Hola Sean todos bienvenidos a este pequeño taller en el cual les voy a estar mostrando paso a paso cómo
configurar una VPN IPSec entre un firewall Gachet y un router Mirotic vamos a ir viendo en cada uno
de estos equipos.
Paso a paso cómo configurar la BPE a IPsec.
Para esto vamos a estar trabajando en un laboratorio creado en genes 3 caso de estudio VPN IPSec entre
un Fortinet y un microchip por internet.
Vamos a explicar un poco el escenario antes de comenzar.
Vamos a suponer que tenemos dos empresas la empresa y la empresa.
Y la única conectividad entre ellas es internet.
Vamos a simular Internet con estos.
Estas direcciones IP es que no son públicas pero si ustedes quieren llevar a la práctica lo que vamos
a ver en este vídeo simplemente el único que van a tener que cambiar es estas direcciones por las direcciones
IP públicas que tengan en su escenario real y por supuesto en la subred de cada una de las empresas
en este caso la empresa cuenta con un router micro etic en su versión 6 43 4 cuenta con una red privada
10 0 1 0 barra 24 y este como ya les comenté va a ser la dirección IP pública con la que vamos a simular
la conectividad con la empresa.
Por su parte la empresa tiene un fãtbol Forti Gate conversion Fortius es 6 puntos 2.3 y la subunidad
privada es la 10 0 2 0 barra 24 y este es la dirección IP con la que vamos a conectar con la empresa.
Entonces vamos a empezar a trabajar por este extremo pero antes que nada vamos a demostrar que no existe
conectividad entre la PS1 y la PS2.
El objetivo de este video al final será poder probar la conectividad entre estos dos equipos.
Tenemos la PS1 con la dirección IP diez cero uno cero uno 10 24 y la PS2 de la empresa tenemos la 10
02 10 barras 24 si en cualquiera de los dos le hacemos un ping a la otra
cardones 10 0 1 10 y en la PS 1 hacemos ping a la 10 0 2 10 no vamos a obtener respuesta por ninguna
de las dos.
Voy a minimizar estas ventanas si solamente las vamos a volver a usar cuando probemos la conectividad.
Entonces primero vamos a programar el IPsec en el router Mirotic vamos a conectarnos utilizando la herramienta
o inbox y esta es la dirección IP que yo asigne.
No les comenté estos objetos estos solamente los voy a estar utilizando para yo poder entrar y realizar
las tareas que vamos a estar viendo bien vamos a conectarnos
bien estamos en un buen 6 si utilizando Windows nos conectamos al puteros 6 43 4 al día de la fecha.
Esto lo estoy grabando el 16 de marzo de 2020 es la última versión disponible para configurar el AIPE
SEC vamos Seira IP hay Piszk para los que no están familiarizados con micro.
Las fases buenas y la fase 2 están esparcidas en estas opciones.
La fase 1 podemos encontrarla en Piers Identity y Profile estas tres componen la fase 1 y la fase 2
la componen policies y propãsitos.
Entonces lo primero que yo recomiendo hacer en los Rotax micro thick es primero crear el profile de
la fase 1 en el perfil lo que vamos a crear la seguridad vamos a ponerle un nombre
enpresa.
Vamos a respetar los nombres del diagrama y vamos a ponerle SA1 y Encryption algorithm en vez en grupos
vamos a dejar Motupe 1024 esto es equivalente a GRUB 2 esto vamos a dejarlo como viene sin el NAT transversal
y el detection solo porque me gusta lo pongo en 5 en realidad hay una explicación pero escapa a los
alcances de este video.
La seguridad de la fase 1 la dejamos así ya 1 vez Grupo 2 del Life en un día y el 10 por detection en
5 segundos aceptamos y ahora vamos a ir a la solapa de Piers vamos a colocar un nombre empresade y vamos
a colocar la dirección IP pública de la empresa que en este caso es la 10 201 2 barra 30 pero vamos
a ponernos en el barra solamente la IP
en Profim vamos a seleccionar este que acabamos de crear empresa.
Y el modo Exchange main es el Aike Versión 1.
