Resultados de búsqueda para: VPN

Seguridad, Servidores, Sistemas

Cómo crear una VPN con OpenVPN en Windows. Parte 1: Servidor

/

Nota: este artículo es válido hasta OpenVPN v. 2.3.x. que vienen con easy-rsa 2. A partir de OpenVPN v 2.4.x la generación de certificados se hace con Easy-rsa 3 y el proceso es diferente. Hace unos días nos han encargado realizar una VPN en un Windows Server 2008 R2. Como los usuarios podían no ser todos Windows (y también para probar), decidimos no usar la VPN de Windows y crearla con OpenVPN.Os dejamos los pasos.Puedes seguir el proceso en inglés también aquí. Y este vídeo está muy bien para ver los pasos (yo he hecho modificaciones al proceso, cuidado). Instalar y configurar el servidor. Primero hay que configurar el servidor al que se van a conectar los clientes, donde están las carpetas que queremos ver. En nuestro caso el Windows Server 2008, pero puede ser cualquier otro Windows (evidentemente mejor el servidor). Instalar el programa OpenVPN en el servidor. Vamos a descargarnos el programa de OpenVPN (es el mismo para servidor y para cliente). Puedes hacerlo aquí (la versión community es la gratuita). El programa más sencillo a descargar es el Windows Installer.Descargamos el instalador, lo ejecutamos y damos a todas las opciones que si marcando la casilla de EasyRSA 2 Certificate…. (la necesitas para generar los certificados). Cuando te pida instalar el adaptador TAP di que si y marca la opción de confiar en el fabricante. Abre un terminal (cmd) y ve a la carpeta C:\Program Files\OpenVPN\easy-rsa  Pon init-config y pulsa Enter. Después haz copy vars.bat.sample vars.bat Edita el fichero creado con notepad vars.batVe a las líneas siguientes y modifica la información con tus datos. Voy a poner unos de ejemplo: set KEY_COUNTRY=US set KEY_PROVINCE=CA set KEY_CITY=SanFrancisco set KEY_ORG=OpenVPN set KEY_EMAIL=mail@host.domainLo modificamos porset KEY_COUNTRY=ES set KEY_PROVINCE=MD set KEY_CITY=Madrid set KEY_ORG=TUEMPRESA (tb puedes dejarlo como OPenVPN) set KEY_EMAIL=tucorreo@tucorreo.com Guarda el fichero y ejecuta (Enter después de cada comando):vars.batclean-all Generar las claves y certificados del servidor. Ahora vamos a generar las claves y certificados que necesita el servidor. En la misma carpeta de Easy-rsa ejecutamos el comando para crear la entidad certificadora:build-ca Va a preguntar unos valores pero son los anteriores que has puesto en el fichero. Así que con que des a Enter se quedan esos valores. Salvo cuando pregunte: Common Name (eg, your name or your server’s hostname) [] que yo suelo poner el nombre completo del servidor (aunque OpenVPN lo deja como OpenVPN-CA). Creemos las claves con:build-key-server server Vuelve a preguntar los mismos datos, das como antes a Enter salvo cuando pregunte “Common Name” pones server. Responde y a las dos preguntas y ya está. Ahora genera la encriptación conbuild-dh Configuración final del servidor. Ahora copia el fichero server.ovpn de la carpeta C:\Program Files\OpenVPN\sample-config al directorio C:\Program Files\OpenVPN\config Edita el fichero server.ovpn. Recomiendo Notepad++ o, en Windows Server, Wordpad (“abrir con”, elegir programa, Wordpad). No uses notepad, te va a descolocar las líneas. Vamos a modificar las siguientes secciones: Poner el túnel como dev tap o tun (ver aquí). No hace falta hacer la parte de Bridge (puente) en los interfaz de red que dice el vídeo mencionado arriba. Pero por lo que leo tap admite más protocolos que tun (aunque tun requiere menos recursos). Tu elijes, nosotros usamos tap pero sin modo bridge salvo cuando la red del servidor coincide con la del cliente remoto. Entonces tun. Donde pone: ca ca.crt cert server.crt key server.key Pon (las dobles contrabarras y las comillas son importantes): ca “C:\\Program Files\\OpenVPN\\config\\ca.crt” cert “C:\\Program Files\\OpenVPN\\config\\server.crt” key “C:\\Program Files\\OpenVPN\\config\\server.key” Donde pone: dh dh1024.pem pon: dh “C:\\Program Files\\OpenVPN\\config\\dh2048.pem” Nota: en la generación de mis certificados me creó el fichero dh2048.pem en C:\Program Files\OpenVPN\easy-rsa\ La cifra puede variar y podéis tener dh4096.pem, verifícalo. Donde pone server 10.8.0.0 255.255.255.0 elije la red de tu VPN. Puedes poner cualquier red privada pero te recomiendo que no uses las de telefónica típicas (192.168.1.X ni 192.168.0.X). Yo suelo usar las 10, como la que viene en el fichero por ejemplo, o 192.168.2.X, 192.168.3.X etc). También, por lo tanto, puedes dejar la red que viene por defecto. Esto quiere decir que tu servidor VPN tendrá IP de VPN 10.8.0.1 y tus clientes tendrán la 10.8.0.X (según la máscara que elijas). Verifica que la línea tls-auth ta.key 0 pone 0 en el servidor. Quita lo de # This file is kept secret de detrás. En los clientes tiene que ser: tls-auth ta.key 1. Salva el fichero. Copia los ficheros de clave. Ve a C:\Program Files\OpenVPN\easy-rsa\keys\ y copia los ficheros siguientes a C:\Program Files\OpenVPN\config\ ca.crt dh1024.pem server.crt server.key server.ovpn En la misma carpeta easy-rsa pon openvpn –genkey –secret ta.key  y copia ese fichero también a la carpeta C:\Program Files\OpenVPN\config\ El servidor ya está. Sólo tendrías que abrir el puerto 1194 UDP en el router apuntando a la IP (fija) de tu servidor. Recomiendo también abrir el firewall de Windows, si está activado, para ese puerto. Si tienes IP dinámica tendrás que activar un servicio de DNS dinámicon tipo DYNDNS. Puedes probar a ejecutar el icono de OpenVPN que te ha creado en el escritorio y darle botón derecho>Connect para que se empieze a ejecutar el servidor VPN. Si todo va bien está preparado para recibir llamadas. Queda configurar a los clientes (en otro artículo). Nota: si quieres que los clientes remotos vean los clientes de la oficina tienes que activar la opción client-to-client en el fichero de configuración del servidor.Nota2: si quieres dirigir todo el tráfico del cliente por la VPN activa la opción push “redirect-gateway def1 bypass-dhcp” en el fichero de configuración del servidor. Nosotros encontramos un error en Windows Server 2008 R2, que al arrancar la primera vez funcionaba, pero si reiniciábamos la GUI el TAP no cogía IP en Windows (OpenVPN decía que si). Y no sabía enrutar. Lo arreglamos instalando OpenVPN como servicio (otro artículo) y, si ocurre (que no debería al ser un servicio) con desactivar el TAP un momento y volver a activarlo cogía IP de nuevo. Tenéis la parte de la configuración de clientes en este artículo.

