Hola bienvenidos otro video del curso micro de principiante a experto.
En este video vamos a ver los toneles IPsec.
Estos son los toneles más requeridos y los más utilizados por estos tiempos son túneles más seguros
tienen mucha seguridad y son prácticamente imposibles de quebrantar.
Pero también son más difíciles de configurar y de mantener en el tiempo
los túneles IPsec se dividen en fase 1 y fase 2 en la fase 1.
Definimos lo que se llama el pierde conexión o sea el extremo del del túnel.
La IP pública o la IP del enlace de la otra empresa o del otro sitio.
Cada fase tiene su configuración de seguridad en IPsec pir tenemos la fase 1 y en PIR.
La seguridad asociada a la fase 1 se los aclaro si porque en mi critic no dice en ningún lado explicitamente
Fase 1 y fase 2.
Así que si no están familiarizados o recién empiezan con Apeseg en micro Atic es importante que sepan
que la fase 1 es peor y la fase 2 es policía tenemos Cipca Policy y pecé Policy proposal como la seguridad
de la fase 2 así que vamos a empezar vamos a nuestro laboratorio y vamos a restaurar las configuraciones
en ambos sitios
para poder realizar esta práctica sin ninguna configuración previa que nos puedan sucederla en el laboratorio
bien
vamos a trabajar primero en el site 1.
Vamos será hype IPSec y acá van a tener todas las opciones de Pisac las importantes en un primer momento
son policías que es la fase 2 polis y proposal que es la seguridad de la fase 2 peor que es la fase
1 pir Profile que es la seguridad de la fase 1 en grupos simplemente pueden crear grupos para luego
definir templates no es algo que vayan a haber mucho por ahí en ritmo Diels van a verlos remotos conectados
de la fase 1 cuando los tengan
Mogt config son nuevas configuraciones que agregaron en las últimas actualizaciones
yo personalmente jamás las usé installed s a s van a ver las fases 2 que están establecidas verdad que
podrían poner fase 2 y fase 1 para simplificar la nomenclatura en X tendríamos acá las llaves para la
autenticación de las VPN estas vamos a ver ahora que podemos utilizar certificados para hacer el intercambio
de llaves entre los dos sitios o una Prichard que es lo que más se utiliza pero que ya según el microchip
no es tan seguro y en users podríamos tener usuarios además de toda la seguridad que ya trae de por
sí el túnel IPSec.
Vamos a concentrarnos en fase 2 y fase 1 antes de configurar cualquiera de las dos fases tenemos que
hacer primero su seguridad así que vamos a Profiles para la seguridad de la fase 1 y vamos a agregar
un nuevo profiling vamos a llamarlo IPsec nada más y el algoritmo de Jack tenemos desde el menos seguro
hasta el más seguro de todos siempre considerando que el más fuerte penaliza con más consumo de recursos
de nuestro equipo vamos a ir por ahora con un ya uno y unos algoritmos de inscripción vamos a seleccionar
a 12:56 y mientras menos tengan atildados va a ser más seguro porque si ustedes tienen más de uno atildada
quiere decir que son opciones.
Este perfil puede funcionar con éste o con éste o con éste o con éste y alguien podría llegarse a colar
por eso por tener tantas opciones tildadas mientras menos es más seguro y es 12:56 es el más fuerte
de todos los algoritmos de Encryption con lo cual estamos bien.
Luego tenemos el de Group dirige el mangrullo microciclos usa la nomenclatura Motupe pero si vamos a
la página de micro etic de la descripción del Piszk van a ver una tabla donde tienen la equivalencia
de la nomenclatura de tipo 1 Grupo 2 Grupo 5 a su equivalente en Motupe por ejemplo GRUB 2 es Motte
1024.
Así que vamos a usar ese grupo 2 proposal lo dejamos 0 Veil Lifetime pueden cambiarlo para lo que quieran
siempre tengan presente que en las configuraciones hay piezas tienen que ser iguales en ambos sitios
sino al túnel no levanta transversales para cuando estamos atrás Donat.
Por ejemplo un proveedor de Internet que nos matea en la salida y no nos da la IP pública entonces tendremos
que hacer una transversal pero no es nuestro caso.