Vamos a dejarlo en la inversión o no aceptamos
y ahora para completar la configuración de la Fase 1 gomosa identity.
Hacemos clic en Más y acabamos a seleccionar el PIR al cual vamos a crear Laine identity.
Solamente tenemos uno el empresade vamos a poner el modo de autenticación en Pripyat aquí y vamos a
poner una clave sencilla del 0 al 7 todo lo deja lo demás lo dejamos igual.
Con esto ya tendríamos la fase 1 en el micro Attic vamos a la fase 2 vamos a crear el proposal el proposal
es como el profile de la fase 1 pero para la fase 2 vamos a poner la empresa
vamos a dejar ya 1 como Authentication algorithm y vamos a dejar el Encryption algo bonito en 2 como
hicimos en la fase 1.
Vamos a dejar a la FTM en 30 segundos y esto lo vamos a dejar en el perfect forward ciclo si lo dejamos
en nada y ahora el último paso a policies vamos a crearla.
Esta policía la vamos a asociar con el PIR de la fase 1 empresa.
Si tuvieramos otros podremos seleccionarlo pero esta fase 2 que vamos a crear es asociada a la fase
1 empresa tildã Móstoles porque no vamos a hacer la VPN de modo transporte ya que tenemos que colocar
la sub Net de la empresa 1 y la empresa 2 empresas y empresa ver el DEXT extremo local del router micro
Tik es la 10 0 1 0 barra 24 y la sub Net que está atrás del Fortinet en la empresa de la 10 0 2 0 Barrio
24
los protocolos dejarlo todos y no vamos a especificar puertos en acción.
Vamos a dejarlo todo como viene excepto por el propio uso al que vamos a usar el que acabamos de crear
acá podemos ver el estado de la fase 2 y determinar si la VPN está conectada o no dicen nada.
Entonces no tenemos VPN establecida todavía lógicamente porque en el Fortinet no decimos nada.
El último paso es Hira el firewall a la solapa del NAT y acá tenemos dos opciones.
Si ya tenemos creado una regla de sus NAT para salir a Internet esta normalmente la van a encontrar
siempre los nat ATT interface la interfaz de Internet y el Axon máscara.
Si tenemos esta regla podemos simplemente irá Albans vamos a la opción y PC Policy y lo dejamos así
out y
y listo.
Si no tuviéramos esta opción tenemos que crear una nueva de tipo susanato en el Cheyne y hasta colocar
la SONET local la SONET del otro extremo
y en Axon Accept y la deberíamos colocar antes del NAT.
Estas son las dos opciones que si así tienen que crear una de las dos dependiendo de su escenario.
Yo trabajo con la que les comenté al principio solamente agregué opciones en la regla de máscara de
Internet
y listo.
Este es todo el trabajo por parte de la empresa.
O sea del primer sitio.
Ahora vamos a trabajar en la empresa ve con el fãtbol fuerte.
Vamos a vernos
bien vamos a Hira de pene y PC external vamos a crear New disertarán
Katina en algunos templates o formas ya preconfigurados yo en lo personal siempre prefiero
irá mejor Republik era pises octano y acabamos.
Hay que aceptar el hueso
una casta no veía la opcion de tipo casta no lo voy a hacer de nuevo porque quedó un poco rebuscado
vamos a Natanael quedamos uno y vamos a la opción de Castrum le ponemos un nombre vamos a poner empresa
vamos a colocar la dirección IP de la empresa que es la 10 200 1 1
vamos a seleccionar la interfaz con la que logramos conectividad contra esta IP que en este caso es
el puerto 2
en la Transversal vamos a para la Andi Ceibal el Detection.
Luego vamos a poner la propiedad que tienen que ser igual que la que colocamos en el Rotter Democratic
del 0 al 7.
La versión de Haik en 1 el modo Maine y vamos a seleccionar el mismo tipo de Encryption y Authentication
que colocamos en la fase 1 del router micro Mirotic des y SA1 colocamos el grupo til damos la opción
de Grupo 2 esto lo dejamos como está porque coincide con el valor que pusimos en el micro tick.
