El teletrabajo est\u00e1 en auge y mas desde la pandemia originada por el coronavirus Covid-19, pero tambi\u00e9n es una tendencia cada vez mayor en tipos de trabajo que no requiere presencia f\u00edsica en el puesto de trabajo.<\/p>\n
Los organismos p\u00fablicos y las grandes empresas lo hacen actualmente, sus trabajadores pueden conectarse desde casa a la oficina para hacer su trabajo pr\u00e1cticamente igual que si estuvieran presencialmente en la empresa.<\/p>\n
Esto es posible porque disponen de un departamento de inform\u00e1tica que ha desarrollado y configurado un complejo y costoso sistema de redes privadas virtuales que permite un acceso remoto a la informaci\u00f3n con la seguridad suficiente para no comprometer los datos que navegan por internet. Es lo que se conoce como una VPN (Virtual Private Network) o Red Privada Virtual que se realiza entre los equipos inform\u00e1ticos de la empresa y los ordenadores que usan los empleados desde sus domicilios o cualquier otro sitio, empleando normalmente port\u00e1tiles pre-configurados. Esta infraestructura es compleja de implementar y costosa de mantener.<\/p>\n
Pues bien, si tienes una peque\u00f1a empresa o eres un empresario aut\u00f3nomo que desea hacer lo mismo pero a bajo coste, tienes la opci\u00f3n de crear una VPN de forma relativamente sencilla y econ\u00f3mica, lo puedes hacer tu mismo si tienes nociones medio avanzadas de redes, sino siempre podr\u00e1s contar con la experiencia de una empresa inform\u00e1tica externa que sea capaz de configurarte una VPN a trav\u00e9s del protocolo OpenVPN.<\/p>\n
Los tipos de VPN seg\u00fan su arquitectura pueden ser:<\/p>\n
OpenVPN<\/strong> que utiliza protocolos SSL\/TLS y capa de transporte de datos con 2 tipos de funcionamiento:<\/p>\n <\/p>\n Vamos a configurar una VPN con el protocolo OpenVPN en modo TAP para que el ordenador remoto est\u00e9 conectado directamente a la misma LAN de su oficina a trav\u00e9s de una segunda red que se a\u00f1adir\u00e1 a su sistema, que ser\u00e1 virtual.<\/p>\n Sitio 1: RED-OFICINA<\/strong><\/p>\n Sitio 2: RED-CASA<\/strong><\/p>\n —> Cambiamos al directorio de EasyRSA:<\/p>\n —> Ejecutamos EasyRSA:<\/p>\n —> Antes de generar los ficheros con EasyRSA se debe primero inicializar un directorio para la PKI (Public Key Infrastructure o Infraestructura de Clave P\u00fablica) con el siguiente comando:<\/p>\n —> Abrimos el fichero vars.bat con el editor de texto Notepad (Bloc de Notas): —> Se abrir\u00e1 el fichero de plantilla para generar los certificados, la informaci\u00f3n que contendr\u00e1 ser\u00e1 la que se usar\u00e1 para la generaci\u00f3n de los certificados. Se deber\u00eda localizar y editar las siguientes l\u00edneas cambiando los valores por los necesarios en cada caso:<\/p>\n —> Puedes establecer el tama\u00f1o de la clave para los par\u00e1metros Diffie Hellman: —> Una vez realizados estos pasos guarda el fichero \u00abvars.bat\u00bb y cierra el editor y ejecuta el siguiente comando: —> Crear la Autoridad de Certificaci\u00f3n o Certificate Authority (CA): ca.crt<\/strong> —> Crear el Certificado del Servidor VPN (se firmar\u00e1 autom\u00e1ticamente con la CA generada en modo \u00abserver\u00bb). Se recomienda NO poner una clave<\/strong> porque sino cada vez que se inicie la pedir\u00e1 para el certificado): server.crt + server.key<\/strong> —> Crear Certificados y claves para los Clientes (se firmar\u00e1n autom\u00e1ticamente con la CA). Hay que realizar los mismos pasos para cada Cliente VPN. Se recomienda poner una clave ya que si se pierde el certificado nadie podr\u00e1 usarlo): Client1.crt + Client1.key, Client2.crt + Client2.key, … as\u00ed con todos los Clientes.