Acceso Privado a Internet con OpenVPN (I)

OpenVPNHacía tiempo que no escribía nada nuevo fundamentalmente porque estoy empleando otros medios para documentar las ñapas que voy haciendo. Sin embargo, me parece interesante compartir la experiencia que acabo de completar así que voy a hacer una serie de posts sobre ello.

La idea que me rondaba la cabeza era cómo configurar una salida más privada a Internet. La solución era, por supuesto, emplear una Red Privada Virtual (VPN). Teniendo esto en cuenta se me planteaban dos opciones:

  • Contratar un servicio VPN.
  • Contratar un servidor virtual privado (VPS) y montar yo la VPN.

Teniendo en cuenta los antecedentes, me decidí por la segunda opción. Para montarla contraté un VPS con DigitalOcean. Me consta que hay otras opciones y, probablemente, mejores pero no quería darle más vueltas. Las características del servidor contratado son:

  • Memoria RAM: 1 GB
  • Número de procesadores/cores: 1/1
  • Disco: 25 GB

Para los propósitos de la descripción que voy a hacer, asumimos que la dirección IP pública del servidor es: 125.125.125.125 y que el gateway por defecto 125.125.125.1.

El sistema operativo configurado es Ubuntu 18.04 LTS que es una distribución con la que me siento bastante cómodo.

En el lado de mi casa, creé, en el entorno virtual ESXi, una red para pruebas (TEST1) con un rango de direccionamiento 10.2.1.0/24 y configuré un gateway empleando una máquina virtual con VyOS con dos interfaces de red:

  • Una conectada a la red de estaciones de trabajo del entorno ESXi con dirección IP: 10.1.3.64.
  • Otra conectada a la red TEST1 con dirección IP: 10.2.1.1

Cree una máquina virtual con sistema operativo Lubuntu en la red TEST1 y le asigné la dirección IP: 10.2.1.2 para poder hacer las pruebas de conectividad.

Realicé la configuración del gateway para tener salida a Internet y que desde los clientes de la red TEST1 se tuviera acceso a las distintas redes domésticas y del entorno virtual. El esquema general de conexión queda de la siguiente forma:

ovpn01

Con este esquema, el camino que sigue un paquete IP que viaje desde el cliente del entorno de prueba hasta internet sería:

  1. El paquete sale del cliente
  2. El paquete llega al gateway de la red TEST1 que lo encamina al gateway del entorno virtual.
  3. El gateway del entorno virtual encamina el paquete al router doméstico que conecta con el ISP haciendo un primer NAT de origen.
  4. El router de conexión con el ISP encamina el paquete hacia hacia el ISP haciendo un segundo NAT.
  5. El ISP encamina el paquete a su destino haciendo algunos NAT más.

El camino de vuelta de la respuesta es similar.

La idea es crear una VPN basada en tecnología OpenVPN que permita:

  • Conectar clientes, por ejemplo teléfonos móviles, para una navegación segura por internet cuando estos estén conectados a redes inseguras (por ejemplo WiFis de hoteles).
  • Establecer un túnel VPN entre el gateway de la red TEST1 y el servidor VPS que permita la salida privada a internet de las máquinas de la red TEST1.

Voy a empezar por esta última configuración. El esquema final de la red sería algo parecido a esto:

ovpn02

El direccionamiento de la VPN va a ser  172.17.17.0/24. El servidor VPS, que va a enrutar el tráfico de la VPN hacia internet tendrá la dirección 172.17.17.1 y el gateway de la red TEST1 tendrá la dirección  172.17.17.2. El resto de los clientes (vg. teléfonos móviles) recibirán direcciones dinámicamente.

La autenticación de los clientes se va a llevar a cabo mediante certificados emitidos por una CA privada, basada en OpenSSL.

En los siguientes posts iré describiendo cómo configurar los distintos elementos.

Creando una CA (autoridad certificadora)

La configuración del entorno lab va avanzando poco a poco y es el momento de empezar a pensar en la seguridad. El despliegue de servidores web va a requerir de certificados X.509 y, por supuesto, no voy a comprar ninguno. Así que, para atender el suministro de los distintos certificados, me voy a montar una CA, basada en OpenSSL, en el entorno lab. En concreto, en el servidor de administración que tengo desplegado.

