Metodologa para la Implementacin de Redes Privadas Virtuales

UNIVERSIDAD TCNICA DEL NORTE

FACULTAD DE INGENIERIA EN CIENCIAS APLICADAS

ESCUELA DE INGENIERIA EN SISTEMAS COMPUTACIONALES

Tesis previa la obtencin del ttulo de Ingeniero en Sistemas Computacionales

Tema: Metodologa para la Implementacin de Redes Privadas Virtuales, con Internet como red de enlace.
AUTOR: Cosme MacArthur Ortega B.

DIRECTOR DE TESIS:

Ing. Msc. Rodrigo Naranjo

Ibarra, Enero del 2003

Cosme MacArthur Ortega Bustamante

Metodologa para la Implementacin de Redes Privadas Virtuales

CERTIFICACIN.

Certifico que el desarrollo de la presente tesis fue realizada en su totalidad por el Egresado Cosme MacArthur Ortega Bustamante bajo mi direccin.

_____________________ Ing. Msc. Rodrigo Naranjo DIRECTOR DE TESIS

Cosme MacArthur Ortega Bustamante

Metodologa para la Implementacin de Redes Privadas Virtuales

Tesis de Grado

Metodologa para la Implementacin de Redes Privadas Virtuales, con Internet como red de enlace.

Cosme MacArthur Ortega Bustamante i

Metodologa para la Implementacin de Redes Privadas Virtuales

Agradecimiento

Al Ing. Rodrigo Naranjo, Director de Tesis, por el aporte brindado con sus valiosos conocimientos, cometarios y recomendaciones, para la correcta elaboracin de la presente investigacin.

A todos los Docentes, Trabajadores y Estudiantes de la Facultad de Ingeniera en Ciencias Aplicadas, por su colaboracin en la realizacin del presente trabajo.

Al Ing. Irving Reascos, compaero de trabajo quien ha colaborado con sus conocimiento y experiencia en el rea de Redes.

Cosme MacArthur Ortega Bustamante ii

Metodologa para la Implementacin de Redes Privadas Virtuales

Dedicatoria

La presente investigacin la dedico a mis padres que han dedicado todo su esfuerzo, sacrificio y han sabido conducirme por el camino correcto para la finalizacin de mis estudios.

Cosme M. Ortega B.

Cosme MacArthur Ortega Bustamante iii

Metodologa para la Implementacin de Redes Privadas Virtuales

Introduccin

La presente investigacin tiene como finalidad dar a conocer una nueva tecnologa que an se encuentra en evolucin, tecnologa que nos permitir conectar redes distantes geogrficamente, de manera segura y a bajos costos, utilizando redes pblicas como medio de enlace o transmisin. Esta tecnologa se denomina Redes Privadas Virtuales (VPN en ingles Virtual Private Network). En la actualidad este trmino (VPN), ya es muy comn dentro de las telecomunicaciones, existiendo empresas a nivel mundial que se dedican exclusivamente a la investigacin y prestacin de servicios de esta tecnologa. Esta investigacin nos presenta los aspectos ms importantes referentes a VPN s, empezando por una breve introduccin a las Redes Privadas Virtuales, donde analizaremos conceptos sobre VPN, adems estudiaremos los diferentes elementos que se necesitan para implementar un sistema de Red Privada Virtual, se revisar los tipos de implementaciones comunes, los requisitos, y sus beneficios de esta tecnologa. En las Redes Privadas Virtuales, utilizaremos protocolos que pertenecen a la pila de protocolos del TCP/IP, por lo que hemos credo necesario hacer un estudio del protocolo TCP/IP, en su formato de 4 capas que corresponde a la capa de interfaz de red, capa de Internet, capa de transporte y capa de aplicacin. Analizaremos los diferentes protocolos de tnel que se pueden utilizar para la implementacin de VPN, entre los que tenemos PPTP (Point to Point Tunneling Protocol), el protocolo L2F (Layer Two Forwarding) y el protocolo L2TP (Layer Two Tunneling Protocol) protocolo que reemplazo al L2F, adems estudiaremos el protocolo PPP y el IPSec, protocolos muy utilizados en varios tipos de redes. Las Redes Privadas Virtuales poseen diferentes arquitecturas que deben ajustarse a los requerimientos de las empresas, es por esto que se ha visto la necesidad de estudiar cada una de las arquitecturas entre las que tenemos VPN proporcionada por un proveedor de servicios de Red (ISP), VPN basada en cortafuegos, VPN Cosme MacArthur Ortega Bustamante iv

Metodologa para la Implementacin de Redes Privadas Virtuales basada en caja negra, VPN basada en Enrutador, VPN basada en acceso remoto, VPN basada con herramientas proxy, VPN basada en software. Arquitecturas que el lector deber escoger de acuerdo a su necesidad. Una vez estudiadas las arquitecturas he credo conveniente estudiar las diferentes topologas de Redes Privadas Virtuales que se pueden obtener, para tener claro en donde se debe instalar su VPN dentro de su topologa de su red. Entre las topologas ms comunes Cliente, Topologa de VPN/LAN a tenemos Topologa de Cortafuego/VPN a LAN, Topologa de VPN/Cortafuego a

Intranet/Extranet, Topologa de VPN/Tramas o ATM, Topologa de VPN de hardware (Caja Negra), Topologa de VPN/NAT, Tneles de VPN anidados. Como veremos en el transcurso del desarrollo de esta investigacin los trminos de VPN y de Seguridad, van de la mano, por lo que hemos dedicados un capitulo de la investigacin al tratamiento de las seguridades en VPN, en la que estudiaremos los posibles ataques que se pueden dar a una VPN, la manera de cmo identificar los ataques, la importancia de la seguridad en las Redes Privadas Virtuales, los diferentes requisitos de seguridad en las Redes Privadas Virtuales. En la parte final, presentamos una metodologa para la implementacin de Redes Privadas Virtuales con Internet como red de enlace, metodologa que sugiere al lector una serie de pasos y aspectos que se deben tomar en cuenta para una mejor implementacin de una Red Privada Virtual. Y por ltimo presentamos la instalacin y configuracin de una red privada virtual con Windows2000 Server el cual tendr la funcin de servidor VPN y Windows98se que ser el cliente de la VPN. Esperando que la presente investigacin sirva para afianzar en los lectores los conocimientos referentes a redes y VPNs, despertar en ellos la curiosidad por esta nueva tecnologa que poco a poco va creciendo y posesionndose en el mercado de las telecomunicaciones, y motivar la investigacin de este interesante tema. EL AUTOR.

Cosme MacArthur Ortega Bustamante v

Metodologa para la Implementacin de Redes Privadas Virtuales

INDICE
Portada Agradecimiento Dedicatoria Introduccin Indice i ii iii iv vi

CAPITULO 1. Introduccin a las Redes Privadas Virtuales 1.1.- Elementos de una conexin VPN 1.2.- Implementaciones comunes de una VPN 1.2.1.- Intranet 1.2.2.- Acceso remoto 1.2.3.- Extranet 1.2.4.- VPN Interna 1.3.- Requisitos de una Red Privada Virtual 1.4.- Beneficios de las Redes Privadas Virtuales 1 5 6 7 7 8 9 10 13

CAPITULO 2. Protocolos TCP/IP 2.1.- Introduccin 2.2.- Arquitectura de TCP/IP 2.3.- Capa de Interfaz de Red 2.4.- Capa de Internet 2.4.1.- IP (Internet Protocol) 2.4.2.- Fragmentacin y ensamblado 2.4.3.- Internet Control Message Protocol (ICMP) 2.4.4.- Protocolo de Manejo de Grupos de Internet (IGMP) 2.5.- Capa de Transporte 2.5.1.- Protocolo de Datagrama de Usuarios (UDP) 2.5.2.- Protocolo de Control de Transmisin TCP 2.5.2.1.- Interfaces TCP 2.5.2.2.- Control de Flujo 2.6.- Capa de Aplicacin 16 17 18 19 23 23 33 33 35 36 37 39 41 42 43

Cosme MacArthur Ortega Bustamante vi

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO 3. Protocolos de Tnel 3.1.- Introduccin 3.2.- Protocolos de Tnel 3.2.1.- Protocolo Punto a Punto (PPP) 3.2.2.- Protocolo de Tnel Punto a Punto (PPTP) 3.2.3.- Transmisin de Nivel 2 (L2F) 3.2.4.- Protocolo de Tnel de nivel 2 (L2TP) 3.2.5.- Protocolo de Internet Seguro (IPsec) 3.3.- Tipos de Tnel 3.3.1.- Tneles Voluntarios 3.3.2.- Tneles Obligatorios 46 47 49 52 56 60 61 65 67 68 69

CAPITULO 4. Arquitectura de Red Privada Virtual 4.1.- VPN proporcionada por un proveedor de servicios de Red (ISP) 4.2.- VPN basada en cortafuegos 4.3.- VPN basada en caja negra 4.4.- VPN basada en Enrutador 4.5.- VPN basada en acceso remoto 4.6.- VPN basada con herramientas proxy 4.7.- VPN basada en software 71 73 76 77 79 80 81 82

CAPITULO 5. Topologas de Red Privada Virtual 5.1.- Topologa de Cortafuego/VPN a Cliente 5.2.- Topologa de VPN/LAN a LAN 5.3.- Topologa de VPN/Cortafuego a Intranet/Extranet 5.4.- Topologa de VPN/Tramas o ATM 5.5.- Topologa de VPN de hardware (Caja Negra) 5.6.- Topologa de VPN/NAT 5.7.- Tneles de VPN anidados 84 86 88 90 92 94 97 98

CAPITULO 6. Cosme MacArthur Ortega Bustamante vii

Metodologa para la Implementacin de Redes Privadas Virtuales Seguridades de Red Privada Virtual 6.1.- Ataques a la red privada virtual. 6.1.1.- Ataques a los algoritmos criptogrficos. 6.1.2.- Ataques al generador de nmeros aleatorios. 6.1.3.- Ataques a la recuperacin de claves. 6.1.4.- Ataques al Protocolo de Seguridad de Internet (IPSec). 6.1.5.- Ataques al protocolo PPTP. 6.1.6.- Ataques a la autoridad emisora de certificados. 6.1.7.- Ataques a radius. 6.1.8.- Ataques a kerberos. 6.1.9.- Ataques a pretty good privacy (PGP). 6.1.10.- Ataques de negacin de servicio. 6.1.11.- Ataques de Autentificacin. 6.2.- Como identificar los ataques. 6.3.- Importancia de la Seguridad en las VPN. 6.4.- Requisitos de seguridad en las Redes Privadas Virtuales. 6.4.1.- Criptografa. 6.4.1.1.- Algoritmos Simtricos. 6.4.1.1.1.- Cifras de bloque. 6.4.1.1.2.- Cifras de flujo. 6.4.1.2.- Algoritmos Asimtricos. 6.4.1.2.1.- Algoritmo Diffie-Hellman. 6.4.1.2.2.- Algoritmo RSA. 6.4.1.3.- Algoritmo Hbrido (PGP). 6.4.1.4.- Otros Cifrados. 6.4.2.- Certificados Digitales. 6.4.3.- Autenticacin. 6.4.3.1.- Contraseas del Sistema Operativo. 6.4.3.2.- S/KEY. 6.4.3.3.- RADIUS. 6.4.3.4.- KERBEROS. 6.4.3.5.- LDAP. 6.4.3.6.- EAP. 6.4.3.7.- ISAKMP/Oakley 6.4.4.- Sin Repudio. 6.4.5.- Cifrado Punto a Punto. 6.4.6.- Administracin de seguridad centralizada. 100 104 105 108 109 110 111 113 113 114 114 115 117 119 120 121 122 123 124 126 126 127 128 128 129 130 131 131 132 133 133 134 134 135 135 135 136

Cosme MacArthur Ortega Bustamante viii

Metodologa para la Implementacin de Redes Privadas Virtuales 6.4.7.- Procedimientos de respaldo/restauracin. 6.4.7.1.- Planes de contingencia. 6.5.- Sistemas Operativos. 6.5.1.- Niveles de Seguridad C2, B1 (Orange book). 137 138 139 139

CAPITULO 7. Metodologa para la implementacin de una VPN. 7.1. Formacin de un Equipo Ejecutor 7.2. Fijacin del Alcance 7.3 Estudio y Anlisis 7.4. Eleccin de la Plataforma 7.5. Propuestas de Soluciones. (Diseo) 7.6. Seguridades. 7.6.1. Fijacin de Objetivos 7.6.2. Relacin Costos vs. Riesgos. 7.7. Plan de Contingencia. 7.8. Costos. 7.8.1. Hardware 7.8.2. Software 7.8.3. Capacitacin 7.8.4. Contratacin de Servicios 7.9. Implementacin 7.10. Mantenimiento 7.10.1. El Mantenimiento preventivo 7.10.2. El mantenimiento correctivo 7.10.3. La Actualizacin 7.10.4. La Renovacin 7.11. Medicin de Resultados. 142 144 145 146 147 148 149 149 149 150 151 151 152 152 152 153 153 153 154 154 154 155

COMPROBACION DE HIPOTESIS CONCLUSIONES RECOMENDACIONES BIBLIOGRAFIA ANEXOS Instalacin y configuracin del Servidor VPN en Windows 2000 Server.

156 157 159 161 168 169

Cosme MacArthur Ortega Bustamante ix

Metodologa para la Implementacin de Redes Privadas Virtuales Instalacin y configuracin del Cliente VPN con Windows XP Profesional. Instalacin y Configuracin del Cliente VPN con Windows 98se. Referencias Bibliogrficas 210 220 226

Cosme MacArthur Ortega Bustamante x

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO I

INTRODUCCIN A LAS REDES PRIVADAS VIRTUALES

1.1.1.2.1.3.1.4.-

Elementos de una conexin VPN Implementaciones comunes de una VPN Requisitos de una Red Privada Virtual Beneficios de las Redes Privadas Virtuales

Cosme MacArthur Ortega Bustamante 1

Metodologa para la Implementacin de Redes Privadas Virtuales

La gran escalabilidad de las empresas y la forma actual de negociacin a nivel mundial se basa en la informacin que estas puedan poseer y manipular, convirtindose en un factor vital para estas, el uso de redes de computadores que deben cumplir con atributos como seguridad, confiabilidad, y bajos costos, atributos fciles de conseguir en una red privada, a la cual ningn agente externo a la red puede ingresar. En la actualidad es ms comn escuchar de empresas en las que es necesario tener oficinas muy distantes del lugar geogrfico en donde se encuentra la matriz de la empresa, esto nos hace pensar en la forma de conectividad entre estas oficinas y la matriz. La conectividad la podemos obtener de varias formas con costos y tiempos de respuesta muy altos, y algo muy importante la mnima seguridad que estas poseen. La introduccin del trmino y la tecnologa de Redes Privadas Virtuales (en

Ingls VPN Virtual Private Network), han evolucionado durante los ltimos 5 aos (1997), ya que es una tecnologa que naci paralelamente con el origen del TPC/IP, en la dcada de los 70. Una red VPN es una extensin de una red privada que utiliza enlaces a travs de redes pblicas o compartidas (una red publica y compartida ms comn es Internet). Con una VPN se puede enviar datos entre dos computadoras a travs de redes pblicas o compartidas de una manera que emula las propiedades de un enlace punto a punto privado. Para lograr esta funcionalidad, la tecnologa de redes seguras, privadas y virtuales debe completar tres tareas: Deben ser capaces de transportar paquetes IP a travs de un tnel en la red pblica, de manera que dos segmentos de LAN remotos no parezcan estar separados por una red pblica. La solucin debe agregar encriptacin, de manera que el trfico que cruce por la red pblica no pueda ser espiado, interceptado, ledo o modificado.

Cosme MacArthur Ortega Bustamante 2

Metodologa para la Implementacin de Redes Privadas Virtuales La solucin debe ser capaz de autenticar positivamente cualquier extremo del enlace de comunicacin de modo que un adversario no pueda acceder a los recursos del sistema. Para emular un enlace punto a punto, los datos son encapsulados o envueltos, con una cabecera que proporciona la informacin de enrutamiento que le permite atravesar la red pblica o compartida para llegar a su destino. Para emular un enlace privado, los datos enviados son encriptados para tener confidenciabilidad. Los paquetes que son interceptados en la red pblica o compartida son indescifrables. El enlace en el cual los datos son encapsulados y encriptados se conoce como una conexin de red privada virtual (VPN) [WWW05]. La figura 1.1 ilustra el concepto lgico de una VPN.

Conexin VPN

Red Pblica o compartida

Red equivalente sin VPN

Figura 1.1.- Red Privada Virtual (Virtual Private Network, VPN)

Con las conexiones VPN los usuarios que trabajan en casa o de manera mvil pueden tener una conexin de acceso remoto a un servidor de la organizacin Cosme MacArthur Ortega Bustamante 3

Metodologa para la Implementacin de Redes Privadas Virtuales utilizando la infraestructura proporcionada por una red pblica como Internet. Desde el punto de vista del usuario, la VPN es una conexin punto a punto entre la computadora (cliente VPN), y el servidor de la organizacin (servidor VPN). La infraestructura exacta de la red pblica o compartida es irrelevante porque desde el punto de vista lgico parece como si los datos fueran enviados por un enlace privado dedicado. Con las conexiones VPN las organizaciones tambin pueden tener conexiones enrutadas (routed connections) con sus oficinas geogrficamente separadas o con otras organizaciones por una red como Internet, manteniendo a la vez una comunicacin segura. Una conexin VPN enrutada a travs de Internet opera desde el punto de vista lgico como un enlace WAN dedicado. Con las conexiones VPN, tanto en las conexiones de acceso remoto como las conexiones enrutadas, una organizacin puede cambiar de lneas rentadas (leased lines) o accesos telefnicos (dial-up) de larga distancia a accesos telefnicos locales o lneas rentadas con un proveedor de servicio de Internet (Internet Service Provider, ISP). De acuerdo a estos prembulos se define a una red privada virtual:

Un intercambio de informacin entre dos puntos de una forma segura a travs de una red insegura y pblica

Cosme MacArthur Ortega Bustamante 4

Metodologa para la Implementacin de Redes Privadas Virtuales

1.1.- Elementos de una conexin VPN.

La tabla 1.1 y la figura 1.2 muestran los elementos de una conexin VPN, los cuales se describen[WWW05].
Tabla 1.1.- Elementos de una conexin VPN

Elemento Servidor VPN Cliente VPN Tnel Conexin VPN Protocolos de Tnel Datos de Tnel Red de Tnsito

Detalle Administra clientes VPN Cliente Remotos Encapsulamiento de los datos Encriptacin de datos Administracon de tneles Datos que se transmiten Red pblica de enlace

Figura 1.2.- Componentes de una conexin VPN

Tnel

Red de Trnsito

Cloud

Servidor VPN Cliente VPN Conexin VPN

Servidor VPN.- Computadora que acepta conexiones VPN de clientes VPN. Encargado de administrar todos los clientes VPN y proporcionar la seguridad de la red. Cliente VPN.- Computadora que inicia una conexin VPN con un servidor VPN. Tnel.- Porcin de la conexin en la que los datos son encapsulados.

Cosme MacArthur Ortega Bustamante 5

Metodologa para la Implementacin de Redes Privadas Virtuales Conexin VPN.- Porcin de la conexin en la cual los datos son encriptados. Para conexiones VPN seguras, los datos son encriptados y encapsulados en la misma porcin de la conexin. Nota: Es posible crear un tnel y enviar los datos a travs del tnel sin encriptacin. Esta no es una conexin VPN porque los datos privados viajan a travs de la red pblica o compartida en una forma no encriptada y fcilmente visible e insegura. Protocolos de tnel.- Se utilizan para administrar los tneles y encapsular los datos privados. Existen varios protocolos de tnel que se estudiarn ms adelante. Datos del tnel.- Datos que son generalmente enviados a travs de un enlace punto a punto. Red de trnsito.- Red pblica o compartida que permite el trnsito de los datos encapsulados. La red de trnsito puede ser Internet o una intranet privada.

1.2.- Implementaciones comunes de una VPN.

Entre las implementaciones ms comunes se tiene 4 maneras claramente identificadas [LIB02]:

TIPO VPN de Intranet VPN de Acceso Remoto VPN de Extranet VPN Interna

DETALLE Creacin de conexin entre las oficinas centrales y las oficinas remotas. Creacin de conexin entre las oficinas centrales y los usuarios mviles remotos. Creacin de conexin entre la empresa y sus socios comerciales. Creacin de conexin dentro de una LAN

Tabla 1.2.- Implementaciones comunes de una VPN

Cosme MacArthur Ortega Bustamante 6

Metodologa para la Implementacin de Redes Privadas Virtuales

1.2.1.- VPN de Intranet.

Este tipo de implementacin esta dada por la creacin de una conexin entre las oficinas centrales corporativas y las oficinas remotas que se encuentran en el exterior. A comparacin con una Intranet tpica el acceso viene desde el exterior a la red y no desde el interior. La siguiente figura ilustra una Red privada Virtual de Intranet.

Ofinina de Ventas Remota

Internet

Oficinas Centrales

Ofinina de Ventas Remota

Figura 1.3.- VPN de Intranet

1.2.2.- VPN de Acceso Remoto.

Una red privada virtual de acceso remoto se crea entre las oficinas centrales corporativas y los usuarios mviles remotos a travs de un ISP. Como se puede observar en la siguiente figura, el usuario mvil levanta una conexin telefnica con un ISP y crea un tnel de conexin hacia las oficinas centrales corporativas.

Cosme MacArthur Ortega Bustamante 7

Metodologa para la Implementacin de Redes Privadas Virtuales

Oficinas Centrales Internet

Oficina de ventas Remota

Usuario Mvil

ISP Usuario Mvil

Figura 1.4.- VPN de Acceso Remoto

1.2.3.- VPN de Extranet.

Una red privada virtual de Extranet se crea entre la empresa y sus socios comerciales (clientes, proveedores), mediante el protocolo HTTP, que es el comn de los navegadores de Web, o mediante otro servicio y protocolo ya establecido entre las dos partes involucradas. Esta implementacin tiene mayor impacto en todo lo referente al comercio electrnico brindando seguridad y eficacia para las empresas y sus socios comerciales. La figura 1.5 ilustra una red privada virtual de extranet.

Cosme MacArthur Ortega Bustamante 8

Metodologa para la Implementacin de Redes Privadas Virtuales

Oficina de Ventas Remota Oficinas centrales

Internet

Proveedores

Clientes

Figura 1.5.- VPN de Extranet

1.2.4.- VPN Interna.

Una red privada virtual interna, es una implementacin que no tiene un uso frecuente en el entrono de las redes. Este tipo de implementacin se crea en una LAN, siempre que se considere necesario transferir informacin con mucha privacidad entre departamentos de una empresa. Esta red privada virtual interna es necesaria implementarla cuando se cree que se pueden tener ataques informticos realizados por los mismos empleados de la empresa. La figura 1.6 ilustra una configuracin tpica de red privada virtual interna.

Cosme MacArthur Ortega Bustamante 9

Metodologa para la Implementacin de Redes Privadas Virtuales

Servidor

PC

PC

VPN Interna

Ethernet

Servidor
PC

Ethernet

PC

PC

Figura 1.6.- VPN Interna

1.3.- Requisitos de una Red Privada Virtual.

Para garantizar que una red privada virtual sea segura, este disponible y sea fcil de mantener es necesario cumplir con ciertos requisitos esenciales que una empresa debe tomar en cuenta antes de implementar una Red Privada Virtual [LIB02]. Estos requisitos son los siguientes: Disponibilidad Control Compatibilidad Seguridad Interoperabilidad Confiabilidad Autenticacin de datos y usuarios Cosme MacArthur Ortega Bustamante 10

Metodologa para la Implementacin de Redes Privadas Virtuales Sobrecarga de trfico Mantenimiento Sin repudio Disponibilidad.- La disponibilidad se aplica tanto al tiempo de actualizacin como al de acceso. No basta que el usuario tenga autorizacin para acceder a los servidores corporativos, si no puede conectarse debido a problemas de la red, por tanto se debe asegurar la disponibilidad en la parte fsica de la red. Control.- El control debe ser implementado por el supervisor o administrador de la Red Privada Virtual, sea este interno o externo dependiendo de la como se realiz la implementacin de VPN. Debemos tomar en cuenta que por muy grande que sea la organizacin es posible tener una solo VPN, lo que facilitar al administrador de la VPN el control sobre la misma. Compatibilidad.- Debido que al utilizar tecnologas de VPN y de internet estas se basan en protocolo IP, por lo que la arquitectura interna del protocolo de red de la compaa debe ser compatible con el protocolo IP. Seguridad.- Hablar de seguridad y de red privada virtual, hasta cierto punto se podra decir que son sinnimos. La seguridad en una VPN abarca todo, desde el proceso de cifrado que se implementa hasta los servicios de autenticacin de usuarios. Es necesario que se tenga muy en cuenta este trmino de seguridad, ya que se puede afirmar que una VPN sin seguridad no es una VPN. Interoperabilidad.- La interoperabilidad de una red privada virtual, es muy importante para la transparencia en la conexin entre las partes involucradas. Confiabilidad.- La confiabilidad es uno de los requisitos importantes que debe poseer en una Red Privada Virtual, pero esta confiabilidad se ve afectada en gran porcentaje en la VPN de Acceso Remoto en las que se sujeta a la confiabilidad que se tiene por parte del ISP, ya que si el servicio del ISP se interrumpe la

Cosme MacArthur Ortega Bustamante 11

Metodologa para la Implementacin de Redes Privadas Virtuales conexin tambin y nosotros no se podr hacer nada hasta que el ISP nuevamente brinde su servicio a los clientes. Autenticacin de Datos y Usuarios.- La autenticacin de datos y de usuarios es sumamente importante dentro de cualquier configuracin de Virtual. La autenticacin de datos afirma que los datos han sido entregados a su destinatario totalmente sin alteraciones de ninguna manera. La autenticacin de usuarios es el proceso en el que se controla que solos los usuarios admitidos tengan acceso a la red y no sufrir ataques por usuarios externos y maliciosos. Sobrecarga de trfico.- La sobrecarga de trfico es un problema de cualquier tipo de tecnologa de redes, y por ende tambin es un problema inevitable, especialmente si tenemos una red privada virtual a travs de un ISP. Tomando en cuenta que un paquete enviado en una VPN es encriptado y encapsulado lo que aumenta de manera significativa la sobrecarga de trfico en la red. Mantenimiento.- El mantenimiento, aspecto del que no se puede olvidar. Si la red privada virtual es implementada con los propios recursos de la empresa es necesario considerar que el mantenimiento debe estar soportado por el propio personal del departamento de sistemas, el cul debe estar capacitado para este fin. De no poseer el personal capacitado es preferible contratar servicio externos que se encarguen de la implementacin y mantenimiento de la red privada virtual de mi empresa. Sin repudio.- Consiste en el proceso de identificar correctamente al emisor, con la finalidad de tener claro desde donde proviene la solicitud. Si se considera que una VPN me va a servir para contactarme con mis clientes es necesario que este bien identificado de donde proviene el pedido. Para poder realizar cualquier transaccin comercial (comercio electrnico) por internet es necesario que esta transaccin sea un proceso sin repudio. No podemos dar cuenta que nuevamente se esta hablando de seguridad, una de las caractersticas fundamentales en una VPN. Cosme MacArthur Ortega Bustamante 12 Red privada

Metodologa para la Implementacin de Redes Privadas Virtuales

1.4.- Beneficios de las Redes Privadas Virtuales.

El simple hecho de hablar de redes privadas virtuales, como se indic anteriormente, viene a la mente el trmino de seguridad, as como tambin el bajo costo que esta tecnologa necesita para implementarla y adems su facilidad de uso [WWW05]. En resumen se puede decir que la implementacin de una red privada virtual nos hace pensar en tres aspectos fundamentales y beneficiosos para nuestra empresa que son: Seguridad Bajos costos Facilidad de uso Los costos de implementacin de las redes privadas virtuales tiene que ver ms con la capacitacin del personal de sistemas para la implementacin y mantenimiento de la red privada virtual asi como costos de contratacin de servicios de un ISP. Pero todo esto no debe ser tomado como una desventaja de esta tecnologa, sino debe tomarse como una inversin para futuros ahorros que se obtendrn. A continuacin se describe algunos de los beneficios que se tiene en la implementacin de redes privadas virtuales: Ahorro en costos.- el ahorro en costos de las redes privadas virtuales esta asociado con diferentes factores que influyen en el paso de una tecnologa anterior a una tecnologa de redes privadas virtuales. La eliminacin de lneas rentadas, al igual que las lneas por marcacin son dos factores fundamentales que permitirn el ahorro en la implementacin de una VPN, tomando en cuenta que al eliminar este tipo de comunicacin tambin se elimina los costos de los dems dispositivos involucrados como puede ser equipos pbx, equipos de acceso remoto. Tambin se eliminarn costos de Cosme MacArthur Ortega Bustamante 13

Metodologa para la Implementacin de Redes Privadas Virtuales instalacin y configuracin de dichos equipos de acceso remoto, entre otros costos. Diseo de la red.Uno de los principales beneficios de las redes privadas

virtuales se basan en el diseo de estas. Para aclarar de mejor manera estos beneficios observemos el siguiente ejemplo. En la figura 1.7 se puede observar el diseo de una WAN, en la que es necesario que se tenga en cuenta que al disear esta WAN con enlaces de lneas rentadas y de marcacin, debe existir un gran esfuerzo por el personal de implementacin de la WAN para saber que trfico se va a tener para saber el tipo de lneas que se debe adquirir y en que porcentajes. Adems debern tener en cuenta los problemas que aparecen al usar lneas ya sea rentadas y de marcacin en grandes distancias [LIB02].

Usuarios Remotos

Usuarios Remotos

Usuarios Remotos

Figura 1.7.- WAN con lneas rentadas y de marcacin

En cambio en la figura 1.8 se muestra la misma red WAN con la arquitectura de redes privadas virtuales a travs de un ISP. Se puede observar que el diseo se simplifica enormemente y todo lo que corresponde al trfico de informacin se Cosme MacArthur Ortega Bustamante 14

Metodologa para la Implementacin de Redes Privadas Virtuales encarga el Internet, haciendo ms fcil la conectividad y la escalabilidad de la red. Este es uno de los principales beneficios en el diseo de redes WAN con arquitectura VPN. Es por eso que esta tecnologa cada vez tiene ms adeptos a nivel mundial.

Internet

Figura 1.8.- WAN con internet como enlace.

Beneficios para el usuario final.- El usuario final se ve muy beneficiado ya sea un usuario que pertenezca a la propia empresa o un cliente. En la actualidad las empresas deben llegar al cliente, sin importar donde se encuentre ste, es por eso que se hace necesario que el cliente tenga acceso a los servicios y ya no se lo haga con comunicaciones telefnicas de larga distancia que son muy costosas, sino a travs de un ISP local con un enlace ms eficiente y menos costoso y adems un enlace que va a estar disponible las 24:00h al da los 365 das del ao. El mismo beneficio tendrn los usuarios remotos, facilitndoles el acceso a la informacin de la empresa en el momento que lo deseen, independiente del lugar en el que se encuentren.

Cosme MacArthur Ortega Bustamante 15

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO II

PROTOCOLOS TCP/IP

2.1.2.2.2.3.2.4.2.5.2.6.-

Introduccin Arquitectura de TCP/IP Capa de Interfaz de Red Capa de Internet Capa de Transporte Capa de Aplicacin

Cosme MacArthur Ortega Bustamante 16

Metodologa para la Implementacin de Redes Privadas Virtuales

2.1.- Introduccin.
TCP/IP (Transmisin Control Protocol / Internet Protocol) es un grupo de protocolos estndares de la industria diseados para redes. Se ha convertido en el protocolo ms popular debido a que es extendido en los sistemas operativos. TCP/IP se ha convertido en el conjunto de protocolos de red disponible ms adaptable por el medio del cual se puede trabajar casi en cualquier medio de Red, Hardware y Sistema Operativo existente, desde una pequea LAN de grupo de trabajo, hasta la conexin de millones de sistemas que componen la propia Internet. utilizado por Internet y esta muy

Historia de TCP/IP.
En 1969, la Agencia de proyectos de investigacin avanzada sobre defensa (DARPA) subvencion un experimento en el que se enlazaron tres computadoras. El objetivo de este proyecto era el de proporcionar una tecnologa fiable de trabajo en red que pudiera recuperarse frente a problemas y errores. Originalmente se enlazaron tres sistemas entre s con lneas alquiladas a la compaa telefnica y stos utilizaban un protocolo llamado NCP (Protocolo de Control de Red, Network Control Protocol) En 1973, la DARPA inici un programa de investigacin de tecnologas de comunicacin entre redes de diferentes caractersticas. El proyecto se basaba en la transmisin de paquetes de informacin, y tenia por objetivo la interconexin de redes. De este proyecto surgieron dos redes: Una de investigacin, ARPANET, y una de uso exclusivamente militar, MILNET. Para comunicar las redes, se desarrollaron varios protocolos: El protocolo de Internet y los protocolos de control de transmisin. Posteriormente estos protocolos se englobaron en el conjunto de protocolos, los cuales dan lugar al modelo TCP/IP.

Cosme MacArthur Ortega Bustamante 17

Metodologa para la Implementacin de Redes Privadas Virtuales

En 1980, se incluyo en el UNIX 4.2 de BERKELEY, y fue el protocolo militar estndar en 1983. Con el nacimiento en 1983 de INTERNET, este protocolo se populariza bastante, y su destino va unido al de Internet. ARPANET dejo de funcionar oficialmente en 1990[WWW01]. Algunos de los motivos de su popularidad son: Independencia del fabricante Soporta mltiples tecnologas Puede funcionar en maquinas de cualquier tamao Estndar de EEUU desde 1983 Su destino est ligado a Internet La arquitectura de un sistema en TCP/IP tiene una serie de metas: La independencia de la tecnologa usada en la conexin a bajo nivel y la arquitectura del ordenador Conectividad Universal a travs de la red Reconocimientos de extremo a extremo Protocolos estandarizados

2.2.- Arquitectura de TCP/IP.

El modelo ISO/OSI (Organizacin de Estndares Internacionales para la Interconexin de Sistemas Abiertos) utiliza siete capas para organizar una red dentro de mdulos funcionales y bien definidos. Los diseadores de redes utilizan las descripciones del modelo de estas capas para construir redes reales. En una red por capas, cada mdulo (o capa) proporciona funcionalidad especfica o servicios a sus capas adyacentes. Adems cada capa esta protegida por otras capas arriba de ellas para detalles de implementacin de nivel ms bajo. Cada capa hace una interfaz slo con la siguiente capa en la red. Cosme MacArthur Ortega Bustamante 18

Metodologa para la Implementacin de Redes Privadas Virtuales La arquitectura de Internet esta basada en capas. Esto hace ms fcil implementar nuevos protocolos. El conjunto de protocolos TCP/IP, al estar integrado plenamente en Internet, tambin dispone de este tipo de arquitectura. Los protocolos TCP/IP mapean un modelo conceptual de cuatro capas conocido como el modelo DARPA, denominado as por la agencia del gobierno de los Estados Unidos que inicialmente desarroll TCP/IP. Las cuatro capas en el modelo DARPA corresponden a una o ms capas del modelo de siete capas de Interconexiones de Sistemas Abiertos (Open Systems Interconnection, OSI). Figura 2.1 [WWW02]

Figura 2.1.- Relacin del modelo TCP/IP con el modelo OSI

2.3.- Capa de Interfaz de red.

La capa de interfaz de red (tambin llamada la capa de acceso a la red) es responsable de colocar los paquetes TCP/IP en el medio de la red y de recibir los paquetes TCP/IP del medio de la red. El TCP/IP fue diseado para ser independiente del mtodo de acceso a la red, del formato del cuadro (frame) y del medio. De este modo, el TCP/IP puede ser utilizado para conectar diferentes tipos de red. Esto incluye tecnologas de LAN, Cosme MacArthur Ortega Bustamante 19

Metodologa para la Implementacin de Redes Privadas Virtuales tales como Ethernet o Token Ring y tecnologas de WAN tales como X.25 o Frame Relay. La independencia de cualquier tecnologa de red especfica le da al TCP/IP la habilidad de ser adaptado a las nuevas tecnologas tales como Asynchronous Transfer Mode (ATM). La capa de interfaz de red comprende a las capas de enlace de datos y fsica del modelo OSI. Note que la capa de Internet no aprovecha los servicios de secuenciacin y la confirmacin que pudieran estar presentes en la capa de enlace de datos. Se asume una capa de interfaz de red no confiable, y la comunicacin confiable es responsabilidad de la capa de transporte, a travs del establecimiento de la sesin y la confirmacin de paquetes. La capa fsica en una red TCP/IP es idntica a la capa fsica del modelo ISO/OSI, la cual incluye el medio de transmisin que transporta los datos por la red. Este medio es casi siempre algn tipo de cable coaxial, par trenzado o fibra ptica. El modelo TCP/IP no considera oficialmente el medio hardware como componente especfico en su diseo. TCP/IP tiende a agrupar la interfaz hardware con el nivel de interfaz de red. Independientemente del medio hardware que se utilice, se necesitar una tarjeta de interfaz de red especfica. Estos dispositivos de interfaz de red son especficos del medio hardware por el que se transmiten las seales. Cada uno de estos servicios necesita un componente software llamado controlador de dispositivo. En la mayora de los sistemas operativos de red, el controlador de dispositivo debe incluirse con el sistema operativo de base o proporcionarlo el fabricante del hardware. La capa de enlace incluye una interfaz de hardware y dos mdulos de protocolos: El Protocolo de Resolucin de Direcciones (ARP) y el Protocolo de Resolucin de Direcciones Inverso (RARP). Las direcciones Ethernet (a nivel fsico) son de seis bytes de longitud, mientras las direcciones IP son de cuatro bytes. Todos los datos transmitidos a travs de la red mediante tecnologa Ethernet deben utilizar tramas de datos Ethernet; las tarjetas de interfaz Ethernet observan las tramas en la red en busca de sus

Cosme MacArthur Ortega Bustamante 20

Metodologa para la Implementacin de Redes Privadas Virtuales propias direcciones Ethernet. Las tarjetas de interfaz no saben ni se preocupan por la direccin IP. En otras palabras, los protocolos de TCP/IP slo funcionan con direcciones IP; las tramas Ethernet con direcciones Ethernet. Estos diferentes tipos de direcciones representan un problema de comunicacin en la red. Los protocolos de Resolucin de Direcciones y de Resolucin de Direcciones Inverso solucionan este problema analizando las direcciones: traducen las direcciones IP a direcciones de la capa de enlace y viceversa.

