openvpn

dhombios · #1 (**permalink**) 10/06/2011, 07:01

estoy intentando instalar openvpn en ubuntu desktop y en windows de forma q al conectarse se acceda directamente a un servidor apache httpd o entrar a una intranet.alguien me puede explicar como,por favor

moeb · #2 (**permalink**) 13/06/2011, 08:36

¿En que punto estás?

Openvpn es trivial de configurar... ¿Hasta donde has llegado? ¿Como tienes el archivo de configuración del servidor? ¿Y el del cliente?

dhombios · #3 (**permalink**) 13/06/2011, 12:48

tengo ubuntu desktop con bind ,un servidor apache funcionando en windows xp corriendo y 2 ubuntu server instalados preparados para funcionar en cuanto acabe la intranet.el servidor openvpn tambien esta instalado en el mismo ordenador q el apache y estoy creando los tap tal y como pone en: http://www.todotecnologia.net/como-configurar-un-servidor-openvpn-en-windows.htm

dhombios · #4 (**permalink**) 13/06/2011, 12:54

realmente lo q me interesaria es saber como conectar un ordenador q no este cerca de mi intranet de forma segura a ella a traves de internet (utilizando una openvpn)

moeb · #5 (**permalink**) 14/06/2011, 02:38

Trivial.

Genera las claves de servidor (ca.crt y ca.key, con el nombre que quieras)... La parte publica del servidor (fichero .crt) deberas ponerla tambien en los PCs clientes. OJO, SOLO el fichero publico... El .key dejalo seguro en el server.

Genera claves para tu usuario con la CA que creastes en el servidor (tienes otro script para hacerlo... build_key, creo que es... Tendría que remirarlo para asegurarme). Necesitaras tanto la publica como la privada (ficheros crt y key... Olvida el csr).

Coges el ca.crt (o como le hayas llamado... MiServidor.crt o lo que sea), tuclave.crt y tuclave.key... Enviatelos de forma segura a tu PC.

Luego te montas el fichero de configuración del servidor, con una subred para la VPN que quede fuera de cualquier subred que vayas a montar a través de ella (fuera de cualquiera de las LANs... Si trabajas con rangos 192.168, usa una 10.10.X.X, por ejemplo) de forma que todos los dispositivos que se conecten a ese servidor VPN (sean tun o tap) asuman una IP dentro de ese rango (esto es automático y transparente para ti, simplemente decide el rango de subred para la VPN fuera de tus rangos de LAN).

Luego puedes hacer un "push", que es probablemente lo mas comodo, (ejemplos varios en el mismo archivo de configuración) de aquellas IPs/rangos que quieras exportar a los equipos que se conecten (si, por ejemplo, quieres que las maquinas 192.168.1.10,192.168.1.11 y 192.168.1.12 sean accesibles via openvpn, haz un push de las mismas para publicarlas y que el cliente establezca la ruta a esas IPs a través de la interfaz VPN... Tambien es transparente para ti. Tan solo define el push).

Una vez tengas el servidor configurado, y suponiendo que hayas dejado los valores de puerto por defecto, el server VPN estará escuchando en el puerto 1194 UDP (si recuerdo bien, voy de carrerilla... Asegurate).

Redirecciona en tu router dicho puerto a tu servidor openVPN.

Luego te descargas el openvpnGUI, para clientes windows... Configurarlo es tan sencillo como incluir en el fichero de configuracion el path a las claves que hayas creado para ti (tuclave.crt y tuclave.key), asi como el path al fichero de clave publica del servidor (ca.crt o como le llamases).

En el fichero de configuracion cliente tambien debes poner el protocolo (UDP por defecto... parametro "proto"), y la IP remota del servidor VPN (parametro remote) junto con el puerto: remote mi_ip_publica 1194 (por ejemplo).

En lugar de tu IP publica, puedes usar un nombre de servidor (si hay un DNS valido qeu resuelva tu IP publica en internet), o usar un servicio de DNS dinámico (dyndns, por ejemplo), que va muy bien... Así no necesitas IP fija.

Y... Poco más, la verdad. Ya tendrías un "peaso" VPN funcionando...

dhombios · #6 (**permalink**) 14/06/2011, 05:56

gracias voy a probarlo

dhombios · #7 (**permalink**) 15/06/2011, 05:47

una cosa mas q hay de diferencia entre tun y tap y entre udp y tcp?

dhombios · #8 (**permalink**) 15/06/2011, 05:58

y existe algun programa para probar cuantos clientes simultaneos soporta el servidor?

moeb · #9 (**permalink**) 16/06/2011, 02:40

Los dispositivos virtuales TUN trabajan en modo routing y establecen una conexión punto a punto (generalmente es la que se usa para vpns con remotos).

Los dispositivos virtuales TAP trabajan en modo "bridging" y crean nuevos segmentos ethernet.

Su filosofía de establecimiento de red es diferente. Usa dispositivos TUN en ambos extremos y no te complicará la vida tu VPN.

UDP y TCP son dos protocolos IP diferentes. UDP es un protocolo en el que no se garantiza la conexión, mientras que en TCP sí (TCP realiza un handshaking, estableciendo una comunicación bidireccional entre ambos puntos... UDP no. Lanza el paquete y se despreocupa de si ha llegado o no).

¿Cual usar? Prueba. En algunas redes, el protocolo UDP da problemas (quizás porque determinados nodos del ISP priorizan el tráfico TCP, no lo sé... Se que en algunas ocasiones, muy pocas, me he visto forzado a usar TCP para que la conexión fuese estable). Yo empezaría por UDP (es más rápido como protocolo, al no tener que hacer ningun tipo de comprobación)... Si te da problemas de estabilidad, que lo dudo, pasa a TCP.