Ahora en la parte de la fase 2 vamos a colocar la sub Net que está atrás del fãtbol 10 0 2 0 24 y la
net que está en el otro extremo atrás del router Mirotic la 10 0 1 0 24.
Abrimos esta opción de Albans vamos a sacar todo esto y esta es la Encryption y Authentication de la
fase 2 que tienen que coincidir con la que colocamos en el router micro etc. Esto lo vamos a destilar
porque pusimos en el router Mikati que no teníamos vamos a dejar tintado el auto negocié y esto lo dejamos
como hasta que hacemos clic en OK.
Con esto ya guardamos la configuración de la VPN en el faro lo que tenemos que hacer horas crear una
ruta Network estate Roots a Kalinin donde tengas la ruta para salir de internet.
Vamos a crear una nueva para indicarle al fãtbol cómo va por donde va alcanzar la SONET de la empresa
a vamos a decirle que para ir a la red 10 0 1 0 o 24 no vamos a especificar Getaway sino que vamos a
seleccionar la interfaz creada cuando creamos la VPN al seleccionar el quetuvo y desaparece y aceptamos
ahora lo que nos queda es crear una policía que permita el tráfico en ambas direcciones.
Esto es muy importante si no creamos en ambas direcciones la conectividad solo va a ser posible en un
sentido para esto vamos a policía de Nueva York y de cuatro policías
hasta voy a tener sólo una regla que es la de Internet vamos a crear una nueva
vamos a llamarla tú seit o tu empresa o o sea hacia la empresa.
El incoming interface es la interfaz de nuestra LAN que en este caso es la 3 que conecta a la PS2 y
ellos going interfaces y en este caso la interfaz de la VPN acaté dispondrá de un escenario real algo
más específico en el origen específico del destino sería la SONET de la empresa.
Si hubiera una programación en el tiempo en que sólo queremos que esto sea activo si no lo veis 7 por
24 servicios si quieren especificar alguno o ponen todos como es una BBN hay Piszk no corresponde el
NAT vamos a quitarlo
y no vamos a aplicar ningún perfil de seguridad y vamos a aceptar tenemos ahora la primer policía que
permite el tráfico de la empresa vía la empresa.
Ahora vamos a crear la reversa podemos crearla de cero como hicimos esta O.P seleccionamos esta botón
derecho Clear Rivers lo que va a hacer esto es crear una nueva policía basada en la anterior pero rebasando
las interfaces ahora pone incoming empresa y ongoing el puerto de la Alán del Forty y cerca hubiéramos
especificado algo en sus Destination hubiera invertido también vamos a ponerle un nombre from empresa
a
acá les ponen un comentario automático que es una copia de esta empresa de esta policía.
Yo lo voy a borrar y vamos a habilitar la policía hacemos clic ok y si se fijan las iconos de advertencia
que estaban acá desaparecieron y eso es porque la ves viene se levantó.
Si vamos a mirar el micro TIC fíjense que el Facebook Strait ahora me pone established quiere decir
que la VPN ya levantó también lo podemos verificar desde el firewall si vamos a que abajo la última
opción monitor AntiSec monitor vamos a ver que tenemos una sola VPN y está en verde y con la flechita
hacia arriba quiere decir que la VPN está establecida.
Lo único que nos resta ahora es probarla
vamos a abrir estas ventanas como las dejé al principio del vídeo que ya hemos probado el ping y no
funcionaba.
Vamos a repetir la prueba desde la pecé 2 que está en la red 10 cero dos cero de la empresa.
Vamos a hacerle un ping a ésta a la psé 1 Dieser 1 10 ubicada en la empresa.
Fíjense que el ping ahora responde quiere decir que la VPN está funcionando vamos a hacer lo mismo desde
la ps1 en la empresa vamos a hacerlo un pin a la 10 02 10 en la empresa.
Y este ping también responde de esta manera logramos muy rápido en muy pocos minutos establecer una
VPN IPSec entre dos empresas en las cuales en uno utilizan routers micro etic y en la otra utilizan
árboles Fortinet.
Espero que esto le sea de mucha utilidad y lo puedan aplicar.
Muchas gracias.