Las Virtual Private Network o comúnmente conocidas como VPN son conexiones seguras entre múltiples ubicaciones geográficas que se crean en redes mucho más grandes como puede ser Internet. Existen distintos tipos de VPN y en este artículo se tratarán las VPN Site to Site.
Estas VPN crean un puente virtual entre dos o más redes geográficamente distantes y en este caso la VPN Site to Site será creada entre dos Routers Reyee. Partimos de las siguientes dos redes que deben tener comunicación entre ellas, una corresponde a la sede central y otra a la sede remota de una empresa.
Se puede observar que en estas redes las IPs públicas de ambos routers son del mismo ámbito/rango local, este es debido a que esta configuración se ha realizado en laboratorio y no se han utilizado IP públicas reales.
Comenzaremos la configuración revisando las subredes creadas en cada Router:
Sede Central:
Sede Remota:
En este punto se realizará configuración VPN Site to Site en ambos dispositivos, el router de la red central ejercerá de servidor y el router de la red remota de cliente. Para poder crear la IPSec Policy se debe acceder al siguiente apartado:
Configuración en Router de Sede Central:
- Como se indicaba anteriormente, este router tomará el rol de servidor, además se debe indicar la subred local con la que podrá comunicarse la red remota. También se debe introducir una contraseña con la que se cifrará el túnel.
- Configuración de IKE Policy:
-
- En ella se pueden configurar varias alternativas de cifrados y algoritmos que proporcionarán integridad, autenticidad, confidencialidad. En general el uso de cifrados superiores provocará un menor rendimiento en el túnel y una mayor seguridad. Para el ejemplo se utilizarán estas opciones de seguridad.
- Existen dos modos de negociación, por defecto se recomienda el uso del Main Mode, el Aggressive realiza una negociación del túnel con menor número de fases o pasos. El modo Aggressive puede tener utilidades para aquellos casos en los que los routers están detrás de un NAT de otro router o en aquellos túneles que se quiera reducir el tiempo de renegociación del túnel al mínimo.
- En el caso de que ambos routers tengan IP pública (más recomendable) se recomienda utilizar como Local/Peer ID Type la IP. En caso de que alguno de los routers tenga una IP privada/local que le proporciona otro router, se deberá utilizar Local/Peer ID Type name con dos valores cruzados.
- El lifetime es el tiempo en el que una vez transcurrido el túnel deberá renegociarse, recomendamos el valor por defecto
- DPD es un método utilizado en IPSec para comprobar que el túnel está levantado y operativo, podemos configurar el intervalo de tiempo de comprobación pero recomendamos el valor por defecto.
-
- Configuración Connection Policy: En este apartado se pueden configurar más parámetros de seguridad para el túnel. En este ejemplo utilizaremos los siguientes valores
Configuración en Router de Sede Remota
- Como se indicaba anteriormente, este router tomará el rol de cliente, la configuración de este dispositivo deberá ser la misma que la del servidor salvo en ciertos parámetros únicos para cada sede. En el apartado Peer Gateway deberemos indicar la IP pública de la WAN del router ubicado en la Sede Central. También se deberá indicar la subred remota con la que se quiere establecer comunicación
- Configuración de IKE Policy:
- Configuración Connection Policy
Una vez realizada esta configuración se puede comprobar el estado de la conexión vpn en el siguiente apartado:
Se comprueba la comunicación entre ambas redes.
Recomendaciones y Aclaraciones:
- Para que la conexión VPN sea viable y estable, los router Reyee de ambos extremos deberán tener IP pública estática sin otros dispositivos que hagan NAT.
- Si los routers Reyee están detrás de un CG-NAT del operador es muy probable que el túnel no pueda ser realizado.
- No es equivalente la configuración de una DMZ en el router de operador a una configuración de dicho router en modo bridge o monopuesto. Siempre será más recomendable una configuración en bridge/monopuesto, de esta forma el router reyee debería obtener IP pública.