Y finalmente DPD es peor detection esto detecta cuando la conexión pierde el otro extremo está muerto
y intenta restablecer el túnel.
Nosotros ponemos que pruebe o intente detectar si el otro murió cada 5 segundos y si tiene dos fallas
que reinicia el túnel y así nos quedaría la seguridad de la fase 1.
Ahora vamos a programar la fase 1 en adre tenemos que poner el PIR público del otro sitio que es la
10 200 1 2 en Profiler que acabamos de crear.
Es lo que yo les comentaba el método de autenticación.
Puede ser con Pritchard que ahora tienen nuevos con certificados y algunas otras cosas más pero la más
común utilizada ampliamente no sólo por micro sino por todos los equipos es la precisión etc.Y.
Luego tenemos el Exchange modo que es tenemos estas opciones EITC dos Main sería como hoy 1 en caso
de que les digan ustedes que el método que tienen que utilizar es hoy uno tiene que poner Mayne si tildan
pacem quiere decir que este equipo va a esperar que el otro de la conexión inicial y un secreto que
tiene que ser igual en ambos lados y en Advances no vamos a tocar nada salvo que se toque lo que haya
acá salvo tal vez esta opción Descent inicio el contacto que le estamos diciendo que este equipo es
el iniciador de la conexión pero pueden tenerlo los dos lados y no pasa nada bien aceptamos
fijense que nos Sharón alerta de que estamos utilizando una configuración insegura y nos sugieren que
utilicemos certificados.
Este mensaje viene desde hace ya algunas cuantas oraciones Democratic y lamentablemente no lo podemos
quitar.
Ahora vamos con la seguridad de la fase dos van a ver que es muy parecida a la de la fase 1 proposal
vamos a nombrarlo IPSec y los algoritmos de autenticación inscripcion van a ver que son los mismos y
vamos a tildar de nuevo ya 1 y 2 56 Lifetime.
Vamos a dejar de 30 segundos y PFS Grub es Perfect Forward Secrecy y es lo mismo que él dirige el mangrullo
vamos a elegir GRUB 2 que es Motupe 1024 le damos OK y ahora vamos a crear la fase 2 fijense.
Esta es interesante en la fase 2 tenemos ya una creada por defecto que tiene todos ceros.
Quiere decir que en la fase 2 acepta cualquier Jost y comparte cualquier red que tengamos en nuestra
LAN.
Esta regla por defecto la estuvimos utilizando pero no nos dimos cuenta cuando creábamos por ejemplo
el servidor L2 TPE y le poníamos que utilizais pisé nosotros al hacer esta configuración y le creaba
un túnel IPSec.
Gracias a este esta Policy por defecto que viene muy amplia para mi gusto vamos a desactivarla.
Lamentablemente no se puede borrar pero con anularla es suficiente y vamos a agregar nuestra propia
policía en la solapa general.
Lo que tenemos que poner acá es el dominio de inscripción o el tráfico interesante también conocido
así.
Estos son los equipos las direcciones tipeo las sub Net de nuestra red que van a poder conectarse a
los equipos o sub Net de la red del otro sitio.
Nosotros vamos a compartir la red entera del aceituno con la red entera del pseudos
y que podrían poner que este túnel hay Piszk solo sirve para protocolos apice y CMP TCP o DP o todos
pero no se limita a esto nada más.
Por alguna razón no ponen acá todos pero si ustedes conocen el número del protocolo por ejemplo acá
no sale el protocolo core pero si nosotros ponemos acá XLVII este túnel hay Piszk solo va a funcionar
para cursar tráfico con protocolo GREE.
Vamos a dejarlo en HOL y podremos generar mejor dicho crear esta policía como si fueran template y asociarla
a un grupo de estos que tenemos ahora no vamos a hacerlo en acción.
Vamos a poner que encripta
level Recoil quiere decir obligatorio a IPsec Protocol tenemos SP y H el más utilizado siempre es X.P
y los túneles IPsec pueden funcionar en modo túnel o en modo transporte.
En este video vamos a trabajar en modo túnel con otro video veremos un ejemplo de transporte y van a
ver las diferencias entre uno y otro y zorzales y destinã y llenadera son los Piers pueden ser IPES
públicas pueden ser TLS es la dirección IP con la que van a establecer este túnel VPN
finalmente el propio USAL que es la seguridad de la fase 2 y aceptamos como sabemos un túnel este levantado.
