server vpn, y elegimos creativa de firewall
ahora crearemos las directivas de firewall. al lado derecho  encontramos crear regla de acceso. click en crear y colocamos el nombre  de la regla en nuestro caso se llamara permitir cliente Vpn en la red. siguiente

elegimos permitir y siguiente.

acá elegimos la opción , permitir todo el trafico saliente, siguiente.

damos clic en agregar y elegimos el grupo clientesvpn como muestra la imagen, cerramos esa ventana y click en siguiente.

en destino de reglas de acceso, vamos agregar interna (nuestra red interna) cerrar y siguiente.

en conjuntos de usuarios se agrega todos los usuarios, aunque lo podemos encontrar predeterminada

ingresamos al server en configuración. redes, dentro de redes vamos a la pestaña reglas de red y dar click en crear regla de red nueva. colocamos el nombre de la regla, nuestro caso traducción de NAT de externa a interna (este me sirve para que de afuera usuarios que no estén en mi red interna puedan utilizar algún servicio)

acá elegimos que la VPN sera de sitio a sitio. siguiente.

en orígenes de trafico de red , añadimos la red externa, cerrar y siguiente.

nos pide cual va hacer el destino de trafico de red, elegimos la interna. cerramos y siguiente.

relacionan de redes, lo que vamos  hacer es una traducción de direcciones de red NAT
(esto es para que nuestra LAN interna pueda salir a internet)

en la parte superior nos dice aplicar para poder guardar nuestros cambios. ok



AHORA NOS DIRIGIMOS A UNA MAQUINA VIRTUAL XP DONDE CONFIGURAREMOS EL CLIENTE VPN.


click, en panel de control, sitios de red, conexiones de red, y el menú, damos click en crear una conexión nueva, y seguimos el asistente.

en tipo conexión de red , conectarse a la opción. conectarse a la red de trabajo
y siguiente.

conexiones de red; acá seleccionamos, conexiones de red privada virtual, siguiente.

indicamos el nombre de nuestro servidor VPN y siguiente.

acá asignamos la IP que nos permite navegar a internet. es la que se coloca en la tarjeta de red externa. siguiente. y debe  de aparecer el nombre de red privada virtual como nos muestra la siguiente imagen.

 voy a mi servidor, observamos que estén las redes fusionadas en consola con el comando ipconfig, eso lo vemos en adaptador PPP interface de servidor RAS (Dial In)

y luego vamos a nuestro XP y debe estar , esa misma configuración.

con esto damos por concluido una configuración vpn sitio a sitio

GUIA SENCILLA RAPIDA DEL USO SSH EN LINUX

SSH: secure shell (interprete de comandos seguros) es un protocolo de comunicación en red nos permite intercambiar archivos de ordenador a ordenador, es un servicio de acceso remoto.

para que se de la comunicación entre ordenadores se debe contar con un servidor ssh y un cliente ssh.

es parecido a Telnet difiere en que ssh  la informacion viaja codificada con lo cual es mucho mas segura

veamos como instalar ssh en ubuntu.

para acceder a otro pc de la misma red en consola ingreso el comando ssh

ssh tarde@192.168.50.8
ssh:comando inicial
tarde@:sección a la que deseo ingresar
IP: dirección Ip del equipo a ingresar

nos solicita un contraseña de ingreso, la editamos y esperamos a ver la conexión
en esta maquina busco el archivo a copiar en mi sección y utilizamos. el comando scp

scp /tarde@192.168.50.8://home/tarde/Escritorio/plantilla

este comando lo ejecuto desde mi sección sabiendo de antemano la ruta del archivo que deseo copiar.


 por otro lado podemos utlizar el sftp

sftp tarde@192.168.50.8

ingresamos password y nos movemos en los diferentes directorios que existan , observamos el archivo a copiar.

sftp>get (nombre de lo que quiero llevar a mi sección)



 

VPN CONFIGURACION PUNTO A PUNTO PACKET TRACERT

QUE ES VPN: Red Privada Virtual, las organizaciones crean conexiones de red privada a extremo a  extremo sobre redes terceras como extranet e internet. se realiza un tunnel para dicha comunicación.

SOLUCIONES PARA VPN

Dispositivos ASA 5500 ADAPTIVE SECURITY  APPLIANCES
ROUTER SOHO (SMALL OFFICE, HOME OFFICE)
SWITHS Y ROUTERS CON CAPACIDAD VPN

VPN TOPOLOGÍAS

SITIO A SITIO

Extencion de  red WAN. conecta redes completas entre si.

NOTA: probar conectividad entre LAN to LAN a routers


con este ejemplo vamos a generar una VPN para conectar redes de la misma compañía geográficamente distantes. LAN ADM Y OPERATIVA, UNA EN EL POBLADO Y OTRA EN NIQUIA.
Contamos con la función de un router del ISP (proveedor de internet)

LAN ADM: 192.168.10.0/24 ROUTER POBLADO ; IP PUBLICA 208.160.50.0/29


 LAN OPERATIVA: 192.168.8.0/24 ROUTER NIQUIA ; IP PUBLICA 208.160.51.10/29


IP PRIVADA PARA GENERAR EL TUNNEL: 10.8.8.0/30


EMPECEMOS POR CONFIGURAR EL ROUTER CEDE POBLADO.

configuración del tunel primer router cede poblado

configuración segundo router cede Niquia

aun falta decir en los Routers que tomen el tunnel.