Protocolo resolucin de direcciones (ARP)

El encaminamiento en el entorno de la red local utiliza el protocolo ARP que relaciona el nivel de red IP con los niveles inferiores. El protocolo ARP se usa para traducir las direcciones IP (lgicas) en direcciones de la red local (fsicas).

El proceso ARP.
El IP enva informacin al ARP. El ARP recibe el paquete IP, la direccin IP de redireccionamiento, y la interfaz a ser utilizada para redireccionar el paquete. Independientemente de si se ejecuta una entrega directa o indirecta, el ARP ejecuta los siguientes procesos tal como se visualiza en la figura 2.2.

Basado en la interfaz y en la direccin IP de redireccionamiento, el ARP consulta el cach ARP apropiado buscando un elemento para la direccin IP de redireccionamiento. Si se encuentra un elemento, el ARP salta hasta el ltimo paso. Si no se encuentra una coincidencia, el ARP construye un cuadro ARP de peticin conteniendo la direccin MAC de la interfaz que enva la peticin ARP y la direccin IP de redireccionamiento. El ARP entonces transmite la peticin ARP enviando un mensaje a toda la red utilizando una direccin de difusin. Todos los servidores reciben el cuadro transmitido y la peticin ARP es procesada. Si la direccin IP del servidor que recibe coincide con la direccin IP solicitada (la direccin IP de redireccionamiento), Cosme MacArthur Ortega Bustamante 21

Metodologa para la Implementacin de Redes Privadas Virtuales su cach ARP es actualizado con la direccin de quin enva la peticin ARP. Si la direccin IP del servidor que recibe no coincide con la direccin IP solicitada, la peticin ARP es descartada silenciosamente. Se formula una respuesta ARP conteniendo la direccin MAC solicitada y es enviada directamente a quien envi la solicitud ARP. Cuando la respuesta ARP es recibida por quien envi la solicitud ARP, actualiza su cach ARP con la direccin. Entre la peticin ARP y la respuesta ARP, ambos servidores ahora tienen las direcciones del otro en sus cachs ARP. El paquete IP es enviado a la direccin MAC del servidor de redireccionamiento al indicarle que convierta la direccin MAC
Figura 2.2.- El Proceso ARP

Las implementaciones del protocolo ARP incorporan Buffers con las tablas de correspondencia entre direcciones IP y direcciones fsicas de la red, de forma que se reduce el nmero de consultas que se deben realizar [WWW02].

Protocolo de Resolucin de Direcciones Reversa (RARP)

El protocolo RARP (Reverse Address Resolution Protocol) es el encargado de asignar una direccin fsica a una direccin lgica (IP). Los desarrolladores de TCP/IP disearon RARP para que lo usaran computadoras sin disco duro. Por ejemplo, una estacin de trabajo sin disco puede leer la

Cosme MacArthur Ortega Bustamante 22

Metodologa para la Implementacin de Redes Privadas Virtuales direccin de su capa de enlace de su tarjeta de interfaz de red y solicitar a otro sistema que le cargue el sistema operativo [LIB01].

2.4.- Capa de Internet.

La capa de Internet es el corazn de cualquier red basada en el protocolo TCP/IP. La capa de Internet en el modelo TCP/IP es anloga a la capa de red en el modelo ISO/OSI. Esta capa incluye el protocolo Internet (IP), el protocolo de control de mensajes de Internet (ICMP, Internet Control Message Protocol) y el protocolo de manejo de grupos de Internet (IGMP; Internet Group Management Protocol). IP hace casi todo el trabajo dentro de la capa de Internet. ICMP e IGMP son protocolos de apoyo para IP, pues lo ayudan a manejar los mensajes especiales de la red, como los de error y de transmisiones mltiples (mensajes enviados a dos o ms sistemas). Adems la capa de Internet controla la comunicacin entre un equipo y otro. Conforma los paquetes IP que sern enviados por la capa inferior, desencapsula los paquetes recibidos pasando a la capa superior la informacin dirigida a una aplicacin.

2.4.1.- IP (Internet Protocol).

El protocolo de Internet (Internet Protocol, IP) es un protocolo enrutable responsable del direccionamiento IP, de la fragmentacin y ensamble de los paquetes y su unidad bsica de transferencia de datos es el datagrama. El IP es un protocolo de datagramas no confiable, sin conexin y principalmente responsable del direccionamiento y enrutamiento de los paquetes entre servidores. Sin conexin significa que una sesin no se establece antes de intercambiar los datos. No confiable significa que la entrega no est garantizada. El IP siempre hace un mejor esfuerzo para intentar entregar un paquete. Un

Cosme MacArthur Ortega Bustamante 23

Metodologa para la Implementacin de Redes Privadas Virtuales paquete IP podra perderse, entregarse fuera de secuencia, duplicado o retrasado. El IP no intenta recuperarse de este tipo de errores. La confirmacin de la entrega de los paquetes y la recuperacin de paquetes perdidos es responsabilidad de un protocolo de alguna capa superior, tal como el TCP. Los datagramas pueden ser retrasados, perdidos, duplicados, enviados en una secuencia incorrecta, o fragmentados intencionadamente para permitir que un nodo con un buffer limitado pueda coger todo el datagrama. Es la responsabilidad del protocolo IP reensamblar los fragmentos del datagrama en el orden correcto. En algunas situaciones de error los datagramas son descartados sin mostrar ningn mensaje mientras que en otras situaciones los mensajes de error son recibidos por la mquina origen (esto lo hace el protocolo ICMP). El protocolo IP tambin define cual ser la ruta inicial por la que sern mandados los datos. Cuando los datagramas viajan de unos equipos a otros, es posible que atraviesen diferentes tipos de redes. El tamao mximo de estos paquetes de datos puede variar de una red a otra, dependiendo del medio fsico que se emplee para su transmisin. A este tamao mximo se le denomina MTU (Maximum Transmission Unit), y ninguna red puede transmitir un paquete de tamao mayor a esta MTU. El datagrama consiste en una cabecera y datos [RFC791].

Direcciones IP
Cada nodo TCP/IP est identificado por una direccin IP lgica. La direccin IP es una direccin de la capa de red y no tiene dependencia sobre la direccin de la capa de enlace de datos (tal como una direccin MAC de una tarjeta de interfaz de red). Una direccin IP nica es necesaria para cada servidor y componente de red que se comunique usando TCP/IP. Las direcciones IP hacen que el envo de datos entre ordenadores se haga de forma eficaz, de un modo similar al que se utilizan los nmeros de telfono.

Cosme MacArthur Ortega Bustamante 24

Metodologa para la Implementacin de Redes Privadas Virtuales Las direcciones IP tienen 32 bits, formados por cuatro campos de 8 bits separados por puntos. Cada campo puede tener un valor comprendido entre 0 y 255. Esta compuesta por una direccin de red, seguida de una direccin de subred y de una direccin de host, la cual debe ser nica. La comunidad de Internet originalmente defini cinco clases de direcciones para acomodar redes de diferentes tamaos. La clase de direcciones define cuales bits son usados para el identificador de red y cuales bits son usados para el identificador de servidor. Tambin define el nmero posible de redes y el nmero de servidores por red [LIB01].

La clase A contiene 7 bits para direcciones de red (bit de orden alto siempre es igual a cero), con lo que permite tener hasta 128 redes. Los 24 bits restantes representan el identificador del host, lo cual permite tener 16.777.216 ordenadores cada una. Las direcciones estarn comprendidas entre 0.0.0.0. y 127.255.255.255. y la mascara de subred ser 255.0.0.0. La figura 2.3 ilustra la estructura de las direcciones de clase A.

Identificador de Red

Identificador de Servidor

0
Figura 2.3.- Formato de Direccin IP Clase A

Cosme MacArthur Ortega Bustamante 25

Metodologa para la Implementacin de Redes Privadas Virtuales La clase B contiene 14 bits para direcciones de red (los dos bits de orden ms alto en una direccin de clase B son siempre iguales al binario 10) y 16 bits para direcciones de hosts. El nmero mximo de redes es 16.536 redes, con 65.536 ordenadores por red. Las direcciones estarn comprendidas entre 128.0.0.0. y 191.255.255.255., y la mascara de subred ser 255.255.0.0. La figura 2.4 ilustra la estructura de las direcciones de clase B.

Identificador de Red

Identificador de Servidor

1 0
Figura 2.4.- Formato de Direccin IP Clase B

La clase C contiene 21 bits para direcciones de red (los tres bits de orden ms alto en una direccin de clase C son siempre iguales al binario 110) y 8 para hosts, lo que permite tener un total de 2.097.152 redes, cada una de ellas con 256 ordenadores. Las direcciones estarn comprendidas entre 192.0.0.0. y 223.255.255.255. y la mascara de subred ser 255.255.255.0. La figura 2.5 ilustra la estructura de las direcciones de clase C.
Figura 2.5.- Formato de Direccin IP Clase C

Identificador de Red

Identificador de Servidor

Cosme MacArthur Ortega Bustamante 26

1 1 0

Metodologa para la Implementacin de Redes Privadas Virtuales

La clase D se reserva todas las direcciones para multidestino (multicast), es decir, un ordenador transmite un mensaje a un grupo especfico de ordenadores de esta clase. Los cuatro bits de orden ms alto son siempre iguales al binario 1110. Las direcciones estarn comprendidas entre 224.0.0.0. y 239.255.255.255.

La clase E se utiliza exclusivamente para fines experimentales. Los bits de orden ms alto en la direccin de clase E son iguales a 1111. Las direcciones estn comprendidas entre 240.0.0.0. y 247.255.255.255.

La tabla 2.1 es un resumen de las clases de direcciones A, B y C que pueden ser utilizados para direcciones de servidores IP [WWW02].

Clase A B C

Valor paraw 1-126 128-191 192-223

Porcindel identificador dered w w.x w.x.y

Porcindel identificador deservidor x.y.z y.z z

Redes disponibles 128 16,384 2,097,152

Servidores porred 16,777,216 65,536 256

Tabla 2.1. Resumen de las direcciones de clases IP

La direccin de clase A 127.x.y.z est reservada para las pruebas de loopback y para la comunicacin interprocesos en la computadora local. El identificador de red identifica a los servidores TCP/IP que estn localizados en la misma red fsica. Todos los host en la misma red fsica deben tener asignado el mismo identificador de red para comunicarse unos con otros. Siga estas guas cuando asigne el identificador de red:

Cosme MacArthur Ortega Bustamante 27

Metodologa para la Implementacin de Redes Privadas Virtuales La direccin de red debe ser nica dentro de la red IP. Si planea tener una conexin enrutada directa a Internet, el identificador de red debe ser nico en Internet. Si no planea conectarse a internet, el identificador de red debe ser nico en su red privada. El identificador de red no puede empezar con el nmero 127. El nmero 127 es una direccin de clase A reservada para funciones loopback internas. Todos los bits dentro del identificador de red no pueden ser iguales a 1. Todos los 1's en el identificador de red son reservados para una direccin de transmisin IP. Todos los bits dentro del identificador de red no pueden ser iguales a 0. Todos los 0's en identificador de red son utilizados para denotar un servidor especfico en la red local y no sern enrutados. La tabla 2.2 lista los rangos vlidos de identificadores de red basados en las clases de direcciones IP. Para denotar identificadores de red IP, los bits del servidor son todos iguales a 0. Note que aunque est expresado en notacin decimal punteada el identificador de red no es una direccin IP.

Clasede direccin Clase A Clase B Clase C

Primeridentificadorde red 1.0.0.0 128.0.0.0 192.0.0.0

Ultimoidentificadorde red 126.0.0.0 191.255.0.0 223.255.255.0

Tabla 2.2.- Rangos de las clases de identificadores de red

Los identificadores de servidor identifican un servidor TCP/IP dentro de una red. La combinacin del identificador de red y del identificador de red IP es una direccin IP Siga estas guas para asignar un identificador de servidor: El identificador de servidor debe ser nico para el identificador de red. Cosme MacArthur Ortega Bustamante 28

Metodologa para la Implementacin de Redes Privadas Virtuales Todos los bits dentro del identificador del servidor no pueden ser iguales a 1, porque este identificador est reservado como una direccin de transmisin para enviar un paquete a todos los servidores de una red. Todos los bits en el identificador de red no pueden ser iguales a 0 porque este identificador de servidor est reservado para denominar el identificador de red IP. La tabla 2.3 lista los rangos vlidos de identificador de servidor basados en las clases de direcciones IP.

Tabla 2.3. Rangos de clase de los identificadores de servidor

Clasede direccin Clase A Clase B Clase C

Primer identificadordel servidor w.0.0.1 w.x.0.1 w.x.y.1

Ultimoidentificador delservidor w.255.255.254 w.x.255.254 w.x.y.254

IP (Internet Protocol) Versin 6

Esta es una nueva versin del protocolo IP, llamada IPv6, aunque tambin es conocida como IPng (Internet Protocol Next Generation). Es la versin 6, debido a que la nmero 5 no pasa de la fase experimental. La compatibilidad con la versin 4 es prcticamente total, ya que se han incluido caractersticas de compatibilidad. Algunas de las modificaciones, estn encaminadas a mejorar la seguridad en la red, que apenas exista en la versin 4.

Direcciones IP Versin 6 (Ipv6)

El cambio ms significativo en las direcciones ha sido, que ahora, se refieren a una interfaz y no a un nodo, aunque como cada interfaz pertenece a un nodo, es posible referirse a estos mediante su interfaz. Cosme MacArthur Ortega Bustamante 29

Metodologa para la Implementacin de Redes Privadas Virtuales El nmero de direcciones diferentes se ha multiplicado de una manera exagerada. Tericamente, es posible tener 2128 direcciones diferentes. Este nmero quiere decir que se podran llegar a tener ms de 665.000 trillones de direcciones por metro cuadrado, aunque si siguieran una jerarqua, este nmero decrece hasta 1564 direcciones por metro cuadrado en el peor caso o tres trillones siendo optimistas [RFC2460]. En el IPv6 existen tres tipos bsicos de direcciones: Direcciones unicast: Estn dirigidas a una nica interfaz en la red. Actualmente se dividen en varios grupos, y existe un grupo especial que facilita la compatibilidad con las direcciones de la versin 4. Direcciones anycast: Identifican a un conjunto de interfaces de red. El paquete se enviara a cualquier interfaz que forme parte del conjunto. En realidad son direcciones unicast que se encuentran asignadas a varias interfaces. Direcciones multicast: Identifican a un conjunto de interfaces de la red, de manera que cada paquete es enviado a cada uno de ellos individualmente.

Internet 2 El Internet de ayer

Tena miles de usuarios, se utilizaba para conexiones remotas y transferencias de archivos, aplicaciones que capitalizaban la tecnologa subyacente, era usada de manera experimental.

El Internet de hoy
Tiene cientos de millones de usuarios, sus aplicaciones principales son el web, el correo electrnico, as como audio y vdeo de baja calidad, adaptndose a la tecnologa subyacente.

Cosme MacArthur Ortega Bustamante 30

Metodologa para la Implementacin de Redes Privadas Virtuales

El Internet del maana

Tendr miles de millones de usuarios y dispositivos conectados, las aplicaciones de hoy sern complementadas con ambientes multimedia en tiempo real. Las nuevas tecnologas posibilitarn aplicaciones hoy inimaginables, que crearn nuevos retos. Dado que la Internet actual no fue diseada para millones de usuarios sin congestin, ni es capaz de manejar multimedia o interaccin a tiempo real y slo este medio puede permitir el crecimiento explosivo y permitir la convergencia de informacin, trabajo, medios masivos y colaboracin humana, se han creado en varios pases proyectos que nos pueden llevar a una nueva generacin de Internet. Internet 2, http://www.internet2.org/, es el nombre de un proyecto en los Estados Unidos de Amrica que tiene como propsito crear una red avanzada para investigacin y educacin, que utilice tecnologa de punta, para permitir el desarrollo de una nueva generacin de aplicaciones. Se contempla una rpida transferencia de tecnologa de Internet 2 al Internet comercial. Por extensin, es el nombre genrico para redes avanzadas similares en otros pases. El desarrollo de nuevas capacidades requiere de un esfuerzo de experimentacin, capacitacin e innovacin que posteriormente se incorporarn a las corrientes principales y a los servicios que se entreguen a los usuarios de Internet. Este desarrollo de nuevas capacidades es el objetivo del Internet 2, que es el desarrollo y operacin de una red de alta anchura de banda y controles avanzados, construida y operada en su inicio por universidades, gobierno y algunas empresas del ramo de tecnologas de la informacin, cuyos productos se incorporarn a las prcticas usuales de Internet en plazos que van de uno a cinco aos, con el beneficio adicional de producir personal altamente calificado para la innovacin y aplicacin de estos productos y un alto grado de dominio nacional de los avances tecnolgicos asociados. Si bien el nombre corresponde inicialmente a un proyecto cuyo primer desarrollo ocurri en Estados Unidos de Amrica, se ha detonado tambin en otros pases. Su avance en responde a necesidades nacionales bien identificadas y permite a

Cosme MacArthur Ortega Bustamante 31

Metodologa para la Implementacin de Redes Privadas Virtuales las instituciones de educacin superior incorporarse a la causa del desarrollo nacional de manera eficaz. Estos requerimientos se ubican principalmente en la educacin a todos los niveles y modalidades, en la atencin a la salud, el desarrollo tecnolgico en otras ramas de la industria y los servicios, y la prestacin amplia de servicios basados en informacin para la sociedad. En octubre de 1996 se inici formalmente el proyecto Internet 2

(http://www.internet2.edu/). En octubre de 1997 se form la UCAID (University Corporation for Advanced Internet Development), integrada por mas de 120 universidades en los Estados Unidos de Amrica con la misin de facilitar y coordinar el desarrollo, implantacin, operacin y transferencia de tecnologa de redes y aplicaciones avanzadas, enfocadas a la investigacin y educacin. Y acelerar la disponibilidad de nuevos servicios y aplicaciones en Internet. En abril de 1998 se lanz Abilene, red avanzada desarrollada por UCAID en sociedad con Qwest Communications, Northern Telecom y Cisco Systems . Este proyecto proporcionar la red para soportar Internet 2, utilizando facilidades Sonet de alta velocidad, ruteadores IP sobre Sonet y una red de fibras pticas de amplia cobertura. En los Estados Unidos de Amrica, existe adems la red VBNS (Very High Speed Backbone Network Service) de la NSF (National Science Foundation), que es exclusiva para la investigacin. Tanto Abilene como VBNS proporcionan conectividad para los llamados gigapops (puntos de presencia regionales para redes avanzadas) que estn instalando las principales universidades de los Estados Unidos de Amrica. Inicialmente, los enlaces se plantearon de 2.4Gb/s (OC 48), para evolucionar en corto tiempo a 9.6 Gb/s (OC 192). Internet 2 contempla disear, construir y operar una red avanzada (que pueda soportar aplicaciones que requieren un ancho de banda mayor al soportado por las actuales) [WWW03].

2.4.2.- Fragmentacin y ensamblado.

Las tecnologas de red, tales como Ethernet, especifican una Unidad de transferencia Mxima (MTU). La MTU define el tamao mximo del paquete que puede transmitir la red. Cuando una aplicacin transmite el paquete ms grande Cosme MacArthur Ortega Bustamante 32

Metodologa para la Implementacin de Redes Privadas Virtuales que la MTU de la red, el software de red automticamente divide el paquete en pedazos ms pequeos y transmite los datos como mltiples paquetes. Los campos candidatos a ser fragmentados del encabezado IP, tales como identificacin, Banderas y Reproduccin de fragmentos, son actualizados para indicar que el paquete es un fragmento y en que orden debe ser reensamblado. Cuando el anfitrin destino recibe los paquetes IP fragmentados, un contador de reensamble se inicia. Todos los fragmentos deben llegar antes que el contador expire, de otra forma el anfitrin descartar todos los fragmentos. Debido a que la fragmentacin y reensamble ocurren entre las capas de red y enlace de su red, el proceso es normalmente transparente.

2.4.3.- Internet Control Message Protocol (ICMP).

El Protocolo de Mensajes de control de Internet (ICMP) proporciona servicios de resolucin de problemas y de reporte de errores para los paquetes que no son entregables. Por ejemplo si el IP es incapaz de entregar un paquete al servidor destino, el ICMP enviar un mensaje de Destino Inalcanzable (Destination Unreachable) al servidor origen. Internet es un sistema autnomo que no dispone de ningn control central. El protocolo ICMP (Internet Control Message Protocol), proporciona el medio para que el software de hosts y gateways intermedios se comuniquen. El protocolo ICMP tiene su propio nmero de protocolo (nmero 1), que lo habilita para utilizar el IP directamente. La implementacin de ICMP es obligatoria como un subconjunto lgico del protocolo IP. Los mensajes de error de este protocolo los genera y procesa TCP/IP, y no el usuario[RFC792]. ICMP provee reporte de mensajes y errores. Por ejemplo, si IP no es capaz de entregar un paquete en el host destino, ICMP enva un mensaje de "destino no encontrado" (destination unreachable) al nodo emisor. Los mensajes ms comunes de ICMP se podr observar en la tabla 2.4.

Cosme MacArthur Ortega Bustamante 33

Metodologa para la Implementacin de Redes Privadas Virtuales

Tabla 2.4.- Mensajes ms comunes de ICMP

Mensaje Echo request Echo reply Redirect Source quench Destination unreachable

Tipo 8 0 5 4 3

Funcin Mensaje simple para resolucin de problemas. Usado por PING para encontrar un host. Usado por PING para confirmar que un nodo ha sido encontrado. Enviado por un enrutador para informar a un host que enva de una mejor ruta hacia el IP destino. Informa al nodo de una ruta preferida. Informa al nodo disminuir la cantidad de datagramas debido a congestionamiento en la red. Informa al nodo que el datagrama no pudo ser entregado.

Hay una serie de mensajes Destination Unreachable del ICMP. La tabla 2.5 describe los mensajes Destination Unreachable del ICMP ms comunes.

Mensajes Destination Unreachable Network Unreachable

Descripcin Enviado por un enrutador IP cuando una ruta a la red destino no pudo ser encontrada. Enviado por un enrutador IP cuando un servidor destino en la red destino no puede ser encontrado. Este mensaje solamente es utilizado con tecnologas de red orientadas a conexiones (enlaces WAN). Los enrutadores IP con tecnologas de red sin conexin (tales como Ethernet y Token Ring) no envan mensajes Host Unreachable. Enviado por el nodo IP destino cuando el campo Protocolo en la cabecera IP no puede ser apareado con un protocolo del cliente IP a actualmente cargado. Enviado por un nodo IP destino cuando el Puerto Destino (Destination Port) en la cabecera IP no puede ser apareado con un proceso que utilice ese puerto. Enviado por un enrutador IP cuando la fragmentacin debe de ocurrir pero no es permitida debido a que el valor de la bandera No Fragmentar (Don't Fragment, DF) en la cabecera IP fue activada por el nodo origen.

Host Unreachable

Protocol Unreachable Port Unreachable

Fragmentation Needed and DF Set

Tabla 2.5.- Mensajes Destination Unreachable del ICMP comunes.

Los mensajes de ICMP estn contenidos en datagramas IP. Esto asegura que el mensaje ICMP ser ruteado al nodo apropiado. El destino de un mensaje ICMP Cosme MacArthur Ortega Bustamante 34

Metodologa para la Implementacin de Redes Privadas Virtuales es siempre un mdulo de software de la capa de red. El mdulo ICMP en la capa IP del destino determina si debe pasar el mensaje a cualquiera de los mdulos de software del nivel superior. ICMP slo proporciona servicios para notificar errores, es decir que no proporciona ningn servicio de correccin de errores, adems, no especifica ninguna accin que los mdulos de software de la capa de red deben tomar en respuesta a los errores que reporta[WWW02].

2.4.4.- Protocolo de Manejo de Grupos De Internet (IGMP).

El Protocolo de Administracin de Grupos de Internet (Internet Group

Management Protocol, IGMP) es un protocolo que administra la membresa de los host en los grupos IP multicast. Un grupo IP multicast, tambin conocido como un grupo de hosts (host group), es un conjunto de hosts que escuchan el trfico IP destinado a una direccin IP multicast especfica. El trfico IP multicast es enviado a una sola direccin MAC pero es procesado por mltiples hosts IP. Un hosts dado escucha en una direccin IP multicast especfica y recibe todos los paquetes de esa direccin IP. EL IGMP (Internet Group Management Protocol) es un protocolo que funciona como una extensin del protocolo IP. Se utiliza exclusivamente por los miembros de una red multicast para mantener su status de miembros, o para propagar informacin de direccionamiento. Un Gateway multicast manda mensajes una vez por minuto como mximo. Un Host receptor responde con un mensaje IGMP, que marca al Host como miembro activo. Un Host que no responde al mensaje se marca como inactivo en las tablas de direccionamiento de la red multicast. Para aplicaciones como conferencias interactivas, se utiliza la transmisin mltiple, y de esta manera se puede enviar informacin a varios pero no necesariamente a todos los receptores en la red. Los anfitriones y los receptores que soportan la transmisin mltiple usan el mdulo del Protocolo de Manejo de Grupos De Internet (IGMP) [RFC3228] Cosme MacArthur Ortega Bustamante 35

Metodologa para la Implementacin de Redes Privadas Virtuales

2.5.- Capa de Transporte.

La capa de transporte es responsable de proporcionar a la capa de aplicacin los servicios de comunicacin de sesin y datagrama. Los protocolos base de la capa de transporte son el TCP y el Protocolo de Datagramas de Usuario (User Datagram Protocol, UDP). El TCP (Transport Control Protocol) proporciona un servicio de comunicacin confiable, orientado a conexin, uno a uno, este protocolo proporciona un circuito virtual para comunicaciones de red El TCP es responsable del establecimiento de una conexin TCP, la secuenciacin y la confirmacin de los paquetes enviados, y de la recuperacin de los paquetes perdidos durante la transmisin. El UDP (User Datagrama Protocol) proporciona servicios de comunicacin no confiables, uno a uno o de uno a muchos, sin conexin. El UDP es utilizado cuando la cantidad de datos a ser transferidos es pequea (tales como datos que pueden caber dentro de un paquete nico), cuando la carga de establecer la conexin no es deseable o cuando la aplicacin o los protocolos de capas superiores proporcionan una entrega confiable. La capa de transporte comprende las responsabilidades de la capa de transporte OSI y algunas de las responsabilidades de la capa de sesin OSI. Un puerto es como una direccin IP, excepto que TCP/IP asocia un puerto a un protocolo en lugar de a una computadora anfitrin. En la misma forma que los datagramas IP almacenan direcciones IP fuente y destino, los protocolos de transporte almacenan nmeros de puerto fuente y destino. En pocas palabras, los programas de red asocian un puerto de protocolo Internet con una aplicacin y funcin especficas. Como protocolo sin conexin y no confiable, UDP simplemente deposita datos en el puerto. UDP no mantiene una conexin entre el emisor y el receptor. En contraste, TCP esta orientado a conexin. TCP mantiene una conexin mientras

Cosme MacArthur Ortega Bustamante 36

Metodologa para la Implementacin de Redes Privadas Virtuales s esta comunicando. Adems, TCP puede abrir mltiples conexiones en el mismo puerto.

2.5.1.- Protocolo de Datagrama de Usuario (UDP).

El UDP proporciona un servicio de datagrama sin conexin que ofrece entrega no confiable, de mejor esfuerzo de los datos transmitidos en los mensajes. Esto significa que la llegada de los datagramas no est garantizada; ni que la entrega de los paquetes est en la secuencia correcta. El UDP no se recupera de la prdida de datos utilizando retransmisin. El UDP est definido en el RFC 768. El protocolo UDP (User Datagram Protocol) proporciona aplicaciones con un tipo de servicio de datagramas orientado a transacciones. El servicio es muy parecido al protocolo IP en el sentido de que no es fiable y no esta orientado a la conexin. El UDP es simple, eficiente e ideal para aplicaciones como el TFTP, el DNS, el servicio de nombres NetBIOS, el servicio de datagramas de NetBIOS y el Protocolo Simple de Administracin de Redes (Simple Network Management Protocol, SNMP). Una direccin IP sirve para dirigir el datagrama hacia una maquina en particular, y el nmero de puerto de destino en la cabecera UDP se utiliza para dirigir el datagrama UDP a un proceso especfico localizado en la cabecera IP. La cabecera UDP tambin contiene un nmero de puerto origen que permite al proceso recibido conocer como responder al datagrama. La tabla 2.6 describe los campos clave en la cabecera UDP.
Tabla 2.6. Campos claves en la cabecera UDP.

Campo Puerto origen Puerto destino Suma de verificacin UDP Nmero de confirmacin

Funcin Puerto UDP del servidor que enva. Puerto UDP del servidor destino. Verifica la integridad de la cabecera UDP y de los datos UDP. El nmero de secuencia del byte que el que enva espera recibir del otro lado de la conexin.

Cosme MacArthur Ortega Bustamante 37

Metodologa para la Implementacin de Redes Privadas Virtuales Para usar el UDP, una aplicacin debe proporcionar la direccin IP y el nmero de puerto UDP de la aplicacin destino. Un puerto proporciona una localizacin para los mensajes que se envan. Un puerto funciona como una cola de mensajes multiplexada, significando que puede recibir mltiples mensajes a la vez. Cada puerto est identificado por un nmero nico. Es importante notar que los puertos UDP son distintos y separados de los puertos TCP, incluso aunque algunos de ellos usen el mismo nmero. La tabla 2.7 lista algunos puertos UDP bien conocidos[RFC768].

Nmerode puertoUDP 53 69 137 138 161

Descripcin Peticin de nombre para el Sistema de Nombres de Dominio (Domain Name System, DNS). Protocolo Trivial de Transferencia de Archivos (File Transfer Protocol, TFTP). Servicios de nombres NetBIOS. Servicio de datagrama NetBIOS. Protocolo Simple de Administracin de Redes (Simple Network Management Protocol, SNMP).

Tabla 2.7.- Puertos UDP bien conocidos.

2.5.2.- Protocolo de Control de Transmisin TCP.

El protocolo TCP con el protocolo IP son los que con mayor frecuencia se utilizan en el conjunto de protocolos TCP/IP (de ah el nombre) El TCP es un servicio de entrega confiable, orientado a conexiones. Los datos son transmitidos en segmentos. Orientado a conexiones significa que una conexin debe establecerse antes de que el host intercambie datos. La confiabilidad es lograda asignando un nmero de secuencia a cada segmento transmitido. Se utiliza una confirmacin para verificar que los datos fueron recibidos por el otro servidor. Para cada segmento enviado, el servidor que recibe debe regresar una confirmacin (acknowledgment, ACK) dentro de un periodo especfico de bytes recibidos. Si una ACK no es recibida, los datos son retransmitidos. El TCP est definido en el RFC 793.

Cosme MacArthur Ortega Bustamante 38

Metodologa para la Implementacin de Redes Privadas Virtuales El TCP utiliza comunicaciones de flujo de bytes (byte-stream), donde los datos dentro del segmento TCP son tratados como una secuencia de bytes sin lmites de registro o de campo. La tabla 2.8 describe los campos claves en la cabecera TCP.

Tabla 2.8.- Campos clave en la cabecera TCP.

Campo Puerto origen Puerto destino Nmero de secuencia Nmero de confirmacin Ventana Suma de verificacin TCP

Funcin El puerto TCP del servidor que enva. El puerto TCP del servidor destino. El nmero de secuencia del primer byte de datos en el segmento TCP. El nmero de secuencia del byte que el que enva espera recibir del otro lado de la conexin. El tamao actual de la memoria intermedia TCP en el servidor que enva este segmento TCP para almacenar segmentos que llegan. Verifica la integridad de la cabecera TCP y de los datos TCP .

Un puerto TCP proporciona una localizacin especfica para entregar los segmentos TCP. Los nmeros de puertos por debajo de 1024 son puertos bien conocidos y estn asignados por la Autoridad de Nmero Asignados de Internet (Internet Assigned Numbers Authority, IANA) [RFC3232]. La tabla 2.9 lista algunos puertos TCP bien conocidos.

Nmerodepuerto TCP 20 21 23 80 139

Descripcin FTP (Canal de datos). FTP (Canal de control). Telnet. Protocolo de Transferencia de Hipertexto (HyperText Transfer Protocol, HTTP) utilizado para la Web. Servicios de sesin NetBIOS.
Tabla 2.9.- Puertos TCP bien conocidos.

Cosme MacArthur Ortega Bustamante 39

Metodologa para la Implementacin de Redes Privadas Virtuales Para una lista completa de puertos TCP, referirise al RFC3232. Al igual que el Protocolo de Datagrama de Usuario (UDP), TCP transporta datos entre las capas de red y de aplicacin, pero es mucho ms complejo que UDP, pues proporciona un servicio de entrega de datos confiable, de flujo de bytes y orientado a conexin; en otras palabras, TCP asegura la entrega, as como tambin se encarga que la aplicacin destino reciba los datos en la secuencia correcta. En contraste, UDP no garantiza la entrega de datagramas, ni que estos lleguen en la secuencia adecuada. TCP tambin intenta optimizar el ancho de banda de la red. Para hacerlo, controla dinmicamente el flujo de datos entre las conexiones. Por lo tanto, si el buffer de datos en el lado receptor de la conexin TCP comienza a sobrecargarse, TCP indica al lado emisor que reduzca la velocidad de transmisin.

2.5.2.1.- Interfaces TCP.

Existen dos tipos de interfaces entre la conexin TCP y los otros programas: El primero es utilizar la pila de los programas de la capa de red. Como en esta capa solo esta el protocolo IP, la interfaz lo determina este protocolo. El segundo tipo es la interfaz del programa de usuario. Esta interfaz puede variar segn el sistema operativo, pero en general tiene las siguientes caractersticas: La interfaz envuelve el programa de usuario llamando a una rutina que introduce entradas en una estructura de datos llamada el Bloque de Control de Transmisin (TCB). Las entradas se realizan inicialmente en la pila de hardware y transferidas al TCB por medio de una rutina de sistema. Estas entradas permiten al TCP asociar un usuario con una conexin particular, de modo que pueda aceptar comandos de un usuario y mandarlos a otro usuario en la otra parte de la conexin. TCP utiliza unos identificadores nicos para cada parte de

Cosme MacArthur Ortega Bustamante 40

Metodologa para la Implementacin de Redes Privadas Virtuales la conexin. Esto se utiliza para recordar la asociacin entre dos usuarios. Al usuario se le asigna un nombre de conexin para utilizarlo en futuras entradas del TCB. Los identificadores para cada extremo de la conexin se llaman sockets. El socket local se construye concatenando la direccin IP de origen y el nmero de puerto de origen. El socket remoto se obtiene concatenando la direccin IP de destino y l nmero de puerto de destino. El par de sockets de una conexin forman un nico nmero en Internet. El UDP tiene los mismos sockets, pero no los recuerda. Esta es la diferencia entre un protocolo orientado a conexin y otro a no conexin. A continuacin se explican los comandos ms usuales: Open: Inicia una conexin o comienza a escuchar un socket. El usuario tiene un nombre de conexin local que acta como un puntero dentro del TCB. Send: El comando Send manda datos del buffer especificado. Receive: El comando Receive es un mensaje de error si el nombre local proporcionado no es utilizado antes con el comando Open. Close: El comando Close hace que se cierre una conexin. Se produce un error si la conexin especificada no ha sido abierta, o si no se tiene autorizacin para cerrar la conexin. Status: El comando Status solo tiene una variable asociada, que es el nombre de la conexin. Abort: El comando Abort hace que todos los comandos Send y Receive asociados al nombre de la conexin local se interrumpan. La entrada del usuario del TCB se elimina y se enva un mensaje especial de reinicio a la entidad del otro lado de la conexin. El TCP recuerda el estado de cada conexin por medio del TCB. Cuando se abre una conexin, se efecta una entrada nica en el TCB. Un nombre de conexin se le asigna al usuario para activar los comandos de la conexin. Cuando se cierra una conexin se elimina su entrada del TCB.

Cosme MacArthur Ortega Bustamante 41

Metodologa para la Implementacin de Redes Privadas Virtuales

2.5.2.2.- Control de Flujo.

El protocolo TCP puede controlar la cantidad de datos que debe enviar mediante el campo Window. Este campo indica el nmero mximo de octetos que pueden ser recibidos. El receptor de un segmento con el campo window a cero, no puede enviar mensajes al emisor, excepto mensajes de prueba. Un mensaje de prueba es un mensaje de un solo octeto que se utiliza para detectar redes o hosts inalcanzables.

2.6.- Capa de Aplicacin.