<\/p>\n (cambiar Client1 por el nombre del cliente y omitir nopass si se desea poner una clave para ese cliente. Te preguntar\u00e1 por la clave en el momento de la ejecuci\u00f3n del comando). <\/p>\n —> Por \u00faltimo, Crear par\u00e1metros Diffie Hellman: —> Para salir del entorno EasyRSA: <\/strong><\/p>\n Los ficheros generados y firmados deber\u00edan aparecer en los siguientes directorios (por defecto):<\/p>\n <\/p>\n *carga de los certificados y claves generadas en el Servidor VPN compatible con OpenVPN \u00abRouter RUTX10\u00bb:<\/em><\/p>\n <\/p>\n Ya que se hacen referencias a la ubicaci\u00f3n de los archivos, hay que copiarlos en el directorio correspondiente en el ordenador de cada cliente:<\/p>\n C:Program FilesOpenVPNconfig<\/strong> —> copiamos aqu\u00ed ca.crt, clientX.crt y clientX.key<\/strong><\/em><\/p>\n M\u00c9TODO 2:<\/span> copiando el contenido<\/strong><\/span> del propio certificado ca (ca.crt), el certificado-cliente (cliente1.crt) y la clave-cliente (clienteX.key) dentro del fichero .ovpn<\/strong> por lo que no ser\u00e1 necesario copiar los archivos en la carpeta indicada.<\/em><\/p>\n Ya que se tanto el certificado CA, como el certificado clienteX.crt y su clave clienteX.key se han incluido en formato texto dentro del fichero .ovpn, no habr\u00e1 que copiarlos en el directorio correspondiente del ordenador de cada cliente:<\/p>\n <\/p>\n –> PARA FINALIZAR, pulsamos con el bot\u00f3n derecho sobre el icono de la aplicaci\u00f3n OpenVPN seleccionamos el perfil clientX y pulsamos Conectar<\/li>\n<\/ul>\n Fuentes:<\/p>\n https:\/\/www.davantel.com\/como-configurar-un-servidor-openvpn-en-un-rutx10-para-conectar-de-forma-segura-con-mi-oficina<\/a><\/span><\/p>\n https:\/\/wiki.teltonika-networks.com\/view\/How_to_generate_TLS_certificates_(Windows)%3F<\/a><\/span><\/p>\n\n
\nLas m\u00e1quinas de cada extremo operan como parte de la misma subred, con lo que tenemos que tener especial cuidado de que si la red privada donde se conecta el origen coincide con la red privada de destino, tendremos problemas de enrutamiento (mismas IPs de las 2 sedes).Por ejemplo: la RED OFICINA<\/strong> debe tener el rango de IPs 192.168.5.x<\/strong> y la RED CASA<\/strong> debe tener el rango de IPs 192.168.1.x<\/strong> para que cuando se cree la conexi\u00f3n VPN el ordenador desde donde se acceda pueda crear una segunda Red virtual que tenga el rango de IPs 192.168.5.x.
\n<\/em>
\nEn definitiva, de lo que se trata es de que todas las m\u00e1quinas tanto de origen como de destino est\u00e9n dentro del mismo rango de IPs, la parte del Servidor VPN tendr\u00e1 solamente una Red y la parte de los ordenadores remotos tendr\u00e1n la Red de internet del operador y la red virtual creada por OpenVPN.<\/li>\n<\/ul>\nPRE\u00c1MBULOS DE LA CONFIGURACI\u00d3N:<\/strong><\/h3>\n
\n
\n
<\/h3>\n
CONFIGURACI\u00d3N Sitio 1: RED-OFICINA<\/strong><\/h3>\n
\n
\n<\/strong>Para empezar deber\u00e1 disponer de una IP p\u00fablica accesible desde el exterior (p.e. 50.51.52.53<\/strong>), bien sea fija o din\u00e1mica. Si es fija tendremos siempre la misma IP (recomendado) y si es din\u00e1mica es recomendable contratar un servicio DynDNS (p.e. No-ip.com).