Internet, Seguridad, Trucos

Crear una conexión para conectarse a una VPN en Windows 10.

/

Hace unos días os explicamos cómo crear un servidor VPN en Windows 10. Cómo aceptar conexiones entrantes por VPN. Hoy os explicamos la segunda parte: cómo crear una conexión VPN cliente en Windows 10 para poder conectarnos a un servidor VPN. Puede ser un servidor nuestro (creado como en el artículo del otro día) o una VPN cliente. Obviamente no podemos saber ni la configuración exacta de seguridad, ni el usuario, ni la IP o dominio de tu conexión VPN. Esa debes conocerla tu o porque has creado el servidor, o porque te proporcione la información el proveedor. Pero en el vídeo de hoy os explicamos de manera genérica cómo hacer la conexión. Seguramente tendrás que crear la conexión, y luego retocar alguna configuración hasta que se conecte adecuadamente, lo hemos tenido que hacer todos las primeras veces. Y recordad que pronto todos tendremos que estar conectándonos a Internet por VPN si no queremos que nuestra información la tenga el proveedor…y cualquier otra persona que esté espiando nuestra conexión.    

Internet, Servidores, Sistemas, Soporte

VPN en Windows 10. Cómo crear un servidor de VPN en Windows

/

Si no sabes lo que es una VPN, deberías aprenderlo pronto. Porque, pronto deberíamos todos tener ordenadores y móviles conectados por VPN cuando estemos en Internet. Para una conexión de VPN necesitas: Un servidor de VPN que reciba las llamadas. Esto es lo que os enseñamos a hacer hoy en Windows 10. Abrir unos puertos en el router. En este caso el 1723 hacia la IP (fija) de tu servidor de VPN. Uno o varios clientes que hagan la llamada de VPN. Esto os enseñamos a hacerlo el próximo día. En caso de no tener IP fija en tu oficina/casa (donde esté el servidor) necesitaréis un servicio de IP dinámica y configurarlo en el router para que el cliente sepa dónde está tu servidor. En este vídeo os enseñamos a crear el servidor de VPN en Windows 10 (válido con pequeñas modificaciones en cualquier Windows), y abrir los puertos en el firewall del servidor Windows. Si recibes un error al crear la conexión entrante especificada en el vídeo, mira el artículo de mañana, porque ahí os explicaremos cómo resolverlo.  

Soporte, Trucos

OpenVPN error: “All TAP-Win32 adapters on this system are currently in use.”

/

Hace unos días a un cliente no le conectaba la VPN. En los logs de OpenVPN podíamos ver el error: “All TAP-Win32 adapters on this system are currently in use.” La respuesta a este problema es más sencilla de lo que parece (por lo menos en nuestro caso. Si te vas a las conexiones de red (Panel de Control, Conexiones de red o búscalo en la búsqueda de Windows) podréis ver varias conexiones. Seguramente una de ellas pondrá TAP. Esta es una conexión que tiene que levantar OpenVPN cuando establece el túnel. En el caso de este cliente la conexión estaba deshabilitada (en gris). Sólo tenemos que pinchar con el botón derecho y luego Activar. Prueba de nuevo y ya debería conectarse sin problemas.

Android, Compartir, Seguridad, Smartphones

VPNs en Android. Los mejores VPN gratis y de pago

/

Los móviles son pequeños ordenadores, y los usamos para acceder al banco, a nuestras cuentas de perfiles y correo etc. Tanto en redes privadas como en redes públicas (¡peligro!). Y como en los ordenadores, lo lógico es que tuviéramos un mínimo de seguridad. Una VPN me proporciona eso. Obviamente en un red pública, y más en una gratuita, esto es esencial. Tenemos soluciones gratuitas. Estas suelen ser suficientes para un uso ocasional pero recordad que lo gratis viene con un precio. O la velocidad se reduce, o tiene límite de días, o usan tu móvil como nodo, limitan la descarga o ponen anuncios. Es normal, los servidores tienen un coste tanto de equipo como de mantenimiento. Y tienes que confiar en la empresa y el uso de tus datos. Además deberás probar entre varias hasta encontrar la que mejor te viene. Las soluciones de pago suelen ser baratas, unos pocos euros al mes, y dar buena velocidad. También puedes exigirles más al pagarles. Pero si sólo lo vas a usar ocasionalmente no te merece al pena. Gratis (no van en orden de preferencia): Hola VPN. Ya os hablé de ella para el truco de Allmyvideos. Por os rumores que oigo antes funcionaba mejor. Y puede que usen tu móvil como nodo para los que tienen Premium (nada es gratis). Tiene además para ver torrents en streaming y otras funcionalidades. CyberGhost: otra buena opción pero que también parece haber bajado la calidad del servicio gratuito. Hotspot Shield: De los más antiguos, ofrece publicidad. SuperVPN Free: Hay que ir activándola cada cierto tiempo. HideNinja: Con anuncios también. VPN MasterFree: De las más recomendadas gratis.Con anuncios. Flash VPN: Por ahora funciona bastante bien. SurfEasy: Otro gratis bueno con anuncios. PureVPN: Con menos puntuación pero otra a probar. TunnelBear VPN: Otro gratis bueno con anuncios. Mixta: Puedes usar OpenVPN para crearte un servidor VPN en casa y conectarte gratis a él. Requiere algo de configuración, pero es lo más barato y seguro. Muchos NAS o  pequeños servidores  ya los tienen instalado. Pago: VyprVPN: barato y bueno. No permiten P2P pero lo lleva una compañía famosa de seguridad (Golden Frog). F-Secure Freedom VPN: muy bueno también. Tiene periodo de prueba gratis. ExpressVPN, AirVPN, Fast Secure VPN y muchos otros.        

