20083
Atención: si usted es una persona experimentada y ya tiene los dos ruteadores bien
conectados a Internet saltee toda esta explicación y vaya directo a la sinopsis.
Queremos en cierta medida lograr que superen ese miedo y estimular las ventas. El interesado debe poseer
conocimientos de redes e Internet y tener bien claras las prestaciones, ventajas y desventajas de poseer y
llevar adelante un proyecto de VPN y el impacto en las aplicaciones.
Con todos los elementos en orden, el procedimiento llevará entre 45 y 90 minutos. Nuestro personal técnico
brinda coaching previo y soporte a las instalaciones usando este documento como base y el manual del
BEFVP41. Es imprescindible contar con los manuales de los modems respectivos. Asimismo, se asume que
en los sitios a unir con VPN hay conexiones de banda ancha operativas y no hay obstáculos como firewalls
o políticas de seguridad que impidan tráfico ICMP, UDP/500, TCP y HTTP.
Damos a conocer que si Usted es capaz de poner ambos (o más) extremos operativos (esto es una LAN
conectada a Internet con un router Linksys, si Usted libera el puerto 8080 de administración remota y nos
suministra las respectivas WAN IPs, luego nosotros podemos configurar la VPN remotamente para Usted,
de modo que tenga el primer “feeling” positivo.
Elementos
LAN en cabecera con banda ancha y rotuer Linksys BEFVP41.
Esta LAN está definida por un router Linksys BEFVP41, que incluye un switch de 4 puertos. Con un cable
UTP-5 plano se conecta el router al modem ADSL o cable modem. Si va a extender esta LAN agregando un
switch, observe que sea de 100mbps y si tiene puerto uplink, conectelo a este puerto.
1 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
En caso de poseer cable-modem de Fiberfel o Telecentro, el router deberá configurarse para tomar la IP
dinámica via DHCP. En caso de poseer ADSL de alguna telefónica (Arnet o Speedy) o alguno de sus
dealers (Ciudad, Datamarkets, Netizen), establecer la conexión PPPoE como antes estaba estipulada para
la PC. Puede suceder que el modem ADSL tenga función de router y no admita PPPoE, en este caso
configure el modem para que le otorgue una IP fija y luego establezca en el router esa IP como dirección
WAN.
Si dispone de IP fija, mejor entonces, coloque la IP fija que ya le dio el ISP y compruebe que funcione.
Conecte al menos una PC en este router (en algunos de los puertos del switch). Es indispensable saber de
antemano que PCs van a ser accedidas desde el extremo de la VPN. Puede conectar el switch de su LAN.
Al menos tenga una PC con IP fija (dentro de la subred 192.168.x.x) para poder hacer pruebas de
conectividad desde el extremo. Si va a usar NO-IP.com, en esta PC instale y configure el programa IP
updater.
Una vez encendido, su PC se conecta con el TCP/IP configurado para obtener IP dinamica y al resetear o
encender la PC, va a obtener la IP 192.168.1.100.
Luego se conecta al puerto de administración via el Internet Explorer en http://192.168.1.1 usuario “admin”
password “admin”. En algunos routers, segûn el firmware, el username va vacío.
Establezca la dirección del router como 192.168.4.1. Asigne mas tarde las IP internas de sus servidores en
el rango 2/99.
Al cambiar esta dirección, el router se resetea y empieza a funcionar en esta subred. Si su PC es Windows
98, reseteela para que tome una IP nueva del router. En W2000 o XP, puede reconfigurarla deshabilitando y
habilitando la interfase, si duda, reseteela.
Va a ser infinitamente más cómodo en adelante que a la PC de administración le coloque una IP fija, por
ejemplo la 192.168.4.2/255.255.255.0, el default gateway en 192.168.4.1 y coloque sin falta los DNS.
Comparta al disco de esta PC para mas tarde probar su acceso desde el túnel.
IMPORTANTE: esta LAN IP es la que verá su extremo, de modo que cuando se situe en el extremo para
hacer pruebas, recuerde que esta LAN es virtual y visible cuando el tunel esté funcionando.
Habilite el puerto de administración remota 8080 y coloque un password que no sea “admin” al usuario de
administración.
Habilite ICMP con “Block WAN Request” en DISABLE, de modo que esto no impida hacerle PING desde
afuera al router.
Resetee físicamente el modem, luego el router y asegúrese que todo funciona correctamente.
Abra una cuenta DDNS en www.dyndns.org, elija un nombre para su cabecera, por ejemplo
vpnhead.dynalias.org, y configure luego el router, en la página de administración de DDNS,con este nombre.
Obtenga de la página de administración “Status”, la WAN IP que tiene en ese momento el router.
2 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
Verifique desde una PC conectada al router y luego repita lo mismo desde una PC en otra red (por ejemplo
desde un cyber) lo siguiente:
ping –a vpnhead.dynalias.org
El resultado debe contener la dirección IP actual del router y un reporte positivo y sus respectivos tiempos
de respuesta. Llamese contento si logra un promedio de 30msec en ADSL de las telefónicas.
Verifique que desde una PC conectada a esta red pueda navegar en Internet. Con esto comprueba que el
DHCP esta entregando DNS correctamente a los clientes de la red interna.
ping –a 200.x.x.x
ping www.sun.com
Ping www.yahoo.es
La WAN IP podría variar. El router se ocupa de actualizarla cada vez que expira la dirección y toma una
nueva. Puede existir un de la de 5 a 10 minutos entre que el DDNS actualizó su entrada en DNS hasta que
se propagó el cambio en el DNS local.
ping –a vpnhead.dynalias.org
Vamos a usar como ejemplo la 192.168.2.0/.255.255.255.0 (la subred dos).El prefijo 192.168.x no esta
librado al azar.