La capa de aplicacin proporciona la habilidad de acceder a los servicios de otras capas y define los protocolos que las aplicaciones utilizan para intercambiar datos. Hay varios protocolos para la capa de aplicacin y constantemente se estn desarrollando nuevos protocolos. Los protocolos de la capa de aplicacin ms ampliamente conocidos son aquellos usados para el intercambio de informacin del usuario, por ejemplo: El Protocolo de Transferencia de Hipertexto (HyperText Transfer Protocol, HTTP) es utilizado para transferir los archivos que componen las pginas de la Web. El servidor HTTP por defecto esta escuchando el puerto 80 y los datos son trasmitidos mediante el protocolo TCP. El Protocolo de transferencia de Archivos (File Transfer Protocol, FTP) es utilizado para la transferencia interactiva de archivos. Los servidores FTP son una forma conveniente de hacer disponibles al pblico informaciones, resmenes de discusiones, investigaciones, programas y actualizaciones de software. El servidor FTP por defecto esta escuchando el puerto 21 y los datos son trasmitidos mediante el protocolo TCP. El Protocolo Simple de Transferencia de Correo (Simple Mail Transfer Protocol, SMTP) es utilizado para la transferencia de mensajes de correo y anexos. Por defecto el servidor SMTP esta

Cosme MacArthur Ortega Bustamante 42

Metodologa para la Implementacin de Redes Privadas Virtuales escuchando el puerto 25 y los datos son trasmitidos mediante el protocolo TCP. POP3 (Protocolo de Oficina Postal) es un protocolo de correo Versin 3 (POP3), el cual fue creado para permitir a una red el acceso dinmico a una casilla sobre un servidor HOST de manera til. Usualmente, esto significa que el protocolo POP3 es usado para dejar que una red recupere el correo que el servidor accionara por l. normalmente, el correo es bajado y es borrado. Es un protocolo que fue diseado para trabajar conjuntamente con el protocolo TCP, inicialmente el proceso est escuchando el puerto 110, a la espera de una conexin. La ventaja principal que tiene este protocolo es que carpetas, mensajes, etc. se guardan en el computador, con lo que permite leer el correo recibido sin estar conectado a la red. Adems, al leer los mensajes y bajarlos al computador, liberamos espacio en el buzn del Host, con lo cual se tiene menos probabilidades que se llene el buzn y no se pueda recibir ms mensajes IMAP : Este protocolo es similar al protocolo POP pero sus diferencias radican en la forma en que almacena la informacin as de como se recupera el e-mail del servidor. La principal diferencia que encontramos respecto al anterior protocolo es que tanto los mensajes como las carpetas se guardan en el Host. NNTP (Network News Transfer Protocol) es un protocolo para la distribucin, peticin, recuperacin y envo de news (noticias) entre los servidores de news de la comunidad ARPA-Internet a travs de USENET utilizando un sistema cliente-servidor con intercambio fiable de informacin (TCP). El Telnet, un protocolo de emulacin de terminal, es utilizado para el inicio de sesiones remotas en servidores de red. El programa servidor al que se quiere acceder est escuchando en el puerto 23 por defecto, y los datos son transmitidos mediante TCP. Adicionalmente, los siguientes protocolos ayudan a facilitar el uso y la administracin de redes TCP/IP:

Cosme MacArthur Ortega Bustamante 43

Metodologa para la Implementacin de Redes Privadas Virtuales El Sistema de Nombres de Dominio (Domain Name System, DNS) es utilizado para convertir un nombre de servidor en una direccin IP. El servidor DNS por defecto esta escuchando el puerto 53 y los datos son trasmitidos mediante el protocolo UDP. El Protocolo de Informacin de Enrutamiento (Routing Information Protocol, RIP) es un protocolo de enrutamiento que los enrutadores utilizan para intercambiar informacin de enrutamiento en una red IP. El Protocolo Simple de Administracin de Red (Simple Network Management Protocol, SNMP) es utilizado entre la consola de administracin de red y los dispositivos de la red (enrutadores, puentes y concentradores inteligentes) para recolectar e intercambiar informacin de administracin de la red. El servidor SNMP por defecto esta escuchando el puerto 161 y los datos son trasmitidos mediante el protocolo UDP. Ejemplos de interfaces de la capa de aplicacin para aplicaciones TCP/IP son Windows Sockets y NetBIOS. Windows Sockets proporciona una interfaz de programacin para aplicaciones (API) estndar bajo el sistema operativo Microsoft Windows. El NetBIOS es una interfaz, estndar de la industria, para acceder servicios de protocolo tales como sesiones, datagramas y conversin de nombres.

Cosme MacArthur Ortega Bustamante 44

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO III

PROTOCOLOS DE TUNEL

3.1.- Introduccin 3.2.- Protocolos de Tnel 3.3.- Tipos de Tnel

Cosme MacArthur Ortega Bustamante 45

Metodologa para la Implementacin de Redes Privadas Virtuales

3.1.- Introduccin.
Un sistema de tnel, es un mtodo para utilizar una infraestructura de red para transferir datos de una red sobre otra. Los datos que sern transferidos (carga til) pueden ser tramas (paquetes) de otro protocolo. En lugar de enviar una trama a medida que es producida por el nodo originador, el protocolo de tnel encapsula la trama en un encabezado adicional. El encabezado adicional proporciona informacin de enrutamiento de tal manera que la carga til encapsulada pueda viajar a travs de la red intermedia. Entonces, se pueden enrutar los paquetes encapsulados entre los puntos finales del tnel sobre la red. La trayectoria lgica a travs de la cual viajan los paquetes encapsulados en la red se le llama un tnel. Una vez que las tramas encapsuladas llegan a su destino sobre la red se desencapsulan y se envan a su destino final. Note que este sistema de tnel incluye todo este proceso (encapsulamiento, transmisin y desencapsulamiento de paquetes) [WWW04].

Figura 3.1.- Tneles

Puntos finales de tnel Encabezado de Inter-red de trnsito

Carga til

Inter-red de trnsito

Carga til

Carga til en tnel

Tome en cuenta que la inter-red de trnsito puede ser el Internet, que es una inter-red pblica y es el ejemplo del mundo real ms conocido. Existen muchos otros ejemplos de tneles que pueden realizarse sobre inter-redes corporativas.

Cosme MacArthur Ortega Bustamante 46

Metodologa para la Implementacin de Redes Privadas Virtuales Si Internet proporciona una de las inter-redes ms penetrantes y econmicas, las referencias a Internet se pueden reemplazar por cualquier otra inter-red pblica o privada que acte como una inter-red de trnsito. Las tecnologas de tnel han existido, pero algunos ejemplos de tecnologas maduras incluyen: Tneles SNA sobre interredes IP. Cuando se enva trfico de la arquitectura de la red del sistema (SNA) a travs de una inter-red IP corporativa, la trama SNA se encapsula en un encabezado UDP e IP. Tneles IPX para Novell NetWare sobre inter-redes IP. Cuando un paquete IPX se enva a un servidor NetWare o router IPX, el servidor o router envuelve el paquete IPX en un encabezado UDP e IP y, luego lo enva a travs de una inter-red IP. El router IP a IPX de destino quita el encabezado UDP e IP, y transmite el paquete al destino IPX. En los ltimos aos se han introducido nuevas tecnologas de sistemas de tneles. Entre las tecnologas ms nuevas, enfoque principal de este capitulo, incluyen: Protocolo de tnel de punto a punto (PPTP). Permite que se encripte el trfico IP, IPX o NetBEUI y luego se encapsule en un encabezado IP para enviarse a travs de una red corporativa IP o red pblica IP. Protocolo de tnel de nivel 2 (L2TP). Permite que se encripte el trfico IP, IPX o NetBEUI y luego se enve sobre cualquier medio que brinde soporte a la entrega de datagramas punto a punto, como IP, X.25, Frame Relay o ATM. Modo de tnel de seguridad IP (IPSec). Permite que se encripten las cargas tiles IP y luego se encapsulen en un encabezado IP para enviarse a travs de una red corporativa IP o una red pblica IP.

Cosme MacArthur Ortega Bustamante 47

Metodologa para la Implementacin de Redes Privadas Virtuales

3.2.- Protocolos de tnel.

Para que se establezca un tnel el cliente del tnel como el servidor del tnel debern utilizar el mismo protocolo de tnel. En la tabla 3.1 se puede observar los protocolos de tnel que se describirn ms adelante.

Protocolo Detalle PPTP Point to Point Tunneling Protocol (Microsoft) L2F Layer Two Forwarding (Cisco) L2TP Layer Two Tunneling Protocol (Cisco)
Tabla 3.1.- Protocolos de Tnel

Tambin se describirn los protocolos PPP (Point to Point Protocol) y tambin el protocolo IPSec (IP Security), que aunque no pertenezcan al conjunto de protocolos de tnel, pero si tienen relacin con stos. La tecnologa de tnel se puede basar ya sea en el protocolo del tnel de Nivel 2 o de Nivel 3. Estos niveles corresponden al modelo de referencia de interconexin de sistemas abiertos (OSI). Los protocolos de nivel 2 corresponden al nivel de enlace de datos, y utilizan tramas como su unidad de intercambio. PPTP y L2TP son protocolos de tnel de nivel 2; ambos encapsulan la carga til en una trama del protocolo punto a punto (PPP) que se enviar a travs de la red. Los protocolos de nivel 3 corresponden al nivel de la red y utilizan paquetes IP sobre IP y el modo de tnel de seguridad IP (IPSec); estos protocolos encapsulan los paquetes IP en un encabezado adicional IP antes de enviarlos a travs de una red IP.

Cmo funcionan los tneles?

Para las tecnologas de tnel de nivel 2 como PPTP y L2TP, un tnel es similar a levantar una sesin de comunicacin; los dos nodos finales del tnel deben estar de acuerdo al tnel y deben negociar las variables de la configuracin, asignacin de direccin, los parmetros de encriptacin o de compresin. En la mayora de los casos, los datos que se transfieren a travs del tnel se envan utilizando protocolos basados en datagramas. Se utiliza un protocolo para mantenimiento del tnel como el mecanismo para administrar al mismo. Cosme MacArthur Ortega Bustamante 48

Metodologa para la Implementacin de Redes Privadas Virtuales En general las tecnologas de tnel de nivel 3, suponen que se han manejado fuera de contexto los temas relacionados con la configuracin, normalmente por medio de procesos manuales. Sin embargo una fase de mantenimiento de tnel bien puede no existir. Mientras para los protocolos de nivel 2 (PPTP y L2TP) se debe crear, mantener y luego dar por terminado un tnel. Una vez que se establece el tnel, se puede enviar los datos a travs del mismo. El cliente o el servidor del tnel utilizan un protocolo de transferencia de datos del tnel para preparar los datos para su transferencia. Por ejemplo, cuando el cliente del tnel enva una carga til al servidor del tnel, el cliente del tnel adjunta primero un encabezado de protocolo de transferencia de datos de tnel a la carga til. Luego, el cliente enva la carga til encapsulada resultante a travs de la red, la cual lo enruta al servidor del tnel. El servidor del tnel acepta los paquetes, quita el encabezado del protocolo de transferencia de datos del tnel y enva la carga til a la red objetivo. La informacin que se enva entre el servidor del tnel y el cliente del tnel se comporta de manera similar.

Los protocolos de tnel y los requerimientos bsicos del tnel.

Debido a que los protocolos de nivel 2 (PPTP y L2TP) se basan en protocolos PPP bien definidos, heredan un conjunto de funciones tiles, estas funciones y sus contrapartes de nivel 3 cubren los requerimientos bsicos de la VPN [WWW04]. Autenticacin de usuario. Los protocolos de tnel de nivel 2 heredan los esquemas de autenticacin del usuario de PPP, incluyendo los mtodos EAP (Extensible Authentication Protocol Protocolo de Autenticacin Ampliable). Muchos de los esquemas de tnel de nivel 3 suponen que los puntos finales han sido bien conocidos y autenticados antes de que se estableciera el tnel. Una excepcin es la negociacin IPSec ISAKMP, la cual proporciona una autenticacin mutua de los nodos finales del tnel. (Note que la mayor parte de las implementaciones IPSec dan soporte slo a certificados basados en equipo, ms que en certificados de usuarios. Como resultado, cualquier usuario con acceso a uno de los equipos de nodo final puede utilizar el tnel. Se puede eliminar esta debilidad potencial de seguridad cuando se complementa el IPSec con un protocolo de nivel 2 Cosme MacArthur Ortega Bustamante 49

Metodologa para la Implementacin de Redes Privadas Virtuales como el L2TP.) Soporte pueden dar de tarjeta de seales. Al utilizar el protocolo de soporte a una amplia variedad de mtodos de autenticacin ampliable (EAP), los protocolos de tnel de nivel 2 autenticacin, incluyendo contraseas de una sola vez, calculadores criptogrficos y tarjetas inteligentes. Los protocolos de tnel de nivel 3 pueden utilizar mtodos similares; por ejemplo, IPSec define la autenticacin de los certificados de claves pblicas en su negociacin ISAKMP/Oakley(protocolo de seguridad). Asignacin de direccin dinmica. El tnel de nivel 2 da soporte a la asignacin dinmica de direcciones de clientes basadas en un mecanismo de negociacin de protocolo de control de la red (NCP). Por lo general, los esquemas de tnel de nivel 3 suponen que ya se ha asignado una direccin antes de la iniciacin del tnel. Los esquemas para la asignacin de direcciones en el modo de tnel IPSec estn actualmente en desarrollo. Compresin de datos. Los protocolos de tnel de nivel 2 dan soporte a esquemas de compresin basados en PPP. Por ejemplo, las implementaciones de Microsoft tanto de PPTP como L2TP utilizan Microsoft Point-to-Point Compression (MPPC). La IETF se encuentra investigando mecanismos similares (como la compresin IP) para los protocolos de tnel de nivel 3. Encriptacin de datos. Los protocolos de tnel nivel 2 dan soporte a mecanismos de encriptacin de datos basados en PPP. La implementacin de Microsoft de PPTP da soporte al uso opcional de Microsoft Point-to-Point Encription (MPPE), basado en el algoritmo RSA/RC4. Los protocolos de tnel nivel 3 pueden utilizar mtodos similares; por ejemplo, IPSec define varios mtodos de Encriptacin opcional de datos que se negocian durante el intercambio ISAKMP/Oakley. La implementacin de Microsoft del protocolo L2TP utiliza la encriptacin IPSec para proteger el flujo de datos del cliente al servidor del tnel. Administracin de claves. MPPE, protocolo de nivel 2, se basa en las claves iniciales generadas durante la autenticacin del usuario y luego las renueva peridicamente. IPSec negocia explcitamente una Cosme MacArthur Ortega Bustamante 50

Metodologa para la Implementacin de Redes Privadas Virtuales clave comn durante el intercambio ISAKMP y tambin las renueva peridicamente. Soporte de protocolo mltiple. El sistema de tnel de nivel 2 da soporte a protocolos mltiples de carga til, lo cual hace ms fcil a los clientes de tnel tener acceso a sus redes corporativas utilizando IP, IPX, NetBEUI, etc. En contraste, los protocolos de tnel de nivel 3, como el modo de tnel IPSec, tpicamente dan soporte slo a redes objetivo que utilizan el protocolo IP.

3.2.1.- Protocolo de Punto a Punto (PPP).

El protocolo PPP, no es un protocolo de tnel, pero es la base para el protocolo PPTP, que es el protocolo de tnel punto a punto. El protocolo PPP proporciona un mtodo estndar para transportar datagramas multiprotocolo sobre enlaces simples punto a punto entre dos "pares" (mquinas en los dos extremos del enlace). Estos enlaces proveen operacin bidireccional full dplex y se asume que los paquetes sern entregados en orden. Consta de tres componentes principales: Un mtodo de encapsulamiento que permite al software de red utilizar un solo enlace serial para mltiples protocolos y manejar la deteccin de errores. Un protocolo de control de enlace LCP (Link Control Protocol) que el software de red puede utilizar para establecer, configurar y probar las conexiones de enlace de datos. Ambos lados de la conexin PPP utilizan LCP para negociar las opciones de conexin. Una familia de protocolos de control de red NCPs (Network Control Protocols) que permita a las conexiones PPP utilizar diferentes protocolos de la capa de red.

Cosme MacArthur Ortega Bustamante 51

Metodologa para la Implementacin de Redes Privadas Virtuales Hay cuatro fases de negociacin en una sesin de marcacin de PPP. Cada una de stas debe completarse satisfactoriamente antes de que la conexin de PPP est lista para transferir los datos del usuario. Estas fases son: Fase 1. Establecimiento del enlace de PPP: El PPP utiliza el protocolo de control de enlace (LCP) para establecer, mantener y terminar la conexin fsica. Durante la fase del LCP, se seleccionan las opciones de comunicacin bsica. Tome en cuenta que durante la fase de establecimiento del enlace (fase 1), se seleccionan los protocolos de autenticacin, pero no se implementan realmente hasta la fase de autenticacin de usuarios (fase 2). De manera similar, durante el LCP, se toma una decisin en cuanto a que si dos enlaces iguales negocian el uso de compresin y/o encriptacin, la eleccin real de algoritmos de encriptacin/compresin ocurre durante la fase 4. Fase 2. Autenticacin de usuarios: En esta fase, el computador que hace de cliente presenta la identificacin del usuario al servidor de acceso remoto(RAS). Un esquema seguro de autenticacin proporciona proteccin contra los ataques de contestacin e imitacin de clientes remotos. Las implementaciones del PPP por lo general, proporcionan mtodos limitados de autenticacin, algunos de stos son: Protocolo de Autenticacin de Contraseas (PAP). Es un esquema simple de autenticacin de texto claro, es decir, que no est codificado. El servidor solicita el nombre y contrasea del usuario, y el PAP los entrega en texto claro. Indiscutiblemente, este esquema no es seguro debido a que puede ser interceptado el nombre y contrasea del usuario, y utilizarlos para obtener acceso al servidor y a todos los recursos suministrados por el mismo. El PAP no proporciona proteccin contra los ataques de reproduccin o las imitaciones de cliente remoto, una vez que la contrasea del usuario ha sido violada. Protocolo de Autenticacin de Intercambio de Seales de Reconocimiento (CHAP). Es un mecanismo de autenticacin encriptado que evita la transmisin de contraseas reales en la conexin. El NAS enva un desafo (challenge), que consiste de una identificacin de sesin y una extensin challenge arbitraria al cliente Cosme MacArthur Ortega Bustamante 52

Metodologa para la Implementacin de Redes Privadas Virtuales remoto. El cliente remoto deber utilizar el algoritmo de control unidireccional MD5 para devolver el nombre del usuario y una encriptacin del challenge, la identificacin de la sesin y la contrasea del cliente. El nombre del usuario se enva sin verificar. El CHAP es una mejora sobre el PAP en cuanto a que no se enva la contrasea de texto transparente sobre el enlace. En su lugar, se utiliza la contrasea para crear una verificacin encriptada del desafo original. El servidor conoce la contrasea del texto transparente del cliente y por lo tanto puede duplicar la operacin y comparar el resultado con la contrasea enviada en la respuesta del cliente. El CHAP protege contra ataques de reproduccin al utilizar una extensin challenge arbitraria para cada intento de autenticacin. El CHAP protege contra la personificacin de un cliente remoto al enviar de manera impredecible desafos repetidos al cliente remoto a todo lo largo de la duracin de la conexin.
Figura 3.2.- El proceso CHAP

Challenge Respuesta Cliente Dispositivo de Autenticacin Challenge = Identificacin de sesin extensin Challenge Respuesta = Hash MD5 (Identificacin de sesion, extensin challenge, contrasea de usuario), nombre de usuario

Microsoft

Challenge-Handshake

Authentication

Protocol

(MS-CHAP): El MS-CHAP (Protocolo de Autenticacin por desafo mutuo de Microsoft) es un mecanismo de autenticacin codificado muy similar al CHAP en donde, el servidor enva al cliente remoto una seal de reconocimiento, que consiste de una ID de sesin y de una cadena de reconocimiento arbitraria. El cliente remoto debe regresar el nombre del usuario y un hash MD4 de la cadena de reconocimiento, Cosme MacArthur Ortega Bustamante 53

Metodologa para la Implementacin de Redes Privadas Virtuales la ID de sesin y de la contrasea con el algoritmo de control unidireccional hash MD4. Este diseo, que manipula una codificacin del hash MD4 de la contrasea, proporciona un nivel adicional de seguridad porque permite que el servidor almacene contraseas codificadas en lugar de contraseas de texto claro. El servidor rene los datos de autenticacin y despus los valida en su propia base de datos de usuarios o basndose en un servidor central de base de datos de autenticacin, adems, proporciona cdigos de error adicionales, incluyendo un cdigo de expiracin de contrasea, y mensajes adicionales codificados de cliente-servidor que permiten que los usuarios cambien sus contraseas. Durante la fase 2 de la configuracin del enlace del PPP, el NAS recopila los datos de autenticacin y luego valida los datos contra sus propia base de datos del usuario o contra un servidor central para la autenticacin de base de datos. Fase 3. Control de retorno de llamada de PPP: La implementacin del PPP de Microsoft incluye una fase opcional de control de retorno de llamada. Esta fase utiliza el Protocolo de Control de Retorno de Llamada (CBCP Call Back Control Protocol) inmediatamente despus de la fase de autenticacin. Si la configuracin es para retorno de llamada, despus de la autenticacin el cliente remoto y el servidor se desconectan. Despus, el servidor llama otra vez al cliente remoto a un nmero telefnico especificado. Esto proporciona un nivel adicional de seguridad para las redes de marcacin. El servidor permitir conexiones de clientes remotos que residen fsicamente slo en nmeros telefnicos especficos. Fase 4. Invocacin de protocolos de nivel de red: En esta fase, el PPP invoca a los protocolos de control de red (NCP) que fueron seleccionados durante la fase de establecimiento del enlace para configurar los protocolos utilizados por el cliente remoto. Despus de culminar las fases de negociacin, el PPP comienza a transmitir los datos desde las dos partes. Cada paquete de datos transmitido se encapsula en un encabezado de PPP que es eliminado por el sistema receptor. Si la compresin de datos se seleccion en la fase del establecimiento del enlace PPP Cosme MacArthur Ortega Bustamante 54

Metodologa para la Implementacin de Redes Privadas Virtuales y se negoci en la fase de invocacin de protocolos del nivel de red, los datos sern comprimidos antes de la transmisin. Si se seleccionaron y se negociaron de manera similar la encriptacin de datos (comprimidos encriptarn antes de la transmisin. opcionalmente) se

3.2.2.- Protocolo de Tnel de Punto a Punto (PPTP).

Point-To-Point Tunneling Protocol (PPTP) es una combinacin del protocolo punto a punto(PPP) y del protocolo de control de transmisin/protocolo Internet (TCP/IP), el cual permite el seguro intercambio de datos de un cliente a un servidor formando una red privada virtual, basado en una red de trabajo va TCP/IP[WWW04]. PPTP combina funciones del PPP como el multiprotocolo, la autenticacin de usuarios y la privacidad con la compresin de paquetes de datos, y TCP/IP ofrece capacidad para enrutar esos paquetes por Internet. PPTP permite el encapsulamiento de datos con el uso de un tnel. El PPTP es un protocolo de nivel de enlace del modelo de referencia OSI, el cual encapsula las tramas de PPP en datagramas de IP las cuales van a ser transmitidas a travs de una red interna de IP, como Internet. (Sobre estos paquetes PPP pueden emplearse cualquiera de los siguientes protocolos: NetBEUI, IPX, SNA o TCP/IP). Tambin se puede utilizar el PPTP en una red privada de LAN a LAN. El protocolo de tnel de punto a punto (PPTP) utiliza una conexin de TCP (puerto 1723) para las el mantenimiento a su vez del tnel y las tramas en de PPP de encapsuladas, cuales son encapsuladas paquetes

encapsulamiento de enrutamiento genrico (GRE) destinadas a los datos en el tnel. Las cargas de pago de las tramas de PPP encapsuladas pueden codificarse y/o comprimirse. PPTP permite crear conexiones entre un cliente y un servidor sobre redes IP pblicas como puede ser Internet. Lo interesante es que estos enlaces se

Cosme MacArthur Ortega Bustamante 55

Metodologa para la Implementacin de Redes Privadas Virtuales realizan a travs de una especie de tnel que PPTP crea en la red IP y por el que viajan los datos de la conexin. Adems este tnel es privado: nadie a excepcin del cliente y el servidor viajan por l. El trfico PPTP consiste en dos tipos de trfico para diferentes tipos de datos: paquetes de datos y paquetes de control. Los paquetes de control se emplean para cosas como el estado y la sealizacin, y los paquetes de datos se emplean para contener los datos del usuario. Los paquetes de datos son paquetes que han sido encapsulados con el protocolo de encapsulamiento para enrutamiento genrico versin 2 (GREv2) de Internet. La conexin PPTP comienza primero como un reconocimiento entre las dos terminales remotas; stas acuerdan el esquema de compresin y el mtodo de encapsulamiento que van a usar. Si es necesario, durante la comunicacin normal estos paquetes se pueden fragmentar y el encabezado PPP aade un nmero serial para detectar si se perdi un paquete. La figura 3.3 muestra la forma en que se ensambla el paquete de PPTP antes de la transmisin. El dibujo muestra un cliente de marcacin que crea un tnel a travs de la red. El diseo de la trama final muestra la encapsulacin para un cliente de marcacin (controlador de dispositivo PPP).

Cosme MacArthur Ortega Bustamante 56

Metodologa para la Implementacin de Redes Privadas Virtuales

Figura 3.3.- Construccin de un paquete PPTP

Cliente Remoto
Aplicacin Datos de Usuario

Pila TCP/IP

IP

TCP UDP

Datos de Usuario

PPTP Software

GRE

PPP

IP

TCP UDP

Datos de Usuario

Opcionalmente comprimido y encriptado Pila TCP/IP IP UDP PPP IP TCP UDP Datos de Usuario

Opcionalmente comprimido y encrptado

Controlador Dispositivo PPP

PPP

IP

UDP

PPP

IP

TCP UDP

Datos de Usuario

Opcionalmente comprimidos y encriptados

Servidor de Acceso a la Red

Tnel Inter-red

Servidor de Tnel

Red de Destino

La arquitectura del PPTP se compone de tres fases, cada una de las cuales necesita que el anterior haya tenido xito: Fase 1. Conexin PPP. Es la conexin con el ISP. PPP es un protocolo de acceso remoto que establece enlaces punto a punto sobre distintos medios fsicos. Normalmente, se emplea para establecer conexiones remotas a travs de Cosme MacArthur Ortega Bustamante 57

Metodologa para la Implementacin de Redes Privadas Virtuales enlaces telefnicos (como por ejemplo conectar con nuestro ISP). PPP se encarga de las siguientes funciones: Establecer y mantener la conexin punto a punto a nivel fsico. Autentifica a los usuarios mediante PAP, SPAP, CHAP MS-CHAP comentados anteriormente. Crea tramas que encapsulan paquetes NetBEUI, IPX o TCP/IP encriptados. Fase 2. Control de la conexin PPTP. Una vez conectado a Internet, o a la red IP que hayamos elegido, debe establecerse conexin con el servidor y controlar la comunicacin establecida. En una red TCP/IP, El protocolo TCP se encarga de este trabajo. Sin embargo, en los tneles PPTP, TCP no existe a nivel de transporte porque todo va encapsulado en marcos PPP sobre paquetes IP. Por este motivo PPTP asume este papel utilizando servicios TCP para ello. A esta conexin es a la que se le denomina tnel PPTP. Los principales mensajes empleados por PPTP para el control de la sesin entre los extremos del tnel son los siguientes:
Tabla 3.1.- Mensajes de Control de la sesin de PPTP

MENSAJE PPTP_START_SESSION_REQUEST PPTP_START_SESSION_REPLY PPTP_ECHO_REQUEST PPTP_ECHO_REPLY PPTP_WAN_ERROR_NOTIFY PPTP_SET_LINK_INFO PPTP_STOP_SESSION_REQUEST PPTP_STOP_SESSION_REPLY

FUNCION Inicia la sesin Respuesta a la solicitud de inicio de sesin Mantiene la sesin Respuesta a la solicitud de mantenimiento de sesin Notifica un error en la conexin PPP Configura la conexin cliente/servidor PPTP Finaliza la sesin Respuesta a la solicitud de finalizacin de sesin

Fase 3. Data Tunneling. Es el proceso de enviar los datos a travs del tnel. Los datos se encapsulan y encriptan en paquetes PPP sobre datagramas IP. Como curiosidad, comentar que la creacin de ste se realiza mediante una

Cosme MacArthur Ortega Bustamante 58

Metodologa para la Implementacin de Redes Privadas Virtuales versin modificada de GRE Protocolo de encapsulacin y encaminamiento genrico. De esta forma, pueden crearse conexiones WAN seguras y de bajo coste. Esta solucin slo tiene una restriccin: el rendimiento. Si la red IP est muy saturada, el tnel sufrir las consecuencias. Por tanto, puede no ser recomendable para aplicaciones que requieran fiabilidad y rapidez. PPTP es, en la actualidad, un protocolo pendiente de estandarizacin y, por el momento slo est disponible para plataformas Win32 (NT y 95/OSR2 y superiores). Sin embargo, goza del apoyo de las empresas integrantes del PPTP Forum, a saber: Ascend Communications, ECI Telematics, 3Com/US Robotics y, como no, Microsoft.

3.2.3.- Transmisin de nivel 2 (L2F).

En 1996, Cisco System desarroll un protocolo que iba a emplearse en combinacin con el protocolo PPTP de Microsoft. Con el crecimiento de los servicios por marcacin y la disponibilidad de muchos protocolos diferentes, se necesitaba crear un escenario de marcacin virtual donde cualquiera de los protocolos que no fueran IP pudiesen disfrutar de los servicios de Internet [WWW06]. Cisco defini el concepto de establecimiento de tneles, como el

encapsulamiento de paquetes no IP; es decir los usuarios hacen una conexin PPP o SLIP a un proveedor de Internet por marcacin, y con el uso de L2F, se conectan a las mquinas de sus empresas. Estos tneles se encuentran en los extremos de la conexin a Internet, y son enrutados con software para establecimiento de tneles, llamados interfaces de tnel. El reenvo de nivel 2 ofrece muchos beneficios como los siguientes: Independencia del Protocolo (IPX, SNA) Autenticacin (PPP, CHAP, TACACS) Administracin de direcciones (asignadas por destino)

Cosme MacArthur Ortega Bustamante 59

Metodologa para la Implementacin de Redes Privadas Virtuales Tneles dinmicos y seguros Apertura de cuentas Independencia de medios, por ejemplo sobre L2F (ATM, X.25, tramas) Tanto el establecimiento de tneles L2F como el acceso local a Internet. En la configuracin bsica, el usuario realiza una conexin PPP o una conexin similar al proveedor de Internet local. Con la solicitud del usuario, el servidor, mediante el software L2F, inicia un tnel al destino del usuario. El destino pide la contrasea del usuario y, una vez autorizado, le asigna una direccin IP al usuario, igual que un dispositivo de acceso por marcacin tpico. El punto terminal quita el encabezado del tnel, registra el trfico y permite que haya comunicacin. A diferencia del PPTP y del L2TP, el L2F no tiene un cliente definido. Asimismo, el L2F slo funciona en tneles obligatorios.

3.2.4.- Protocolo de tnel de nivel 2 (L2TP).

En 1996 surgieron los protocolos PPTP y L2F. Compaas como Microsoft, Ascend y 3Com trabajaron en PPTP, mientras que Cisco trabaj en L2F. Dos aos ms tarde, en 1998, estas compaas acordaron una nueva especificacin de prueba para la IETF; el protocolo de establecimiento de tneles de nivel 2 (L2TP). El L2TP esta compuesto por las mejores caractersticas del PPTP y del L2F. Este es un protocolo de red que encapsula las tramas de PPP para enviarlas a travs de redes de IP, X.25, Frame Relay o modo de transferencia asncrona (ATM). L2TP utiliza dos funciones: una funcin de servidor de lnea tipo cliente (LAC), que es concentrador de acceso L2TP, y una funcin de servidor de red del lado servidor (LNS). Cuando una computadora realiza una conexin a un proveedor de servicios de Internet, la funcin LAC inicia el tnel y luego agrega los distintos encabezados a la carga PPP. La LAC establece el tnel al dispositivo de

Cosme MacArthur Ortega Bustamante 60

Metodologa para la Implementacin de Redes Privadas Virtuales terminacin LNS; este dispositivo puede ser un enrutador, un servidor o un dispositivo de acceso. Despus de que se estableci el tnel, se configura un mecanismo de autenticacin de usuario para establecer la identidad de los usuarios. L2TP utiliza mensajes de control para optimizar el tnel [RFC2661]. Cuando se configura para utilizar el IP y su transporte de datagrama, el L2TP puede utilizarse como un protocolo de tnel a travs de Internet. Este tambin puede utilizarse directamente a travs de varios medios de WAN media (como el Frame Relay) sin un nivel de transporte de IP. El L2TP a travs de redes internas de IP utiliza el UDP y una serie de mensajes L2TP para mantener el tnel. El L2TP tambin utiliza al UDP para enviar tramas de PPP encapsuladas L2TP como los datos en el tnel. Las cargas de pago de las tramas de PPP encapsuladas pueden codificarse y/o comprimirse. La Figura 3.4 muestra la forma en que se ensambla un paquete L2TP antes de su transmisin. El dibujo muestra un cliente de marcacin que crea un tnel a travs de una red. El diseo final de trama muestra la encapsulacin para un cliente de marcacin (controlador de dispositivos PPP). La encapsulacin supone el L2TP sobre IP.

Cosme MacArthur Ortega Bustamante 61

Metodologa para la Implementacin de Redes Privadas Virtuales

Cliente Remoto
Aplicacin Datos de Usuario

Pila TCP/IP

IP

TCP UDP

Datos de Usuario

L2TP Software

UDP

PPP

IP

TCP UDP

Datos de Usuario

Opcionalmente comprimido y encriptado

Pila TCP/IP IP UDP PPP IP TCP UDP Datos de Usuario

Opcionalmente comprimido y encriptado

Controlador Dispositivo PPP

PPP

IP

UDP

PPP

IP

TCP UDP

Datos de Usuario

Opcionalmente comprimido y encriptado

Servidor de Acceso a la Red

Tnel Inter-red

Servidor de Tnel

Red de Destino

Figura 3.4.- Construccin de un paquete L2TP

Cosme MacArthur Ortega Bustamante 62

Metodologa para la Implementacin de Redes Privadas Virtuales PPTP y L2TP ofrecen compresin por software, lo cual reduce los paquetes de usuario, y tambin las tcnicas de compresin aaden otro nivel de cifrado, aunque en pequeas cantidades. L2TP es un protocolo de nivel 2, diseado para encapsular en el nivel 2, e IPSec, que es un protocolo de nivel 3. Por lo tanto IPSec se puede utilizar junto con L2TP para dar ms seguridad. Esta es una configuracin que se recomienda si se emplea L2TP para instalar seguridad IPSec en un entorno IP.

PPTP comparado con el L2TP

Tanto el PPTP como L2TP utilizan el PPP para proporcionar una envoltura inicial de los datos y luego incluir encabezados adicionales para transportarlos a travs de la red. Los dos protocolos son muy similares [WWW04]. existen diferencias entre el PPTP y L2TP: El PPTP requiere que la red sea de tipo IP. El L2TP requiere slo que los medios del tnel proporcionen una conectividad de punto a punto orientada a paquetes. Se puede utilizar L2TP sobre IP (utilizando UDP), circuitos virtuales permanentes (PVCs), circuitos virtuales X.25 (VCs) o VCs ATM. El PPTP slo puede soportar un tnel nico entre puntos terminales. El L2TP permite el uso de varios tneles entre puntos terminales. Con el L2TP, uno puede crear diferentes tneles para diferentes calidades de servicio. L2TP proporciona la compresin de encabezados. Cuando se activa la compresin de encabezado, el L2TP opera slo con 4 bytes adicionales, comparado con los 6 bytes para el PPTP. L2TP proporciona la autenticacin de tnel, mientras que el PPTP no. Sin embargo, cuando se utiliza cualquiera de los protocolos sobre IPSec, se proporciona la autenticacin de tnel por el IPSec de tal manera que no sea necesaria la autenticacin del tnel nivel 2. Sin embargo,

Cosme MacArthur Ortega Bustamante 63

Metodologa para la Implementacin de Redes Privadas Virtuales

3.2.5.- Protocolo de Internet Seguro (IPSec).

El IPSec (IP Seguro) es un estndar de protocolo de nivel 3 que da soporte a la transferencia protegida de informacin a travs de una red IP. Se define como un conjunto de protocolos de seguridad que permite agregar encriptado y autenticacin a las comunicaciones IP. Mientras el encriptado puede evitar que un usuario no autorizado como tpicamente un hacker pueda leer un mensaje, el autenticado puede evitar los ataques a un sitio originados de sitios externos no deseados o hasta de dentro de la propia red del sitio [LIB01]. Las necesidades de privacidad, autenticacin e integridad de un mensaje se cubren con dos de los protocolos incluidos en IPSec: AH y ESP. El primero provee autenticado y por extensin tambin integridad, y el segundo bsicamente encriptado para asegurar la privacidad. El encabezado de autenticacin (AH) describe como autenticar paquetes de datagramas IP (autenticacin de datos) y proporciona integridad sin conexin y, si esta implementada, proteccin contra ataques repetitivos. AH puede utilizarse en los modos de tnel y trasporte. En el modo de transporte, se inserta despus del encabezado IP original y protege a los protocolos de nivel superior. En el modo de tnel, se inserta antes del encabezado original y se introduce un nuevo encabezado IP. La norma de Carga con seguridad de encapsulamiento (ESP) proporciona confianza, autenticacin, integridad sin conexin y servicios contra repeticiones. Este conjunto de servicios en ESP se instala durante el establecimiento de la asociacin de seguridad. Si bien ESP tambin opcionalmente puede proveer autenticacin, no encapsula todo el datagrama dejando abierto el primer encabezamiento, algo que puede ser una necesidad sin exponer mayormente la seguridad. Pero ms recomendable resulta usar ambos protocolos juntos cada uno con sus funciones especficas.