\nAccedemos v\u00eda web a la IP 192.168.1.1<\/strong> con el usuario y contrase\u00f1a adecuados, vamos a la configuraci\u00f3n avanzada y en la secci\u00f3n NAT a\u00f1adimos una regla asociando el puerto 1194<\/strong> con el protocolo UDP<\/strong> y apuntando a la direcci\u00f3n IP del Servidor VPN (192.168.1.200), que en nuestro caso ser\u00e1 un Router Teltonika RUTX10.
\nEn el ejemplo este Router de operador solamente lo vamos a utilizar como puerta de enlace para proporcionarnos internet en la oficina, por lo que podremos, si queremos, desactivar su servidor DHCP y el WIFI pues utilizaremos estos servicios desde un segundo Router VPN que har\u00e1 estas funciones.<\/li>\n
\nEn nuestro caso usaremos un Router Teltonika RUTX10<\/strong> aunque pueden usarse otros como Linksys LRT214\/224, pero recomendamos la marca Teltonika Networks.
\nAntes de conectar este Router RUTX10 al Router del operador de Internet tendremos que cambiar la IP del mismo ya que viene configurado por defecto como 192.168.1.1<\/strong> y a fin de evitar conflictos con el Router del operador de Internet, as\u00ed pues la cambiaremos a 192.168.5.1.\u00a0<\/strong>Entonces ahora podemos proceder a conectar el RUTX10 al Router del operador de Internet en un puerto LAN y al RUTX10 en el puerto WAN.
\nAhora entraremos en la configuraci\u00f3n v\u00eda web de este Router VPN a trav\u00e9s de 192.168.5.1 y configuramos en primer lugar la direcci\u00f3n IP de la red WAN para dejarla fija, que no ser\u00e1 otra que la IP que establecimos en el puerto 1194 (192.168.1.200).
\nA partir de ahora nos olvidamos del Router del operador de Internet que no debe tener conectado ning\u00fan dispositivo de la red porque sino estar\u00eda dentro del rango 192.168.1.x y lo que tenemos que hacer es conectar todos los ordenadores, impresoras y dem\u00e1s al Router RUTX10 para que estos dispositivos tengan IPs del rango 192.168.5.x que va a ser el rango del conjunto de dispositivos locales y remotos.
\n*A\u00fan nos faltar\u00eda cargar los certificados y claves necesarios para la seguridad del protocolo OpenVPN que se explicar\u00e1 un poco m\u00e1s abajo.<\/em><\/li>\n
\nUna vez instalado el software en cualquier ordenador (no es necesario que sea un ordenador de la RED-OFICINA), el sistema est\u00e1 preparado para generar los certificados y las claves necesarias.