El primer paso es crear el certificado raíz de la CA. Este certificado no lo voy a usar para firmar certificados sino para emitir certificados intermedios que sí emplearé para firmar.

1. Creación de la Estructura de Directorios

Para empezar voy a crear un árbol de directorios para manejar los ficheros de la CA. Este árbol de directorios va a estar basado en /root/ca:

ca1

2. Fichero de configuración de OpenSSL (openssl.conf)

A continuación voy a preparar el fichero de configuración para OpenSSL (/root/ca/openssl.conf). Las secciones y parámetros del fichero están descritos en la página de manual del comando ca (man ca). A continuación voy a ir haciendo una disección de las distintas partes del fichero:

  • La primera sección (ca) es obligatoria y, en este caso, la configuración instruye a OpenSSL a que tome los parámetros de configuración de la sección CA_default.

ca2

  • La siguiente sección (CA_default) define parámetros por defecto para la CA (directorios, nombres de ficheros, etc.). El directorio raíz para la CA es el que creamos al principio del proceso.

ca3

  • La siguiente sección (policy_strict) contiene las reglas que vamos a aplicar a la CA raíz. El certificado de la CA raíz sólo se va a usar para firmar certificados de CA’s intermedias.

ca4

  • Vamos a aplicar la política policy_loose para firmar certificados de cliente y servidor que pueden tener distintas procedencias:

ca5

  • La siguiente sección (req) contiene parámetros que se aplican en la creación de certificados o solicitudes de firma de certificados (CSRs).

ca6

  • La sección req_distinguished_name declara la información necesaria que deben incluir las solicitudes de firma de certificados. En esta sección se declaran, también, valores por defecto para esos parámetros.

ca7

  • La siguiente sección v3_ca contiene las extensiones que se van a aplicar en la generación del certificado de la CA raíz.

ca8

  • La sección v3_ca_intermediate contiene las extensiones a aplicar en la creación de los certificados de CA intermedias.

ca9

  • Las siguientes secciones, user_certs y server_certs, definen, respectivamente, las extensiones para la creación de certificados de autenticación de usuarios y servidores:

ca10

  • La extensión crl_ext se aplica en la creación de listas de revocación de certificados:

ca11

  • Finalmente, la extensión ocsp se emplea en la firma del certificado para el protocolo online de estado de certificados (OCSP):

ca12

3. Creación de la clave raíz (ca.key.pem)

El siguiente paso es crear la clave raíz y mantenerla bajo la más estricta seguridad. Voy a usar una clave de 4096 bits para el certificado raíz y los certificados de CA intermedia.

ca13

4. Creación del certificado raíz (ca.cert.pem)

Voy a usar la clave raíz generada en el paso anterior para crear el certificado raíz.

ca14

Verificamos el certificado generado:

ca15

ca16

5. Creación del par intermedio

Voy a crear, a continuación, un par intermedio (clave privada, certificado) para una CA intermedia. De este modo se protege la CA raíz ya que no se usa su clave para firmar certificados sino la clave de la CA intermedia. En caso de que la CA intermedia fuese comprometida, se revocarían todos los certificados firmados y se procedería a generar una nueva CA intermedia. El proceso es muy similar al realizado para la generación del par raíz (creación de estructura de directorios, creación de clave y creación de certificados) así que no voy a entrar en detalles excesivos.

ca17

Copiamos el fichero de configuración openssl.cnf del directorio padre al directorio actual y lo editamos modificando los cinco parámetros que aparecen marcados a continuación:

ca18

A continuación creamos la clave y el CSR para la CA intermedia:

ca19

y firmamos el CSR con la clave raíz de la CA …

ca20

Verificamos la cadena de confianza del certificado de la CA intermedia y creamos la cadena de certificados que permita validar los certificados emitidos por la CA intermedia:

ca21

En este punto, ya estamos listos para firmar certificados de servidor y de clientes.