Cosme MacArthur Ortega Bustamante 64

Metodologa para la Implementacin de Redes Privadas Virtuales IPSec es un protocolo de Capa 3 resultando totalmente transparente a las aplicaciones. Se viene usando cada vez ms en las VPNs (Redes Privadas Virtuales) tanto para acceso remoto como intranets extendidas y especialmente en extranets. Asimismo define los mecanismos de codificacin para el trfico de IP y el formato de un paquete para un IP a travs del modo de tnel de IP, mejor conocido como modo de tnel de IPSec. Un tnel de IPSec consta de un cliente de tnel y de un servidor de tnel, los cuales se configuran para utilizar la transmisin en tnel de IPSec y un mecanismo de codificacin negociado. El modo de tnel de IPSec utiliza el mtodo de seguridad negociada para encapsular y codificar todos los paquetes de IP con el fin de lograr una transferencia segura a travs de las redes internas de IP pblicas o privadas. Despus, la carga de pago codificada se encapsula de nuevo en un encabezado de IP de texto plano, y se enva a travs de la red interna para que lo reciba el servidor de tnel. Despus de recibir este datagrama, el servidor de tnel procesa y descarta el encabezado de IP de texto plano y despus decodifica su contenido para recuperar el paquete original de IP de carga til. Posteriormente, el paquete de IP de carga til es procesado normalmente y enrutado a su destino. IPsec se puede usar directamente entre las mquinas que se comunican, o bien a travs de un tnel entre los dispositivos perifricos, llamados gateways de seguridad, que las conectan a travs de Internet. Las formas de conectividad resultantes se llaman as modo transporte y modo tnel respectivamente. Un tercer protocolo integrante de IPSec llamado IKE (protocolo Internet Security Association Key Management conocido como ISAKMP/Oakley) se usa para un intercambio seguro de las claves con que se manejan los otros componentes de IPSec. IKE puede operar con claves precompartidas, firmas digitales o con claves pblicas basadas en certificados digitales. El modo de tnel IPSec tiene las siguientes funciones y limitaciones [LIB02]: Slo da soporte a trfico IP. Cosme MacArthur Ortega Bustamante 65

Metodologa para la Implementacin de Redes Privadas Virtuales Funciona en el fondo de la pila IP; por lo tanto, las aplicaciones y protocolos de niveles ms altos heredan su comportamiento. Est controlado por una poltica de seguridad un conjunto de reglas que se cumplen a travs de filtros. Esta poltica de seguridad establece los mecanismos de encriptacin y de tnel disponibles en orden de preferencia y los mtodos de autenticacin disponibles, tambin en orden de preferencia. Tan pronto como existe trfico, los dos equipos realizan una autenticacin mutua, y luego negocian los mtodos de encriptacin que se utilizarn. En lo subsiguiente, se encripta todo el trfico utilizando el mecanismo negociado de encriptacin y luego se envuelve en un encabezado de tnel. Una limitacin es que las claves son estticas y, mientras dura la comunicacin, no hay un mecanismo para intercambiar estas claves. Orto problema de IPSec es que cada paquete IP aumenta su tamao una vez que pasa por el proceso de cifrado. En algunas LAN, el tamao de MTU (Unidad de Transferencia Mxima) podra obligar a la fragmentacin de estos paquetes, lo cual aumenta la carga de red en dispositivos como los enrutadores. La alternativa son los tneles cifrados.

3.3.- Tipos de tnel.

Se pueden crear tneles de 2 formas diferentes.

Tabla 3.2.- Tipos de Tnel

TipodeTunel Tneles Voluntarios

Descripcin Una computadora de usuario o de cliente puede emitir una solicitud VPN para configurar y crear un tnel voluntario. En este caso, la computadora del usuario es un punto terminal del tnel y acta como un cliente del tnel Un servidor de acceso de marcacin capaz de soportar una VPN configura y crea un tnel obligatorio. Con un tnel obligatorio, la computadora del usuario deja de ser un punto terminal del tnel. Otro dispositivo, el servidor de acceso remoto, entre la computadora del usuario y el servidor del tnel, es el punto terminal del tnel y acta como el cliente del tnel.

Tneles Obligatorios

Cosme MacArthur Ortega Bustamante 66

Metodologa para la Implementacin de Redes Privadas Virtuales

3.3.1.- Tneles voluntarios

Una computadora de usuario o de cliente puede emitir una solicitud VPN para configurar y crear un tnel voluntario. En este caso, la computadora del usuario es un punto terminal del tnel y acta como un cliente del tnel. Un tnel voluntario ocurre cuando una estacin de trabajo o un servidor de enrutamiento utilizan el software del cliente del tnel para crear una conexin virtual al servidor del tnel objetivo. Para poder lograr esto se debe instalar el protocolo apropiado de tnel en la computadora cliente. Para los protocolos que se analizan en este documento, los tneles voluntarios requieren una conexin IP (ya sea a travs de una LAN o marcacin) [WWW04]. En una situacin de marcacin, el cliente debe establecer una conexin de marcacin para conectarse a la red antes de que el cliente pueda establecer un tnel. Este es el caso ms comn. El mejor ejemplo de esto es el usuario de Internet por marcacin, que debe de marcar a un ISP y obtener una conexin a Internet antes de que se pueda crear un tnel sobre Internet. Para una PC conectada a una LAN, el cliente ya tiene una conexin a la red que le puede proporcionar un enrutamiento a las cargas tiles encapsuladas al servidor del tnel LAN elegido. Este sera el caso para un cliente en una LAN corporativa que inicia un tnel para alcanzar una sub-red privada u oculta en la misma LAN (como sera el caso de la red de Recursos Humanos que se analiz previamente). Es una equivocacin comn que las VPNs requieran una conexin de marcacin. Slo requieren de una red IP. Algunos clientes (como las PCs del hogar) utilizan conexiones de marcacin al Internet para establecer transporte IP. Esto es un paso preliminar en la preparacin para la creacin de un tnel, y no es parte del protocolo del tnel mismo.

Cosme MacArthur Ortega Bustamante 67

Metodologa para la Implementacin de Redes Privadas Virtuales

3.3.2.- Tneles obligatorios.

Un servidor de acceso de marcacin capaz de soportar una VPN configura y crea un tnel obligatorio. Con un tnel obligatorio, la computadora del usuario deja de ser un punto terminal del tnel. Otro dispositivo, el servidor de acceso remoto, entre la computadora del usuario y el servidor del tnel, es el punto terminal del tnel y acta como el cliente del tnel. Varios proveedores que venden servidores de acceso de marcacin han implementado la capacidad para crear un tnel en nombre del cliente de marcacin. La computadora o el dispositivo de red que proporciona el tnel para la computadora del cliente es conocida de varias maneras como: Procesador frontal (FEP) en PPTP, un Concentrador de acceso a L2TP (LAC) en L2TP o un gateway de seguridad IP en el IPSec. En este captulo, el trmino FEP se utilizar para describir esta funcionalidad, sin importar el protocolo de tnel. Para llevar a cabo esta funcin, el FEP deber tener instalado el protocolo apropiado de tnel y deber ser capaz de establecer el tnel cuando se conecte la computadora cliente [WWW04].

Cliente de Marcacin

Tnel

Internet
Conexin PPP

FEP ISP

Tnel Servidor Tnel

Figura 3.5.- Tneles obligatorios

En el ejemplo de Internet, la computadora cliente coloca una llamada de marcacin al NAS activado por los tneles en el ISP. Por ejemplo, una empresa puede haber contratado con un ISP para instalar un conjunto nacional de FEPs. Estos FEPs pueden establecer tneles a travs de Internet a un servidor de tnel conectado a la red privada de la empresa, consolidando as las llamadas de Cosme MacArthur Ortega Bustamante 68

Metodologa para la Implementacin de Redes Privadas Virtuales diferentes ubicaciones geogrficas en una conexin nica de Internet en la red corporativa. Esta configuracin se conoce como tnel obligatorio debido a que el cliente est obligado a utilizar el tnel creado por FEP. Una vez que se realiza la conexin inicial, todo el trfico de la red de y hacia el cliente se enva automticamente a travs del tnel. En los tneles obligatorios, la computadora cliente realiza una conexin nica PPP y, cuando un cliente marca en el NAS, se crea un tnel y todo el trfico se enruta automticamente a travs de ste. Se puede configurar un FEP para hacer un tnel a todos los clientes de marcacin hacia un servidor especfico del tnel. De manera alterna, el FEP podra hacer tneles individuales de los clientes basados en el nombre o destino del usuario. A diferencia de los tneles por separado creados para cada cliente voluntario, un tnel entre el FEP y servidor del tnel puede estar compartido entre varios clientes de marcacin. Cuando un segundo cliente marca al servidor de acceso (FEP) para alcanzar un destino para el cual ya existe un tnel, no hay necesidad de crear una nueva instancia del tnel entre el FEP y el servidor del tnel. El trfico de datos para el nuevo cliente se transporta sobre el tnel existente. Ya que puede haber varios clientes en un tnel nico, el tnel no se termina hasta que se desconecta el ltimo usuario del tnel. A la fecha, los tneles voluntarios han probado ser el tipo ms popular de tnel.

Cosme MacArthur Ortega Bustamante 69

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO IV

ARQUITECTURA DE RED PRIVADA VIRTUAL

4.1.4.2.4.3.4.4.4.5.4.6.4.7.-

VPN VPN VPN VPN VPN VPN VPN

proporcionada por un proveedor de servicios de Red basada en cortafuegos basada en caja negra basada en Enrutador basada en acceso remoto basada con herramientas proxy basada en software

Cosme MacArthur Ortega Bustamante 70

Metodologa para la Implementacin de Redes Privadas Virtuales Existen innumerables tipos de tecnologa para la instalacin de una VPN, cada una con su propio lugar y funcin, y cada uno con sus propias ventajas y desventajas asociadas. En el presente capitulo examinaremos algunas de las distintas arquitecturas de la tecnologa VPN, incluyendo las VPN proporcionadas por los proveedores de servicio de red, las VPN basadas en cortafuegos, las VPN basadas en caja negra, las VPN basadas en acceso remoto / enrutador, las VPN consientes de las aplicaciones, las VPN de servicios mltiples y las VPN basadas en software. Con esta muestra de productos el lector podr apreciar que existe una VPN para cada organizacin y cualquier infraestructura de red. Parecera que en una VPN se podra instalar casi cualquier caracterstica que deseara, desde la autenticacin de usuarios y el filtrado en el web, hasta software antivirus. Lamentablemente, existen sacrificios entre el nmero de servicios disponibles en este tipo de productos, los requisitos de procesamiento necesarios para ejecutar esos servicios y el soporte final de los mismos. Adems se debera separar el servicio VPN de otros servicios de aplicaciones, por ejemplo, que se est usando un cortafuego basado en sistema operativo y se decide instalar un producto VPN sobre el sistema operativo. Si se puede evitar el instalar una VPN en un servidor que ya tiene otros servicios de aplicaciones, es mejor hacerlo. Ante la pregunta Cul es la mejor VPN para una organizacin? de entre las diferentes arquitecturas mencionadas anteriormente, es muy difcil y complejo dar una respuesta especfica, sin embargo existen algunos lineamientos que permiten decidir cual VPN conviene a una organizacin especfica. A continuacin se presentan una serie de preguntas que el grupo que esta implementando una VPN debe plantearse antes de decidirse por una solucin VPN. Sabe que es una VPN? Los ahorros en el costo son el nico propsito? Utilizar la VPN para comercio global? Instalar una extranet?

Cosme MacArthur Ortega Bustamante 71

Metodologa para la Implementacin de Redes Privadas Virtuales Su organizacin posee la capacidad tcnica adecuada para

mantener e instalar una VPN? Que tipo de seguridad utilizar? Qu tipo de arquitectura de hardware soporta mi organizacin? Cuntos usuarios estima que utilizar esta VPN? Estas preguntas son slo un ejemplo de las muchsimas que pueden surgir y cada una puede ser de gran consideracin para su organizacin. De igual manera pueden surgir preguntas que deben ser contestadas por el personal de Sistemas antes de decidirse por instalar una VPN. A continuacin empezaremos a describir cada arquitectura de las VPN ms populares: VPN proporcionada por un ISP VPN basada en cortafuegos VPN basada en Caja Negra VPN basada en enrutador VPN basada en Acceso Remoto VPN con herramientas proxy VPN basadas en software

4.1.- VPN proporcionada por un Proveedor de Servicios de Red.

Este tipo de servicio son proporcionados por los Proveedores de Servicio de Internet (ISP), el cual se encarga de mantener el tnel entre nuestra organizacin y el ISP. Correspondera al ISP mantener la VPN funcionando adecuadamente, y para esto el ISP se hara cargo de la instalacin y configuracin de la VPN, y si as lo requiere el ISP puede instalar un dispositivo en las oficinas de nuestra organizacin o en su compaa, el cual crear el tnel por nosotros [LIB02].

Cosme MacArthur Ortega Bustamante 72

Metodologa para la Implementacin de Redes Privadas Virtuales El problema en este tipo de arquitectura es de quin se hara cargo de cada responsabilidad. Por ejemplo quin es responsable de la seguridad, nuestra organizacin o el ISP que nos ofrece el servicio de VPN; quin es el responsable de los equipos de comunicacin, lgicamente si el ISP instala su propio equipo, entonces la responsabilidad sera del ISP, pero adems de esto, hay que definir quin es el responsable de la comunicacin entre nuestra red y el equipo que instal el ISP para proporcionar la VPN. Ver figura 4.1

Oficina del Cliente Red Interna Ethernet Responsabilidad del PSI

INTERNET

Router Interno

PSI Dispositivo de Red

Figura 4.1.- VPN proporcionada por el proveedor de servicios de Internet

Para ilustrar un poco el panorama observemos algunos de los problemas que se tiene que esclarecer antes de instalar una VPN por parte de un PSI.

Seguridad.
La seguridad no debe estar en manos del proveedor de servicios de Internet, an si proporciona el equipo para realizar la VPN. Tome en cuenta que los PSI primero proporcionan servicios de Internet y en segundo lugar servicios de VPN.

Cosme MacArthur Ortega Bustamante 73

Metodologa para la Implementacin de Redes Privadas Virtuales La seguridad debe estar en manos de la organizacin propietaria de la VPN, tomando en consideracin que son las acciones de los propios usuarios los que pueden ocasionar los problemas de seguridad.

Control de cambios.
Antes de implementar una VPN con un PSI se necesita esclarecer quin hace los cambios en el control de la poltica de acceso y cuanto le toma implementar estos cambios. El proveedor de servicios de Internet no puede estar disponible o puede estar ocupado resolviendo otros problemas. Adems al aadir nuevos servicios es posible que se requiera parar el funcionamiento de la VPN, de tal forma que eventualmente podra pasar por varios controles de cambios y necesitar seguirle la pista a cada uno de ellos y supervisarlos. De igual forma necesita determinar como vigilar el control de cambios. Si solicit un cambio en su arquitectura existente debe saber cmo y cundo se implemento esa solicitud.

Solucin de problemas.
En cualquier tipo de arquitectura de VPN, cuando las cosas van mal u ocurren problemas, Quin puede ayudarle?. Es el proveedor de servicios de Internet el llamado a solucionar los problemas, y ste estar en la predisposicin de solucionarlos si importarles el tiempo que le tome?

Autorizacin.
Usted necesita saber cmo y cundo se aadieron usuarios a una base de datos lo cual les permitir crear un tnel de VPN hacia su organizacin. La base de datos esta en el dispositivo de la VPN proporcionado por el Proveedor de servicios de Internet o en algn servidor interno bajo su control? Puede obtener acceso a l, de lo contrario, cunto tiempo se requiere para que una autorizacin del usuarios se vuelva efectiva?. Esto es importante en el caso de un empleado despedido; si un empleado deja la compaa es muy importante que su acceso se restrinja de inmediato, no despus de un da.

Cosme MacArthur Ortega Bustamante 74

Metodologa para la Implementacin de Redes Privadas Virtuales

Utilizacin de la red
Es necesario estar consiente de cmo funciona la red en general. La organizacin o su Proveedor de servicios de Internet deben vigilar el enlace para el uso del trfico en el ancho de banda.

Utilizacin de dispositivos
Su dispositivo VPN es justo como cualquier mquina o pieza de software ubicada en alguna parte de su organizacin. Alguien tendr que mirar su desempeo, vigilar su salud y prevenir los problemas. Recuerde, la mquina no le pertenece, est en su sitio, pero bajo el control del proveedor de servicios de Internet.

4.2.- VPN basadas en Cortafuegos.

Las VPN basadas en cortafuego son la forma ms comn de implementacin de VPN hoy en da, y muchos proveedores ofrecen este tipo de configuracin; esto no significa que sean mejores, sino ms bien se trata de una base establecida a partir de la cual crecer, como se indica en la figura 4.2 [LIB02].
Figura 4.2: VPN basada en cortafuego

UNIX, NT LINUX Ethernet INTERNET

Router Interno

Cortafuego/VPN

En la actualidad todas las organizaciones conectadas a Internet utilizan algn tipo de cortafuegos, lo que se trata es de utilizar esta infraestructura para crear la VPN, y lo nico que se necesita es aadir software de cifrado. En estos das

Cosme MacArthur Ortega Bustamante 75

Metodologa para la Implementacin de Redes Privadas Virtuales casi la mayora de software cortafuegos incluyen la capacidad para implementar tecnologa de cifrado VPN. Existen muchos proveedores entre los cuales elegir cuando se considera una VPN basada en cortafuego, y los productos estn disponibles en todas las plataformas. Un aspecto importante de la seguridad es el sistema operativo en el cul se esta ejecutando el cortafuegos, y hay que estar consientes de las vulnerabilidades de ese sistema operativo. No existe un dispositivo cien por ciento seguro, as que si crea la VPN en ese dispositivo, necesitar asegurarse de que el sistema operativo subyacente sea seguro. Antes de instalar una VPN basada en cortafuego se cebe decidir la norma que se va a utilizar. Por ejemplo, se desea utilizar la norma PPTP, L2TP, o IPSec. Hay que tener en consideracin que los cortafuegos tienen tres tipos de implementaciones entre las cuales elegir: Inspeccin de estados, proxy y filtrado de paquetes, Un cortafuego de inspeccin de estados se ejecuta en los niveles dos y tres del modelo OSI, Un servidor Proxy se ejecuta en el nivel 7, el modelo de aplicaciones del modelo OSI, y el cortafuego de filtrado de paquetes tambin tiene que examinar el paquete completo cada vez que pasa. Por la razn mencionada anteriormente, cuando se dice que se debera aadir tecnologa VPN al cortafuego, se refiere a aadir tecnologa VPN nicamente a un cortafuego de inspeccin de estados. De la misma manera que la tecnologa VPN en s misma se ejecuta en los niveles ms bajos de la pila de OSI, el cortafuego tambin debe hacerlo, o de lo contrario podra caer en problemas de desempeo.

4.3.- VPN basadas en Caja Negra.

Se trata de un dispositivo cargado con software de cifrado para crear un tnel de VPN. Algunas cajas negras vienen equipadas con software que se ejecuta en el cliente, para ayudar a administrar el dispositivo, y otras se las puede administrar mediante el explorador de Internet. Por ser un dispositivo de hardware se cree que las VPN instaladas con estos equipos son mucho ms rpidas que los tipos

Cosme MacArthur Ortega Bustamante 76

Metodologa para la Implementacin de Redes Privadas Virtuales basados en software, ya que crean tneles ms rpidos bajo demanda y

ejecutan el proceso de cifrado mucho ms rpido. Aunque esto puede ser verdad, no todos ofrecen una caracterstica de administracin centralizada [LIB02]. Adems se requiere otro servidor si se quiere llevar a cabo la autenticacin de los usuarios, aunque algunos fabricantes si soportan la autenticacin de usuarios, pero no es muy aconsejable tener todos los usuarios en el mismo equipo. Un punto importante a tomar en consideracin en este tipo de dispositivos es que debera soportar los tres protocolos para establecimiento de tneles, PPTP, L2TP e IPSec, adems algunos de estos dispositivos estn empezando a incorporar capacidades de cortafuego. El dispositivo VPN de caja negra se sita por lo general detrs del cortafuego, aunque tambin puede situarse a un lado del mismo1. El cortafuego proporciona seguridad a su organizacin; pero no provee seguridad para sus datos. De igual manera el dispositivo VPN brindar seguridad a sus datos, pero no a su organizacin. La figura 4.3 muestra una solucin de VPN de caja negra.
Figura 4.3: VPN de Caja negra

Ethernet

Ethernet

INTERNET

Dispositivo VPN

Revise el captulo correspondiente a Topologas de VPN

Cosme MacArthur Ortega Bustamante 77

Metodologa para la Implementacin de Redes Privadas Virtuales En la configuracin del cortafuego hay que dejar pasar los paquetes cifrados. El cortafuego esta ah para proteccin. Si usted esta filtrando en los puertos TCP y los paquetes vienen cifrados, el cortafuego tratar de examinar el paquete, se dar cuenta de que no puede hacerlo y lo soltar. Por consiguiente, debe asegurarse de que su cortafuego pasar esos paquetes.

4.4.- VPN basadas en enrutador.

Este tipo de arquitectura es adecuada para organizaciones que ya tiene instaladas una base de enrutadores, y que adems soporten VPN. Existen dos tipos de VPN basadas en enrutadores. En uno de ellos el software se aade al enrutador para permitir que el proceso de cifrado ocurra. En el segundo mtodo se inserta una tarjeta externa de otro proveedor en el mismo chasis del enrutador, este mtodo esta diseado para que la tarjeta insertada realice el proceso de cifrado y liberar de esta tarea al CPU del enrutador [LIB02]. Algunos enrutadores soportan intercambio en activo y redundancia, lo cual esta integrado en el producto, esto puede ser necesario para las organizaciones que slo pueden permitir un tiempo de inactividad corto. Se debe tener en consideracin que el desempeo puede ser un problema en VPN basadas en enrutador, debido a la adicin del proceso de cifrado al proceso de enrutamiento. Lo que estamos haciendo es agregar una carga ms pesada al enrutador, especialmente si este esta manejando una gran cantidad de rutas o esta implementando un algoritmo de enrutamiento intensivo. De igual manera como en los productos basados en caja negra, se debe tomar en consideracin de que los enrutadores soporten todos los protocolos de seguridad de Internet y aquellos que se utilizan para el establecimiento de tneles de la VPN como por ejemplo PPTP, L2TP e IPSec, ya que ests nos garantizarn la interoperabilidad. Adems, el enrutador implementar autenticacin de usuarios, o para hacerlo necesitar un dispositivo independiente compatible con l. La figura 4.4 muestra una VPN tpica basada en enrutador, en la cual los paquetes se cifran desde el origen hacia el destino.

Cosme MacArthur Ortega Bustamante 78

Metodologa para la Implementacin de Redes Privadas Virtuales

Tneles de VPN seguros PPTP / IPSec /L2TP Ethernet

Sucursal

Servidor de autenticacin de usuarios

INTERNET

Router de VPN

Figura 4.4.- VPN basada en enrutador

Existen dos inquietudes con las VPN basadas en enrutador: Interoperabilidad. Si desea conectarse a las VPN de los

proveedores, su enrutador y el enrutador de sus proveedores trabajarn en conjunto y crean la VPN? Encapsulamiento. Van a transportar protocolos que no son IP, como IPX o SNA a otro sitio? Algunos fabricantes de enrutadores solo cifran y no encapsulan.

4.5.- VPN basadas en acceso remoto.

El acceso remoto significa que alguien de afuera esta tratando de crear un flujo de paquetes cifrados hacia su organizacin. Este tnel podra venir de Internet, pero tambin podra venir de una lnea de marcacin. La figura 4.5 muestra un escenario tpico de acceso remoto [LIB02]. Este escenario tiene software que se ejecuta en una mquina remota en alguna parte y esa mquina intenta establecer una conexin a travs de un tnel cifrado Cosme MacArthur Ortega Bustamante 79

Metodologa para la Implementacin de Redes Privadas Virtuales al servidor interno de la organizacin, o desde una lnea de acceso por marcacin hacia un servidor de autenticacin. Un servidor de acceso instalado en su red, ya sea un enrutador, un cortafuego, una caja negra o un servidor de autenticacin independiente concede el acceso. Este dispositivo de acceso remoto reduce la cantidad de los costosos equipos de lneas rentadas y de acceso por marcacin remota.

xDSL/ Cable

Software de establecimiento de tneles

Software de establecimiento de tneles

Ethernet

Servidor de autenticacin de usuarios

Software de establecimiento de tneles INTERNET

Servidor de autenticacin de usuarios Dispositivo de red Cortafuego / Servidor de autenticacin Software de establecimiento de tneles

Figura 4.5.- Escenario de acceso remoto

4.6.- VPN con herramientas proxy.

En la actualidad con las aplicaciones recientes, como la telefona IP y las tele conferencias, cuando se hace una conexin para una aplicacin especfica en un puerto determinado, la respuesta que el servidor enva de regreso llega a varios puertos. As que, cmo se debe configurar la VPN para que se maneje varias conexiones de entrada que se originan desde una solicitud de salida? Qu sucede si se tiene un producto de cortafuego / VPN? Qu puertos se abrirn? [LIB02]. Cosme MacArthur Ortega Bustamante 80

Metodologa para la Implementacin de Redes Privadas Virtuales La organizacin no desea abrir puertos innecesarios debido a posibles violaciones en la seguridad, pero en el caso de las tecnologas ms nuevas, es necesario. Si no puede abrir estos puertos, se debe asegurar que la arquitectura de VPN soporte tecnologas nuevas como la telefona IP, el envo de fax por Internet, entre otros. As que si esta haciendo una solicitud para una aplicacin multimedia y la respuesta llega a varios puertos es necesario tener una arquitectura de VPN llamada Kit de herramientas proxy para VPN, la cual se indica en la figura 4.6.

Figura 4.6.- Kit de herramientas de VPN

TCP, puerto 23489 TCP, puerto 23678 Anillo FDDI Ethernet UDP, puerto 27834 Aplicacin personalizada

4.7.- VPN basadas en software.

Una VPN basada en software bsicamente es un programa para establecer tneles o cifrado a otro anfitrin. Por lo general se utiliza desde un cliente a un servidor. Por ejemplo, en una VPN de PPTP, el software cargado en el cliente se conecta al software cargado en el servidor y establece una sesin de VPN [LIB02]. El trfico inicia desde un anfitrin especfico en su organizacin y establece una conexin a algn servidor en otra parte. El trfico que sale desde el anfitrin se

Cosme MacArthur Ortega Bustamante 81

Metodologa para la Implementacin de Redes Privadas Virtuales cifra o se encapsula, dependiendo de la VPN instalada, y se enruta hacia su destino. Lo mismo ocurre para alguien que esta tratando de conectarse a su red interna; una mquina cliente en alguna parte inicia una sesin de cliente VPN e instaura un dilogo de comunicacin con el servidor VPN de su organizacin. Esta comunicacin establece que tipo de cifrado y cules algoritmos de autenticacin deben utilizarse y otros datos importantes para iniciar la comunicacin. Despus de que le proceso inicial se ha completado, comienza el flujo de datos. En la figura 4.7 se ilustra una VPN basada en software.

Figura 4.7.- VPN basada en software.

RPV basada en Software

Software de VPN Ethernet <--TRAFICO-->

INTERNET

Cosme MacArthur Ortega Bustamante 82

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO V

TOPOLOGIAS DE RED PRIVADA VIRTUAL

5.1.5.2.5.3.5.4.5.5.5.6.5.7.-

Topologa de Cortafuego/VPN a Cliente Topologa de VPN/LAN a LAN Topologa de VPN/Cortafuego a Intranet/Extranet Topologa de VPN/Tramas o ATM Topologa de VPN de hardware(Caja Negra) Topologa de VPN/NAT Tneles de VPN anidados

En el presente capitulo se tratar de mostrar donde se debe colocar el dispositivo VPN en la topologa de su red. Todas las opciones disponibles dan la Cosme MacArthur Ortega Bustamante 83

Metodologa para la Implementacin de Redes Privadas Virtuales oportunidad de aprovechar completamente la tecnologa VPN. Los dispositivos VPN pueden ser internos, lo que significa que puede dejar que pasen los paquetes cifrados a su red sin necesidad de ser modificados por un enrutador o cortafuegos (Siempre y cuando el permiso este garantizado). Adems se tratar de explicar muchas de las topologas ms comunes como por ejemplo: VPN de cortafuego a equipo porttil, VPN de LAN a LAN, topologas anidadas y topologas de tneles son slo algunas de las configuraciones de topologas que se tratar de analizarlas. As como existen algunas maneras para adquirir e implementar una arquitectura de VPN, tambin existen muchas formas de colocar esta arquitectura en una topologa de VPN, teniendo presente que las VPN y la seguridad van de la mano. Al pensar en donde colocar su arquitectura VPN, observe primero la topologa de la red de su conexin a Internet. Despus examine las oficinas remotas que tendrn su propia conexin a Internet y dnde quiere crear el tnel de VPN. Comenzar con lo bsico ayudar a imaginar el flujo de datos y a determinar cules son los dispositivos de red por los que pasan los datos cifrados. Posiblemente los filtros colocados en algunos dispositivos bloquee los datos cifrados o, si el dispositivo tiene que examinar estos datos cifrados, tal vez reducir el desempeo. Por lo tanto el primer paso consiste en examinar los flujos de datos cuando se estudia la topologa. Las topologas son las siguientes: Topologa de cortafuego/VPN a Cliente Topologa de VPN/LAN a LAN Topologa de VPN/Cortafuego a Intranet / Extranet Topologa de VPN/Tramas o ATM Topologa de VPN de hardware (Caja Negra) Topologa de VPN/NAT Tneles de VPN anidados

Cosme MacArthur Ortega Bustamante 84

Metodologa para la Implementacin de Redes Privadas Virtuales

5.1.- Topologa de cortafuego/VPN a Cliente.

Empezaremos con sta ya que es la topologa de uso ms comn y prcticamente todas las organizaciones que implementen una VPN utilizarn este tipo de configuracin. En la actualidad casi todas las organizaciones conectadas a Internet tienen un cortafuego instalado, y todo lo que se necesita es agregar software de VPN al cortafuego. Este tipo de topologa es la ms comn y posiblemente la ms fcil de configurar para los que tienen un cortafuego colocado, y slo desean aumentar la funcionalidad de la VPN[LIB02].

Software de VPN Servidor

i rv Se

PPP INTERNET Ddsfgdhgosugo767ergh546oDDods78

Como se indica en la figura 5.1 un usuario en su equipo porttil remoto necesita el acceso a un servidor que se encuentra dentro de la red de la organizacin, detrs de un cortafuego / VPN, para obtener un reporte confidencial. Esta es la configuracin cliente / VPN tpica. En ella existen dos componentes que deben habilitarse para establecer la comunicacin: El dispositivo de cortafuego/VPN debe ejecutar algn tipo de cdigo VPN, adems de que deben agregarse algunas reglas al

r do o at D e d s

Figura 5.1.- Topologa de Cortafuego2/VPN a Cliente

El trmino Cortafuego se utiliza en espaol. El trmino Firewall se lo utiliza en Ingls

Cosme MacArthur Ortega Bustamante 85

Metodologa para la Implementacin de Redes Privadas Virtuales cortafuego como por ejemplo para permitir el cifrado, y dejar pasar los datos cifrados, entre otras. El equipo porttil tiene una pila VPN instalada. Se trata de una pila de VPN puesto que una aplicacin de VPN implicara que el cdigo corriera en el nivel 7 (aplicacin) del modelo OSI, y la pila de VPN en realidad se encuentra en los niveles 2 (enlace de datos) y 3 (red). Tambin hay que tomar en consideracin que si se utiliza el cifrado propietario de un fabricante y tiene un cifrado diferente en el cortafuego/VPN, no existir una comunicacin entre ambos. Si utiliza el encapsulamiento en el cortafuego / VPN, tambin deber utilizarlo en el equipo porttil. Los siguientes pasos describen el proceso de comunicacin entre el equipo porttil y el servidor interno una vez que se han completado las configuraciones: El usuario en el equipo porttil marca a su proveedor de servicios de Internet local y establece una comunicacin PPP. El equipo porttil solicita las claves del dispositivo del cortafuego/VPN. El cortafuego responde con la clave apropiada. El software de VPN instalado en el equipo porttil espera a que el usuario intente tener acceso al servidor interno (conocido como la direccin IP de destino). Si le usuario visita cualquier sitio distinto al de la red corporativa, no pasa nada. Pero si el usuario quiere realizar una conexin con el servidor interno, el software que se ejecuta en el equipo remoto ve la solicitud (conocida como una direccin IP), cifra el paquete y lo enva a la direccin IP pblica de la combinacin Cortafuego/ VPN. El dispositivo de Cortafuego/VPN le quita la direccin IP, descifra el paquete y lo enva al servidor dentro de la LAN local. El servidor interno responde la solicitud y enva el documento de regreso. El cortafuego /VPN examina el trfico y por su tabla sabe que es una configuracin de tnel de VPN. As que toma el paquete, lo cifra y lo enva al equipo remoto.

Cosme MacArthur Ortega Bustamante 86

Metodologa para la Implementacin de Redes Privadas Virtuales La pila de VPN en el equipo remoto ve el flujo de datos, sabe que viene del dispositivo de cortafuego/VPN, descifra el paquete y lo maneja en aplicaciones de niveles superiores. Esta configuracin es la que permite que la VPN tenga una gran flexibilidad, ya que se puede utilizar Internet como nuestra propia red privada, y muchos de los ahorros en los costos viene de esta configuracin. Hay que vigilar dos aspectos en este tipo de configuracin: Las configuraciones del equipo remoto; este software tiene la tendencia a interactuar con otras aplicaciones y provoca problemas de interoperabilidad. Esta configuracin aade una sobrecarga al proceso de cifrado / descifrado en el cortafuego. Se debe tomar en cuenta a ver si existen problemas de desempeo en el cortafuego.

5.2.- Topologa de VPN/LAN a LAN.

Luego de haber utilizado la topologa de Cortafuego/VPN a cliente las organizaciones se han dado cuenta que pueden extender sus VPN para brindar servicios a distintas oficinas remotas. Este tipo de topologa es la segunda ms comnmente utilizada; tericamente, se pueden utilizar tanto un cortafuego basado en Windows NT como uno basado en Unix, pero ambos utilizando un cifrado comn, por ejemplo DES, y debern ser capaces de comunicarse entre s. En la figura 5.2 aparece una organizacin con una oficina remota, las dos tiene su cortafuego propio, una es una mquina basada en Windows NT y la otra es una mquina basada en Unix. Ambas ejecutan software de VPN de distintos fabricantes y el algoritmo de cifrado utilizado en los productos VPN de los fabricantes es DES.

Cosme MacArthur Ortega Bustamante 87

Metodologa para la Implementacin de Redes Privadas Virtuales

UNIX ...DES... Software de VPN

p Ft r do vi er s a

Windows NT ...DES... Software de VPN

r se a p Ft

Servidor

INTERNET Ddsfgdhgosugo767ergh546oDDods78

El ejemplo [LIB02] presenta a un usuario de la oficina remota que necesita conectarse al servidor de la otra oficina y hacer una transferencia FTP para transferir un archivo: Antes de realizar la comunicacin, los componentes que deben habilitarse son los siguientes: El administrador de cada sitio est de acuerdo con el cifrado DES. El software de VPN de cada dispositivo crea una clave nica. Si se trata de un producto de cortafuego/VPN, el administrador de cada oficina establece una regla, por ejemplo, que todo el trfico destinado a la otra terminal debe cifrarse. El usuario final utiliza una aplicacin FTP en su escritorio para intentar conectarse al servidor. El paquete abandona el escritorio en texto sencillo y llega al dispositivo de cortafuego/VPN. El paquete es cifrado y se enva a la direccin IP pblica del dispositivo de cortafuego/VPN de la otra oficina. El cortafuego/VPN acepta y descifra el paquete y lo reenva a su destino final. El servidor recibe el paquete y responde. Enva un paquete en texto sencillo a su dispositivo de cortafuego/VPN local.

Cosme MacArthur Ortega Bustamante 88

r A do vi

City

CifradoDES

Desktop
Figura 5.2.- Topologa de VPN de LAN a LAN

Metodologa para la Implementacin de Redes Privadas Virtuales Despus, el cortafuego/VPN lo cifra y lo enva al otro

cortafuego/VPN. El cortafuego/VPN lo descifra y finalmente lo enva de regreso al usuario original. Lo importante aqu es que el usuario no tiene idea de que el cifrado se realiza. Adems de esto el servidor no necesita una configuracin especial, puesto que esta recibiendo solicitudes y respuestas normales. Los aspectos importantes aqu son los relacionadas con el enrutamiento; tanto la mquina del usuario como la red del servidor deben saber a que direcciones enrutar el dispositivo de cortafuego/VPN.

5.3.- Topologa de VPN/Cortafuego a Intranet / Extranet.

En la actualidad las Intranet3 y Extranet4 son cada vez ms populares. Normalmente las Intranet se utilizan internamente por el personal de la organizacin, y las Extranet se utilizan externamente por los clientes de la compaa [LIB02]. En la tecnologa VPN estos servicios no han cambiado, pero ahora se ha agregado un nivel adicional de seguridad, y se puede tener acceso internamente o externamente a cualquier servicio. Esto tiene dos condiciones. En primer lugar se cuenta con flexibilidad para que una mquina se encargue de la Intranet y Extranet y por lo tanto se reduce la redundancia, y en segundo lugar se debe tener presente la seguridad, ya que existe una forma para que los usuarios externos tengan acceso a estos servidores. La nica diferencia entre las Intranets y Extranets VPN y no VPN es el punto donde se efecta el proceso de cifrado. Si es en la mquina, piense en la seguridad como en u servidor Web tpico. Si no, piense en que tanto permitir que el trfico externo penetre en su red.
3

Intranet brinda lo mismos servicios de Internet (Por ejemplo servidor web, correo electrnico, servicios de noticias, entre otras), pero privadamente a una organizacin. 4 Extranet brinda los mismos servicios de Internet pero el flujo de datos va de una organizacin hacia sus clientes. Cosme MacArthur Ortega Bustamante 89

Metodologa para la Implementacin de Redes Privadas Virtuales La preocupacin ahora es como identificar a los empleados que requieren los servicios de Intranet, pero que acceden a ellos externamente, y a los clientes externos a quienes slo se les permite el acceso a la Extranet. En la figura 5.3 se ilustra una posible solucin para ubicar los servicios de Intranet y Extranet. En esta figura, el servidor web se mantiene en una red poco confiable, permitiendo que todos tengan acceso a este enlace de red. No importa que el dispositivo del cortafuego o de la VPN permita que los paquetes fluyan al servidor web sin modificacin. (Aunque para implementar un nivel de seguridad ms, el enlace DMZ1 del servidor web, slo debe permitir que pase el trfico HTTP del dispositivo VPN al servidor web, denegando los otros tipos de trfico).