Con este marcador pH 2 6 3 6 Tuxtepec el estado de la fase 2 y nos dice No Feist.
Esto quiere decir que el túnel no está levantado y lógicamente no está levantado porque en el 6 no hicimos
nada.
Ahora vamos a hacer las configuraciones propias en el 6 2
recuerden que ambas configuraciones tienen que ser coincidentes si no el túnel no levanta.
Voy a desactivar la policía por defecto y voy a crear primero el perfil de la fase una
lo que vamos a hacer la configuración del PIB de la Fase 1
luego hacemos la seguridad de la fase 2
y finalmente la configuración de la Policía de la fase 2.
Este es el tráfico interesante o dominio de Encryption local y remoto
todos los protocolos de tipo túnel y las públicas.
Finalmente el proposal y fíjense que cuando yo acepte esto debería levantar inmediatamente el túnel.
Este no debería pasar a established y acá lo mismo
bien usaron el túnel IPSec ya está funcionando.
Ahora solamente nos resta hacer un pequeño agregado en rutas no tenemos que agregar nada y tampoco se
agrega ninguna automatica los túneles hay IPsec funcionan antes de la tabla de ruteo con lo cual los
paquetes ya saben a dónde tienen que ir sin la necesidad de venir a consultar la ruta.
Se los cuento para que no piensen que nos olvidamos algo en las rutas lo que sí tenemos que hacer es
enfadar Walpole y si no en árbol Nath tenemos que agregar una regla de tipo sours Nath que diga lo siguiente
en sus no tras nuestras obtained perdón o la dirección IP del dominio de inscripción de la VPN
esto que pusimos acá.
Estos mismos valores que estamos poniendo acá los tenemos que poner en una regla de NAT
así el mismo dominio de inscripción del túnel IPSec tenemos que hacerlo en una regla de sours Nat con
la acción de acceso en ambos lados
por qué tenemos que hacer esto.
Porque si no el tráfico puede llegar a enmascararse con otra regla de susanato o más Kraid y estaría
yendo hacia el paquete por internet en lugar del túnel IPSEC
y esta regla la tienen que poner antes de cualquier otra regla de Susanato.
De esta manera
con estas últimos agregados de NAT
podemos ir a nuestros equipos Windows
y probar conexión
vamos primero en 6 1
y vamos a hacerle un ping al equipo Windows de 6 2 me responde perfectamente
ahora la prueba contraria.
Bien tengo conexión.
Ahora una aclaración supóngase que nuestra VPN en el tráfico interesante dominio de inscripción sólo
necesitamos agregar permitir el tráfico a ciertos equipos por ejemplo a la 1:10 a la 1:20 y a la 1 100.
Esto no lo podemos hacer a menos que hagamos tres reglas tres policías distintas o esta genérica barra
24 que permite todas las Burnet y luego filtramos por Farewell.
Vamos a Filter agregamos una regla de forward
que diga
que
en sours que sería el equipo del otro lado o la suponete entera del pseudos no puede llegar a este equipo
que es nuestro Windows del 6 1.
Le ponemos la regla drop
vamos a limpiar las conexiones porque teníamos conexiones establecidas que estaban permitiendo ese tráfico
y ahora vamos a ver qué pasa cuando queramos repetir esta prueba de pings.
Observen que no responde.
Estas son dos formas que pueden resolver cuando tienen un caso de que tienen que permitir solamente
conectividad desde el sitio remoto hacia su sitio local solamente a algún número de Jost limitados.
Como no podemos poner
en la policía una lista de host solamente nos permite poner un AIPE o una suponete.
Tenemos esas dos opciones o le permitimos toda la conexión a la barra 24 antera y luego los filtramos
por árbol o agregamos varias reglas más siendo más específicos poniendo en las primeras reglas que pueden
llegar al 10 y luego la van copiando y ponen van agregando así las diferentes policías.
Esas son las dos formas en las que pueden controlar a dónde pueden conectarse los equipos del sitio
remoto que no siempre es una empresa de ustedes así que es muy importante que mantengan la seguridad
y el control.
Muchas gracias y nos vemos en el siguiente video.