Internet, Seguridad, Trucos

Como enrutar todo el tráfico, incluido Internet, por VPN con OpenVPN

/

Esto es un problema que nos surgió la semana pasada. El problema nos surgió por un tema diferente al que creo que es la finalidad del artículo. Este truco me parece MUY útil cuando estamos viajando o en una wifi pública y tenemos una conexión de OpenVPN. Podemos salir a Internet a través del trabajo (si la VPN es de eso) y tener más seguridad que navegando a través de esa wifi pública o del hotel donde no sabemos quien está espiando. Pero OpenVPN, por defecto, sólo mete (enruta) por la VPN (cifrado) el tráfico a la oficina remota. Internet sale por tu conexión normal, sin cifrar. Por lo tanto sería deseable, en los casos antes mencionados, poder también sacar el tráfico de Internet por ahí. Iría más lento (va a la oficina antes de salir a Internet), pero más seguro, y la velocidad con las conexiones de hoy en día no es tan importante. El problema que tuvimos nosotros, y por el que sacamos este truco, fue que queríamos cambiar la configuración de un router remoto, de Movistar, por el canal Alejandra sin tener que ir a la oficina. No te deja cambiarlo sin usuario de Movistar en remoto, pero en local si puedes. Así que teníamos que “hacer creer al router” que estábamos conectándonos desde la oficina. Ahí va el truco: Hay muchas soluciones en Internet, cambiando la configuración del servidor, por iptables…todo me parecía un “fregao” enorme para algo tan sencillo. Tendría que poder cambiar algo en el cliente y ya está. Así es, tengo que ir al fichero de configuración de OpenVPN en el cliente, el fichero con extensión ovpn y poner estas dos líneas al principio (tienen que ser las primeras, después de los comentarios si quieres): redirect-gateway def1 bypass-dhcp dhcp-option DNS x.x.x.x Donde X.X.X.X es el servidor remoto de VPN. Salva el fichero. Con esto,podéis hacer una prueba en páginas como ¿Cual es mi ip? antes y después de conectarte a la VPN, para ver que tienes la ip de la oficina remota con VPN. Como digo, MUY recomendable cuando estás en wifi públicas, hoteles etc. Y muy interesante porque montar un servidor de OpenVPN es ahora muy sencillo. Podéis incluso tener uno en casa para estas cosas.  

Android, Blog, Mac, Seguridad

Zenmate: extensión de VPN para Chrome

/

Tal como están las cosas, ya os he recomendado muchas veces el uso de VPNs para navegar. Aunque sólo sea para evitar “ojos no deseados” de parte del “Gran Hermano”. Hace un tiempo grabamos un ejemplo de uso de una VPN para entrar en páginas censurdas, y también hemos compartido alguna extensión de Chrome útil para esto como Hola. Hoy os dejamos otra VPN similar, de nuevo una extensión de Chrome y totalmente gratuita. Sencillo de usar, sin registro y te permite decir el país desde el que emular tu conexión. Una gran manera de evitar que te espíen, de entrar en sitios censurados o de ver contenido prohibido en tu país (contenido multimedia). La extensión se llama Zenmate y se puede descargar en Google Play. Puedes descargarlo también en su web para Firefox, Opera, Mac o Android. Os recomiendo que lo probéis y, al menos lo tengáis instalado en vuestro navegador.