Ethernet

DMZ2

EXTRANET Servidor
4 fH93 5fsfd rG

INTRANET Servidor Ethernet

F3 gf34 DJH d

Clientes Proveedores

INTERNET
dDJH gf34 F3rG 5f sfd fH93 4

Ethernet

DMZ1

Compaias usuarios remotos

Servidor WEB
Figura 5.3.- Ubicacin apropiada de la Intranet, Extranet y Servidor Web

Cosme MacArthur Ortega Bustamante 90

Metodologa para la Implementacin de Redes Privadas Virtuales La extranet se coloca en su propia red por separado. La seguridad que puede implementar aqu consiste en permitir que slo aquellas direcciones de origen que considere necesarias pasen al dispositivo de cortafuego/VPN. Si su extranet se estableci entre varias compaas, es probable que lleguen desde sus propias redes internas (de las compaas), por lo tanto, se puede restringir el acceso slo a esas redes. Pero, si alguien puede burlar las direcciones de origen, recuerde que cuando se estableci la comunicacin se creo una VPN, por lo tanto los datos estn cifrados y lo nico que se esta haciendo es adicionando una restriccin ms. Los clientes y los proveedores tienen permiso para conectarse al servidor de la extranet. El servidor web slo es para trfico web normal y esta disponible para todos. La Intranet se ubica detrs del dispositivo VPN y slo los usuarios internos que llegan de Internet la usan. Para concluir con este tipo de topologa, es buena idea colocar los servidores de red de acuerdo con su funcin. Si est permitido el acceso pblico, colquelo en una DMZ pblica. Si hay clientes y proveedores externos, colquelos en su propia DMZ. Si hay empleados, colquelos en su propia DMZ. Con mquinas bien instaladas puede tener varias zonas DMZ; por ejemplo algunos fabricantes de cortafuego/VPN soportan hasta 32 DMZ.

5.4.- Topologa de VPN/Tramas o ATM.

Si hay algo que agradecer a Internet es su flexibilidad casi en cualquier mbito, y uno de ellos es la de habilitar comunicaciones instantneas; pero siempre hay que tener en consideracin un asunto de mucha importancia como es la seguridad. Es debido a la seguridad que muchas compaas construyen intranets empleando slo lneas rentadas o enlaces basados en retransmisin de tramas para conectarse a sus sitios [LIB02]. Por lo tanto las VPN pueden configurarse sobre una infraestructura compartida tal como ATM o topologas de redes basadas en tramas. Loas organizaciones que ejecutan sus propias intranets sobre esta topologa de VPN tienen la misma

Cosme MacArthur Ortega Bustamante 91

Metodologa para la Implementacin de Redes Privadas Virtuales seguridad, facilidad de administracin y confiabilidad que en sus propias redes privadas.

VPN Compaia B CompaiaA VPN Compaia B VPN Conmutador Conmutador CompaaA VPN Compaia C

Conmutador VPN VPN CompaaA

Compaia C

Compaia C Compaia B
Figura 5.4.- VPN sobre un enlace ATM/tramas

En la figura 5.4 se muestra un ejemplo tpico de una VPN sobre un enlace basado en tramas o ATM de algn proveedor de servicios de Internet. Este tipo de topologa se configura de dos maneras: La primera es IP sobre una infraestructura de red de tramas/ATM. Esta configuracin combina el nivel de aplicacin de los servicios IP sobre la capacidad de una red ATM. Dependiendo de la configuracin del equipo, los paquetes IP se convierten en celdas y se transfieren sobre una red ATM. El Cosme MacArthur Ortega Bustamante 92

Metodologa para la Implementacin de Redes Privadas Virtuales proceso de cifrado se ejecuta en estos paquetes antes de la conversin a celdas, y las celdas que contienen la carga IP cifrada se conmutan al destino final. La segunda opcin es la del grupo de trabajo de conmutacin de etiquetas multiprotocolo (MPLS) del grupo de trabajo de Ingeniera de Internet (IETF). Esto permite que los proveedores de servicios busquen la integracin de IP y ATM. En esta topologa de red, los conmutadores inteligentes reenvan dinmicamente el trfico IP en paralelo junto con el trfico ATM en la misma red ATM. Al paquete se le aplica un campo que contiene un ID nico que identifica al destino final. Todos los conmutadores de esta red ATM examinan este campo y lo reenvan a su destino apropiado. El atributo de seguridad de esto es que el paquete slo se reenva a su destino, evitando de esta manera su espionaje. Cualquier proceso de cifrado que pueda utilizarse aqu slo se aplica a la porcin de datos, antes de enviarlo a la nube de ATM. Debido a que esta configuracin aplica un campo al paquete, no se pueden cifrar los encabezados del paquete; pero si se puede cifrar la carga til, lo que implica que la funcionalidad completa de IPSec no se implementar. Sin embargo, al cifrar la carga y conmutarla slo a su destino, si existe seguridad.

5.5.- Topologa de VPN de hardware (Caja Negra).

Las VPN de hardware, o cajas negras, son dispositivos independientes que implementan algoritmos de tecnologa VPN [LIB02]. Algunos soportan normas de cifrado como DES 3DES (Estados Unidos y Canad). Muchas de las compaas dedicadas a ofrecer servicios de VPN, lo estn haciendo tanto en hardware como en software, y a los dispositivos VPN basados en hardware les estn aadiendo servicios adicionales como cortafuegos, antivirus, capacidad de enrutamiento, certificados digitales, soporte LDAP, la vigilancia del correo electrnico y capacidades completas para Internet y para la marcacin VPN.
5 5

de 40 bits (internacional) y

Lamentablemente el cifrado 3DES slo se lo puede utilizar en los Estados Unidos, ya que este gobierno tiene prohibida su exportacin. Cosme MacArthur Ortega Bustamante 93

Metodologa para la Implementacin de Redes Privadas Virtuales Pero existe un par de problemas con los productos de hardware: Problemas de desempeo. Muchos dispositivos de hardware tiene problemas con los paquetes pequeos de 64 bytes. Funcionamiento limitado de subred. Algunos dispositivos presentan problemas para garantizar el acceso interno a los usuarios si la red est subdividida. La figura 5.5 muestra una ubicacin tpica para estos dispositivos. El dispositivo se coloca detrs del cortafuego de la red interna.

Figura 5.5.- VPN de caja negra detrs del cortafuego

Estacin de Administracin

Puente vs Enrutador
INTERNET

Router Interno

Dispositivo VPN

Los paquetes de datos pasan por el cortafuego y por el dispositivo VPN. Conforme los paquetes de datos pasan por estos dispositivos, se mantienen intactos o se cifran, dependiendo de la configuracin del dispositivo. La estacin e administracin se ubica en algn lugar de la red interna utilizada para configurar el dispositivo, tambin existe la opcin de utilizar un servidor web para configurar el dispositivo. Siempre hay que asegurarse tener creado un tnel para mantenimiento de estos dispositivos con la finalidad de modificarlos.

Cosme MacArthur Ortega Bustamante 94

Metodologa para la Implementacin de Redes Privadas Virtuales Otra ubicacin para la VPN se indica en la figura 5.6 , en la cual el dispositivo VPN tiene el cortafuego junto a l, o en paralelo. A esto se le conoce como configuracin de un brazo. Esta configuracin le permite al dispositivo VPN crecer a cientos de tneles. El enrutador externo pasa el trfico VPN al dispositivo VPN (por medio de la direccin de la VPN) y dirige todo el trfico restante al cortafuego.

Trf ico

no V PN

INTERNET Router Interno Dispositivo VPN Router Externo PN oV fic Tr

Estacin de Administracin
Figura 5.6.- VPN en paralelo con el cortafuego

Adems como se muestra en la figura 5.7, tambin es posible agregar un cortafuego detrs del dispositivo de VPN en una configuracin ms elaborada. Cundo se establecen tneles de VPN y se garantiza el acceso, estos se crean para destinos especficos. Si opta por hacerlo, despus que el dispositivo VPN descifre el paquete, el cortafuego interno lo descifrara para ver su destino final y le permitir o negar el acceso. Tambin existe otra opcin para que el dispositivo VPN reenve el trfico a la interfaz de origen y pase por el otro cortafuego. Se deber configurar el enrutamiento en el dispositivo. Aunque no es una solucin ptima, se puede realizar.

Cosme MacArthur Ortega Bustamante 95

Metodologa para la Implementacin de Redes Privadas Virtuales

Trfi co

no V PN

INTERNET Router Interno Dispositivo VPN Router Externo VPN fic o Tr

Estacin de Administracin
Figura 5.7.- Configuracin VPN avanzada

5.6.- Topologa de VPN/NAT.

Aunque la Traduccin de Direcciones de Red (NAT) no es una VPN, se debe discutirla ya que muchas organizaciones lo tienen implementado, y los dispositivos VPN se ven afectados directamente por los procesos de NAT. La traduccin de direcciones de red es el proceso de cambiar una direccin IP (por lo general la direccin privada de una organizacin) a una direccin IP pblica enrutable. NAT proporciona un mecanismo para ocultar la estructura de la direccin privada de una organizacin. Utilizar la traduccin de direcciones de red no es complicado, pero la ubicacin del dispositivo VPN es importante [LIB02]. Si implementa a NAT en un paquete de VPN, ese paquete puede ser descartado; se debe recordar que una VPN es una configuracin de IP a IP. La figura 5.8 muestra el flujo de trfico que tiene lugar en un cortafuego que implementa a NAT mientras que el dispositivo VPN se encarga de la autenticacin de usuarios.

Cosme MacArthur Ortega Bustamante 96

Metodologa para la Implementacin de Redes Privadas Virtuales

Cortafuego que implementa NAT

INTERNET Router Interno Dispositivo VPN TrficodesalidaVPN Router Externo TrficodeentradadeVPN

Estacin de Administracin
Figura 5.8.- Implementacin de NAT con cortafuego y VPN

Estas dos reglas deben seguirse cuando se utilice NAT y VPN. Para paquetes de salida. Si tienen que pasar por NAT y ser parte de una VPN, NAT debe aplicarse antes de que el dispositivo VPN cifre los paquetes. Para trfico de VPN entrante. NAT debe aplicarse despus de que el cifrado de VPN se haya eliminado del paquete.

5.7.- Tneles de VPN anidados.

Los tneles de VPN anidados pueden considerarse como un tnel dentro de otro tnel. Existen muchas formas para hacer tneles anidados, una forma de emplearlos es cuando una organizacin requiere implantar seguridad punto a punto [LIB02]. La figura 5.9 muestra un tnel anidado, en la cual aparece un cliente PPTP que espera conectarse con el servidor PPTP. El proceso es el siguiente:

Cosme MacArthur Ortega Bustamante 97

Metodologa para la Implementacin de Redes Privadas Virtuales

UNIX ...DES... Software de VPN Servidor PPTP

TP PP

Windows NT ...DES... Software de VPN

INTERNET
TP PP

Ddsfgdhgosugo767ergh546oDDods78 CifradoDES PaqueteDES(trficoPPTP)

Cliente PPTP

Figura 5.9.- VPN de tnel anidado

El cliente PPTP realiza el proceso de cifrado en los datos desde la aplicacin. Despus, reenva el flujo de datos cifrados al dispositivo de cortafuego/VPN, el cual aade cifrado DES al paquete. El cifrado DES puede implementarse como parte d la norma IPSec. El paquete es recibido por el dispositivo remoto de la VPN, el cual revisa la autenticacin, quita el cifrado DES y lo enva a su destino final, que es el servidor PPTP. El servidor PPTP descifra el paquete PPTP y lo reenva a las aplicaciones de nivel superior. Antes de que dos dispositivos de cortafuego/VPN puedan realizar cualquier proceso de cifrado / descifrado, primero deben estar configurado entre ellos. Comnmente se recomienda utilizar IPSec y PPTP en combinacin.

Cosme MacArthur Ortega Bustamante 98

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO VI

SEGURIDADES DE RED PRIVADA VIRTUAL

6.1.6.2.6.3.6.4.6.5.-

Ataques a la red privada virtual Como identificar los ataques Importancia de la Seguridad en las VPN Requisitos de seguridad en las Redes Privadas Virtuales Sistemas Operativos

Cosme MacArthur Ortega Bustamante 99

Metodologa para la Implementacin de Redes Privadas Virtuales

Los computadores son hoy en da una parte fundamental de la sociedad de la informacin en la que vivimos, han supuesto una revolucin total en la forma de comunicarnos, de llevar a cabo nuestras necesidades bsicas diarias, y que sin ellos la vida, tal como la concebimos hoy por hoy, sera imposible. Resulta increble que con tan slo pulsar un botn podamos acceder a fuentes de informacin inmensas, situadas en cualquier parte del planeta y suministradas por personas de cualquier tipo. Que nuestro confort y bienestar dependan de mquinas que la gran mayora ni conoce ni sabe cmo funcionan. Pero esta facilidad de acceso a cualquier tipo de informacin y esta comodidad lograda con el uso de los computadores precisa que estas mquinas estn cada vez ms interrelacionadas entre s, comunicadas en todo momento con otras muchas, y sin lugar a dudas es Internet el mejor medio para conseguir esto. Pero si esta apertura a la red de nuestras mquinas facilita la intercomunicacin, tambin es cierto que con ella las situamos al alcance de todo tipo de ataques y contaminaciones externas, y es en este contexto en el que adquiere toda su magnitud la palabra clave SEGURIDAD. La seguridad general abarca un sinnmero de aspectos de la organizacin y este capitulo solo esta enfocado a la seguridad de la informacin, el cual abarca la seguridad de redes, la seguridad de las computadoras, la seguridad de acceso y la seguridad fsica, entre otras. Con toda esta seguridad, es la administracin superior de la organizacin quin decide que informacin es crtica y que informacin no lo es?,. Ya que es aqu donde se decide dar un valor a la informacin y proporcionar los recursos necesarios para protegerla. Adems no todos los datos son confidenciales y no todos los datos comerciales son crticos. La seguridad informtica se ocupa de elaborar las normas y procedimientos que hacen al procesamiento seguro de la informacin en todos sus aspectos. La seguridad persigue tres objetivos bsicos: Cosme MacArthur Ortega Bustamante 100

Metodologa para la Implementacin de Redes Privadas Virtuales

Confidencialidad: Proteger la revelacin de informacin a personas no autorizadas Restringir el acceso a informacin confidencial Proteger el sistema contra usuarios curiosos internos y externos Integridad: Proteger los datos de cambios no autorizados Restringir la manipulacin de datos a programas autorizados Proveer informacin verdica y consistente Disponibilidad: Asegurar la continuidad operativa del sistema y proveer planes alternativos de contingencia Proteger el sistema contra acciones o accidentes que detengan los servicios o destruyan la informacin que brinda La seguridad informtica es asociada siempre con amenazas externas (como hackers o espas), pero la prevencin de accidentes de usuarios autorizados (internos) es uno de los principales beneficios de una seguridad bien diseada. La seguridad es un gran problema, y lamentablemente pocos administradores de la seguridad estn concientes de ello. Los sistemas informticos estn dispersos en toda la organizacin. Se dispone de numerosas mquinas de distinto tipo. Se interconectan en red con las sucursales y con otras empresas. Tenemos redes de rea amplia, Internet, diversidad de plataformas, mltiples sistemas operativos, usuarios internos, externos, invitados, entre otros, computadoras personales, redes heterogneas, computacin mvil, virus, etc. La seguridad es el tema central del tpico aplicaciones sobre Redes Privadas Virtuales, y cuando se piensa en la seguridad de redes, especialmente cuando se implemente en las Redes Privadas Virtuales, se debera revisar la pila de Interconexin de Sistemas Abiertos (OSI). La pila OSI consta de siete niveles: Cosme MacArthur Ortega Bustamante 101

Metodologa para la Implementacin de Redes Privadas Virtuales aplicacin, presentacin, sesin, transporte, red, enlace de datos y fsico. Cada nivel es responsable de su propio conjunto de funciones individuales, por ejemplo, confiabilidad, configuracin, correccin, entre otras. Pero es aqu donde surgen problemas de seguridad, ya que los ataques ms comunes en la actualidad suceden a travs de todos estos niveles. Cada nivel puede atacarse y verse comprometido, por lo tanto, para que una red privada virtual sea segura es hacer que sta se ubique en los niveles ms bajos posibles de la pila OSI. La figura 6.1 muestra una ubicacin ptima para la tecnologa VPN [LIB02].

Aplicacin Presentacin Sesin Transporte Red Enlace de Datos Fsico

Ataques a Nivel de Aplicacin

Aplicacin Presentacin Sesin Transporte

Ataques a Nivel de Red

Red Enlace de Datos Fsico

Ataques a Nivel de Enlace de Datos

Solucin VPN

Figura 6.1.- Tecnologa VPN en la pila de OSI

Pero hay que tener presente que esta ubicacin puede provocar problemas de compatibilidad. Al implementar el software de red privada virtual en los niveles ms bajos de la pila OSI, la tecnologa tiene la posibilidad de interactuar ms con los componentes especficos que forman el sistema operativo, y

Cosme MacArthur Ortega Bustamante 102

Metodologa para la Implementacin de Redes Privadas Virtuales lamentablemente, los controladores de dispositivos, los optimizadores y los mdulos cargados pueden tener problemas de interoperabilidad con la tecnologa de red privada virtual instalada y esto puede ser un problema ms grave con los usuarios remotos que utilizan equipos porttiles y equipos de escritorio.

Control de acceso al usuario.

El modo de control de acceso al usuario solo admite los derechos y permisos de usuario requeridos para que realicen su trabajo. El control de acceso al usuario es extremadamente importante cuando se implementa una tecnologa de Red Privada Virtual. Primero se tiene que asegurar de que slo se concede permiso a los usuarios autorizados. Despus debe asegurarse de que esos usuarios tienen concedido el acceso a aquellos recursos que usted considera necesarios para ese usuario. Un comentario acerca de la seguridad es que siempre esta cambiando, y la implementacin de sistemas de seguridad tiene que estar al da con esta manera de pensar. Durante aos, las contraseas simples fueron suficientes para las mquinas individuales y otros dispositivos de red, pero ahora han terminado con su vida til. La seguridad tiene un costo. Mientras ms seguridad implementa en la organizacin, mayores sern los costos, adems, los requisitos de mantenimiento y la experiencia tcnica necesaria para administrar ese aumento de seguridad, no solo sern mayores, sino que tambin aumentar la irritacin de los usuarios finales. Es muy frustrante para el usuario final que el servidor de seguridad de la red se caiga, que el cortafuego no pase el trfico, que el servidor de autenticacin se venga abajo, o que los servidores web no acepten los certificados [WWW07].

Cosme MacArthur Ortega Bustamante 103

Metodologa para la Implementacin de Redes Privadas Virtuales

6.1.- Ataques a la red privada virtual.

En esta parte se tratar de explicar rpidamente los tipos de ataques a las que pueden estar expuestas las redes privadas virtuales.

6.1.1.- Ataques a los algoritmos criptogrficos.

Al igual que sucede en el software y el hardware, los algoritmos criptogrficos tambin son vulnerables y estn expuestos a ataques [WWW08], y generalmente existen tres formas de atacar un algoritmo de este tipo y son las siguientes: Ataques contra el protocolo, Ataques contra el algoritmo, Ataques contra la implementacin. Ataques contra el protocolo.Si al realizar el cifrado no se utilizan los

generadores de nmeros aleatorio correctos, la reutilizacin de valores y dems funciones transformaciones de cdigo, la integridad del protocolo ser ver comprometida. Ataques contra el algoritmo.- Uno de los principales problemas con los ataques criptogrficos es que es posible que el usuario no este consciente de que ha sido atacado, lo que hace es depositar toda su confianza al algoritmo de cifrado. Pero hay que estar concientes que los algoritmos criptogrficos tambin son sujetos de ataques. A continuacin se presentan varias categoras comunes de ataque a algoritmos [LIB02]. Ataque de solo texto cifrado.- En un ataque de slo texto cifrado, el agresor no sabe nada respecto al mensaje de texto simple, pero al obtener el texto cifrado, intenta obtener el texto simple. Lo que intenta el agresor es encontrar un patrn comn donde puede identificar un conjunto de palabras de uso comn. En la prctica esto es factible ya que la mayora de documentos siguen ciertos formatos comunes, como por ejemplo, encabezados de formato fijo, las cartas, informes y memorando, comienzan de forma predecible. Ataque de texto simple conocido.- En este ataque el agresor conoce parte del documento en texto simple o puede hacer conjeturas con cierta base sobre el Cosme MacArthur Ortega Bustamante 104

Metodologa para la Implementacin de Redes Privadas Virtuales mismo. Este texto simple puede adivinarse debido a que es posible que sea un saludo, encabezado o sinopsis estndar. Debido a que el atacante tiene el texto cifrado, puede utilizar el texto simple para decodificar el resto del texto. Ataque de texto simple seleccionado.- En este tipo de ataque, el agresor toma algn texto y lo cifra con la clave desconocida. En una inferencia, el atacante intenta adivinar la clave utilizada para ese cifrado. Ataque de texto cifrado seleccionado.- El agresor tiene la ventaja de elegir un texto cifrado seleccionado arbitrariamente y puede encontrar el texto simple descifrado correspondiente. Ataque de intermediario.- Es prctico para comunicaciones criptogrficas y protocolos de intercambio de claves. Aqu dos partes intercambian sus claves para comunicaciones posteriores. El intermediario secuestra las claves del emisor y del receptor, y las sustituye por otras propias del intermediario, por lo cual tiene la capacidad de interceptar todas las comunicaciones futuras sin que el emisor y el receptor lo sepan. La nica forma de impedir esto es con el uso de firmas digitales y con el mecanismo de claves secretas compartidas. Ataque de sincronizacin.- Este tipo de ataque se basa en la medida de los tiempos de ejecucin de una operacin de exponenciacin modular que se utiliza en los algoritmos criptogrficos. Los criptosistemas toman cantidades de tiempo ligeramente diferentes para procesar entradas distintas. Cuando la CPU utiliza rutinas de optimizacin, ramificaciones, ciclos, instrucciones condicionales y dems, se utilizan distintas cantidades de ciclos de mquina. Es sabido que durante estos canales de sincronizacin los datos se pierden, aunque representan una cantidad mnima. Sin embargo los atacantes pueden explotar las medidas de tiempos o de sincronizacin de sistemas vulnerables para encontrar la clave secreta completa. Contra un sistema vulnerable, este ataque no es caro y a menudo requiere que se conozca el texto cifrado. Ataque de fuerza bruta.- Un ataque de fuerza bruta es muy popular entre los agresores que tiene mucha capacidad de cmputo a su disposicin. Lo que hace es simplemente tratar de ir probando una a una todas las claves posibles hasta encontrar la clave adecuada. Por ejemplo, el algoritmo DES tiene 256 posibles Cosme MacArthur Ortega Bustamante 105

Metodologa para la Implementacin de Redes Privadas Virtuales claves. Cunto tiempo nos llevara probarlas todas si, supongamos,

dispusiramos de un computador capaz de hacer un milln de operaciones por segundo?. La respuesta es que tardaramos ms de 2200 aos. Pero este algoritmo ya fue quebrantado por la Fundacin de la Frontera Electrnica utilizando un mtodo de fuerza bruta. Criptoanlisis diferencial.- En los ataques de este tipo, el agresor utiliza la relacin de la informacin que se basa en una informacin repetida. Al basar los resultados en un gran nmero de pares de texto cifrado, cuyas contrapartes de pares de texto simple satisfacen una diferencia XOR conocida en lo que respecta al componente, el atacante puede determinar la clave. Solidez de los algoritmos criptogrficos.- En teora cualquier algoritmo criptogrfico puede romperse al probar todas las claves posibles en secuencia (Un ataque de fuerza bruta). Pero para poder romper el algoritmo el nmero de pasos requeridos crece en forma exponencial con la longitud de la clave. A continuacin se presenta el nmero de pasos requeridos [LIB02] para cada tamao de clave. Clave de 32 bits requiere 232 pasos Clave de 40 bits requiere 240 pasos Clave de 56 bits requiere 256 pasos Clave de 64 bits requiere 264 pasos Clave de 80 bits requiere 280 pasos Clave de 128 bits requiere 2128 pasos Clave de 160 bits requiere 2160 pasos Las claves de 32 y 40 bits pueden ser quebrantadas para cualquiera que tenga acceso a un computador de alto rendimiento, la clave de 56 bits estn comprometidas y las claves de 64 y 80 bits pueden ser quebrantas por los gobiernos y las universidades. Las claves de 128 y 160 bits probablemente sean seguras ahora. En los sistemas criptogrficos de clave pblica las longitudes de clave son mayores de aquellas que se utilizan en las cifras simtricas. En los sistemas de clave pblica, la mayora de las fallas de seguridad no vienen del mtodo de Cosme MacArthur Ortega Bustamante 106

Metodologa para la Implementacin de Redes Privadas Virtuales fuerza bruta, sino de derivar la clave secreta de la clave pblica. Por ejemplo, cualquiera con una computadora potente puede forzar un criptosistema de clave pblica de un mdulo de 256 bits con facilidad. Las universidades y gobiernos pueden forzar claves de mdulos de 318 y 512 bits. Las claves con mdulos de 768 y 1.024 bits probablemente son seguras por ahora. Se debe tener presente que el algoritmo o las operaciones matemticas que se ejecutan en los datos podran debilitar todo el sistema, y por lo tanto los algoritmos de cifrado propietarios no hacen que un algoritmo sea seguro, la mayora han mostrado ser dbiles. Ataques contra la implementacin.- Este tipo de ataque es el ms fcil de evitar, y se da cuando algunas implementaciones dejan archivos temporales, mensajes de texto simple y datos almacenados en la memoria intermedia de donde se puede extraer fcilmente.

6.1.2.- Ataques al generador de nmeros aleatorios.

Un generador de nmeros aleatorios es un dispositivo que genera nmeros al azar, pero lamentablemente solo existen en la naturaleza, por ejemplo, en la electricidad esttica y en el ruido blanco de los circuitos elctricos. Debido a que no se puede utilizar un generador de nmeros aleatorios de la naturaleza, se emplean los generadores de nmeros pseudo aleatorios para generar valores supuestamente aleatorios. Ya que un generador de nmeros aleatorios es un comn denominador en muchas funciones criptogrficas, y si sus algoritmos no estn diseados correctamente pueden ser el eslabn ms dbil en la cadena de seguridad. Al igual que existen categoras de ataque en las funciones criptogrficas, tambin se presentan categoras de ataques al generador de nmeros aleatorios [LIB02], los cuales son: Ataque criptoanaltico.- Este ataque ocurre si el agresor es capaz de observar una correlacin entre el generador de nmeros pseudo aleatorios y las salidas

Cosme MacArthur Ortega Bustamante 107

Metodologa para la Implementacin de Redes Privadas Virtuales aleatorias. Es factible en las funciones criptogrficas donde las salidas del generador de nmeros pseudo aleatorios son visibles. Ataque de entrada.- Ocurren cuando el agresor puede tener conocimiento sobre la entrada del generador de nmeros pseudo aleatorios con el fin de producir algunas salidas del generador de nmeros pseudo aleatorios. Este tipo de ataque puede ocurrir en sistemas que utilizan los diversos tipos de entradas predecibles, como contraseas y frases. Ataque de sincronizacin.- Es similar al que ocurre en una funcin criptogrfica. Durante las operaciones matemticas que cuentan el nmero de ciclos de mquina para cada operacin, el agresor puede tener alguna informacin. Se cree que el agresor puede determinar cuando ocurren ciertas operaciones booleanas. Por ejemplo, las adiciones referentes a los bits pueden detectarse al contar los ciclos de mquina. Confidencialidad adelantada perfecta.- Es un mecanismo mediante el cual si una clave se roba en algn momento del futuro no se puede revelar ninguna comunicacin que se ha conducido en el pasado. Todo algoritmo criptogrfico debera estar diseado para la confidencialidad adelantada perfecta. Lamentablemente la implementacin de este tipo de algoritmos consume muchos recursos, ya que cada paquete requiere una nueva clave.

6.1.3.- Ataques a la recuperacin de claves.

En este mtodo de recuperacin de claves que es exigida por los gobiernos, especialmente por el de los Estados Unidos, se construye una puerta trasera a propsito y, si existe tal puerta alguien ms puede entrar. Este concepto elimina cualquier oportunidad de confidencialidad adelantada perfecta que se menciono con anterioridad [LIB02]. En la recuperacin de claves, no solo esta en peligro la comunicacin de datos futura sino cualquier informacin capturada previamente, ya que existe la clave para descifrarla. Los sistemas criptogrficos confiables y seguros son muy

Cosme MacArthur Ortega Bustamante 108

Metodologa para la Implementacin de Redes Privadas Virtuales difciles de disear, y la implementacin de recuperacin de claves lo han ms difcil an. Otro problema con la recuperacin de claves es quin guardar las claves, ser el gobierno, cul?, empresas privadas, quienes tendrn accesos a sus claves, esto es seguro?, y si lo fuera, que sucede en el momento de requerir una clave, la persona que tiene la clave viajara por todo el mundo entregando claves o se enviaran por la misma red, en el momento que viajan por la red estn seguras? De hecho ninguna solucin se ve por el momento aceptable. Y esto como le afecta a su Red privada Virtual?, de hecho es muy simple ya que es susceptible de que sus datos y claves sean amenazados, no slo por el gobierno, sino por los atacantes que rompen los algoritmos que utilizan recuperacin de claves, interceptando los datos conforme pasan del departamento encargado de custodiar las claves, al agente encargado de custodiar las mismas.

6.1.4.- Ataques al Protocolo de Seguridad de Internet (IPSec).

El protocolo de seguridad de Internet (IPSec) no es un algoritmo de cifrado y tampoco es un algoritmo de autentificacin. IPSec es un paradigma en el cual otros algoritmos protegen datos. Los principales tipos de ataques que ocurrirn con IPSec sern aquellos que caen en la categora de ataques contra la implementacin[LIB02]. La norma IPSec solo requiere un algoritmo de cifrado (DES-CBC) y dos modos de autenticacin (HMAC-MD5 y HMAC-SHA-1); sin embargo requiere los algoritmos NULL adicionales, ya que AH o ESP pueden ser opcionales, y cuando una norma requiere un algoritmo opcional est tratando de balancear la flexibilidad con la seguridad. En el componente IKE del protocolo de administracin de claves de IPSec, ambos extremos del canal de comunicacin deciden que tan a menudo se deben cambiar las claves de cifrado. Debido a que muchos proveedores soportan claves Cosme MacArthur Ortega Bustamante 109

Metodologa para la Implementacin de Redes Privadas Virtuales de 40 bits dbiles que se usan para compatibilidad con productos anteriores, cambiar estas claves se vuelve crtico. Tambin en la especificacin de IKE, cualquiera de las dos partes podra terminar una sesin, pero no hay forma de que el otro extremo sepa de la sesin se ha terminado; el extremo emisor seguir enviando datos. Si la estacin todava enva datos, Cmo dejara otra estacin de recibirlos y, si se utilizan claves dbiles, cmo se burlara la identidad del anfitrin original? Este tipo de ataque es similar a apropiarse de una sesin TCP. Adems IPSec no cuenta con ningn tipo de mecanismo para la autentificacin de los usuarios: no incluye derechos de acceso, no existe verificacin, etc. IPSec no se encarga del soporte para los clientes, ya que bsicamente fue diseado alrededor de una red privada virtual de LAN a LAN. Es por eso que queda la puerta abierta parea que los fabricantes ofrezcan su soporte de IPSec para la compatibilidad con los clientes. La traduccin de direcciones de red (NAT) existe en la norma IPSec. Cuando se utiliza el establecimiento de tneles en los modos ESP y AH, el encabezado IP original se reemplaza por uno nuevo encabezado IP. El problema es, Dnde se esta ejecutando NAT? En un enrutador, en un cortafuego o en un equipo de escritorio? Qu dispositivo cambiar fsicamente la direccin IP del paquete? Este dispositivo deber ser compatible con IPSec? Una deficiencia de IPSec es que slo soporta un conjunto muy pequeo de algoritmos y protocolos en su escenario predeterminado. Con el propsito de que IPSec se vuelva una entidad administrativa de corriente principal, tendr que incluir ms soporte, como el soporte para cliente, LDAP y mltiples algoritmos de cifrado predeterminados, as como otros mecanismos de autentificacin. Al momento, IPSec slo soporta firmas y certificados digitales. Tambin tendr que incluir un mayor soporte para los navegadores y equipos de escritorio con el fin de continuar hacindolo una verdadera norma Internet interoperable. Lamentablemente la flexibilidad y la seguridad se sacrifican [WWW09].

Cosme MacArthur Ortega Bustamante 110

Metodologa para la Implementacin de Redes Privadas Virtuales

6.1.5.- Ataques al protocolo PPTP.

El protocolo PPTP sufre ataques contra su implementacin, y actualmente Microsoft, su diseador, esta trabajando en esto. La red privada virtual de PPTP est formada por varios componentes y, de manera similar a IPSec, PPTP es un marco de referencia. No exige los algoritmos de cifrado y autentificacin, esto se deja a los otros protocolos, como PAP, CHAP y MS-CHAP (detallados en el capitulo 3). Los protocolos utilizados son los siguientes: GRE. Protocolo de encapsulamiento de enrutamiento genrico. PPP. Protocolo de red punto a punto utilizado para proporcionar servicios TCP/IP sobre lneas de conexin serial por marcacin. PPTP. Este protocolo utiliza GRE para establecer un tnel PPP y aade una instalacin de conexiones y un protocolo de control. MS-CHAP. Es responsable del algoritmo de autentificacin. MPPE. El protocolo de cifrado de punto a punto de Microsoft es el protocolo que se encarga de generar una clave y cifrar la sesin. PPTP encapsula los paquetes PPP, los cuales a su vez son encapsulados en paquetes de encapsulamiento de enrutamiento genrico (GRE). PPTP crea una instalacin de conexin y controla el canal al servidor PPTP sobre el puerto TCP 1723. Adems esta conexin no se autentifica de ninguna forma. Un tipo de ataque puede darse al encapsulamiento de enrutamiento genrico (GRE), ya que los paquetes GRE pueden trasportar un nmero se secuencia y un nmero de reconocimiento y pueden utilizar una ventana deslizable para evitar la congestin. Y esto tiene algunas implicaciones, ya que si se desea burlar los paquetes PPP encapsulados en GRE, simplemente se necesita desincronizar el canal de GRE. Esto puede evitarse con el nmero de secuencia, pero el GRE no tiene forma de que el anfitrin final reaccione ante un nmero de secuencia errneo o duplicado. Es posible que simplemente se ignore y despus, los paquetes PPP pueden burlarse. La implementacin de autentificacin PPTP soporta tres tipos, de los cuales dos estn relacionados con la seguridad y son: El mtodo de transformacin de cdigo y le mtodo de respuesta de pruebas. Cuando se utiliza el mtodo de Cosme MacArthur Ortega Bustamante 111

Metodologa para la Implementacin de Redes Privadas Virtuales transformacin de cdigo se esta exponiendo al los ataques de diccionario. Cuando se utiliza el mtodo de respuesta de pruebas utilizando el protocolo de reconocimiento de pruebas (CHAP), el cual trabaja con el cliente contactando al servidor, y el servidor enva de regreso una prueba. El cliente entonces ejecuta una funcin de transformacin del cdigo, aade alguna informacin extra y la enva de regreso al servidor. El servidor busca en su propia base de datos y compara el valor de transformacin del cdigo con la prueba. Si son iguales, la autentificacin es satisfactoria. Mientras esto elimina los ataques de diccionario, las funciones de transformacin del cdigo an podran ser atacadas. Un punto vulnerable de PPTP es que se basa en PPP. Antes de cualquier comunicacin, PPP establece e inicia los parmetros de comunicacin, y debido a que no tiene autentificacin contra estos paquetes, pueden ocurrir ataques como los de intermediario y de falsificacin.

6.1.6.- Ataques a la autoridad emisora de certificados.

Las autoridades emisoras de certificados no son diferentes de cualquier otro dispositivo en la cadena de comunicacin de terceras partes validadas. Si ocurre un ataque a una autoridad emisora de certificados, los agresores pueden hacerse pasar por quin ellos deseen, al unir cualquier clave de su eleccin al nombre de otro usuario, y utilizar a la autoridad emisora de certificados para verificarla.

6.1.7.- Ataques a radius.

El servicio de usuarios de autentificacin remota por marcacin (RADIUS) se diseo teniendo dos protocolos en mente, el de autenticacin y el de asignacin de cuentas. En la tecnologa RADIUS se encontr un punto dbil que provoc un problema de desbordamiento de la memoria intermedia, el cul permita que un agresor obtuviera acceso de superusuario de forma remota a una mquina que ejecutar al servidor RADIUS. El problema se manifest como resultado de una operacin Cosme MacArthur Ortega Bustamante 112

Metodologa para la Implementacin de Redes Privadas Virtuales de resolucin inversa de direcciones IP a nombres de anfitrin. El software copiara el nombre de anfitrin a una memoria intermedia en su pila sin revisar primer su longitud. En un ataque, un agresor establecera un nombre de anfitrin sumamente largo y el software RADIUS colocara el nombre en la pila provocando que invadiera su memoria intermedia. Cualquier cdigo malicioso podra entonces ejecutarse en el servidor.

6.1.8.- Ataques a kerberos.

Kerberos es un sistema de autentificacin distribuida que permiten que las organizaciones manejen seguridad de contraseas para toda una organizacin. Lamentablemente estos protocolos son vulnerables a los ataques de diccionario. Un atacante puede agredir a un sistema Kerberos con la ayuda de una mquina local y un husmeador de paquetes ayudar para el ataque.

6.1.9.- Ataques a pretty good privacy (PGP).

PGP es muy seguro, probablemente se trata de una de las mejores estructuras de seguridad. Lo ms interesante sobre PGP no es su solidez, sino la actitud que tiene el gobierno de los Estados Unidos hacia l. PGP utiliza cuatro componentes: una cifra simtrica (IDEA), una cifra asimtrica (RSA), una funcin de transformacin de cdigo (MD5) y un generador de nmeros pseudoaleatorios (PRGN). Cada uno de estos dispositivos podra ser atacado [LIB02]. Idea.- La cifra de IDEA utiliza una clave de 128 bits, y la nica forma de ataque conocida que podra intentarse contra ella sera un ataque de fuerza bruta. Por lo tanto, alguien tendra que intentar con al menos la mitad del espacio de clave, lo cual aproximadamente es 2127.

Cosme MacArthur Ortega Bustamante 113

Metodologa para la Implementacin de Redes Privadas Virtuales RSA.- Obtiene su solidez de la dificultad que implica factorizar nmeros primos grandes. Ningn ataque a RSA ha tenido xito hasta ahora. Y con tamaos de clave lo suficientemente grandes, se espera que ningn ataque pueda lograrlo. MD5.- Se encontr que la funcin de transformacin del cdigo MD5 es vulnerable si se utiliza un nmero de ciclos pequeos. Se han presentado intentos de forzar MD5 utilizando los mtodos de criptonalisis diferencial, de aniversario y de fuerza bruta. De stos, el criptoanlisis diferencial ha tenido cierto xito fuera del ciclo de MD5 y slo afect a una operacin que no estaba relacionada con la seguridad de MD5. PRNG.- PGP utiliza dos generadores de nmeros pseudoaleatorios: el generador ANSI X9.17 y el generador trueRand. Este ltimo mide la latencia de la entrada del usuario y despus utiliza ese grupo para establecer una semilla en el generador X9.17. Al utilizar dos generadores, PGP ha aadido mecanismos de seguridad para producir una aleatoriedad verdadera. Parecera que PGP es un algoritmo muy seguro que no ha experimentado ataques de ningn tipo; sin embargo esta es una suposicin incorrecta. Despus de todo, si no se puede atacar el protocolo, puede atacar la implementacin.