Router cede Poblado.

configuramos una ruta por defecto y una ruta donde especificamos que le paquete viaje por el Tunnel.

la primera linea es la ruta por defecto que se crea en configuración global


la segunda linea es la ruta del tunnel, primero colocamos la IP de la LAN remota en este caso IP LAN Operativa mascara, y por ultimo la IP del Tunnel en este caso es la 10.8.8.2 contenida en el Router cede Niquia.



Router cede Niquia.

de igual forma creamos una ruta por defecto y una ruta con el tunnel.


imagen de las IPs del Router ISP. Esta imagen nos muestra las direcciones que utilizamos para las rutas por defecto de las diferentes LANs.

veamos la ruta que toma un paquete de la LAN Administrativa al servidor web de la LAN Operativa

vemos en la imagen un tracert a la 192.168.8.8 en la segunda fila observamos que tomo la ruta de nuestro Tunnel.


NOTA:aun falta configurar la seguridad en ese tunnel, lo haremos en un router con equipos reales, router cisco.



CONFIGURACIÓN VPN REMOTO.

Instalacion de Elaxtis y configuración de redundancia

Implementación PBX Redundante.

Instalamos dos maquinas con Elastix, una cumplirá la función de maestro y la otra maquina el esclavo, lo que esperamos obtener es el traspaso de la configuración de maestro al esclavo por si eventualmente nuestra maquina con función Master deja de funcionar tengamos la configuración guardada y el slave toma el lugar del maestro para que la funcionalidad del PBX provea las soluciones de comunicaciones que requiere la corporación.

teniendo nuestras dos maquinas corriendo instalamos lo siguiente

las dependencias nmap y rsync

yum install namp rsync

luego asignamos las ip correspondientes al maestro y al esclavo. Utilizamos una ip flotante deben pertenecer a la misma red al igual que la flotante.

Esas IPS la modificaremos en el siguiente archivo que descargaremos.

script flip1405.sh nos dirigimos a /usr/bin

wget http://www.razametal.org/asterisk/flip1405.sh

le asignamos permisos de ejecución chmod a+x /usr/bin/flip1405.sh

teniendo nuestro archivo a configurar el maestro modificamos lo siguiente.

 

Master =”1”

MASTERIP=”192.168.50.73” esta dirección es por medio DHCP

SLAVE=”192.168.50.76” dirección por medio DHCP

FLOAT=”192.168.50.248” esta dirección la debo elegir dentro del rango que me permita esta red. La red es 192.168.50.0 con mascara 255.255.255.0 direcciones a utilizar hasta a partir del 2 hasta 253, tener en cuenta que nadie mas le este utilizando.

Y en el esclavo.

  

Master= “NO”

MASTERIP=”192.168.50.73” ip del maestro

SLAVE=”192.168.50.76” ip del escalvo

FLOAT=”192.168.50.248” ip flotante.

Ahora necesitamos generara un key (llave) por medio de ssh para que el acceso entre servidores no requiera contraseña.

En maestro como Root editamos lo siguiente.

ssh-keygen -t rsa
cat ~/.ssh/id_rsa.pub|ssh 192.168.50.76 tee -a ~/.ssh/authorized_keys
ssh 192.168.50.76 ssh-keygen -t rsa
ssh 192.168.50.76 cat ~/.ssh/id_rsa.pub |tee -a ~/.ssh/authorized_keys

(IP del esclavo 192.168.50.76)

 

nos genera algo parecido a lo anterior.

Generadas las llaves sera posible ingresar vía ssh del servidor maestro al esclavo y viceversa.

Ahora con crontab realizado el script en ambos servidores , por minuto el maestro le enviara su configuración al esclavo.

Para exportar u editor

export EDITOR=nano en mi caso utilice nano, cuando escriba crontab -e por defecto me abrira este editor.

crontab -e ( nos permite ejecutar el editor por defecto)

*/1 * * * *  /usr/bin/flip1405.sh > /var/log/flip1405.log 2>&1

luego de crear esl script edito crontab -l para ver que en efecto guardo.

 

Crearemos un archivo de log para ver el comportamiento de nuestro script

touch /var/log/flip1405.log

y por ultimo configuraremos el archivo /etc/asteris/sip_general_custom.conf en nuestro maestro.

 




 

Esto es para que el canal SIP escuche la ip flotante. Ahora la configuración del maestro se estará pasando al esclavo cada minuto.

Para observar que el script se este ejecutando, crearemos una extencion en elastix, nos cercioramos que se encuentre en el maestro y en el esclavo.

Ahora miremos nuestro archivo en consola Elastix.

 

Debemos observar la extencion 500 perteneciente a Fernando Osorio.