Internet, Seguridad, Trucos

Ejemplo de uso de VPN para entrar en webs censudaras (Hola con Piratebay)

/

Para mostraros de manera rápida el uso de las VPN en webs censuradas os hemos hecho un rápido vídeo. En este caso hemos usado la VPN de Chrome Hola, de la que hablamos el otro día, y la web de The Pirate Bay. Nunca he tenido mucho interés en esta web, pero como hace poco un juez ordenó su bloqueo, la usaremos a modo de prueba informática. Para que veáis el uso de las VPN, y lo sencillo que es usar métodos al alcance de cualquiera para evitar esos bloqueos. Insisto siempre en que nos legisla gente con profundo desconocimiento de las tecnologías, queriendo poner puertas al campo y sin propiciar el uso de alternativas legales reales. Sólo así se entiende que se intente pagar tasas por enlaces (la tasa Google) en una red de enlaces como es Internet, o que se intente bloquear así una página.  E insisto de nuevo que hacer las cosas a decretazo y prohibiendo tiene el gran peligro que la red se vaya “ocultando” y “profundizando” más, con el uso de VPNs, cifrados etc. Lo que provocaría el efecto contrario de facilitar el uso de la misma para actividades delictivas, además de hacerla más insegura. Cosa que ninguno queremos. Os dejo el vídeo de ejemplo accediendo a The Pirate Bay por VPN.  

Información Tecnica, Sistemas, Soporte, Trucos

Crear una VPN site to site entre dos oficinas con Mikrotik y fibra

/

Por si a alguien le sirve os mandamos esto que hicimos el otro día en un cliente. Evidentemente basado en el artículo anterior de routers Mikrotiks (alucinante la relación calidad/opciones/precio) sobre fibra (Movistar en este caso). La idea es conectar dos oficinas (o casas o casa y oficina) con  un túnel por dos motivos principales: 1) Que el tráfico entre ambos sitios, al ir por Internet, esté cifrado y seguro. 2) Que se vean equipos de ambas redes (en nuestro caso era para teléfonos VoIP). Por eso lo de site to site. No era para el caso de un trabajador desde cualquier hotel conectándose a la sede ya que eso es más sencillo (servidor openvpn en equipo o aparato como el Mikrotik, apertura de puerto y cliente VPN en el usuario). Ese esquema lo solemos hacer con Zentyal pero es sencillo con Mikrotik también. En modo sencillo hay muchos métodos de hacer un túnel VPN, principalmente PPTP, IPSEC y OpenVPN. Sin ser técnico PPTP es más antiguo y menos compatible con otros aparatos, y además cifra TODO el tráfico. OpenVPN suele ser más de software, los aparatos de diversas marcas suelen usar IPSEC y OpenVPN a veces tiene algo de incompatibilidad o latencia…aunque está creciendo a pasos enormes. El estándar del mercado para los aparatos suele ser IPSEC, puedes elegir qué cifrar (lo veréis en el artículo) y te permite conectar aparatos de varias marcas. Así que optamos por IPSEC.   Estos son los pasos en los Mikrotik. Necesitáis una IP fija en la WAN de cada sitio y saberlo, y saber las LAN de tu interfaz. Por ejemplo: Oficina 1.   WAN: 1.1.1.1      LAN: 192.168.2.1 Oficina 2.  