6.1.10.- Ataques de negacin de servicio.

Los ataques de negacin de servicio provocan que el sistema o la red dejen de dar servicio a los usuarios legtimos, y entre los ms conocidos se encuentran los siguientes: Jamming o Flooding.- Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, un atacante puede consumir toda la memoria o espacio en disco disponible, as como enviar tanto trfico a la red que nadie ms pueda utilizarla. Aqu el atacante satura el sistema con mensajes que requieren establecer conexin. Sin embargo, en vez de proveer la direccin IP del emisor, el mensaje contiene falsas direcciones IP. El sistema responde al mensaje, pero como no Cosme MacArthur Ortega Bustamante 114

Metodologa para la Implementacin de Redes Privadas Virtuales recibe respuesta, acumula buffers con informacin de las conexiones abiertas, no dejando lugar a las conexiones legtimas. Otra accin comn es la de enviar millares de e-mails sin sentido a todos los usuarios posibles en forma continua, saturando los sistemas destinos. Syn Flood.- El protocolo TCP se basa en una conexin en tres pasos. Si el paso final no llega a establecerse, la conexin permanece en un estado denominado "semiabierto". El Syn Flood es el ms famoso de los ataques del tipo Denial of Service. Se basa en un "saludo" incompleto entre los dos hosts. El Cliente enva un paquete SYN pero no responde al paquete ACK ocasionando que la pila TCP/IP espere cierta cantidad de tiempo a que el host hostil responda antes de cerrar la conexin. Si se crean muchas peticiones incompletas de conexin (no se responde a ninguna), el Servidor estar inactivo mucho tiempo esperando respuesta. Esto ocasiona la lentitud en los dems servicios. El problema es que muchos sistemas operativos tienen un lmite muy bajo en el nmero de conexiones "semiabiertas" que pueden manejar en un momento determinado. Si se supera ese lmite, el servidor sencillamente dejar de responder a las nuevas peticiones de conexin que le vayan llegando. Las conexiones "semiabiertas" van caducando tras un tiempo, liberando "huecos" para nuevas conexiones, pero mientras el atacante mantenga el Syn Flood, la probabilidad de que una conexin recin liberada sea capturada por un nuevo SYN malicioso es muy alta. La potencia de este ataque reside en que muchos sistemas operativos fijan un lmite del orden de 5 a 30 conexiones "semiabiertas", y que stas caducan alcabo de un par de minutos. Para mantener el servidor fuera de servicio, un atacante slo necesita enviar un paquete SYN cada 4 segundos (algo al alcance de, incluso, un mdem de 300 baudios). Connection Flood.- La mayora de las empresas que brindan servicios de Internet (ISP) tienen un lmite mximo en el nmero de conexiones simultneas. Una vez que se alcanza ese lmite, no se admitirn conexiones nuevas. As, por ejemplo, un servidor Web puede tener, por ejemplo, capacidad para atender a mil usuarios simultneos. Si un atacante establece mil conexiones y no realiza Cosme MacArthur Ortega Bustamante 115

Metodologa para la Implementacin de Redes Privadas Virtuales ninguna peticin sobre ellas, monopolizar la capacidad del servidor. Las conexiones van caducando por inactividad poco a poco, pero el atacante slo necesita intentar nuevas conexiones, (como ocurre con el caso del Syn Flood) para mantener fuera de servicio el servidor. Land Attack.- Este ataque consiste en un Bug (error) en la implementacin de la pila TCP/IP de las plataformas Windows. El ataque consiste en mandar a algn puerto abierto de un servidor (generalmente al 113 o al 139) un paquete, maliciosamente construido, con la direccin y puerto origen igual que la direccin y puerto destino. Por ejemplo se envan un mensaje desde la direccin 10.0.0.1:139 hacia ella misma. El resultado obtenido es que luego de cierta cantidad de mensajes enviados-recibidos la mquina termina colgndose. E-Mail Bombing-Spamming.- El E-Mail Bombing consiste en enviar muchas veces un mensaje idntico a una misma direccin, saturando as mailbox del destinatario. El Spamming, en cambio se refiere a enviar el e-mail a miles de usuarios, hayan estos solicitados el mensaje o no. Es muy utilizado por las empresas para publicitar sus productos. El Spamming esta siendo actualmente tratado por las leyes como una violacin de los derechos de privacidad del usuario.

6.1.11.- Ataques de Autentificacin.

Consisten en la suplantacin de una persona con autorizacin por parte del atacante. Se suele realizar de dos formas: obteniendo el nombre y contrasea del atacado o suplantando a la vctima una vez sta ya ha iniciado una sesin en su sistema. Para realizar ataques de este tipo se utilizan varias tcnicas, las cuales pasamos a describir a continuacin [WWW11]. Simulacin de identidad.- Es una tcnica para hacerse con el nombre y contrasea de usuarios autorizados de un sistema. El atacante instala un programa que recrea la pantalla de entrada al sistema, cuando el usuario intenta entrar en l teclea su login y password, el programa los captura y muestra una

Cosme MacArthur Ortega Bustamante 116

Metodologa para la Implementacin de Redes Privadas Virtuales pantalla de error en el acceso al usuario. El usuario vuelve a teclear su login y password, entrando esta vez sin problemas. El usuario cree que en el primer intento se equivoc al teclear, sin embargo, su login y password han sido capturados por el atacante. Spoofing (Engao).- Este tipo de ataques (sobre protocolos) suele implicar un buen conocimiento del protocolo en el que se va a basar el ataque. Consiste en sustituir la fuente de origen de una serie de datos (por ejemplo, un usuario) adoptando una identidad falsa para engaar a un firewall o filtro de red. Los ataques Spoofing ms conocidos son el IP Spoofing, el DNS Spoofing , el Web Spoofing y el fake-mail. IP Spoofing.- Sustituir una IP. El atacante logra identificarse con una IP que no es la suya, con lo que a ojos del atacado, el agresor es una tercera persona, que nada tiene que ver en el asunto, en vez de ser el atacante real. DNS Spoofing.- Sustituir a un servidor DNS (Domain Name Server) o dominio. Se usan paquetes UDP y afecta a sistemas bajo Windows NT. Se aprovecha de la capacidad de un servidor DNS resolver una peticin de direccin IP a partir de un nombre que no figura en su base de datos, ya que ste es su mtodo de trabajo por defecto. Web Spoofing.- El atacante crea un sitio web (falso) similar al que la vctima desea entrar. Los accesos a este sitio estn dirigidos por el atacante, permitindole monitorizar todas las acciones de la vctima: datos, contraseas, nmeros de tarjeta de crditos, etc. El atacante tambin es capaz de modificar cualquier dato que se est transmitiendo entre el servidor original y la vctima o viceversa. Fake-mail.- Es otra forma de spoofing y consiste en el envo de emails con remitente falso. Aqu el atacante enva E-Mails en nombre de otra persona con cualquier motivo y objetivo. Muchos de estos ataques se inician utilizando la Ingeniera Social para hacerse con el nombre y contrasea de una vctima.

Cosme MacArthur Ortega Bustamante 117

Metodologa para la Implementacin de Redes Privadas Virtuales Looping.- El intruso usualmente utiliza algn sistema para obtener informacin e ingresar en otro, que luego utiliza para entrar en otro, y as sucesivamente. Este proceso se llama looping y tiene como finalidad hacer imposible localizar la identificacin y la ubicacin del atacante, de perderse por la red. IP splicing-hijacking.- Es un mtodo de sustitucin que consiste en que el atacante espera a que la vctima entre en una red usando su nombre, contrasea y dems y una vez que la vctima ha superado los controles de identificacin y ha sido autorizada la saca del sistema y se hace pasar por ella.

Utilizacin de backdoors (puertas traseras).- Las puertas traseras son trozos de cdigo en un programa que permiten a quien los conocen saltarse los mtodos usuales de autentificacin para realizar ciertas tareas. Habitualmente son insertados por los programadores del sistema para agilizar la tarea de probar cdigo durante la fase de desarrollo. No es por tanto un mtodo de suplantacin, si no de saltarse los controles de autentificacin o, como su nombre indica, entrar por la puerta de atrs. Son fallas de seguridad que se mantienen, voluntariamente o no, una vez terminado el producto ya que cualquiera que conozca el agujero o lo encuentre en su cdigo podr saltarse los mecanismos de control normales. Obtencin de contraseas.- Es la obtencin por "Fuerza Bruta" de nombres de usuarios y claves de acceso. Casi todas las contraseas que utilizamos habitualmente estn vinculadas a nuestros nombres reales, nombres de familiares y/o mascotas, fechas significativas, .... etc. Adems, no las solemos cambiar peridicamente. Tambin se suele realizar este tipo de ataques usando una clase de programas llamados diccionarios. Diccionarios.- Los Diccionarios son programas que en su base de datos contienen millones de palabras. Van probando con millones de combinaciones de letras y nmeros encriptados, incluso con caracteres especiales hasta descubrir la combinacin correcta de nombre y usuario de la vctima. Son entonces programas de fuerza bruta.

Cosme MacArthur Ortega Bustamante 118

Metodologa para la Implementacin de Redes Privadas Virtuales

6.2.- Como identificar los ataques.

Una buena poltica de seguridad tiene auditorias y registros como pasos principales de sus procesos, ya que nunca se sabe de antemano cuando se va ha ser atacado. Es por esta razn que es bueno tener registros de quin ha ingresado o ha intentado introducirse y no tuvo xito. Cuando se tiene intrusiones extraas es necesario rastrear la intrusin y ver si los archivos de registro pueden identificar de donde vino el intruso, cul es su direccin IP, y si es posible quin es su proveedor de Internet. Las auditorias y los registros son herramientas adecuadas y necesarias para intentar revelar la identidad de potenciales violaciones a la seguridad. Sin embargo, el monitoreo es la vista en tiempo real de los paquetes mientras pasan el lmite entre la red interna de la empresa y las redes externas. Este monitoreo controla que trfico permite entrar, que tipo de trfico permite salir, que servicios estn permitidos. El monitoreo en tiempo real es la nica forma efectiva de observar las desviaciones contra la poltica de seguridad establecida por la organizacin. El problema con el monitoreo en tiempo real para un administrador de red es que pueden haber cientos de alertas, y es probable que el administrador se canse de todas estas alertas y desactive el monitoreo de una estacin.

6.3.- Importancia de la Seguridad en las VPN.

Para que las Redes Privadas Virtuales puedan ser un medio efectivo para el comercio electrnico, para las aplicaciones de Intranet, Extranet y para las transacciones financieras a travs de Internet, deben utilizarse tecnologas de autenticacin seguras, las ms recientes y sofisticadas, as como criptografa y cifrado en cada extremo del tnel de las Redes Privadas Virtuales. Por los motivos expuestos con anterioridad es importante para cualquier configuracin de seguridad lo siguiente:

Cosme MacArthur Ortega Bustamante 119

Metodologa para la Implementacin de Redes Privadas Virtuales Acceso solo a personas autorizadas.- Slo a las partes autorizadas se les permite el acceso a aplicaciones y servidores corporativos. Est es un aspecto importante de la tecnologa Red Privada Virtual, ya que se permite que personas entren y salgan de Internet o de otras redes pblicas y se les ofrece acceso a los servidores. Imposibilidad de descifrar el mensaje.- Cualesquiera que pase a travs del flujo de datos cifrados de las Redes Privadas Virtuales no debe estar capacitado para descifrar el mensaje, ya que los datos de las VPN viajarn a travs de una red pblica, y cualquiera tendr la capacidad de interceptarlos. El resguardo de la informacin est en el cifrado, incluyendo su solidez y la implementacin especifica del proveedor. Datos ntegros.- Los datos deben permanecer intocables al cien por ciento, esto se debe a que algunas personas vern el trfico cifrado e intentarn leerlo, sin embargo, otro problema, es que intenten modificarlo y enviarlo a su destino original. La integridad es un tema diferente cuando se trata de la tecnologa VPN, ya que existen normas de cifrado que proporcionan autenticacin, cifrado e integridad de datos. Distintos niveles de acceso.- Los usuarios individuales deben tener un distinto nivel de acceso cuando entren al sitio desde redes externas. Interoperabilidad.- Los aspectos de interoperabilidad deben tomarse en consideracin, ya que es un problema cuando existen diferentes plataformas y sistemas operando en conjunto para lograr una meta comn. Las redes privadas virtuales deben funcionar en todas las plataformas y para logra este objetivo si es necesario, es probable que se tenga que instalar software adicional para estas plataformas, y se debe tener presente que cuando se aumenta algo nuevo, aumenta el riesgo de que se presenten consecuencias infortunadas. Facilidad de administracin.- Los dispositivos de las redes privadas virtuales deben proporcionar una administracin fcil, la configuracin debe ser directa, el mantenimiento y la actualizacin de las VPN deben estar asegurados. Una de Cosme MacArthur Ortega Bustamante 120

Metodologa para la Implementacin de Redes Privadas Virtuales estas facilidades de administracin debe ser el acceso de los usuarios, es decir debe haber una manera sencilla para agregar/eliminar usuarios sin esperar demasiado tiempo.

6.4.- Requisitos de seguridad en las Redes Privadas Virtuales.

Una red Privada Virtual esta basada en una red tradicional, as que los requisitos de seguridad son los mismos que se utilizan en las redes tradicionales y de algunas tcnicas ms, propias de la Red Privada Virtual. El mismo hecho de querer instalar una Red Privada Virtual significa que se quiere aadir un nivel ms de seguridad a la red que se posee actualmente. La seguridad de las Redes Privadas Virtuales es de suma importancia para cualquier compaa que realice negocios a travs de Internet o de cualquier red pblica. Estos requisitos de seguridad incluyen el cifrado, los dispositivos de Red Privada Virtual, la autenticacin, el proceso sin rechazos, el cifrado punto a punto, la administracin centralizada de la seguridad y los procedimientos de respaldo restauracin. A continuacin se revisarn algunos de estos componentes.

6.4.1.- Criptografa.6
Criptografa puede parecerse a magia negra para una persona promedio, pero en realidad est basada en principios matemticos. El cifrado es sencillamente el procedimiento de convertir texto legible en un texto ilegible. La meta es permitir que slo la persona a la que se le enva lo convierta en un texto legible. Un mensaje o archivo de datos es llamado texto-plano antes de ser encriptado y texto-cifrado luego de ser encriptado. El proceso de "scrambling" del texto-plano es llamado encriptacin. El proceso de "Unscrambling" del texto-cifrado al texto

Criptografiar y cifrar un mensaje se considera lo mismo, por lo tanto se usarn estos trminos indistintamente. Cosme MacArthur Ortega Bustamante 121

Metodologa para la Implementacin de Redes Privadas Virtuales plano original es llamado desencriptacin. A veces las palabras cifrar y descifrar son usadas en su lugar. La ciencia de encriptar datos es llamada criptografa. La ciencia de romper datos encriptados es llamada criptoanlisis. La criptologa es la ciencia combinada de estas dos. Algunos de los mejores criptoanalstas del mundo trabajan en la Agencia nacional de Seguridad (NSA), una agencia muy secreta creada por el presidente Truman en 1952. Su propsito es desencriptar comunicaciones forneas que son de inters para la seguridad nacional de los Estados Unidos. Las claves se miden en bits. Una clave de un bit tiene dos combinaciones posibles 0 y 1. Cada bit adicional dobla la cantidad de combinaciones. Una clave de 8 bits tiene 256 combinaciones, una de 40 bits tiene ms de un trilln de combinaciones y una de 160 bits tiene 1048 combinaciones. Probar cada posible clave hasta encontrar la correcta se denomina ataque de fuerza bruta. Una computadora personal que pueda probar 50.000 combinaciones por segundo puede testear todas las combinaciones de una clave de 40bits en alrededor de 255 das. Estadsticamente el usuario solo tendra que probar la mitad de las claves para encontrar la correcta. La clave de 40 bits puede ser clasificada como poseedora de seguridad casual. La clave de 160 bits usada en el algoritmo blowfish puede ser clasificada como poseedora de seguridad militar. Un trilln de supercomputadoras que pudieran probar cada una un trilln de claves por segundo demoraran cerca de 463 trillones de centurias para probar todas las combinaciones posibles de una clave de 160 bits. La criptografa es clasificada como municin en la U.S. Munitions list (USML) y est contemplada en el International Traffic in Arms Regulations (ITAR). La NSA a travs del Departamento de Estado, controla la tecnologa de encriptacin que es exportada desde los Estados Unidos. El Shareware 7 y las versiones internacionales registradas contienen la tecnologa de encriptacin ms slida permitida para exportar por los Estados Unidos (40 bits). Las versiones registradas en Canad no estn sujetas a estos controles y por consiguiente contienen mejor tecnologa de encriptacin.
7

Shareware.- Palabra en ingls que significa software de evaluacin

Cosme MacArthur Ortega Bustamante 122

Metodologa para la Implementacin de Redes Privadas Virtuales Bsicamente hay dos tipos de algoritmos de encriptacin en uso hoy, de clave privada o simtrico y de clave pblica o asimtrico.

6.4.1.1.- Algoritmos Simtricos.

Son sistemas convencionales basados en password (clave) que la mayora de la gente conoce. El usuario suministra una clave y el archivo es cifrado con la clave. Para descifrar el archivo, el usuario debe suministrar la misma clave nuevamente y el proceso es reversado. La clave es la llave de encriptacin [WWW08]. El principal problema aqu es la clave; el emisor y el receptor no solamente deben de estar de acuerdo en usar la misma clave, sino que tambin deben idear alguna manera para intercambiarla, especialmente si estn en diferentes reas geogrficas. En los sistemas de clave privada, la integridad de la clave es sumamente importante. Por lo tanto, es importante reemplazar peridicamente esta clave. Ejemplos de los esquemas de encriptacin simtrica son el algoritmo RSA RC4 (que proporciona la base de Microsoft Point-to-Point Encription (MPPE), el Estndar de encriptacin de datos (DES), el Algoritmo de encriptacin de datos internacional (IDEA) y la tecnologa de encriptacin Skipjack propuesta por el gobierno de Estados Unidos (e implementada en el Chip Clipper). En este punto es necesarios aclarar que existen dos tcnicas de cifrado simtrico, las cuales son: cifrado por bloques y cifrado por flujo.

6.4.1.1.1.- Cifras de bloque.

Una cifra de bloque es un cifrado que repite varias operaciones dbiles como sustitucin, transposicin, adicin modular, multiplicacin y transformacin lineal en un algoritmo mucho ms slido. Este algoritmo de cifrado se efecta con la clave del usuario especificada. Una cifra de bloque codifica un bloque de datos, por ejemplo 64 bits a la vez, y luego va al siguiente bloque. DES es un ejemplo de una cifra de 64 bits. Una desventaja de la cifra de bloque es que el uso del Cosme MacArthur Ortega Bustamante 123

Metodologa para la Implementacin de Redes Privadas Virtuales mismo algoritmo y la misma clave generan el mismo texto cifrado que se puede utilizar como un ataque de anlisis de datos sostenido. El cifrado Feistel.- Es una cifra de bloques que opera sobre la mitad del texto cifrado en cada repeticin y luego intercambia las mitades del texto cifrado despus de cada ciclo. Utiliza 64 bits con 16 ciclos. DES.- La norma de cifrado de datos (DES) utiliza un tamao de 64 bits y una clave de 56 bits durante la ejecucin (los 8 bits de paridad se quitan de la clave de 64 bits completa). DES es un criptosistema simtrico, especficamente una cifra Feistel de 16 ciclos. En una cifra de ciclo se aplica el algoritmo varias veces; en este caso, el algoritmo se completa 16 veces. Durante cada ciclo (transformacin) se utiliza una subclave con el proceso de repeticin. Esta subclave es un derivado de la clave principal que el usuario suministr mediante una funcin especial en el algoritmo. Cabe aclarar que el cifrado DES de 56 bits fue violado en el lapso de un mes, por lo que el gobierno de los Estados Unidos permiti la exportacin de DES de 56 bits. El algoritmo Blowfish.- Fue desarrollado por Bruce Scheneir en 1993. Blowfish es un cifrador de bloque de tamao de clave variable para usuarios registrados que residen en los Estados unidos o Canad. El tamao de la clave de Blowfish vara de 32 a 448 bits. El algoritmo en s mismo consta de dos partes: una parte de expansin de subclave y una parte de cifrado. La parte de generacin de claves es complejo, ya que debe ejecutarse en 521 repeticiones para generar todas las subclaves. Esto debe hacerse antes de que se realice el proceso de cifrado. Blowfish no requiere licencia para la implementacin y su desempeo es superior al de DES y al de IDEA con el mismo tamao de clave. La ventaja principal sobre otros algoritmos se deriva de sus tamaos de clave de longitud variable. El algoritmo IDEA.- Es un cifrado de bloque que se cre en 1990 por una compaa suiza. Utiliza 64 bits con ocho ciclos. Este cifrado se diseo para una implementacin fcil en hardware y software. La seguridad de IDEA se basa en la utilizacin de tres tipos incompatibles de operaciones aritmticas en palabras de 16 bits. En este algoritmo, las operaciones de tres grupos algebraicos diferentes se mezclan (XOR, modulo de adicin 216 y mdulo de multiplicacin Cosme MacArthur Ortega Bustamante 124

Metodologa para la Implementacin de Redes Privadas Virtuales 216+1). IDEA utiliza 52 subclaves, cada una de las cuales comienza con una longitud de 16 bits. La generacin de subclaves es como sigue: la clave de 128 bits de IDEA se utiliza como las primeras ocho subclaves K1 a K8. Las ocho siguientes se obtienen de la misma manera, despus de una rotacin circular a la izquierda de 25 bits. Este proceso se repite hasta que todas las subclaves de cifrado se hayan calculado. IDEA es un cifrado slido que ha enfrentado muchos retos en su contra. Se considera inmune al criptoanlisis diferencial y no se han reportado ataques criptoanalticos lineales. De cualquier modo existen una gran clase de claves dbiles, 251, que en el proceso de cifrado podran permitir que se recuperara la clave. Sin embargo, IDEA todava tiene 2128 claves posibles, lo que hace que sea seguro. Skipjack.- El algoritmo de cifrado por bloques Skipjack utiliza una clave de 80 bits para cifrar bloques de 64 bits y emplea 32 ciclos. Se espera que Skipjack sea ms seguro que DES en la ausencia de cualquier ataque analtico, ya que utiliza claves de 80 bits contra los 56 bits en DES.

6.4.1.1.2.- Cifras de flujo.

Una cifra de flujo son algoritmos simtricos que normalmente son ms rpidos que los de bloque. Mientras que las cifras de bloque trabajan con partes de datos (64 bits), las de flujo trabajan sobre bits individuales, una buena caracterstica de seguridad con las cifras de flujo es que aunque se utilice el mismo algoritmo y la misma clave, es posible que no aparezca el mismo texto cifrado; esto depende del momento en que los bits se encuentran en el proceso de cifrado. RC4.- RC4 (una marca registrada de RSA Data Securities, Inc.), utiliza una cifra de flujo de tamao de clave variable con operaciones algebraicas orientadas a bytes. El algoritmo se basa en la utilizacin de permutacin aleatoria. El cifrado se diseo para ejecutarse rpidamente en el software y utiliza de 8 a 16 operaciones por byte. Fue desarrollado en 1987 por Ron Rivest. Este es un algoritmo no patentado que fue mantenido en secreto durante 7 aos hasta que

Cosme MacArthur Ortega Bustamante 125

Metodologa para la Implementacin de Redes Privadas Virtuales fue sacado a la internet por una persona annima a la lista de correo de Cypherpunks. RC4 posee un status de exportacin especial. Es el nico algoritmo (junto con el RC2) permitido para la exportacin desde los Estados Unidos con un tamao de clave de 40 bits usando el requerimiento del State Departament's Commodity Jurisdiction. Otros algoritmos (como el Blowfish) estn actualmente limitados a claves de 32 bits para exportacin.

6.4.1.2.- Algoritmos Asimtricos.

Tambin se los conoce como algoritmos de clave pblica. Cada parte obtiene un par de claves, una pblica y una privada. La clave pblica esta hecha para que todos la conozcan mientras que la privada no [WWW08]. La ventaja de utilizar criptografa de clave pblica es la seguridad y la conveniencia. La clave privada nunca necesita transmitirse o confiarse a alguien ms. Por lo tanto no hay ninguna posibilidad de que la clave se comprometa ni de que la transmisin sea interceptada o decodificada. Es necesario aclarar que la clave privada utilizada en estos algoritmos no es la misma clave utilizada en los criptosistemas de clave privada; la clave privada slo descifra los mensajes que han sido cifrados con la clave pblica asociada. Entre los algoritmos ms representativos de esta categora son el algoritmo Diffie-Hellman y el algoritmo RSA.

6.4.1.2.1.- Algoritmo Diffie-Hellman.

El protocolo de acuerdo de claves Diffie-Hellman es una generacin de claves negociada. Su fortaleza radica en le campo matemtico finito de exponenciacin de los logaritmos. El protocolo permite que dos usuarios intercambien una clave secreta en un medio inseguro sin secreto previo alguno. El algoritmo DiffieHellman tambin ha establecido la funcin de seguridad de un acuerdo de claves secretas, por lo tanto aunque sea un algoritmo asimtrico (clave pblica), tanto el emisor como el receptor pueden utilizar un cifrado simtrico. Cosme MacArthur Ortega Bustamante 126

Metodologa para la Implementacin de Redes Privadas Virtuales Existen dos valores globales en el intercambio de claves Diffie-Hellman: P (que es un nmero primo) y G (llamado generador). G tiene una propiedad especial: es un entero menor que P y puede generar todos los nmeros entre 1 y P-1 al multiplicarse por s mismo. Se hace referencia a G como mdulo de P. Antes de que los usuarios puedan comunicarse entre s utilizando el intercambio de claves Diffie-Hellman necesitan acordar las claves secretas. El intercambio de claves es vulnerable al ataque del intermediario, existe debido a que este algoritmo no autentifica a los usuarios. Por lo tanto, se necesitan otros pasos para evitar estos ataques, tales como el empleo de firmas digitales y las autoridades emisoras de certificados.

6.4.1.2.2.- Algoritmo RSA.

Este algoritmo fue ideado en 1977 por Ron Rivest, Adi Shamir y Leonard Adleman (RSA). Es sencillo de comprender e implementar, aunque las longitudes de sus claves es bastante considerable (ha pasado desde sus 200 bits originales a 2048 actualmente). En este algoritmo se emplean las ventajas proporcionadas por las propiedades de los nmeros primos cuando se aplican sobre ellos operaciones matemticas basadas en la funcin mdulo. En concreto, emplea la funcin exponencial discreta para cifrar y descifrar, y cuya inversa, el logaritmo discreto, es muy difcil de calcular [WWW10]. Los clculos matemticos de este algoritmo emplean un nmero denominado Mdulo Pblico, N, que forma parte de la clave pblica y que se obtiene a partir de la multiplicacin de dos nmeros primos, p y q, diferentes y grandes (del orden de 512 bits) y que forman parte de la clave privada. La gran propiedad de RSA es que, mientras que N es pblico, los valores de p y q se pueden mantener en secreto debido a la dificultad que entraa la factorizacin de un nmero grande.

Cosme MacArthur Ortega Bustamante 127

Metodologa para la Implementacin de Redes Privadas Virtuales La robustez del algoritmo se basa en la facilidad para encontrar dos nmeros primos grandes frente a la enorme dificultad que presenta la factorizacin de su producto. Aunque el avance tecnolgico hace que cada vez sea ms rpido un posible ataque por fuerza bruta, el simple hecho de aumentar la longitud de las claves empleadas supone un incremento en la carga computacional lo suficientemente grande para que este tipo de ataque sea inviable.

6.4.1.3.- Algoritmo Hbrido (PGP).

Pretty Good Privacy (PGP) de Philip Zimmermann es un criptosistema hbrido, con todas las ventajas. Combina un algoritmo de clave privada con uno de clave pblica. Esto le da tanto la rapidez de un sistema simtrico como las ventajas de un sistema asimtrico. PGP utiliza cuatro componentes: una cifra simtrica (IDEA), una cifra asimtrica (RSA), una funcin de transformacin de cdigo (MD5) y un generador de nmeros pseudoaleatorios (PRGN) PGP genera claves criptogrficas fuertes, una privada, otra pblica. El usuario guarda la clave privada, y distribuye la clave pblica... insertada en el correo electrnico usando un fichero de firma, colocada en una pgina web, o en cualquier otro lugar. Asimismo es importante obtener las claves pblicas de los contactos e importarlas en tu PGP. Cuando quieres enviar un correo cifrado, lo cifras usando la clave pblica del receptor y slo esa persona podr descifrarlo usando su clave privada. Tambin se puede firmar los ficheros y correos electrnicos para que cualquiera que tenga tu clave pblica en su 'keyring' (anillo de claves) pueda comprobar si ese fichero en concreto proviene de ti y no de otra persona que se hace pasar por ti. PGP generalmente comprime el texto plano antes de encriptar el mensaje (y lo descomprime despus de desencriptarlo) para disminuir el tiempo de cifrado, de transmisin y de alguna manera fortalecer la seguridad del cifrado ante el criptoanlisis que explotan las redundancias del texto plano.

Cosme MacArthur Ortega Bustamante 128

Metodologa para la Implementacin de Redes Privadas Virtuales

6.4.1.4.- Otros Cifrados.

Adems de esos sistemas de cifrado basados en clave pblicas o secretas existen otros sistemas de cifrado basados en algoritmos. Estos nuevos sistemas no emplean claves de ningn tipo, sino que se basan en extraer una determinada cantidad de bits a partir de un texto de longitud arbitraria. Esto es, cada cierta cantidad de texto elegido de forma arbitraria, se procede a realizar una transformacin de bits, de esta transformacin se obtiene una palabra longitud clave, esta palabra longitud tiene una extensin de x bits preestablecidos, de esta forma el texto es irreconocible ya que solo se pueden leer nmeros secunciales y no guardan relacin alguna entre s. Estos algoritmos normalmente se basan en complejas operaciones matemticas de difcil resolucin. Y el secreto esta en que operaciones matemticas sigue el algoritmo. Entre los sistemas desarrollados a partir de la creacin de algoritmos cabe destacar al menos dos, por su complejidad e importancia: MD5 y SHA... MD5.- Este algoritmo fue desarrollado por el grupo RSA y es un intento de probar con otros sistemas criptogrficos que no empleen claves. El algoritmo desarrollado es capaz de obtener 128 bits a partir de un determinado texto. Como es lgico hasta el momento no se sabe cuales son las operaciones matemticas a seguir, pero hay alguien que dice que es mas probable que se basen en factores de nmeros primos [LIB03]. SHA, SHA-1. Es un algoritmo desarrollado por el gobierno de los Estados

Unidos y se pretende implantar en lo sistemas informticos de alta seguridad del estado como estndar de proteccin de documentos. El algoritmo obtiene 160 bits de un texto determinado. An cuando es ms lento que otras funciones de transformacin del cdigo, se considera ms seguro ya que tiene mayor longitud.

6.4.2.- Certificados Digitales.

Con la encriptacin simtrica, tanto el remitente como el destinatario cuentan con una llave secreta compartida. La distribucin de la llave secreta debe ocurrir Cosme MacArthur Ortega Bustamante 129

Metodologa para la Implementacin de Redes Privadas Virtuales (con la proteccin adecuada) antes de cualquier comunicacin encriptada. Sin

embargo, con la encriptacin asimtrica, el remitente utiliza una llave privada para encriptar o firmar digitalmente los mensajes, mientras que el receptor utiliza una llave pblica para descifrar estos mensajes. La llave pblica puede distribuirse libremente a todos los que necesiten recibir mensajes encriptados o firmados digitalmente. llave privada. Para garantizar la integridad de la llave pblica se publica con un certificado. Un certificado (o certificado de llave pblica) es una estructura de datos que est firmada digitalmente por una autoridad certificadora (CA); una autoridad en la que los usuarios del certificado pueden confiar. El certificado contiene varios valores, como el nombre y el uso del certificado, la informacin que identifica al propietario de la llave pblica, la llave pblica misma, una fecha de expiracin y el nombre de la autoridad certificadora. firmar el certificado. La CA utiliza su llave privada para Si el receptor conoce la llave pblica de la autoridad El remitente necesita proteger cuidadosamente slo la

certificadora, el receptor puede verificar que el certificado sea, en efecto, de esa CA y, por lo tanto, que contiene informacin confiable y una llave pblica vlida. Los certificados se pueden distribuir de manera electrnica (a travs de acceso al Web o correo electrnico), en tarjetas inteligentes o en discos flexibles.

6.4.3.- Autenticacin.
La autentificacin8 es el segundo factor ms importante en la configuracin de una Red Privada Virtual. Pero as como existen distintas arquitecturas, topologas y esquemas de cifrado en las Redes privadas Virtuales, tambin hay muchos esquemas de autentificacin. Adems hay dos aspectos que son necesarios aclarar; la autentificacin es quin tiene el permiso y la autorizacin es a que tiene acceso. En este punto el usuario debe estar concientes de que en cualquier

infraestructura de comunicaciones en red existe la necesidad de un proceso de autentificacin que permita a que el usuario acceda a los servicios de red y que
8

Autenticacin y Autentificacin tiene el mismo significado.

Cosme MacArthur Ortega Bustamante 130

Metodologa para la Implementacin de Redes Privadas Virtuales impida, al mismo tiempo, el acceso no garantizado de los usuarios sin autorizacin. En un sistema de contraseas normales, tanto el usuario como el servidor, conocen la contrasea, para el inicio de una sesin vlida, el usuario ingresa la contrasea y el servidor la compra con la que tiene almacenada y si coinciden se permite el ingreso. Esto produce como resultado una debilidad en la seguridad, ya que si asumimos que el usuario no revela su contrasea, est permanecer guardada en el servidor, y puede ser susceptible de ataques.

6.4.3.1.- CONTRASEAS DEL SISTEMA OPERATIVO.

En una organizacin existen varios servidores y aplicaciones protegidos con contraseas [LIB02]. Los usuarios pueden tener varias contraseas distintas para los diferentes servidores. A continuacin se presentan algunas recomendaciones para utilizar en una Red Privada Virtual. La identificacin del usuario.- En lo posible debe ser Alfanumrica y de largo suficiente para que sea mnemotcnico, adems, no deberan ser reutilizados en distintos usuarios ya que se pierde el control sobre las pistas de auditoria. Existen distintos mtodos: Apellido del usuario, si hay repeticiones apellido y parte del nombre. Ejemplo: JATON, JATONRE, RAMIREZ, RAMIREZO Tres primeras letras del apellido y los nombres y el legajo (se utiliza en empresas grandes) Ejemplo: PAG81455 (Pablo Andrs Gietz) Tipo de usuario y legajo: ejemplo: EMP4517 (para empleado) GER7782 (para gerente). Desventajas: es difcil de administrar por que no se puede memorizar, adems no permite el cambio de funcin sin cambiar el usuario. Contraseas.- La contrasea es el mtodo que sirve para autentificar a los usuarios. Es por lo general uno de los eslabones ms dbiles de la seguridad, ya

Cosme MacArthur Ortega Bustamante 131

Metodologa para la Implementacin de Redes Privadas Virtuales que los usuarios no la utilizan correctamente, o no le dan la debida importancia. Las contraseas deben ser secreta e intransferibles, mnimo de ocho caracteres, no debe ser escrita por el usuario para poder recordarla, el usuario puede cambiar su contrasea, debe caducar por lo menos en 45 das, el administrador del sistema no debe poder ver las contraseas, y al tercer intento de ingreso no vlido el sistema lo debe rechazar. Log de seguridad.Se deben proteger contra accesos no autorizados, se

deben controlar y respaldar diariamente. No es necesario imprimirlos. Estos son los registros que se tiene de los accesos, para en posterior poder realizar auditorias.

6.4.3.2.- S/KEY.
Las contraseas descartables del sistema S/KEY tienen una extensin de 64 bits. Esto se basa en la creencia de que son lo suficientemente extensas como para ser seguras y lo suficientemente cortas como para ser introducidas manualmente cuando sea necesario. El sistema S/KEY aplica funciones de transformacin del cdigo varias veces, produciendo una salida final de 64 bits. MD4 acepta un nmero arbitrario de bits como entrada y produce una salida de 128 bits. Las funciones de transformacin del cdigo seguras de S/KEY consisten en aplicar MD4 a una entrada de 64 bits y plegar la salida de MD4 con la funcin O exclusiva (XOR) para producir otra salida de 64 bits. S/KEY, como se dijo anteriormente, es un sistema de contraseas descartables, lo que significa que cada contrasea utilizada por el sistema se usa slo para una autentificacin. Las contraseas no pueden volverse a utilizar, por lo tanto no pueden interceptarse ni usarse como una forma de predecir las contraseas futuras.

Cosme MacArthur Ortega Bustamante 132

Metodologa para la Implementacin de Redes Privadas Virtuales

6.4.3.3.- RADIUS.
El protocolo de servicio de autenticacin de usuario remoto de marcacin (RADIUS) es un mtodo basado en el UDP para administrar la autenticacin y autorizacin de usuarios remotos. Los servidores de RADIUS pueden localizarse en cualquier lugar de Internet y proporcionan autenticacin (incluyendo PPP PAP, CHAP, MSCHAP y EAP) para su NAS de cliente. Al mismo tiempo, los servidores de RADIUS pueden proporcionar un servicio proxy para transmitir las solicitudes de autenticacin a servidores distantes de RADIUS.

6.4.3.4.- KERBEROS.
Kerberos9 V5 es un protocolo de autentificacin confiable fabricado por un tercero que permite que un proceso se ejecute en un cliente para demostrar su identidad frente a un servidor Kerberos [LIB02], sin tener que enviar los datos a travs de la red, lo cul permitira que un atacante o un verificador se hiciera pasar por un director. Kerberos es un sistema de cifrado DES simtrico. Utiliza una funcin de clave privada centralizada y en el ncleo del sistema se encuentra el centro de distribucin de claves [RFC1510].