Ahora miremos en esclavo y la ext debe de estar en la misma ruta que tenemos arriba.

IPTABLES, FILTRO DE PAQUETES EN LINUX

QUE ES IPTABLES: Sistema de firewall vinculado en el kernel es parte del sistema operativo de linux anteriormente llamado Ipchains. para ponerlo en marcha creamos un script de shell. se ejecuta el comando iptables seguido de reglas. parecido a la creación de ACL se añade, se crea, se borra reglas.

GUIA RAPIDA.

iptables -A : añadir una regla
iptables -D :eliminar
iptables -L :para listar reglas que se están implementando
iptables -C : verifica una regla particular antes de añadirla
iptables -E :renombra una cadena, y no afecta la estructura de la misma
iptables -F . libera una cadena seleccionada
iptables -H :nos arroja un listado de estructura de comandos
iptables -I :inserta una regla en una cadena
iptables -N : crea una nueva cadena
iptables -P : configura politicas por defecto de una cadena
iptables -R :remplazar una regla en una cadena en particular


miremos un pequeño ejemplo. aceptar peticiones al puerto de www:80

iptables -A INPUT -i eth0 -s 0.0.0.0/0 -p TCP --dport www -j ACCEPT

iptable: comando para inicio cadena
-A: añadir la regla
INPUT: el estado del paquete
-i eth0:interfaz por la que se entra (se usa con las reglas INPUT,FORWARD)
-o eth0:interfaz por la que se sale. (se usa para las regla OUTPUT,FORWARD)
-s 0.0.0.0.0/0: dirección de acceso en este caso cualquiera
-p TCP: tipo de puerto
--dport : puerto destino
-j : destino del paquete (puede ser ACCEPT, DROP, REJECT)
-s:source address ej: 192.168.50.70/24
-d:destino ej 84.56.73.3
-p:tipo de protocolo (TCP.UDP.ICMP)
--sport:puerto de origen
--dport:puerto destino

por ahora son los parámetros que mas utilizaremos.

primero haremos un flush de reglas

iptables -F
iptables -X
iptables -Z
iptables -t nat -f

##políticas por defecto

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -p FORWARD DROP
iptables -t nat -p PREROUTING ACCEPT
iptables -t nat -p POSTROUTING ACCEPT

##COMO DENEGAMOS TODO AL PRINCIPIO AHORA EMPEZAREMOS A DAR PERMISOS PARA LOS PAQUETES.

#permitir el localhost
 

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

aceptamos el ping en nuestra maquina local, tanto de ingreso como de salida.


##FLUSH DE REGLAS
iptables -F
iptables -X
iptables -Z
iptables -t nat -F

##POLITICAS POR DEFECTO
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT

##AHORA VAMOS A PERMITIR PING A LOCALHOST. YA QUE POR DEFETO DENEGAMOS TODO
##VAMOS A EMPEZAR A DAR PERMISOS

##ESTRCUTURA PERMITIR LOCALHOST

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT



##PERMITIR LA RED DEBIAN, SERVICIO WEB,DNS Y FTP
iptables -A INPUT -s 192.168.28.64/29 -j ACCEPT
iptables -A OUTPUT -d 192.168.28.64/29 -j ACCEPT

##AHORA DAREMOS PERMISOS PARA SSH Y FTP
##PERMITIR CONEXION SSH

iptables -A FORWARD -i eth0 -p tcp --sport 22 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --sport 1024:65535 -o eth0 --dport 22 -j ACCEPT

##PARA LA WEB DINAMICO
iptables -A FORWARD -i eth0 -p tcp --sport 80 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eht1 -p tcp --sport 1024:65535 -o eth0 --dport 80 -j ACCEPT

iptables -A FORWARD -i eth0 -p tcp --sport 443 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eht1 -p tcp --sport 1024:65535 -o eth0 --dport 443 -j ACCEPT

##WEB ESTATICA
#iptables -A FORWARD -i eth0 -p tcp --sport 1024:65535 -o eth1 --dport 80 -j ACCEPT
#iptables -A FORWARD -i eht1 -p tcp --sport 80 -o eth0 --dport 1024:65535 -j ACCEPT


##PERMITIR DNS POR TCP
iptables -A FORWARD -i eth0 -p tcp --sport 53 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --sport 1024:65535 -o eth0 --dport 53 -j ACCEPT


##PERMITIR DNS POR UDP
iptables -A FORWARD -i eth0 -p udp --sport 53 -o eth1 --dport 1024:65535 -j ACCEPT
iptables -A FORWARD -i eth1 -p udp --sport 1024:65535 -o eth0 --dport 53 -j ACCEPT

##REGLAS PARA NAT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.28.64/29 -j MASQUERADE
##ACTIVAR EL REENVIADOR

echo 1 > /proc/sys/net/ipv4/ip_forward

##PREROUTING ENTRADA AL SERVIDOR

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.28.66:80
iptables -t nat -A PREROUTING -s 192.168.50.86 -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.28.66


iptables -A INPUT -s 192.168.50.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.50.0/24 -j ACCEPT