Implementación de VPN.

Beatriz Lizama

REDES Y SEGURIDAD

Instituto IACC

04 de noviembre de 2019
DESARROLLO DE LA TAREA:

En su nuevo trabajo como responsable del laboratorio de informática de una institución,

se le ha entregado a su cargo la administración de 10 PCs, 10 Notebook, 2 servidores,

un router WIFI y un Switch. Ante ello, indique lo siguiente:

1) Se ha implementado un segundo laboratorio con su propia red LAN en el

edificio del frente, el cual está conectado solo a internet al igual que su

laboratorio actual. Explique qué tipo de VPN utilizará y realice un diagrama de

esta solución.

El tipo de VPN que utilizaría es la VPN de acceso remoto, ya que este tipo concede un

acceso a la red LAN de la organización y sus recursos, es un tipo seguro y permite la

movilidad del trabajador, incluso si se pusieran más laboratorios en otras zonas podrían

conectarse a esta misma VPN.

2) De acuerdo a la solución mencionada en la pregunta anterior explique qué

beneficios traerá el uso del protocolo IPsec.

IPSec o Internet Protocol security, es un conjunto de protocolos que tienen como

objetivo asegurar las comunicaciones sobre el protocolo de internet IP.

IPsec realiza los procesos de autenticando y/o cifrando cada paquete IP sobre la red de

datos.

Además, incluye protocolos para la incorporación de claves de cifrado

(Laurel.datsi.fi.upm.es, 2012)

Los protocolos de IPsec trabajan sobre la capa 3 del modelo OSI, a diferencia de otros

protocolos tales como SSL, TLS y SSH, los que operan de la capa de transporte (capas

OSI 4 a 7) en adelante.

IPSec tiene tres grandes componentes, dos protocolos de seguridad e intercambio de

llaves:

 Autenticación de cabecera IP (AH).

 Carga de seguridad de encapsulado (ESP).

 Intercambio de llaves de Internet (IKE).

3) Realice una tabla comparativa de las topologías VPN estudiadas en la semana

y explique cuál es la que utilizará para solucionar el problema de la pregunta.

Las redes privadas virtuales se implementan mediante tres tipos de topologías básicas:

Topologías VPN
HOST-HOST La implementación más sencilla de una VPN es de un host a otro. Esta
topología aparece como solución al problema de que dos host estén
conectados directamente para realizar intercambio de información sobre
una línea dedicada o módems. Esta clase de conexión no ofrece
seguridad, por lo cual en la implementación de una VPN la conexión se
autentifica y los datos se cifran para que la confidencialidad no sea
vulnerada entre las comunicaciones de los Hosts.
HOST-RED Esta es la solución más sencilla que los usuarios móviles tienen a
disposición para conectar con la red de la empresa. En esta
configuración, cada host se conecta independientemente con una LAN
mediante una puerta de enlace VPN. Se autentica cada host y los túneles
VPN se inician para cada uno de ellos.
RED-RED En esta opción cada puerta de enlace se ubica en el borde de cada red la
cual está, por ejemplo, conectada a internet y proporciona un canal de
comunicación seguro entre las 2 o más redes. Esta es la solución que las
empresas de comunicaciones entregan a sus clientes cuando deben
enlazar sucursales alejadas geográficamente. Lo interesante de esta
implementación es que para los usuarios esta solución es transparente.

Para el problema planteado anteriormente se implementara la tercera topología VPN

que es la red-red. Ya que en esta configuración, cada puerta de enlace se ubica en un
extremo de una red y proporciona un canal de comunicación seguro entre las dos (o
más) redes.

Este tipo de comunicación es el que mejor se adapta a la conexión de redes LAN

separadas geográficamente. Una ventaja importante de esta configuración es que las
LAN remotas de la VPN son transparentes para el usuario final. De hecho, las puertas
de enlace VPN tienen la apariencia de routers para los usuarios.

Podemos utilizar las VPN red-red para conectar intranets, lo que hace que parezca que
las redes son adyacentes. Los datos transferidos entre las intranets son confidenciales
durante el tránsito. También podemos utilizar esta topología para extranets entre varias
empresas, en caso de que cada empresa comparta recursos particulares sólo con los
socios de negocio.
4) Explique cuáles son los modos de funcionamiento del protocolo IKE y,

además, indique cuál es el que utilizará para solucionar la problemática de la

pregunta.

El protocolo para Intercambio de Claves en Internet es el encargado en la

infraestructura IPSec de proporcionar un entorno previo seguro para la compartición de

una clave secreta y autenticación de los extremos. IKE utiliza el puerto 500 de UDP

para establecer el intercambio de mensajes pertinente. Por lo general se implementa

como una aplicación en espacio de usuario, al no formar parte del núcleo de muchos

sistemas operativos.

Se compone de dos fases diferenciadas. La primera de ellas efectúa el intercambio de

mensajes preliminares necesarios, estableciendo una asociación de seguridad ISAKMP

(ISAKMP SA). Este intercambio inicial puede estar basado en claves pre compartidas o

PSK, claves RSA para criptografía asimétrica, o una infraestructura PKI de certificados

digitales.

Esta primera fase puede realizarse de dos formas diferentes, el modo normal y el modo

agresivo. Ambos realizan las mismas tareas, aunque el modo agresivo emplea la mitad

de mensajes que el modo principal para obtener los mismos resultados. La

contrapartida es que este modo no proporciona autenticación de la identidad cuando se

emplea junto con claves pre compartidas (PSK), por lo que es vulnerable a ataques. Es

por ello que generalmente se recomienda el uso de infraestructuras de clave pública si

se va a utilizar el modo agresivo en una sesión IPSec.

En la segunda fase se utiliza la asociación de seguridad ISAKMP para establecer la

asociación de seguridad IPSec definitiva, que determinará las claves a utilizar durante

la sesión y otros parámetros de la misma. Por lo general se aprovechará esta fase para

negociar dos asociaciones de seguridad, ya que, recordemos, en IPSec cada

asociación es unidireccional.

Modos de funcionamiento protocolo IKE

 Transporte; Solo el contenido de los paquetes es encriptada, la cabecera IP no es

encriptada pero se inserta una cabecera IPSec luego de la cabecera IP y antes de

los datos.

 Túnel; Todo el paquete de datos es encriptado incluyendo su cabecera

(Autentificado y cifrado). Posteriormente se le agrega la cabecera AH o ESP y se re

encapsula luego con otra cabecera IP para viajar por la red.

 Bibliografía

 Contenidos de la semana 8 – Implementación de VPN