Establecer una VPN de L2TP/IPSEC
fr:Mettre en place un VPN L2TP/IPSEC
en:Establish a L2TP/IPSEC VPN
es:Establecer una VPN de L2TP/IPSEC
pt:Estabelecer uma VPN L2TP/IPSEC
it:Stabilire una connessione VPN L2TP/IPSEC
nl:Stellen een L2TP/IPSEC VPN
de:Etablieren Sie ein L2TP/IPSEC-VPN
zh:建立 L2TP/IPSEC VPN
ar:إنشاء L2TP/IPSEC VPN
ja:L2TP と IPSEC VPN を確立します。
pl:Ustanowić połączenie sieci VPN L2TP/IPSEC
ru:Установить L2TP/IPSEC VPN
ro:Stabilească un VPN L2TP/IPSEC
he:הקמת VPN של L2TP/IPSEC
Este artículo ha sido traducido por un software de traducción automática. Usted puede ver el origen artículo aquí.
Introducción
UNA VPN (Red privada virtual) est un système permettant de créer un lien direct entre des ordinateurs distants. On utilise notamment ce terme dans le milieu de la dématérialisation fiscale et dans le travail à distance, ainsi que pour l'accès à des structures de type Computación en la nube. L'avantage du L2TP (Capa 2 Protocolo de hábitat) réside dans l'utilisation d'une clé pré partagée en plus des identifiants de connexion habituels. A cela s'ajoute IPSEC, une technologie d'encapsulation cryptée dans la trame IP.
Requisitos previos
Para seguir este tutorial, debe tener :
- Una máquina con una distribución de Linux (Debian 8Fedora, CentOS, Ubuntu, frambuesa Pi...) No funciona en Debian 8 por el depósito de OpenSwan que ya no existen
- Saber tu dirección ip pública, si no sabes ¡aquí!
Tutorial
En primer lugar, inicie la sesión de root (o a través de un usuario que tiene derechos de superusuario). Puede utilizar masilla para conectar a una máquina remota vía SSH o simplemente abrimos una terminal si tiene acceso a la interfaz gráfica de su máquina.
Instalación y actualización de paquetes
En primer lugar, actualizar su máquina e instalar el repositorio necesario :
apt-get update && apt-get upgrade -y
apt-get install openswan xl2tpd ppp lsof
OpenSwan le preguntará algunas preguntas, y de respuesta con los valores por defecto.'.
Añadir reglas al cortafuegos
Luego vamos a añadir una regla de iptables para permitir el tráfico VPN (Vuelva a colocar %IPSERVIDOR% por la ip de su Servidor) :
iptables -t nat -A POSTROUTING -j SNAT --to-source %IPSERVIDOR% -o eth0
Luego ejecute los siguientes comandos para habilitar el enrutamiento de paquetes IP:
echo "net.ipv4.ip_forward = 1" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.accept_redirects = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.send_redirects = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.rp_filter = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.accept_source_route = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.send_redirects = 0" | tee -a /etc/sysctl.conf
echo "net.ipv4.icmp_ignore_bogus_error_responses = 1" | tee -a /etc/sysctl.conf
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
sysctl -p
Hacer persistente al reiniciar la máquina :
nano /etc/rc.local
Luego, añadir al final justo antes del salida 0 :
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
iptables -t nat -A POSTROUTING -j SNAT --to-source %IPSERVIDOR% -o eth+
Implementación de laIPSEC
Crear un nuevo archivo de configuración ipsec :
mv /etc/ipsec.conf /etc/ipsec.conf.bak && nano /etc/ipsec.conf
Entonces pega esto : No olvidar reemplazar %SERVERIP% por la dirección IP de la Servidor
version 2 # conforms to second version of ipsec.conf specification
config setup
dumpdir=/var/run/pluto/
#in what directory should things started by setup (notably the Pluto daemon) be allowed to dump core?
nat_traversal=yes
#whether to accept/offer to support NAT (NAPT, also known as "IP Masqurade") workaround for IPsec
virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v6:fd00::/8,%v6:fe80::/10
#contains the networks that are allowed as subnet= for the remote client. In other words, the address ranges that may live behind a NAT router through which a client connects.
protostack=netkey
#decide which protocol stack is going to be used.