6.4.3.5.- LDAP.
El protocolo ligero de acceso a directorio (LDAP) [RFC2251] es un protocolo estndar en la industria para acceder a servicios de directorio. Este es extensible, independiente del distribuidor y se basa en los estndares. Permitiendo que un administrador asigne una variedad de propiedades de conexin para sesiones de marcacin o de VPN destinadas a usuarios individuales o grupos. Estas propiedades pueden definir los filtros por usuario, la autenticacin requerida o los mtodos de codificacin, entre otras.
9

Kerberos viene de la mitologa griega, del perro guardin de tres cabezas llamado Cancerbero que perteneca a Hades. Cosme MacArthur Ortega Bustamante 133

Metodologa para la Implementacin de Redes Privadas Virtuales

6.4.3.6.- EAP.
El Protocolo de marcacin extensible (EAP) es una extensin propuesta por la IETF para el PPP que permite que los mecanismos de autenticacin arbitraria se utilicen para la validacin de una conexin de PPP. EAP fue diseado para permitir la adicin dinmica de mdulos de conexin de autenticacin en ambos extremos de clientes y de servidor de una conexin, permitiendo a los distribuidores proveer un nuevo esquema de autenticacin en cualquier momento, proporcionando la flexibilidad ms alta en particularidad y variacin de autenticacin. Con el EAP-TLS, un cliente presenta un certificado de usuario al servidor de marcacin, al tiempo que el servidor presenta un certificado de servidor al cliente. El primero proporciona autenticacin slida de usuario al servidor y el segundo proporciona certeza de que el usuario ha contactado el servidor que esperaba. Ambos sistemas se basan en una cadena de autoridades confiables para verificar la validez del certificado ofrecido. El certificado del usuario puede almacenarse en la PC de cliente de marcacin o en una tarjeta inteligente externa En cualquier caso, el certificado no puede ser accesado sin alguna forma de identificacin de usuario entre el usuario y la PC del cliente.

6.4.3.7.- ISAKMP/Oakley
ISAKMP/Oakley es el protocolo estndar para realizar una asociacin de seguridad entre el transmisor y el receptor. Durante un intercambio de ISAKMP/Oakley, las dos mquinas acuerdan los mtodos de autenticacin y seguridad de datos, realizan una autenticacin mutua y despus generan una clave compartida para la codificacin de datos subsecuente. Despus de establecer la asociacin de seguridad, la transmisin de datos puede proceder para cada mquina aplicando tratamiento de seguridad de datos a los Cosme MacArthur Ortega Bustamante 134

Metodologa para la Implementacin de Redes Privadas Virtuales paquetes que transmite al receptor remoto. El tratamiento puede simplemente asegurar la integridad de los datos transmitidos o puede codificarlos tambin.

6.4.4.- Sin Repudio.

Debe existir alguna forma en que una parte est completamente segura de que la otra parte ya envi el mensaje. Sin dicha garanta, las casas de finanzas, los bancos y las transacciones de ventas no podran existir.

6.4.5.- Cifrado Punto a Punto.

Los tneles cifrados de Red Privada Virtual aseguran los datos conforme pasan a travs de la red pblica. Existen por lo general dos trminos que se asocian con la tecnologa VPN que son cifrado y encapsulamiento. La principal diferencia es que el cifrado solo codifica los datos, mientras que el encapsulamiento hace un paquete de datos del paquete original, lo envuelve en su propio paquete y despus codifica todo el paquete.

6.4.6.- Administracin de seguridad centralizada.

En cualquier momento en la arquitectura cliente/servidor hay distintas

aplicaciones ejecutndose en varios servidores que soportan distintos clientes en redes diferentes. Imaginase lo que es administrar la seguridad en entornos tan heterogneos y con varios tipos de aplicaciones corriendo en diferentes servidores. Por las razones mencionadas anteriormente el ideal es poseer un especialista para cada Sistema Operativo o plataforma para administrar. La mayora de las veces una persona puede atender varios sistemas operativos. La mnima dotacin deseable es de dos personas altamente capacitadas que puedan sustituirse una a la otra. Una persona para administrar la seguridad es

Cosme MacArthur Ortega Bustamante 135

Metodologa para la Implementacin de Redes Privadas Virtuales importante para que los otros puedan investigar y desarrollar nuevas

implementaciones. Tengamos en cuenta que si la poltica es que todos los nuevos productos de Informatizacin tengan seguridad, el sector debe tener recursos suficientes para acompaar los desarrollos desde el momento cero. Existen algunas funciones que tradicionalmente entran en conflicto con los administradores de seguridad, estas son: el DBA (Data base administrator administrador de base de datos) el NA (Administrador de red - Network administrator), el SA (Administrador de sistema - System administrator) y el administrador de seguridad. En todos estos casos el conflicto surge por que el Sistema Operativo no permite la adecuada separacin de funciones de los distintos perfiles, lo que conduce a que cada uno de los mencionados pueda eventualmente realizar funciones solo autorizadas a otro. Por ejemplo en el Unix el root es el usuario con mximo nivel de autorizacin, pero no solo administra la seguridad, sino tambin la configuracin, las bases de datos, etc. En el caso de Windows NT, el usuario Administrador, se debe utilizar para instalar o para realizar ciertas tareas de configuracin, por lo que se debe compartir para las distintas tareas. Desde el punto de vista de seguridad el sistema operativo debera permitir configurar los siguientes perfiles. SecAdmin: Administrador de seguridad. Administra altas, bajas, y cambios de perfiles de usuarios. Otorga, permisos de acceso a los recursos. Puede auditar a los usuarios. System Administrator: Instalacin de software de base, administracin de recursos (capacidad, performance no permisos), capacity planning, etc. Sin acceso irrestricto a los datos. Con utilizacin controlada de utilitarios sensitivos. Network Administrator: Atiende y monitorea la red. Instala y configura los componentes de software y hardware. Resuelve problemas de performance y conexiones. DBA: Administra la base de datos. Genera las estructuras, los ndices, el diccionario de datos, administra los espacios, la

Cosme MacArthur Ortega Bustamante 136

Metodologa para la Implementacin de Redes Privadas Virtuales performance, etc. Debe permitir al SecADmin la administracin de permisos (Grant y Revoke). Desarrollador: Puede modificar programas, compilar en libreras de test, y probar con datos de prueba. EL desarrollador puede tener lnea de comandos restringidos. Implementador: Debe pasar los programas de desarrollo a Produccin mediante un mecanismo que asegure la transparencia. Puede intervenir operaciones. El implementador puede tener lnea de comandos restringidos. Operador del sistema: Puede operar el sistema, prenderlo, apagarlo, descolgar usuarios por terminales, etc. El operador no debe tener lnea de comandos. Usuarios finales: Solo deben acceder a las aplicaciones mnimas que necesitan para desarrollar su tarea.

6.4.7.- Procedimientos de respaldo/restauracin.

Las claves de los dispositivos de las redes privadas virtuales son lo que hace que esta tecnologa sea segura. Si los dispositivos de las redes privadas virtuales presentan problemas, cmo pueden reinstalarse? Las claves de dichos dispositivos son conocidas por las personas que configuraron el servicio de las Redes Privadas Virtuales: Si no es posible restaurar las claves, entonces las comunicaciones con las otras partes no podr restablecerse. Por lo tanto, su poltica de respaldo y restauracin debera tomar en cuenta los sistemas operativos, los niveles de reparacin, la poltica de reglas implementadas, y las claves asociadas con la solucin particular de las Redes Privadas Virtuales.

6.4.7.1.- Planes de contingencia.

En lo posible se debe escribir uno, esto ayuda a pensar en como implementarlo, disearlo, entrenar al personal, implementarlo y probarlo.

Cosme MacArthur Ortega Bustamante 137

Metodologa para la Implementacin de Redes Privadas Virtuales Existe un equipo de especialistas que representa a las personas que conocen y que son imprescindibles para llevar adelante la ejecucin del plan. Ellos entran en accin como un equipo del tipo SWAT. Se debe poseer redundancia de los elementos crticos, array de discos, canales de comunicacin, dispositivos de backup-restore de alta velocidad, o al menos contar con medios alternativos. Por ejemplo si no se pueden disponer de dos servidores funcionando a la par, acordar el proceso en un servidor de terceros, o disponer de un plan de recuperacin acorde con los tiempos de la empresa (reparacin o cambio del servidor) esto debe ser probado. SI no se dispone de dos links de comunicaciones del mismo ancho de banda disponer de un alternativo y probarlo. En empresas grandes se dispone de planes de continuidad de negocio que preparan a la organizacin para cualquier tipo de contingencia. Se determina por ejemplo: en caso de destruccin total de la casa matriz. Donde deben presentarse los empleados a trabajar. Donde se monta las oficinas de emergencia. Que se le debe decir a la prensa. Quien monta los sistemas de emergencia, etc.

6.5.- Sistemas Operativos.

Los sistemas operativos de cierto porte, incorporan en su diseo los elementos de seguridad necesarios para implementar la seguridad. El nivel de prestaciones vara con el sistema operativo. En flexibilidad y seguridad se puede destacar el Os/400 de IBM. En seguridad y robustez el sistema OS/390. Existen muchas empresas que fabrican software de seguridad que se incorpora al software de base y complementa o reemplaza al sistema de seguridad nativo. Por ejemplo para OS/390 de Ibm, sistema RACF(IBM), TOP-Seret (Computer Associates).

Cosme MacArthur Ortega Bustamante 138

Metodologa para la Implementacin de Redes Privadas Virtuales En los sistemas operativos de escritorio los que poseen una buena seguridad son el OS/2 y el NT Workstation. El Windows 95/98 posee una seguridad relativa si se lo implementa en Red con un servidor seguro utilizando el Editor de Polticas.

6.5.1.- Niveles de Seguridad C2 , B1 (Orange book).

EL Departamento de Defensa public en Diciembre de 1985 el "Trusted Computer System Evaluation Criteria" mas conocido como Orange book por el color de sus tapas en el que fija las pautas para evaluar la seguridad que brindan los Sistemas Operativos. Se establece una escala con las siguientes divisiones: Divisin D: "Minimal Protection". Sistemas testeados pero que no pueden ser evaluados en la divisin siguiente: Disivisin C: Discretionary Protection. Proteccin discrecional (necesidad de conocer), inclusin de auditoria de los sujetos y las acciones que inician. o Clase C1: Discretionary Security Protection. Capacidad para controlar acceso entre usuarios y objetos. El mecanismo debe permitir compartir objetos por individuo, grupos o ambos. Debe existir un proceso de Logon mediante usuario password. El Sistema Operativo debe mantener el dominio de su propia ejecucin evitando la invasin de zonas de memoria, la toma de control, etc. Se debe poder verificar la integridad del sistema mediante herramientas de hardware o software provistas por el fabricante. o Clase C2: Controlled Access Protection. Agrega a la clase anterior la capacidad de prevenir la propagacin de derechos de acceso. Una mejor auditoria mediante el seguimiento de eventos de seguridad relevantes. El acceso a objetos protegidos debe ser dado por usuarios autorizados a nivel individual. La reutilizacin de objetos (reasignacin) se hace previa revocacin de todos los permisos cedidos antes a otro usuario. Los datos de auditoria deben estar protegidos y deben incluir uso de mecanismos de autenticacin, operacin con objetos, inicio de programas, borrado Cosme MacArthur Ortega Bustamante 139

Metodologa para la Implementacin de Redes Privadas Virtuales de objetos, acciones de los operadores, administradores y para cada evento fecha, hora evento, usuario, estado del evento (success o fail), terminal, nombre del objeto, etc. Divisin B: Mandatory Protection. El sistema debe preservar la integridad de las etiquetas usadas para asegurar las reglas de control de acceso mandatorio. o Clase B1: Labeled Security en Protection C2, ms Requiere control todas de las

caractersticas

requeridas

acceso

mandatorio sobre sujetos y objetos, soporte para el etiquetado de sujetos y objetos bajo su control, es decir control de acceso basado en la sensibilidad de la informacin y el nivel de acceso del sujeto todo esto definible bajo una estructura combinada de jerarqua y clases. Test riguroso con correccin de errores y o fallas. Se somete a prueba el diseo del sistema el cdigo fuente y los objetos. o Clase B2: Structured Protection. El diseo del sistema est basado en un claramente definido y formalizado modelo de poltica de seguridad que requiere el control de acceso discrecional y mandatorio expresado en la clase B1. El sistema debe estar cuidadosamente estructurado en elementos de proteccin crtica y los otros. Posee mejores mecanismos de autenticacin. Tests ms rigurosos. o Clase B3: Security Domains. El sistema debe mediar todos los accesos de sujetos a objetos, que sean a prueba de xx, y lo ms pequeo posible. Para esto se debe eliminar todo el cdigo no esencial a la seguridad, dirigiendo todo el esfuerzo de diseo en minimizar la complejidad. Divisin A: Verified Protection. o Clase A1: Verified Design. No se agregan caractersticas de seguridad, pero se realiza una verificacin pormenorizada del diseo del sistema para asegurar que cumple con la poltica definida para su construccin. Debe probarse matemticamente el modelo formal de seguridad. o Mas all de clase A1: Sistemas futuros.

Cosme MacArthur Ortega Bustamante 140

Metodologa para la Implementacin de Redes Privadas Virtuales

CAPITULO 7

Metodologa para la implementacin de una VPN.

7.1. 7.2. 7.3 7.4. 7.5. 7.6. 7.7. 7.8. 7.9. 7.10. 7.11.

Formacin de un Equipo Ejecutor Fijacin del Alcance Estudio y Anlisis Eleccin de la Plataforma Propuestas de Soluciones. (Diseo) Seguridades. Plan de Contingencia. Costos. Implementacin Mantenimiento Medicin de Resultados.

Cosme MacArthur Ortega Bustamante 141

Metodologa para la Implementacin de Redes Privadas Virtuales La informacin es una ventaja crtica para cualquier compaa, y poseer sta a tiempo y con seguridad es fundamental para el desarrollo de cualquier organizacin. Adems se debe tomar en consideracin que la fuerza laboral del futuro ser mvil, y una compaa u organizacin no estarn en capacidad de construir o rentar suficientes lneas a travs de todo el mundo para garantizar conexiones seguras. Y es aqu donde toma importancia la implementacin de una red privada virtual, ya que como se mencion en los captulos anteriores, una red privada virtual utiliza Internet como medio de transmisin de datos, lo que permite un considerable ahorro en trminos econmicos. Se debe tener presente tambin que en la actualidad muchas compaas utilizan Internet para enviar correo electrnico; sin embargo, la gran mayora no toma en consideracin que ese correo se enva en modo texto, es decir sin ningn tipo de seguridad, y cualquiera que tenga acceso a Internet puede leerlo. Es por esta razn que el presente trabajo trata de familiarizar a los lectores con la tecnologa de redes privadas virtuales, para hacer de sus redes ms optimas y seguras al momento de transmitir y recibir datos desde el exterior, y por que no tambin desde el interior. La metodologa que a continuacin se va a describir ha sido realizada tomando como experiencia organizaciones entendimiento y Redes Privadas Virtuales. pequeas y tiene como objetivo ayudar al mejor manejo de la teora y la prctica en el desarrollo de

Para obtener una Red Privada Virtual exitosa es necesario tomar en cuenta algunos factores que son de vital importancia los mismos que se convertirn en pasos para el anlisis y posterior implementacin de una Red Privada Virtual, los mismos que se describen a continuacin: 1. Formacin de un equipo de trabajo 2. Fijacin del Alcance 3. Estudio y Anlisis 4. Eleccin de la Plataforma 5. Propuestas de Soluciones Cosme MacArthur Ortega Bustamante 142

Metodologa para la Implementacin de Redes Privadas Virtuales 6. Seguridades 7. Plan de contingencia 8. Costos 9. Implementacin 10. Mantenimiento 11. Medicin

Cada uno de estos puntos sern detallados a continuacin:

7.1. Formacin de un Equipo Ejecutor

Si se toma en consideracin de que una Red Privada Virtual es un conjunto de aplicaciones de software cliente-servidor basados en tecnologa Internet10 para la transmisin y recepcin de datos, y que utilizan las plataformas de red local (LAN), redes a nivel mundial (WAN), protocolos TCP/IP y los servidores de su organizacin para prestar servicios de una red privada, entonces en el momento que se emprende la tarea de poner en marcha una Red Privada Virtual se hace necesario la formacin de un Equipo Ejecutor, el cual debe ser conformado por un pequeo grupo de especialistas y a este agregar un nmero pequeo de personal con capacidad de decisin y conocimiento de la organizacin o empresa, de tal manera que se pueda asignar responsabilidades al personal, adems que el equipo debe tener una gran capacidad de liderazgo y responsabilidad para asumir el reto de poner en marcha un proyecto de Redes Privadas Virtuales. Los miembros recomendados para la conformacin del Comit Ejecutor son: las direcciones de sistemas y recursos humanos. Deben concurrir adems los gerentes cuyas divisiones vayan a tener contenido en la Red Privada Virtual. Se recomienda que al principio asistan todos los gerentes de la organizacin, para que estos decidan que tipo de informacin es confidencial y crucial para la compaa y encomienden ponerla en una red privada virtual, ya que como se explico en captulos anteriores no es conveniente poner todo el trfico de
10

La mayora de los casos se utiliza Internet como medio de transmicin, pero tambin se lo puede realizar en redes de rea local. Cosme MacArthur Ortega Bustamante 143

Metodologa para la Implementacin de Redes Privadas Virtuales informacin que se genere en la organizacin en una Red Privada Virtual, ya que esta produce una sobrecarga de trabajo.

7.2. Fijacin del Alcance

Una vez que se ha tomado la decisin de implementar una Red Privada Virtual es necesario definir argumentos que sern tomados en cuenta para la implementacin, y que debern cumplirse en lo posterior. Temas como los que se describen a continuacin deberan ser tomados en consideracin: Para qu tener una Red Privada Virtual? Quines sern los usuarios? Qu conocimientos, informacin o datos se van a poner en la Red Privada Virtual? Utilizar la Redes Privadas Virtuales para comercio global? Instalar una extranet? Su organizacin posee la capacidad tcnica adecuada para mantener e instalar una Red Privada Virtual? Cmo se integrar la Red Privada Virtual con la Red de la compaa? Qu respuesta o resultados se desea obtener? Qu tipo de seguridad de utilizara en la red privada virtual? Cmo se construir? Qu servicios se colocarn primero, cuales despus? Su gobierno como considera al cifrado? . Se debe tener en cuenta que algunos gobiernos consideran al cifrado como arma, por lo tanto regula su uso. El Comit Ejecutor ser el organismo encargado de definir el "Por qu" y "Para qu" de una Red Privada Virtual. Para esto se analizar las expectativas creadas, las mismas que llevaron a la decisin de construirla, los problemas o retos que tienen factibilidad de resolverse con esta tecnologa. Los objetivos buscados, a quienes se desea servir, el modelo administrativo con que se cuenta, y un punto muy importante a discutir, los parmetros que sern utilizados para medir el Cosme MacArthur Ortega Bustamante 144

Metodologa para la Implementacin de Redes Privadas Virtuales xito. En este paso se debe definir la poltica de tecnologa, recursos necesarios y los responsables de obtener la informacin que ser entregada a los creadores de la Red Privada Virtual. Es importante recalcar que el xito del proyecto se fundamenta en la calidad del anlisis de factibilidad y ste determina el grado de participacin y compromiso de los miembros del Equipo Ejecutor, esto con la finalidad de que tenga xito la implementacin de la red privada virtual. En algunos casos es necesario obtener el permiso de los altos ejecutivos con la finalidad de que exista mayor seguridad en las acciones y obtener xito en este paso.

7.3 Estudio y Anlisis

Luego de que se ha completado con la formacin del equipo ejecutor, y la fijacin del alcance del proyecto, es necesario realizar un estudio y anlisis detenido para saber a ciencia cierta que parmetros deben cumplir las Redes Privadas Virtuales que se desea implementar. Durante el anlisis el equipo que desarrolla la Red privada virtual intenta identificar que informacin ha de ser procesada, que funcin y rendimiento se desea, cual ser el comportamiento de la red, que interfaces van a ser establecidas, que restricciones se pondrn, que tipo de seguridad de necesita, que parmetros se sacrificarn a favor de la seguridad y que criterios de validacin se necesitan para definir una red privada virtual correcta. Es decir durante el estudio y anlisis deben identificarse los requisitos clave de la Red privada virtual. El Anlisis de factibilidad y la informacin en ste recolectada sern analizados por parte del Equipo Ejecutor asignado al proyecto y con esta base se propondrn los objetivos definitivos, como por ejemplo, que aplicaciones se pondrn en las Redes Privadas Virtuales, que servicios se brindarn en lnea y en que fases se construir.

Cosme MacArthur Ortega Bustamante 145

Metodologa para la Implementacin de Redes Privadas Virtuales Durante la fase de estudio y anlisis tambin se deben estudiar los sistemas y soluciones utilizados por la organizacin y el manual de identidad corporativo.

7.4. Eleccin de la Plataforma

Para la implementacin de una Red Privada Virtual es muy importante la eleccin de la plataforma en cual se la va ha desarrollar. En el mercado existe una gran variedad de soluciones, por lo que se hace necesario elegir una. Tambin es necesario mencionar que las Redes Privadas Virtuales pueden ser construidas tanto por software, como por hardware o una combinacin de stas. Para realizar la eleccin de que tipo de Redes Privadas Virtuales instalar es necesario analizar los siguientes puntos: Software existente en la empresa. Aplicaciones existentes en la empresa. Plataforma existente en la empresa. Servicios que posee la plataforma. Seguridades que brinda la plataforma. Soporte tcnico que posee la plataforma. Tipo de servidores que posee la empresa. Costo de la plataforma. En el momento que se ha tomado la decisin de implementar una Red Privada Virtual, el Equipo Ejecutor deber levantar un inventario del Hardware y Software existente en la empresa. Luego de levantado el inventario es necesario realizar un anlisis para determinar que tipo de Red Privada Virtual se ajusta ms a las necesidades de la organizacin. Debido a que siempre ser necesario contar con informacin y personal capacitado a tiempo y a mano, sobre todo en lo referente al manejo de la plataforma y a posibles dificultades que se encuentra en la configuracin e implantacin de una Red Privada Virtual, se ha visto necesario indicar que un punto de vital importancia para la seleccin de una Plataforma es el soporte

Cosme MacArthur Ortega Bustamante 146

Metodologa para la Implementacin de Redes Privadas Virtuales tcnico que tienen cada una de las empresas distribuidoras y dueas de las diferentes plataformas. Generalmente para implantar una red privada virtual no se empezar desde cero en lo que se refiere a Hardware y Software, en la actualidad la mayora de las empresas poseen equipos computacionales y en algunos casos se encuentra redes ya configuradas, en este caso se debe analizar que tipo de servidores tenemos y cual ser la plataforma que se debe utilizar. Es necesario comprender que en algunos casos por costos de los servidores, o por que la tecnologa es muy obsoleta, es muy probable que se tenga que empezar desde cero, es decir que se debe asumir que no existe nada. Cuando se empieza desde cero el equipo ejecutor tiene ms opciones para poder tomar la mejor decisin, ya que no se ve restringido a la tecnologa existente, ya que si existe algo, en lo posible se debe tratar de que las Redes Privadas Virtuales sean compatibles.

7.5. Propuestas de Soluciones. (Diseo)

El diseo se lo pone como quinto punto, ya que luego de realizar el anlisis se puede realizar el diseo, pero el diseo se ve afectado por la plataforma elegida, con esto se quiere decir que el diseo se lo debe realizar slo despus de haber realizado el anlisis y de haber elegido una plataforma, ya que existen muchas opciones para instalar una red privada virtual. Solo armados con el Anlisis de factibilidad, la estructura general y la definicin de los servicios a ser implementados, es posible acometer eficazmente la concepcin, creacin y construccin de la Red Privada Virtual. En esta etapa se definirn la filosofa y enfoque globales; se concebir la estructura lgica de la red privada virtual y se visualizar el conjunto general de la red, y esta deber ser aprobada por el equipo ejecutor. En la propuesta de soluciones se debe tener en consideracin los siguientes aspectos: Cosme MacArthur Ortega Bustamante 147

Metodologa para la Implementacin de Redes Privadas Virtuales Que aplicaciones van a pasar por la Red Privada Virtual? Qu tipo de infraestructura de hardware soporta su organizacin? Cuntos usuarios estima que utilizarn la Red Privada Virtual? El trfico que pasar por la VPN es pesado? Qu tipo de seguridades se utilizarn en la Red Privada Virtual?

7.6. Seguridades.
Cmo la construccin de una Red Privada Virtual se basa en las seguridades, en este punto se debe ser muy exigente para poder disminuir a cero el riesgo de prdida o dao de informacin en la Red Privada Virtual, y para esto se hace necesario la implantacin de una poltica de Seguridad basndose en los siguientes parmetros: Fijacin de Objetivos Relacin Costos vs Riesgos

7.6.1. Fijacin de Objetivos

Como se mencion anteriormente, las seguridades es uno de los pasos de mayor importancia para la implantacin de una Red Privada Virtual. Es necesario recalcar que con una buena poltica de seguridades se llegar al xito en la propuesta, para lo cual se deben hacer algunas preguntas que permitirn conseguir el gran objetivo. Si se toma en cuenta que es lo que se va a proteger, de que va a proteger y si se considera algunas sugerencias del equipo ejecutor (ya que stos fueron escogidos precisamente para poder realizar un plan de seguridad), se encontrar en la capacidad de establecer cuales son las prioridades de seguridad corporativa, de tal manera que se pueda obtener una poltica de seguridad que brinde las mejores condiciones para la red implementada.

Cosme MacArthur Ortega Bustamante 148

Metodologa para la Implementacin de Redes Privadas Virtuales

7.6.2. Relacin Costos vs. Riesgos.

Antes de fijarse objetivos y prioridades de seguridad es necesario levantar un inventario de las posibles amenazas y debilidades que existen, luego se someter a un anlisis en el cual se debe comparar costo de implantar la seguridad con el costo de la informacin que se desea proteger, el mismo que brindar un panorama bastante amplio, y se debe tomar la decisin de que es lo que va a proteger, por que realmente sera innecesario proteger algo que tenga menos costo que el valor de la seguridad a implantar.

7.7. Plan de Contingencia.

Cuando se tiene grandes volmenes de informacin, y es de vital importancia para la organizacin el correcto funcionamiento de la red privada virtual, resulta necesario, por no decir imprescindible, el tener un plan de contingencia tanto durante la fase de desarrollo y durante el funcionamiento de la red privada virtual. Durante el desarrollo se debe considerar un plan que garantice finalizar con xito la implementacin de la red privada virtual y para ello se debe tener en cuenta los siguientes aspectos: El personal encargado de desarrollar las Redes Privadas Virtuales tiene la suficiente capacitacin y experiencia en este tema? En el medio en el que nos encontramos existen varios proveedores de Internet que puedan brindar soporte para las Redes Privadas Virtuales? Todo el proyecto se esta documentando? Qu acciones se tomarn si el equipo de desarrollo se va? Que riesgos podran hacer que nuestro proyecto fracasar? Qu mtodos y herramientas deberamos emplear? Cunta importancia hay que darle a la calidad? Tenemos aplicaciones que entren en conflicto con las Redes Privadas Virtuales?

Cosme MacArthur Ortega Bustamante 149

Metodologa para la Implementacin de Redes Privadas Virtuales Estas y otras preguntas ms debern ser analizadas para poder finalizar con xito la realizacin de las Redes Privadas Virtuales. Para cuando la Red privada virtual este en funcionamiento tambin se deber contar con un plan de contingencia, para garantizar a la organizacin su funcionamiento an en casos extremos, para ello se deben analizar las siguientes preguntas. Qu pasa si el proveedor de Internet cierra sus oficinas? Qu acciones se realizarn en caso de que los servidores fallen? El personal tcnico que se tiene esta en capacidad de resolver los problemas? Se tiene servicios de emergencia? Quin administrar la red en caso de que el personal a cargo salaga de la organizacin?

7.8. Costos.
Puesto que la parte econmica juega un papel muy importante en el xito de una Red Privada Virtual, se considera muy importante analizar los siguientes puntos para determinar los costos de implementar una Red privada virtual. Hardware Software Capacitacin Contratacin de Servicios

7.8.1. Hardware
Como se haba mencionado anteriormente es necesario saber con que Hardware cuenta la institucin, de tal manera que despus de haber levantado un inventario de los equipos existentes, se pueda determinar que equipos se van a adquirir y cuales son los equipos existentes que se podrn utilizar,

Cosme MacArthur Ortega Bustamante 150

Metodologa para la Implementacin de Redes Privadas Virtuales posteriormente se determina las caractersticas del hardware que se va adquirir de tal forma que se pueda hacer un concurso de ofertas para la adquisicin de los diferentes implementos para la puesta en marcha de la Red Privada Virtual.

7.8.2. Software
Dependiendo de la plataforma elegida, los servicios y las aplicaciones que a determinado momento la Red Privada Virtual tenga a disposicin de los usuarios, los costos de la implementacin sern elevados, moderados o bajos, pero lo que si hay que estar muy consiente es que el servicio que brindar la Red Privada Virtual debe ser de ptima calidad de tal manera que haya valido la pena la inversin, por esto el Equipo Ejecutor tiene que tener la capacidad para demostrar a las autoridades de que el costo de la implementacin no es un gasto ms bien es una inversin que mejorar la rentabilidad y los servicios que brinda la empresa.

7.8.3. Capacitacin
Uno de los rubros que se debe tener presente en la implementacin de una Red Privada Virtual es la capacitacin, en vista de que el personal tcnico que se encargara de realizar la implementacin necesitar que se le ponga al da en la tecnologa de Redes Privadas Virtuales. Adems es necesario hacer conocer a las mximas autoridades que la capacitacin siempre ser una inversin y por tal motivo brindarle especial atencin, para evitar posteriores inconformidades tanto de los usuarios como de las autoridades de la empresa.

7.8.4. Contratacin de Servicios

Este es un rubro que en algunas empresas se lo puede evitar, en vista de que el personal existente en la institucin puede estar en condiciones suficientes para llevar adelante un proyecto de esta magnitud. En el caso de no existir se hace

Cosme MacArthur Ortega Bustamante 151

Metodologa para la Implementacin de Redes Privadas Virtuales necesario la contratacin de personal especializado, en este caso diremos que ser el rubro ms elevado, en vista de que obtener mano de obra calificada y cualificada llevar una inversin bastante elevada.

7.9. Implementacin
Durante la implementacin se utilizarn especialmente la fase del anlisis y la fase del diseo, es necesario aclarar que antes de empezar con este punto, el personal que va a implementar la red privada virtual ya debe estar lo suficientemente capacitado acerca de esta tecnologa para poder finalizar con xito las Redes Privadas Virtuales. En esta fase se configurarn los servidores, los clientes y dems equipos que sean necesarios para la red privada virtual.

7.10. Mantenimiento
El mantenimiento se centra en el cambio que va asociado a la correccin de errores, a las adaptaciones requeridas a medida que evoluciona el entorno de la red privada virtual, y a cambios debidos a las mejoras producidas por los requisitos cambiantes de la organizacin. Por lo delicado del asunto, una red privada virtual debe ser administrado apropiadamente, es decir, debe ser mantenido, actualizado y adems renovado con regularidad para garantizar su uso, ya que es fundamental que siempre los usuarios se fen en la confidencialidad que proporciona la red privada virtual, ya que si un usuario sospecha que sus informacin no esta segura, talvez se restringa utilizar la Red Privada Virtual, especialmente si se esta realizando negocios a travs de ella.

7.10.1. El Mantenimiento preventivo

En si, se refiere a las actividades de orden tcnico al nivel de hardware y software en produccin, para garantizar la integridad de los archivos y sus Cosme MacArthur Ortega Bustamante 152

Metodologa para la Implementacin de Redes Privadas Virtuales respectivos enlaces y la verificacin de la disponibilidad de la red privada virtual. Otra fase del mantenimiento consiste en la verificacin constante de fallas en la seguridad, ya que es imposible determinar en un momento dado la inviolabilidad de la Red privada virtual.

7.10.2. El mantenimiento correctivo

En este punto nos referimos a que incluso llevando a cabo las mejores actividades de garanta de calidad, es muy probable que la organizacin descubra defectos en la red privada virtual. El mantenimiento correctivo modifica la red privada virtual para arreglar los defectos.

7.10.3. La Actualizacin
Se refiere a los pequeos cambios a servicios de acuerdo con la actualidad y el da a da de la organizacin, por ejemplo el cambio de contraseas, la implementacin de un protocolo ms seguro para la autentificacin, el crecimiento de la organizacin, entre otros.

7.10.4. La Renovacin
Basados en la realimentacin y anlisis de resultados que se obtengan de la actividad de medicin, se realizar la renovacin de la red privada virtual. Esta, se refiere a los cambios ms profundos en el contenido, servicios, topologas y arquitectura de la red privada virtual. La renovacin lleva a las Redes Privadas Virtuales ms all de sus requisitos funcionales originales. Tanto el Mantenimiento, la Actualizacin y la Renovacin pueden ser

subcontratados con Personal externo, pero slo en un comienzo y con el apoyo activo de su personal, de lo contrario su organizacin se perder la oportunidad de recorrer la curva de aprendizaje de esta tecnologa o lo que tambin se podra

Cosme MacArthur Ortega Bustamante 153

Metodologa para la Implementacin de Redes Privadas Virtuales decir que el personal se perdera la oportunidad de capacitarse o de estar acorde a las necesidades actuales. Esta tecnologa est en su infancia, y como todo aquello que vale la pena, hay que comenzarlo temprano, antes que las barreras de entrada las construya su competencia.

7.11. Medicin de Resultados.

Este punto es necesario para poder realizar una evaluacin del trabajo realizado en la institucin, por tanto la evaluacin se realizar en todo momento, se evaluar a partir de la puesta en marcha del proyecto y se podr medir como se est avanzando en la ejecucin, en lo posterior se evaluar la utilizacin de los servicios y por defecto se estar evaluando la conformidad, la aceptacin por parte de los usuarios hacia la nueva implementacin.

Cosme MacArthur Ortega Bustamante 154

Metodologa para la Implementacin de Redes Privadas Virtuales

COMPROBACION DE HIPOTESIS.

Hiptesis: Es posible desarrollar una metodologa para la implementacin de VPNs que facilite integrar dos LAN mediante Internet con la finalidad de conseguir una WAN segura, de rendimiento aceptable y de bajo costo. La hiptesis queda absolutamente comprobada, ya que si es posible utilizar Internet como medio de transmisin para unir dos redes LAN privadas, lo que da como resultado obtener una Red Privada Virtual segura, confiable y a bajos costos utilizando medios de transmisin pblicos. Adems se desarrollo una metodologa que ayude al mejor desarrollo e implementacin de esta tecnologa al igual que se implemento paso a paso el proceso de configuracin de la VPN en el servidor y en el cliente utilizando como plataforma Windows 2000 Server, Windows XP profesional y Windows 98se.

Cosme MacArthur Ortega Bustamante 155

Metodologa para la Implementacin de Redes Privadas Virtuales

Conclusiones

Las VPN representan una gran solucin para las empresas en cuanto a seguridad, confidencialidad e integridad de los datos y prcticamente se ha vuelto un tema importante en las organizaciones, debido a que reduce significativamente el costo de la transferencia de datos de un lugar a otro.

Las VPN permiten una comunicacin entre las oficinas centrales y las oficinas remotas, muy distantes geogrficamente a travs de internet de una forma segura, sin tener que depender de lneas rentadas o lneas dedicadas.

Las VPN permiten brindar servicios a los clientes de la empresa en cualquier lugar del mundo, con lo que los clientes obtendrn la informacin que el necesita al instante, lo que generar una mayor productividad de la empresa.

La implementacin de una VPN, necesita de personal calificado para el anlisis de requerimientos de la empresa y ver si es conveniente la implementacin, para la misma. Este personal debe recibir la colaboracin de cada uno de los departamentos de la empresa para que la implementacin de la VPN sea ptima.

Cosme MacArthur Ortega Bustamante 156

Metodologa para la Implementacin de Redes Privadas Virtuales Esta tecnologa dispone de varias arquitecturas y topologas fcilmente adaptables a los diferentes tipos de empresas que puedan existir, ya que es una tecnologa muy flexible y fcilmente acoplable al diseo de red de su empresa.

La velocidad de comunicacin a travs de una VPN, se ve afectada considerablemente por la encriptacin y encapsulacin que los datos transferidos necesitan, para navegar seguros por la red pblica.

Windows 2000 Server, permite conexiones con los protocolos PPTP, y L2TP, pero las implementaciones ms comunes se las realiza con PPTP porque es un protocolo que pone a la disposicin Microsoft, en cambio L2TP no muy utilizable en la actualidad.

Cosme MacArthur Ortega Bustamante 157

Metodologa para la Implementacin de Redes Privadas Virtuales

Recomendaciones

Instalar y configurar una Red Privada Virtual, utilizando la metodologa planteada en este trabajo y emitir las crticas respectivas sobre la eficiencia de la misma.

Continuar con el estudio de la tecnologa de VPN, ya que es una tecnologa que va creciendo y que necesita de una constante actualizacin de conocimientos debido a las constantes actualizaciones en el software de soporte que se implementan en los sistemas operativos especialmente en Windows.

Realizar una investigacin sobre la compatibilidad de VPN con el nuevo proyecto de Internet 2, ya que VPN esta basado en IPv4 en cambio Internet 2 se basa en IPv6, conceptualmente similares pero diferentes en la implementacin, tomando en cuenta que la tecnologa de IPv6 ser el futuro de internet.

Se recomienda el estudio de implementacin de VPN con el uso de dispositivos de Hardware, tema que a la finalizacin de este trabajo esta en sus principios, para lo cual ser necesario buscar la colaboracin de la empresa privada, debido a los altos costos que esto representara.