En este punto tiene que entenderse claramente que, situado en el extremo, la red VPN le va a dar acceso
virtual a la subred en la cabecera como 192.168.4.x y desde la cabecera los extremos van a ser 192.168.x.x,
en este caso 192.168.2.x
ping –a vpnhead.dynalias.org
http://vpnhead.dynalias.org:8080
3 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
Si pudo hacerlo sin problemas, entonces está todo listo para establecer el túnel.
En “VPN”, abra un nuevo túnel y coloquele un nombre cualquiera, por ejemplo “extremo-uno”.
Los parámetros a definir deben ser simétricos entre cabecera y extremo salvo por las direcciones que van
invertidas.
Local Secure Group: es el rango de direcciones locales que van a ser visibles en forma segura desde el
extremo, coloque “Subnet” 192.168.4.0/255.255.255.0.
Remote Secure Group: es el rango de direcciones de la red del extremo, coloque ”Subnet”
192.168.2.0/255.255.255.0.
Remote Ssecurity Gateway: en la cabecera significa que este túnel acepta conexiones desde cuaqluier
extremo, coloque “Any”.
Establezca el secreto de seguridad compartido, por ejemplo “mivpn1234” o algo menos ingenuo en
“Pre-shared secret” (recuerdelo porque va en el extremo).
Ya fue creado el túnel, ahora seleccionelo y configure luego en “Advanced” los parámetros de
autentificación. Guarde simetría con el extremo. Son: Main Mode/3DES/SHA1/1024/14440 en ambas
propuestas.
Todo lo demas como en la cabecera, asegurando simetría. No olvide colocar los parametros avanzados y
los finales. Una vez que esto esté revisado, haga
ping -a vpnhead.dynalias.org.
4 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
Luego por Internet Explorer, en “Mis sitios de red”, “Redes” explore para ver si obtiene los nombres de las
PCs remotas.
En una PC del extremo, asigne una unidad de red G: en \\192.168.4.2 previamente deje el disco C de la
primer PC de la cabecera como compartido.
Situado en la red de cabecera, haga ping 192.168.2.2 (ó 100/101) para comprobar que se ve el extremo de
la VPN.
Recuerde que los equipos que desea ver fijos desde el extremo, deben tener IP fija en la cabecera.
Una forma cómoda de ver los servidores desde el extremo es creando accesos directos o unidades de red
que reflejen los discos de la cabecera de la VPN.
Tanto en el extremo como en la cabecera, tenga un batch-file que le faclite diagnosticar el estado de cada
uno de los puntos, a modo de ejemplo este es el status.bat situado en el extremo
@echo off
pause
El BEFVP41 responde bien hasta 4 túneles, a pesar que soporta 70. Para ir mas allá, consiga un RV082.
Siempre que pueda, suscriba una IP fija al menos para la cabecera. Con esto evita que los túheles
reconecten ante el cambio de la IP dinámica en la cabecera.
El WRT54G tiene IPSec passthru, lo que significa que para armar una VPN y establecer una PC
interna como extremo, debe habilitarlo y previamente instalar y configurar in software VPN cliente
genérico em esa PC.
Si usa un cliente VPN Windows 2000 o XP sepa que este no reconoce a su cabecera por FQDN. Si
precisara de un cliente VPN genérico que ande bien con todos los Linksys, la primer elección es
SafeNet HA Remote y la segunda SSH Sentinel (no se soporta más pero aun se consigue).
El WRV54G funciona tanto como extremo y cabecera ya a diferencua de los otros soporta
autenticacuòn RADIUS.
Si bien es factible usar ADSL en la cabecera de la VPN, es acomsejable tener IP fija o al menos
5 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
CableModem.
Los extremos de VPN que entren via ADSL, configureloos con redial period en 180 segundos o más.
No le pida peras al olmo: BEFVP41 hasta 4 tuneles, en adelante RV082, mas de 16 vaya a un Cisco
PIX 506E ó un 3000.
El dilema de los modems de siempre: nuestras preferencias son: Cisco 677 (ADSL), Motorola (Cable)
y SciAtl Webstar (Cable).
Mucha suerte.
V. Literatura
Building and managing Virtual Private Networks
Dave Kosiur, Wiley, 1998, ISBN 0-471-29526-4
IPsec: The new security standard for the Internet, Intranets, and VPNs.
Naganand Doraswamy, Dan Harkins, Prentice Hall, 1999, ISBN 0-13-001-898-2
Sinopsis
Cabecera Parámetros Extremo
Dynamic DNS
Desde la red conectada a Internet en el
Cuenta en DynDNS.org, NO-IP.com
extremo verificar PING vpnhead.dynalias.net
o equivalente. Verifique que se actualice la WAN
Una vez establecido, desde la LAN del extremo,
IP en el nombre deseado, ejemplo
hacer PING para conocer si la cabecera responde.
vpnhead.dynalias.net
6 de 7 03/03/2008 12:50
VPN usando routers Linksys por banda ancha con IP dinámica http://www.geocities.com/ccrosetti/vpn/index.html?20083
Proposasls Proposasls
Main mode/3DES/SHA1/1024/14400 Main mode/3DES/SHA1/1024/14400
Simétricos
Netbios broadcast: enabled Netbios broadcast: enabled
Keep-alives: enabled Keep-alives: enabled
PING vpnhead.dynalias.net
PING 192.168.2.1 (router del extremo)
PING 192.168.4.1 (responde el router por IPSec)
PING 192.168.2.2 (pirmer PC) Testeos mutuos
PING 192.168.4.2 (primer PC)
PING 192.168.2.100 (primer PC con DHCP)
PING 192.168.4.100 (primer PC por DHCP
marcados en bold: varian en cada extremo de tunel y son distintos en cada extremo.
7 de 7 03/03/2008 12:50