WAN: 1.1.2.1      LAN: 192.168.3.1 Cuidado en la explicación donde ponemos dirección (una ip) o red (un conjunto de ips). Primero hay que crear en cada router los “vecinos” (Peers). Decirle al aparato que hay otro lado en el túnel.Para ello vas a IP-IPSEC- Pestaña Peers. Ahí tenéis que poner la IP WAN de la otra oficina (en nuestro caso en Oficina1 ponemos la 1.1.2.1 que es la de la 2 y viceversa). En la imagen la IP es otra porque es de otro ejemplo. También tenéis que elegir una palabra clave (en ambos routers la misma). Respecto a los algoritmos y demás podéis dejarlo por defecto o cambiarlo pero deben coincidir en ambos lados lo mismo. Os conviene marcar “Send Initial Contact” por si se cae el túnel para que ambos lados puedan llamarse. Luego hay que decirle a cada router qué tráfico es el considerado “interesante”. Qué tráfico vamos a meter por el túnel y por lo tanto qué tráfico levantará dicho túnel. Para ello vamos a IP-IPSEC- Pestaña Policies. Ahí creamos una nueva (tantas como queramos). En la IP de destino primera debemos poner la red de nuestra lan (en Oficina1 192.168.2.0/24). En la segunda la red LAN de destino (en Oficina1 192.168.3.0/24 que es la de la Oficina2). Protocolo lo dejamos en all y puertos todos (no poner nada) a menos que queramos ser más específicos. En la pestaña o apartado Action tenemos que dejarlo por defecto (encrypt, require,esp) y debemos marcar la opción Túnel en ambos lados. En los siguientes campos de IP hay que poner las direcciones de tu  WAN a la otra (en Oficina1 poner source la 1.1.1.1 y destino la 1.1.2.1 , en el otro al revés). En la opción proposal dejar defaul pero podemos cambiar cosas en la pestaña Proposals. No hace falta recomiendo dejarlo. En resumen le estamos diciendo con esto que considere tráfico para meter por el túnel (y que lo levante) el que venga de mi LAN a la otra LAN y sale por mi WAN a la otra WAN. Ya casi está con esto deberíais ver que se ha levantado el túnel.En remote Peers veréis una conexión (que podéis cortar) y cuanto tiempo lleva. En Installed SAs deberíais ver 2 (uno de un lado y otro de otro). A nosotros nos pasó que con esto no veíamos los equipos de ambos lados incluso con el túnel levantado. No podíamos ni hacer ping de un router al otro. Esto es porque los routers hacen NAT (que es como si empaquetan el mensaje…así MUY simple) y puede pasar o que hagan NAT antes de verificar si el tráfico es interesante (por lo que no levanta el túnel) o que lo mande pero al llegar no lo “desempaquete” y lo ignore. Para evitarlo hay que irse a IP-Firewall-Pestaña NAT y crear una nueva con chain “srcnat” y origen tu red LAN (en Oficina1 192.168.2.0/24) y destino la otra red LAN (en Oficina1 el destino 192.168.3.0/24). En action “accept”. Nada más. Esta regla la grabamos y la movemos a la primera línea. Tiene que estar la primera. Así cuando cumple esta regla (mi tráfico interesante) la acepta y no sigue con las demás de nateo. NOTA1: Para hacer ping desde el router hay que poner destino la otra LAN Y origen nuestra LAN (si no ponemos ese origen no cumple el policy y no levanta el túnel. NOTA2: En el primer ping puedes perder 2 al principio porque tarda en levantarse y ver que cumple las condiciones. Luego todos irán bien. Con esto ya deberías ser capaz de hacer ping y ver otros equipos tanto desde el router como desde las LAN. Para más información mirad este artículo y os dejo un GRAN vídeo (que incluye muchos métodos pero el de IPSEC en el minuto 12:27) También más info aquí o aquí. Tenéis con esto muchísimas opciones y podéis o cifrar diferentes redes, o tráfico o incluso crear varios túneles con varias oficinas.