\nEjecutamos como Administrador \u00abS\u00edmbolo de sistema\u00bb (cmd) y seguimos estos pasos:<\/p>\n
\nPreparando EasyRSA<\/span><\/h4>\ncd \"C:Program FilesOpenVPNeasy-rsa\"<\/code><\/pre>\n<\/div>\nEasyRSA-Start.bat<\/code><\/pre>\n<\/div>\n.\/easyrsa init-pki<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\nnotepad vars.bat<\/code><\/pre>\n<\/div>\nset KEY_COUNTRY=US\r\nset KEY_PROVINCE=CA\r\nset KEY_CITY=SanFrancisco\r\nset KEY_ORG=OpenVPN\r\nset KEY_EMAIL=mail@host.domain<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\nset DH_KEY_SIZE=2028<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\n.\/easyrsa clean-all<\/code><\/pre>\n<\/div>\nGenerando los Certificados y Claves<\/span><\/h4>\n
\n(se recomienda poner una clave privada aunque en el ejemplo no lo hacemos)
\n<\/strong><\/em><\/p>\n.\/easyrsa build-ca nopass<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\n.\/easyrsa build-server-full server nopass<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\n.\/easyrsa build-client-full Client1 nopass<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/em><\/p>\n.\/easyrsa gen-dh<\/code><\/pre>\n<\/div>\n
\n<\/strong><\/p>\nexit<\/code><\/pre>\n<\/div>\nCertificado CA ca.crt -------------------------------> C:Program FilesOpenVPNeasy-rsapki\r\nDiffie-Hellman par\u00e1metros dh.pem --------------------> C:Program FilesOpenVPNeasy-rsapki\r\nClaves Servidor y Clientes server.key + clientX.key -> C:Program FilesOpenVPNeasy-rsapkiprivate\r\nCert. Servidor y Clientes server.crt + clientX.crt---> C:Program FilesOpenVPNeasy-rsapkiissued<\/code><\/pre>\n<\/div>\n<\/li>\n<\/ul>\n\n
\nCertificate autority: subimos el fichero ca.crt<\/strong>
\nServer certificate: subimos el fichero server.crt<\/strong>
\nServer key: subimos el fichero server.key<\/strong>
\nDiffie Hellman parameters: dh.pem<\/strong>
\nCRL file (optional): no file selected<\/li>\nCONFIGURACI\u00d3N Sitio 2: RED-CASA<\/strong><\/h3>\n
\n
\n–> Descargaremos el software desde openvpn.net -> Community -> Downloads y realizamos una instalaci\u00f3n por defecto: https:\/\/openvpn.net\/community-downloads\/<\/a>–>\u00a0
\n<\/strong>
\n<\/em>–> Creamos un fichero de configuraci\u00f3n con el bloc de notas llamado clientX.ovpn conteniendo lo siguiente:M\u00c9TODO 1:<\/span> haciendo referencias<\/strong><\/span> al certificado ca (ca.crt), al certificado-cliente (cliente1.crt) y a la clave-cliente (clienteX.key) dentro del fichero .ovpn<\/strong><\/em><\/p>\nclient\r\ndev tap\r\nproto udp\r\nremote <IP o nombre del dominio del servidor> <puerto1194>\r\nresolv-retry infinite\r\nnobind\r\npersist-key\r\npersist-tun\r\nca ca.crt\r\ncert clientX.crt\r\nkey clientX.key\r\ncipher AES-256-CBC\r\n;comp-lzo (comentado porque no lo activamos en el servidor VPN RUTX10)\r\nverb 3<\/code><\/pre>\n<\/div>\n\n
client\r\ndev tap\r\nproto udp\r\nremote <IP o nombre del dominio del servidor> <puerto1194>\r\nresolv-retry infinite\r\nnobind\r\npersist-key\r\npersist-tun\r\n;ca ca.crt\r\n;cert clientX.crt\r\n;key clientX.key\r\ncipher AES-256-CBC\r\n;comp-lzo (comentado porque no lo activamos en el servidor VPN RUTX10)\r\nverb 3\r\n\r\n<ca>\r\n-----BEGIN CERTIFICATE-----\r\ncontenido del certificado CA en caracteres aleatorios\r\n-----END CERTIFICATE-----\r\n<\/ca>\r\n\r\n<cert>\r\n-----BEGIN CERTIFICATE-----\r\ncontenido del certificado ClienteX en caracteres aleatorios\r\n-----END CERTIFICATE-----\r\n<\/cert>\r\n\r\n<key>\r\n-----BEGIN PRIVATE KEY-----\r\ncontenido de la clave privada de ClienteX en caracteres aleatorios\r\n-----END PRIVATE KEY-----\r\n<\/key><\/code><\/pre>\n<\/div>\n<\/h6>\n