Cosme MacArthur Ortega Bustamante 158

Metodologa para la Implementacin de Redes Privadas Virtuales Como ya sabemos las VPN brindan seguridad y bajos costos en las comunicaciones, es recomendable que cuando usted necesite altas velocidades de comunicacin no piense ni por un instante que la solucin es una VPN porque no obtendr excelentes velocidades de transmisin informacin. debido al encapsulamiento y encriptacin de la

Cabe anotar que la metodologa expuesta, puede ser no acoplable para determinada situacin o empresa, por lo que se recomienda plantear nuevas metodologas de acuerdo a las necesidades particulares que se presenten en cada empresa.

Cosme MacArthur Ortega Bustamante 159

Metodologa para la Implementacin de Redes Privadas Virtuales

BIBLIOGRAFA

http://www.findvpn.com/

The WHIRs FIND VPN.

http://vpn.shmoo.com/

VPN Information on the World Wide Web

http://www.cudi.edu.mx

CUDI Corporacin Universitaria para el Desarrollo de Internet

http://www.ciberhabitat.gob.mx

CiberHbit Informtica

Ciudad

de

la

http://www.ietf.org

IETF - The Internet Engineering Task Force

http://www4.uji.es/~al019803/ip

Informtica y Sociedad. Protocolos TCP/IP. Juan Salvador Miravet Bonet

http://www.microsoft.com/security/

Microsoft Security & Privacy

http://www.microsoft.com/spain/seguridad/

Web de Recursos de Seguridad de Microsoft

https://www.vpn.net/

IMPERITO Global Manager Network Security

Leaders in and Client

Cosme MacArthur Ortega Bustamante 160

Metodologa para la Implementacin de Redes Privadas Virtuales

http://www.rediris.es/

Red Iris Espaola. Redes Privadas Virtuales Dinmicas.

ftp://ftp.rfc-editor.org/in-notes/tar/RFC-all.zip RFCs de la IETF. (Todos)

http://www.saulo.net/pub/tcpip/

Curso de protocolos Saulo Barajas Monografas.com

TCP/IP.

http://www.monografias.com/

http://www.infonetics.com

Infonetics Research

http://www.microsoft.com/articles/tcpip.htm

Instalacin, introduccin TCP/IP en Windows Microsoft. 2001

al NT.

http://www.microsoft.com/serviceproviders/vpn_ras/vpnoverview.asp Windows 2000 Server Virtual Private Networking: An Overview. Microsoft Corporation.

http://www.microsoft.com/technet/vpnsolutions/index.htm Virtual Private Networking Microsoft Corporation 1999

http://www.microsoft.com/windows2000/technologies/communications /vpn/l2f_vpn.html Layer Two Forwarding Microsoft Corporation 2001. White Paper

Cosme MacArthur Ortega Bustamante 161

Metodologa para la Implementacin de Redes Privadas Virtuales www.iec.csic.es/criptonomicon/autenticacion Autenticacin y autorizacin en Internet. 2001

http://rinconquevedo.iespana.es/rinconquevedo/Criptografia/autenticacion.htm INTRODUCCIN A LA CRIPTOGRAFA. Aplicaciones Autenticacin criptogrficas -

http://www.infoapuntes.com.ar/Apuntes/seguridad.htm SEGURIDAD EN REDES COMPLEJAS: EL CASO DE INTERNET. 2002

http://www.eff.org//Privacy/Crypto_misc/DESCracker/HTML/19990119_deschall enge3.html RSA Code-Breaking Contest Again Won by Distributed.Net and Electronic Frontier Foundation (EFF)

http://webs.ono.com/usr026/Agika2/3internet/autentificacion.htm Ataques de Autenticacin. Enlaces de Seguridad. 10-09-02

Microsoft Corporation

Gua completa de Windows NT 4.0 Server Editorial McGrawHill , 591 pginas, Microsoft Corporation

Microsoft Corporation

http://www.microsoft.com /ecuador Microsoft Corporation del Ecuador Copyright 1999. e-mail: e-cliente@microsoft .com

IETF

http://www.ietf.org The Internet Engineering Task Force

Cosme MacArthur Ortega Bustamante 162

Metodologa para la Implementacin de Redes Privadas Virtuales Bitway http://www.bitway.com.ar/ products/POPMasterVPN Business Integration Product & Service. Copyright 1997-1998-1999

TCP/IP http://emn.derecho.uma.es

/grumetes/tcpip.htm Pgina Interesantes

de

temas

CINTEL

http://www.cintel.org.co Centro de Investigacion de las Telecomunicaciones Avenida 9 No. 118-85 PBX. (57-1) 6208307 FAX.(57-1)2144121 Santa Fe de Bogot D.C., Colombia [email protected] [email protected]

King Adrian

Windows 95, Editorial McGrawHill 1994, 1era Edicin 411 pginas.

Richter Jeffrey

Windows NT Avanzado, Editorial McGraw-Hill 1994, 1era Edicin, 654 pginas.

Microsoft Corporation

Microsoft Windows Paso a Paso, Editorial McGraw-Hill 1992, 1era Edicin, 343 pginas.

Andrew S. Tanenbaum

Redes de Computadores, Editorial Prentice-Hall Hispanoamericana S.A., 813 pginas.

Steven Brown

Implementacin de Redes Privadas Virtuales. Editorial McGraw-Hill Interamericana

Cosme MacArthur Ortega Bustamante 163

Metodologa para la Implementacin de Redes Privadas Virtuales Editores, Pginas. S.A. de C.V. 594

Feit Sidnie

TCP/IP. Arquitectura, protocolos e implementacin. Editorial McGraw-Hill 1997. 623 Pginas. Hackers, los piratas del chip. Primera Edicin. Libro digital. 2002. Metodologa para la Implementacin de Intranets. Tesis de Grado para la obtencin del Ttulo en Ingeniera en Sistemas. Universidad Tcnica del Norte.

Hernndez Claudio

Irving Reascos-Jaime Rivadeneira

IETF - RFC791

Internet Protocol. J. Postel. Sep01-1981. (Format: TXT=97779 bytes) (Obsoletes RFC0760) (Updated by RFC1349) (Also STD0005)(Status: STANDARD)

IETF - RFC2460

Internet Protocol, Version 6 (IPv6) Specification. S. Deering, R. Hinden. December 1998. (Format: TXT=85490 bytes) (Obsoletes RFC1883) (Status: DRAFT STANDARD)

IETF - RFC792

Internet Control Message Protocol. J. Postel. Sep-01-1981. (Format: TXT=30404 bytes) (Obsoletes RFC0777) (Also STD0005) (Status: STANDARD)

IETF - RFC3228

IANA Considerations for IPv4 Internet Group Management Protocol IGMP). B. Fenner.

Cosme MacArthur Ortega Bustamante 164

Metodologa para la Implementacin de Redes Privadas Virtuales February 2002. (Format: TXT=6473 bytes) (Also BCP0057) Status: BEST CURRENT PRACTICE)

IETF - RFC768

User Datagram Protocol. J. Postel. Aug-28-1980. (Format: TXT=5896 bytes) (Also STD0006) (Status: STANDARD)

IETF - RFC793

Transmission Control Protocol. J. Postel. Sep-01-1981. (Format: TXT=172710 bytes) (Updated by RFC3168) (Also STD0007) (Status: STANDARD)

IETF - RFC2661

Layer Two Tunneling Protocol "L2TP". W. Townsley, A. Valencia, A. Rubens, G. Pall, G. Zorn, B. Palter. August 1999. (Format: TXT=168150 bytes) (Status: PROPOSED STANDARD)

IETF - RFC1510

The Kerberos Network Authentication Service (V5). J. Kohl, C. Neuman. September 1993. (Format: TXT=275395 bytes) (Status: PROPOSED STANDARD)

IETF - RFC2251

Lightweight Directory Access Protocol (v3). M. Wahl, T. Howes, S. Kille. December 1997. (Format: TXT=114488 bytes) (Status: PROPOSED STANDARD)

IETF - RFC3232

Assigned Numbers: RFC 1700 is Replaced by an On-line

Cosme MacArthur Ortega Bustamante 165

Metodologa para la Implementacin de Redes Privadas Virtuales Database. J. Reynolds, Ed.. January 2002. (Format: TXT=3849 bytes) (Obsoletes RFC1700) (Status: INFORMATIONAL)

Cosme MacArthur Ortega Bustamante 166

Metodologa para la Implementacin de Redes Privadas Virtuales

Anexos

Cosme MacArthur Ortega Bustamante 167

Metodologa para la Implementacin de Redes Privadas Virtuales

Instalacin y configuracin del Servidor VPN en Windows 2000 Server.

Para la instalacin y configuracin de una Red Privada Virtual, debemos configurar primeramente el Servidor VPN, que en nuestro caso lo haremos en Windows 2000 Server. Adems configuraremos los Clientes VPN, para lo cual tomaremos 2 plataformas que sern Windows XP Profesional y Windows 98se. Las caractersticas de hardware que deben cumplir los equipos deben ser las mnimas recomendadas para la instalacin de los diferentes sistemas operativos.

Requisitos del sistema.

Los requisitos mnimos de los sistemas operativos que vamos a utilizar se encuentran enmarcados dentro de los siguientes parmetros. Procesador Intel Pentium a 133MHz o Superior Se recomienda al menos 256Mb de memoria RAM, aunque lo mnimo admitido es 128MB. Espacio libre en Disco mnimo de 1GB, es posible que se necesite ms espacio en disco dependiendo de los servicios adicionales que se deseen instalar para lo cual es recomendable tener previsto un espacio mnimo de 4GB. Monitor VGA o de mayor resolucin Teclado y Mouse. FaxModem de 56600bps Tarjetas de Red 10/100 Mbps Debido a los costos de hardware existentes en el mercado en la actualidad, es totalmente posible mejorar dichas caractersticas sin que la inversin sea alta, y tener un buen funcionamiento de la Red Privada Virtual.

Cosme MacArthur Ortega Bustamante 168

Metodologa para la Implementacin de Redes Privadas Virtuales

Para la instalacin y configuracin del Servidor VPN, debemos realizar las siguientes configuraciones: Instalar y Configurar Active Directory Instalar y Configurar DNS Instalar y Configurar Enrutamiento y Acceso Remoto Instalar y Configurar Usuarios Realizaremos la instalacin y configuracin de estos 4 componentes paso a paso.

Instalar y Configurar Active Directory

El Active Directory, nos permitir tener un controlador de dominio instalado en nuestro equipo, para lo cual necesitamos realizar los siguientes pasos: 1. Una vez que instalamos Windows 2000 Server, tenemos la pantalla de Configurar el servidor de Windows 2000, y hacemos clic sobre Active Directory.

Cosme MacArthur Ortega Bustamante 169

Metodologa para la Implementacin de Redes Privadas Virtuales 2. A continuacin nos desplazamos hacia la parte final y pulsamos sobre el enlace Iniciar. Y comenzaremos el asistente para la instalacin de Active Directory. Pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 170

Metodologa para la Implementacin de Redes Privadas Virtuales 3. Escogemos la opcin de Controlador de Dominio para un nuevo dominio y pulsamos sobre Siguiente.

Cosme MacArthur Ortega Bustamante 171

Metodologa para la Implementacin de Redes Privadas Virtuales

4. Marcamos la opcin Crear un nuevo rbol de Dominio y pulsamos sobre Siguiente.

Cosme MacArthur Ortega Bustamante 172

Metodologa para la Implementacin de Redes Privadas Virtuales

5. Seleccionamos la opcin Crear un nuevo bosque de rboles de dominios y pulsamos sobre Siguiente.

Cosme MacArthur Ortega Bustamante 173

Metodologa para la Implementacin de Redes Privadas Virtuales

6. Ahora tenemos que escribir el nombre del Domino que deseamos crear, para lo cual en el recuadro escribimos del nombre completo de DNS, para nuestro ejemplo hemos escogido el nombre de microdata.com, seguidamente pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 174

Metodologa para la Implementacin de Redes Privadas Virtuales

7. El nombre del NetBIOS, para las versiones anteriores de Windows en nuestro caso le hemos puesto como MICRODATA y pulsamos Siguiente.

Cosme MacArthur Ortega Bustamante 175

Metodologa para la Implementacin de Redes Privadas Virtuales

8. La base de datos y registro de Active Directory, se encontraran en las ubicaciones por defecto que no da Windows 2000 Server que es \WINNT\NTDS, por lo tanto en la siguiente ventana nicamente pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 176

Metodologa para la Implementacin de Redes Privadas Virtuales

9. AL igual que en el paso anterior procedemos en este paso y nicamente pulsamos el botn Siguiente. Es lo posible es recomendable utilizar las carpetas que Windows nos ofrece para el caso.

Cosme MacArthur Ortega Bustamante 177

Metodologa para la Implementacin de Redes Privadas Virtuales

10. Como no existe el dominio MICROData.com, se nos presentar el siguiente mensaje en el cual nos limitaremos a pulsar sobre el botn de Aceptar.

11. En la siguiente ventana escogemos la primera opcin de Si, instalar y configurar DNS en este equipo y luego pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 178

Metodologa para la Implementacin de Redes Privadas Virtuales 12. En esta ventana escogemos la opcin de Permisos compatibles con servidores pre-Windows 2000, para obtener una mejor compatibilidad con sistemas anteriores a Windows 2000, y luego Siguiente.

Cosme MacArthur Ortega Bustamante 179

Metodologa para la Implementacin de Redes Privadas Virtuales

13. A

continuacin

especificamos

una

contrasea

para

el

modo

de

restauracin de servicios de Active Directory, es conveniente que su contrasea sea fcilmente recordable, porque de olvidarse usted no podr reconfigurar su Active Directory. Una vez ingresada y confirmada la clave pasamos a la siguiente ventana.

Cosme MacArthur Ortega Bustamante 180

Metodologa para la Implementacin de Redes Privadas Virtuales

14. Esta ventana le presenta un resumen de todo lo que se configurar dentro del Active Directory. En este punto es el ltimo en donde usted puede regresar a cambiar algn dato que no este de acuerdo, porque al pulsar en el botn Siguiente, comenzar a instalar y configurar automticamente el Active Directory, este proceso puede tardar varios minutos (10apoximadamente) dependiendo de las caractersticas de su equipo. Si usted esta de acuerdo con todos los datos debe pulsar en Siguiente.

Cosme MacArthur Ortega Bustamante 181

Metodologa para la Implementacin de Redes Privadas Virtuales

15. Se

mostrar

esta

ventana

en

la

que

le

indica

las

diferentes

configuraciones que se van haciendo dentro del entorno Active Directory.

16. Una vez finalizada la instalacin y configuracin, aparece la siguiente ventana en la que debemos pulsar el botn de Finalizar.

Cosme MacArthur Ortega Bustamante 182

Metodologa para la Implementacin de Redes Privadas Virtuales 17. Es recomendable que usted reinicie el equipo una vez que se haya finalizado todo el proceso. Pulse sobre el botn de Reiniciar ahora.

18. El momento que el equipo se reinicie estar instalado y configurado el Active Directory, que servir como base para la instalacin y configuracin del Servidor VPN.

Instalar y Configurar DNS

Realmente el la instalacin del Active Directory ya instalamos parte del DNS, ahora lo que haremos a continuacin es complementar dicha instalacin.

1. Activamos la ventana de Configuracin del DNS, que la encontramos en la siguiente ruta: Inicio/Programas/Herramientas Administrativas/DNS.

Cosme MacArthur Ortega Bustamante 183

Metodologa para la Implementacin de Redes Privadas Virtuales 2. Una vez activada la ventana de configuracin del DNS, podemos observar que se encuentra en la parte izquierda el nombre de nuestro servidor que en nuestro caso es SERVER, hagamos clic sobre el nombre del servidor y vayamos desplegando todo el rbol para obtener todas las zonas existentes en nuestro equipo.

Cosme MacArthur Ortega Bustamante 184

Metodologa para la Implementacin de Redes Privadas Virtuales

3. Podemos observar que existe una zona denominada microdata.com, que es la zona que fue creada en la instalacin del Active Directory. En base a esta zona operaremos para la instalacin de nuestro servidor VPN. Se recomienda revisar los datos de la zona microdata.com para observar como fue creada y tener en cuenta estos datos para usos futuros.

4. A continuacin debemos hacer clic sobre el Zonas de bsqueda inversa y hacer clic con el botn derecho del mouse para activar el submen y escogemos la opcin de Crear nueva zona.

Cosme MacArthur Ortega Bustamante 185

Metodologa para la Implementacin de Redes Privadas Virtuales

5. Se activa el Asistente para crear zona nueva, ventana en la cual debemos pulsar sobre el botn Siguiente, para iniciar el asistente.

Cosme MacArthur Ortega Bustamante 186

Metodologa para la Implementacin de Redes Privadas Virtuales

6. En la siguiente ventana seleccionamos el tipo de zona con la opcin Principal Estndar y pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 187

Metodologa para la Implementacin de Redes Privadas Virtuales

7. Ahora debemos ingresar el identificador de la red, nicamente los tres primeros bytes, en nuestro caso es 192.168.1, debido a que el identificador de la red es 162.198.1.1, direccin asignada a la tarjeta de red y al servidor. En este caso el nombre completo del equipo es server.microdata.com que corresponde a la direccin IP de la red. Una vez ingresado el identificador de Red debemos pulsar sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 188

Metodologa para la Implementacin de Redes Privadas Virtuales

8. En esta ventana anotamos el nombre del archivo en el que se creara la zona, como se anoto anteriormente es recomendable utilizar los datos que el propio Windows 2000 Server sugiere. Pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 189

Metodologa para la Implementacin de Redes Privadas Virtuales

9. Una vez creada la zona, pulsemos sobre el botn de Finalizar. Recuerde que la zona de bsqueda inversa es para traducir una direccin IP en un nombre de dominio.

Cosme MacArthur Ortega Bustamante 190

Metodologa para la Implementacin de Redes Privadas Virtuales

10. Abrimos la nueva zona creada como se observa en la siguiente venta, nos posesionamos sobre la nueva zona creada y hacemos clic con el botn derecho del mouse para obtener el submen y escogemos la opcin de Nuevo Apuntador, para crear un apuntador al servidor VPN que en este caso tiene la direccin 192.168.1.1

Cosme MacArthur Ortega Bustamante 191

Metodologa para la Implementacin de Redes Privadas Virtuales

11. Como

podemos

observar

en

el

recuadro

Nmero

IP

del

Host

nicamente podemos escribir el ltimo byte de la direccin IP del servidor, es por eso que los otros tres bytes, ingresados anteriormente deben ser correctos. Y en el segundo recuadro de Nombre de host, se debe ingresar el nombre del servidor que podemos escribirlo manualmente si lo tenemos claramente o podemos escogerlo con el botn Examinar. Una vez ingresado estos datos pulsamos sobre el botn de Aceptar.

Cosme MacArthur Ortega Bustamante 192

Metodologa para la Implementacin de Redes Privadas Virtuales

12. Crearemos un alias para nuestro servidor VPN, el cual debemos crearlo de la siguiente manera. Abrimos la zona de microdata.com, haciendo clic con el botn derecho del mouse y pulsando sobre la opcin de Alias Nuevo.

Cosme MacArthur Ortega Bustamante 193

Metodologa para la Implementacin de Redes Privadas Virtuales

13. Sobre el cuadro Nombre de Alias ponemos el nombre que servir de alias para nuestro servidor, como podemos observar le hemos puesto el nombre de www, y debemos escoger el Host al que hace referencia el alias. Ahora podemos decir que hacer referencia a www.microdata.com, es lo mismo que hacer referencia a server.microdata.com.

Cosme MacArthur Ortega Bustamante 194

Metodologa para la Implementacin de Redes Privadas Virtuales

Instalar y Configurar Enrutamiento y Acceso Remoto

La instalacin y configuracin de Enrutamiento y Acceso Remoto es una de las partes principales de la configuracin del Servidor VPN. Ya que aqu es donde configuraremos los protocolos de tnel para las conexiones VPN. Iniciamos ahora la Configuracin del Enrutamiento y Acceso Remoto. 1. Inicialmente cargamos el programa de configuracin del Enrutamiento y Acceso Remoto desde la siguiente ruta: Inicio/Programas/Herramientas Administrativas/Enrutamiento y Acceso Remoto

2. Pulsamos sobre el nombre de nuestro servidor (SERVER), y haciendo clic con el botn derecho del mouse escogemos la opcin Configurar y habilitar el Enrutamiento y Acceso Remoto.

Cosme MacArthur Ortega Bustamante 195

Metodologa para la Implementacin de Redes Privadas Virtuales

3. As se inicia el Asistente para la instalacin del servidor de enrutamiento y acceso remoto. Pulse sobre Siguiente.

Cosme MacArthur Ortega Bustamante 196

Metodologa para la Implementacin de Redes Privadas Virtuales

4. En la siguiente ventana escogemos la opcin Servidor configurado manualmente, no optamos por la opcin de Servidor de red privada virtual (VPN), debido a que existe algn error en su configuracin propio del Windows 2000, que se espera ser corregido mediante algn Service Pack. Ahora pulsamos sobre Siguiente.

Cosme MacArthur Ortega Bustamante 197

Metodologa para la Implementacin de Redes Privadas Virtuales

5. Pulsamos sobre Finalizar para terminar la instalacin de enrutamiento y acceso remoto y proceder a su inicializacin y configuracin.

Cosme MacArthur Ortega Bustamante 198

Metodologa para la Implementacin de Redes Privadas Virtuales

6. Procedemos ha iniciar el enrutamiento y acceso remoto, pulsando en la siguiente ventana el botn S.

7. El momento que obtengamos la siguiente ventana debemos esperar hasta que se inicie el servicio de Enrutamiento y acceso remoto.

Cosme MacArthur Ortega Bustamante 199

Metodologa para la Implementacin de Redes Privadas Virtuales

8. Una vez que se ha iniciado el servicio, es necesario que pulsemos sobre el nombre de nuestro servidor local y hagamos clic con el botn derecho del mouse para activar el submen y escojamos la opcin de Propiedades.

Cosme MacArthur Ortega Bustamante 200

Metodologa para la Implementacin de Redes Privadas Virtuales

9. Escogemos la pestaa correspondiente a IP y activamos la opcin de Conjunto de direcciones estticas, y luego pulsamos sobre el botn Agregar.

Cosme MacArthur Ortega Bustamante 201

Metodologa para la Implementacin de Redes Privadas Virtuales

10. En esta ventana escribiremos un rango de direcciones IP, entre el cual estarn las direcciones IP de todas las conexiones que ingresen a esta mquina. Luego pulse sobre el botn Aceptar. Note usted que se puede ingresar nicamente la Direccin IP inicial y luego el Nmero de direcciones, y la Direccin IP final se calcula automticamente.

Cosme MacArthur Ortega Bustamante 202

Metodologa para la Implementacin de Redes Privadas Virtuales

11. Ahora vamos a configurar los Puertos, pulsamos sobre Puertos y con el botn derecho del mouse hacemos clic para desplegar el submen y escogemos la opcin de Propiedades.

Cosme MacArthur Ortega Bustamante 203

Metodologa para la Implementacin de Redes Privadas Virtuales

12. En la ventana de Propiedades de Puertos seleccionamos en Minipuerto WAN(PPTP) y hacemos clic en Configurar. Aqu configuraremos las opciones para las conexiones a travs del protocolo PPTP.

Cosme MacArthur Ortega Bustamante 204

Metodologa para la Implementacin de Redes Privadas Virtuales

13. En

esta

ventana

desactivamos

la

opcin

de

Conexiones

de

enrutamiento de marcado a peticin (de entrada y salida), ya que este tipo de conexiones nosotros no las utilizaremos. Adems en Nmero mximo de puertos debemos ingresar el nmero mximo de conexiones VPN que se pueden recibir al mismo tiempo en el servidor VPN. Para fines demostrativos hemos tomado la cantidad de 10 conexiones, puede ser menos como pueden ser ms. Ahora pulsamos sobre el botn Aceptar.

Cosme MacArthur Ortega Bustamante 205

Metodologa para la Implementacin de Redes Privadas Virtuales

14. Utilizaremos

el

mismo

procedimiento

para

la

configuracin

del

Minipuerto WAN(L2TP), pero en este caso vamos a desactivar las conexiones de L2TP, haciendo que el Nmero mximo de puertos sea igual a 0(cero), debido a que no tendremos conexiones de VPN con este tipo de protocolo, pero en caso de existir debemos poner el nmero mximo de conexiones que tendremos al mismo tiempo con el protocolo L2TP. Y luego pulsamos sobre el botn Aceptar.

15. Si ponemos en cero el nmero mximo de conexiones o puertos tendremos el siguiente mensaje de informacin y debemos pulsar en el botn S.

Cosme MacArthur Ortega Bustamante 206

Metodologa para la Implementacin de Redes Privadas Virtuales

16. Una vez que regresamos a la venta de Propiedades de Puertos debemos pulsar sobre el botn Aceptar.

17. Como podemos observar en la siguiente ventana se obtendr la nueva configuracin de puertos que hemos realizado. Para finalizar podemos cerrar la ventana de Enrutamiento y Acceso remoto. Hemos terminado de configurar en su totalidad el Servidor VPN en Windows 2000, quedando pendiente un pequesimo paso que se debe tomar en cuenta en la creacin y configuracin de nuevos usuarios, datos que veremos a continuacin.

Cosme MacArthur Ortega Bustamante 207

Metodologa para la Implementacin de Redes Privadas Virtuales

Instalar y configurar Usuarios.

La creacin y configuracin de usuarios debe ser normalmente y de acuerdo a los requerimientos de los mismos como del administrador del sistema. Pero para permitir al nuevo usuario que tenga acceso al Servidor a travs de una conexin VPN debemos considerar lo que detallamos a continuacin. 1. Primeramente debemos activar las propiedades del usuario que deseamos configurar, en la pestaa de Marcado debemos seleccionar la opcin de Permitir acceso, dentro del grupo de Permiso de acceso remoto (acceso telefnico o red privada virtual). Esta opcin permitir al usuario que su peticin de conexin sea permitida caso contrario no se podr conectar aunque su Servidor y Cliente VPN estn configurados correctamente.

Cosme MacArthur Ortega Bustamante 208

Metodologa para la Implementacin de Redes Privadas Virtuales

Instalacin y configuracin del Cliente VPN con Windows XP Profesional.

La configuracin del Cliente VPN es ms sencilla que la del Servidor VPN, pero igualmente debemos prestar mucha atencin en los detalles para obtener una ptima configuracin.

1. Debemos iniciar el Asistente para una conexin nueva, el cual nos ayudar en la configuracin del cliente VPN. Seguidamente debemos pulsar el botn Siguiente.

Cosme MacArthur Ortega Bustamante 209

Metodologa para la Implementacin de Redes Privadas Virtuales

2. En la prxima ventana escogemos la opcin de Conectarse a la red de mi lugar de trabajo, opcin que es la que permite establecer a una conexin VPN. Y luego pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 210

Metodologa para la Implementacin de Redes Privadas Virtuales

3. A continuacin como es lgico seleccionamos la opcin Conexin de red privada virtual, seguido del botn Siguiente.

Cosme MacArthur Ortega Bustamante 211

Metodologa para la Implementacin de Redes Privadas Virtuales

4. En la siguiente ventana ingresamos el Nombre de la organizacin a la que nos vamos a conectar, este nombre tambin es el nombre que tendr la conexin. Y luego el botn de Siguiente.

Cosme MacArthur Ortega Bustamante 212

Metodologa para la Implementacin de Redes Privadas Virtuales

5. Al realizar la configuracin de una conexin VPN, esta se asegura de que primeramente el equipo este conectado a Internet para lo cual escogemos la opcin de Usar automticamente esta conexin inicial, y escogemos una conexin a Internet disponible que en nuestro caso se denomina Andinanet, y luego pulsamos sobre el botn de Siguiente.

Cosme MacArthur Ortega Bustamante 213

Metodologa para la Implementacin de Redes Privadas Virtuales

6. En la siguiente ventana en el recuadro de Nombre de host o direccin IP escribimos el nombre del servidor VPN al que nos vamos a conectar en este caso es server.microdata.com. Esto para cuando se tiene un Servidor VPN con una direccin esttica.

Cosme MacArthur Ortega Bustamante 214

Metodologa para la Implementacin de Redes Privadas Virtuales

7. En el caso de no poseer una IP fija para cada vez que el Servidor VPN se conecta a Internet, se debe buscar la manera de que el Cliente VPN obtenga la direccin del Servidor VPN que el ISP le asigno, este dato puede ser enviado por el Servidor VPN a todos sus Clientes VPN a travs de correo electrnico o cualquier programa de mensajera instantnea. En este caso se anotar en el cuadro de Nombre del host o direccin IP, la direccin IP que se le asigno al Servidor VPN en Internet.

Cosme MacArthur Ortega Bustamante 215

Metodologa para la Implementacin de Redes Privadas Virtuales

8. En la siguiente ventana marcamos la opcin de Agregar en mi escritorio un acceso directo a esta conexin y luego pulsamos con el botn de Finalizar.

Cosme MacArthur Ortega Bustamante 216

Metodologa para la Implementacin de Redes Privadas Virtuales

9. Ahora podemos ya establecer una conexin VPN pulsando sobre el icono de acceso directo a la conexin que se encuentra en el escritorio. Cuando lo haga por primera vez ser necesario que ingrese en el cuadro Nombre de usuario el nombre de usuario que usted posee para acceder al servidor y en Contrasea su respectiva clave de usuario. Se le recomienda utilizar la opcin de Guardar este nombre de usuario y contrasea, con la finalidad de no estar ingresando estos datos en cada conexin que usted desee efectuar. Y pulsamos con el mouse sobre el botn de Conectar.

Cosme MacArthur Ortega Bustamante 217

Metodologa para la Implementacin de Redes Privadas Virtuales

10. Esta ventana se obtendr el momento de que se este efectuando la conexin, nunca olvide de que el Servidor VPN debe estar ya conectado a la red pblica (Internet) para poder efectuar la conexin.

11. Si no existe ningn error, se realizar la conexin y se empezar la autenticacin en el Servidor VPN por parte del cliente, como se puede observar en la siguiente ventana.

Cosme MacArthur Ortega Bustamante 218

Metodologa para la Implementacin de Redes Privadas Virtuales

Instalacin y Configuracin del Cliente VPN con Windows 98se.

La instalacin del cliente en Windows 98 segunda edicin se procede de la siguiente manera:

1. Iniciamos el servicio de Agregar o Quitar Programas, que lo encontramos en la siguiente ruta: Inicio/Configuracin/panel de Control/Agregar o quitar programas.

2. Activamos la opcin de Comunicaciones y pulsamos sobre el Botn Detalle.

Cosme MacArthur Ortega Bustamante 219

Metodologa para la Implementacin de Redes Privadas Virtuales 3. En la ventana de Comunicaciones debemos seleccionar el servicio de Red privada virtual y la opcin Srv. de acceso telefnico a redes. El servicio de Red privada virtual es el servicio que nos permitir crear las conexiones VPN. Seguidamente pulsamos sobre el botn Aceptar.

4. Es todo lo que debemos configurar en el Panel de control por consiguiente al volver a la plantilla de Propiedades de Agregar o quitar programas pulsamos sobre el botn de Aceptar e inmediatamente se instalar el Servicio de Red Privada Virtual, para lo cual debe asegurarse de poseer el disco original de Windows 98se que el sistema se lo solicitar, para la correcta instalacin.

Cosme MacArthur Ortega Bustamante 220

Metodologa para la Implementacin de Redes Privadas Virtuales

5. Agregamos una nueva conexin de la forma que siempre se la ha realizado, al igual que en la configuracin que Windows XP, en el primer cuadro escribimos el nombre de la conexin, y en el men de Seleccione un dispositivo, desplegndolo podemos observar que tenemos una opcin adicional a la tarjeta de FaxModem que es Microsoft VPN Adapter, opcin que nos permitir hacer la conexin VPN, para lo cual la seleccionamos. Y seguidamente pulsamos sobre el botn Siguiente.

Cosme MacArthur Ortega Bustamante 221

Metodologa para la Implementacin de Redes Privadas Virtuales

6. En la siguiente ventana en el cuadro de Nombre del host o direccin IP, debemos escribir el nombre del servidor al que estamos accesando siempre y cuando se tenga una direccin IP esttica y conste el nombre en un DNS, de no ser as debemos ingresar la direccin IP con la que el Servidor VPN se encuentra en Internet en este momento. Esta situacin es similar a la configuracin que se realizo en el Cliente VPN con Windows XP. Profesional.

Cosme MacArthur Ortega Bustamante 222

Metodologa para la Implementacin de Redes Privadas Virtuales

7. Listo, ha quedado configurado el Cliente VPN con Windows 98se, para concluir con el asistente debemos pulsar sobre el botn Finalizar.

Cosme MacArthur Ortega Bustamante 223

Metodologa para la Implementacin de Redes Privadas Virtuales

8. En el momento de iniciar la conexin VPN, se le presentar la siguiente ventana, en donde se debe ingresar el Nombre de usuario y contrasea que se autentificarn en el Servidor VPN.

Cosme MacArthur Ortega Bustamante 224

Metodologa para la Implementacin de Redes Privadas Virtuales

Referencias Bibliogrficas

Referencias WWW.

[WWW01] http://www4.uji.es/~al019803/ip Informtica y Sociedad. Protocolos TCP/IP. Juan Salvador Miravet Bonet

[WWW02] http://www.microsoft.com/articles/tcpip.htm Instalacin, introduccin TCP/IP en Windows Microsoft. 2001 al NT.

[WWW03] http://www.ciberhabitat.gob.mx CiberHbit Informtica Ciudad de la

[WWW04] http://www.microsoft.com/serviceproviders/vpn_ras/vpnoverview.asp Windows 2000 Server Virtual Private Networking: An Overview. Microsoft Corporation.

[WWW05] http://www.microsoft.com/technet/vpnsolutions/index.htm Virtual Private Networking Microsoft Corporation 1999 [WWW06] Cosme MacArthur Ortega Bustamante 225

Metodologa para la Implementacin de Redes Privadas Virtuales http://www.microsoft.com/windows2000/technologies/communications /vpn/l2f_vpn.html Layer Two Forwarding Microsoft Corporation 2001. White Paper

[WWW07] www.iec.csic.es/criptonomicon/autenticacion Autenticacin y autorizacin en Internet. 2001

[WWW08] http://rinconquevedo.iespana.es/rinconquevedo/Criptografia/autenticacion.htm INTRODUCCIN A LA CRIPTOGRAFA. Aplicaciones Autenticacin criptogrficas -

[WWW09] http://www.infoapuntes.com.ar/Apuntes/seguridad.htm SEGURIDAD EN REDES COMPLEJAS: EL CASO DE INTERNET. 2002

[WWW10] http://www.eff.org//Privacy/Crypto_misc/DESCracker/HTML/19990119_deschall enge3.html RSA Code-Breaking Contest Again Won by Distributed.Net and Electronic Frontier Foundation (EFF)

[WWW11] http://webs.ono.com/usr026/Agika2/3internet/autentificacion.htm

Cosme MacArthur Ortega Bustamante 226

Metodologa para la Implementacin de Redes Privadas Virtuales Ataques de Autenticacin. Enlaces de Seguridad. 10-09-02

Cosme MacArthur Ortega Bustamante 227

Metodologa para la Implementacin de Redes Privadas Virtuales

Libros

[LIB01] Feit Sidnie TCP/IP. Arquitectura, protocolos e implementacin, adems de IPV6 y seguridad de IP. Editorial Osborne McGraw-Hill. 623 pginas. Primera edicin ao 1997.

[LIB02] Steven Brown Implementacin de Redes Privadas Virtuales. Editorial McGraw-Hill Interamericana Editores, S.A. de C.V. 594 Pginas.

[LIB03] Hernndez Claudio Hackers, los piratas del chip. Primera Edicin. Libro digital. 2002.

Cosme MacArthur Ortega Bustamante 228

Metodologa para la Implementacin de Redes Privadas Virtuales

Referencias RFCs

[RFC791] IETF RFC791 Internet Protocol. J. Postel. Sep01-1981. (Format: TXT=97779 bytes) (Obsoletes RFC0760) (Updated by RFC1349) (Also STD0005)(Status: STANDARD)

[RFC2460] IETF RFC2460 Internet Protocol, Version 6 (IPv6) Specification. S. Deering, R. Hinden. December 1998. (Format: TXT=85490 bytes) (Obsoletes RFC1883) (Status: DRAFT STANDARD)

[RFC792] IETF RFC792 Internet Control Message Protocol. J. Postel. Sep-01-1981. (Format: TXT=30404 bytes) (Obsoletes RFC0777) (Also STD0005) (Status: STANDARD)

[RFC3228] IETF RFC3228 IANA Considerations for IPv4 Internet Group Management Protocol IGMP). B. Fenner. February 2002. (Format: TXT=6473 bytes) (Also BCP0057) Status: BEST CURRENT PRACTICE)

Cosme MacArthur Ortega Bustamante 229

Metodologa para la Implementacin de Redes Privadas Virtuales [RFC768] IETF RFC768 User Datagram Protocol. J. Postel. Aug-28-1980. (Format: TXT=5896 bytes) (Also STD0006) (Status: STANDARD)

[RFC793] IETF RFC793 Transmission Control Protocol. J. Postel. Sep-01-1981. (Format: TXT=172710 bytes) (Updated by RFC3168) (Also STD0007) (Status: STANDARD)

[RFC2661] IETF RFC2661 Layer Two Tunneling Protocol "L2TP". W. Townsley, A. Valencia, A. Rubens, G. Pall, G. Zorn, B. Palter. August 1999. (Format: TXT=168150 bytes) (Status: PROPOSED STANDARD)

[RFC1510] IETF RFC1510 The Kerberos Network Authentication Service (V5). J. Kohl, C. Neuman. September 1993. (Format: TXT=275395 bytes) (Status: PROPOSED STANDARD)

[RFC2251] IETF RFC2251 Lightweight Directory Access Protocol (v3). M. Wahl, T.

Cosme MacArthur Ortega Bustamante 230

Metodologa para la Implementacin de Redes Privadas Virtuales Howes, S. Kille. December 1997. (Format: TXT=114488 bytes) (Status: PROPOSED STANDARD)

[RFC3232] IETF RFC3232 Assigned Numbers: RFC 1700 is Replaced by an On-line Database. J. Reynolds, Ed.. January 2002. (Format: TXT=3849 bytes) (Obsoletes RFC1700) (Status: INFORMATIONAL)

Cosme MacArthur Ortega Bustamante 231