force_keepalive=yes
keep_alive=60
# Send a keep-alive packet every 60 seconds.
conn L2TP-PSK-noNAT
authby=secret
#shared secret. Use rsasig for certificates.
pfs=no
#Disable pfs
auto=add
#the ipsec tunnel should be started and routes created when the ipsec daemon itself starts.
keyingtries=3
#Only negotiate a conn. 3 times.
ikelifetime=8h
keylife=1h
ike=aes256-sha1,aes128-sha1,3des-sha1
phase2alg=aes256-sha1,aes128-sha1,3des-sha1
# https://lists.openswan.org/pipermail/users/2014-April/022947.html
# specifies the phase 1 encryption scheme, the hashing algorithm, and the diffie-hellman group. The modp1024 is for Diffie-Hellman 2. Why 'modp' instead of dh? DH2 is a 1028 bit encryption algorithm that modulo's a prime number, e.g. modp1028. See RFC 5114 for details or the wiki page on diffie hellmann, if interested.
type=transport
#because we use l2tp as tunnel protocol
left=%SERVERIP%
#fill in server IP above
leftprotoport=17/1701
right=%any
rightprotoport=17/%any
dpddelay=10
# Dead Peer Dectection (RFC 3706) keepalives delay
dpdtimeout=20
# length of time (in seconds) we will idle without hearing either an R_U_THERE poll from our peer, or an R_U_THERE_ACK reply.
dpdaction=clear
# When a DPD enabled peer is declared dead, what action should be taken. clear means the eroute and SA with both be cleared.
On crée ensuite le preshared secret (la clave compartida pre) :
nano /etc/ipsec.secrets
Introduzca esta línea :
%SERVERIP% %any: PSK "VotreClePlusOuMoinsSecurisee"
Considerar la sustitución de %SERVERIP% par l'IP de votre Servidor. Si vous séchez pour la création de votre clé vous pouvez utilisez la commande suivante :
openssl rand -hex 30
Comprobamos que todo está bien, así que usar este comando :
ipsec verify
Y usted debe conseguir :
Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path [OK]
Linux Openswan U2.6.38/K3.13.0-24-generic (netkey)
Checking for IPsec support in kernel [OK]
SAref kernel support [N/A]
NETKEY: Testing XFRM related proc values [OK]
[OK]
[OK]
Checking that pluto is running [OK]
Pluto listening for IKE on udp 500 [OK]
Pluto listening for NAT-T on udp 4500 [OK]
Checking for 'ip' command [OK]
Checking /bin/sh is not /bin/dash [WARNING]
Checking for 'iptables' command [OK]
Opportunistic Encryption Support [DISABLED]
Configuration de xl2tpd
Comencemos editando un archivo de configuración :
mv /etc/xl2tpd/xl2tpd.conf /etc/xl2tpd/xl2tpd.conf.bak && nano /etc/xl2tpd/xl2tpd.conf
Entonces pega esto :
[global]
ipsec saref = yes
saref refinfo = 30
;debug avp = yes
;debug network = yes
;debug state = yes
;debug tunnel = yes
[lns default]
ip range = 172.16.1.30-172.16.1.100
local ip = 172.16.1.1
refuse pap = yes
require authentication = yes
;ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes
Configuración de PPP
Para esta parte, otra vez creamos un nuevo archivo de configuración (también nueva en una frase :3) :
mv /etc/ppp/options.xl2tpd /etc/ppp/options.xl2tpd.bak && nano /etc/ppp/options.xl2tpd
A continuación, inserte este :
require-mschap-v2
ms-dns 8.8.8.8
ms-dns 8.8.4.4
auth
mtu 1200
mru 1000
crtscts
hide-password
modem
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4
Aquí, he utilizado el DNS público a Google, libre para modificar y utilizar los de su elección ! ;)
Adición de usuarios
FINALMENTE ! Este paso crucial le permitirá establecer el inicio de sesión y contraseñas a los usuarios de vpn, edite este archivo :
nano /etc/ppp/chap-secrets
por debajo de una línea típica:
jean l2tpd 0F92E5FC2414101EA *
ATENCIÓN : Este archivo es caso sensible, si pones una letra mayúscula, necesita para mantenerla cuando teclea su login o contraseña.
Finalmente reiniciar :
/etc/init.d/ipsec restart && /etc/init.d/xl2tpd restart
Este artículo parece útil ?
Habilitar actualización automática de comentarios