Sistemas, Trucos

OpenVPN no se conecta al servidor en Windows 8

/

Tenemos ya en el blog varias soluciones para OpenVPN con Windows. De hecho una de las soluciones que mejor funcionan es instalarlo y ejecutarlo como administrador para que pueda instalar los drivers y levantar los interfaces. Pero el otro día en un cliente, incluso haciendo todo esto no conesguíamos que entrara en el servidor. Si se conectaba a la VPN, tras un tiempo de espera pero sin poder ver el servidor. Lo curioso es que a veces lo hacía. Lo que observamos era que cuando se conectaba publicaba la red de la VPN (con un arp -a). Pero cuando no veía el servidor no la publicaba. Además, cuando no veía el servidor, tardaba mucho en contectarse a la VPN dando un montón de errores del tipo: Mon Feb 18 15:17:00 2013 TEST ROUTES: 0/0 succeeded len=1 ret=0 a=0 u/d=down Mon Feb 18 15:17:00 2013 Route: Waiting for TUN/TAP interface to come up… Mon Feb 18 15:17:01 2013 TEST ROUTES: 0/0 succeeded len=1 ret=0 a=0 u/d=down Mon Feb 18 15:17:01 2013 Route: Waiting for TUN/TAP interface to come up… La solución: Tenemos que ir a la interfaz que crear OpenVPN (Centro de redes y recursos compartidos, editar interfaz, interfaz TAP) y darle a botón derecho, propiedades. Veréis TCP/IP V4 y TCP/IP V6. Hay que desactivar TCP/IP V6 (quitarle el tick), darle a aceptar y volver a probar. Ya debería funcionar.    

Scroll al inicio