Configuración de VPNs IPsec site-to-site estáticas con IKEv2

Las VPNs IPsec son un recurso de conectividad cada vez más frecuente. La implementación de servicios de nuble (cloud) de diferente tipo no ha hecho más que aumentar su implementación en las redes corporativas.

Hay dos tipos principales de VPNs IPsec: site-to-site y acceso remoto.

Cisco introduce la posibilidad de implementar este recurso en diferentes dispositivos, básicamente en routers y firewalls (también pueden utilizarse otros dispositivos). Tanto Cisco IOS, como IOS-XE y ASA soportan su configuración. Pero aún dentro de estos sistemas operativos hay diferentes modos de configuración; el primero y quizás más conocido es la configuración utilizando crypto maps estáticos. Sin embargo, hoy Cisco sugiere, para configuraciones sobre IOS, IOS-XE o ASA la configuración utilizando SVTI (interfaces virtuales de túnel estáticas) con IKEv2.

Sobre este tipo de configuración voy a centrarme en este post.

Procedimiento de configuración

1. Configurar la negociación IKE entre los puntos terminales de la VPN.
2. Opcionalmente configurar el transform set y el perfil de IPsec
3. Configurar la interfaz de túnel virtual (VTI).
4. Configurar el enrutamiento necesario para publicar las redes que se desea sean accesibles a través de la interfaz de túnel.

Un esquema completo y ordenado de los pasos de configuración necesarios es el siguiente:

• Configuración de IKEv2
• Definición de "IKEv2 proposal"
• Cifrado (AES-CBC/AES-GCM/SEAL)
• Integridad (SHA-2)
• Intercambio de claves (DH14/DH16/DH19/DH20/DH24)
• Configuración de la política IKEv2
• Configuración del perfil IKEv2
• Identidad remota
• Identidad local
• Autenticación remota (PSK/RSA/ECDSA)
• Autenticación local
• Llavero local

Un ejemplo:

crypto ikev2 proposal PROPUESTA1 

 encryption aes-cbc-128

 integrity sha256

 group 19

!

crypto ikev2 policy POLITICA

 proposal PROPUESTA1

!

crypto ikev2 keyring LLAVERO

 peer ROUTER_PEER

  address 198.51.100.123

  pre-shared-key local 7c2FKFgNNy

  pre-shared-key remote cpi9w43gYB

 !

crypto ikev2 profile PERFIL

 match identity remote address 198.51.100.123 255.255.255.255

 identity local address 192.0.2.123

 authentication remote pre-share

 authentication local pre-share

 keyring local LLAVERO

 

• Configuración de IPsec
• Definición del transform set
• Encapsulación (ESP/AH)
• Cifrado (AES/SEAL)
• Integridad (SHA-2)
• Modo (Transporte/Túnel)
• Definición del perfil IPsec
• Transform set
• Perfil IKEv2

Continuemos con el ejemplo:

crypto ipsec transform-set VPN1 esp-aes esp-sha256-hmac mode tunnel

!

crypto ipsec profile PERFILIPsec

 set transform-set VPN1

 set ikev2-profile PERFIL

Cisco IOS incluye tanto para la configuración de IKEv2 como de IPsec perfiles por defecto llamados "Smart Defaults" que pueden ser invocados en la configuración sin necesidad de definir cada uno de los parámetros mencionados antes.

Por otro lado, los parámetros mencionados pueden variar de acuerdo a las definiciones operativas que se hagan para la VPN concreta. Por ejemplo, la autenticación de IKEv2 puede realizarse utilizando RSA en lugar de una clave pre-compartida (PSK) como en el ejemplo.

Lo que presento aquí es solamente un ejemplo que puede servir de referencia.

Finalmente, hay que configurar la interfaz túnel

• Configuración de la interfaz de túnel virtual (VTI)
• Direccionamiento IP
• Interfaz física que que inicia el túnel
• Encapsulación que utiliza el túnel
• IP destino del túnel
• Perfil IPsec que se aplica al túnel

Para completar el ejemplo:

interface Tunnel0

 ip address 192.168.1.1 255.255.255.0

 tunnel source GigabitEthernet0/1

 tunnel mode ipsec ipv4

 tunnel destination 198.51.100.123

 tunnel protection ipsec profile PERFILIPsec

Espero que este ejemplo sirva como introducción para aquellos que están intentando comprender la configuración de VPNs IPsec point-to-point  y para que profundicen en un tema realmente complejo y con múltiples opciones diferentes.

Los manuales que publico los podés adquirir en el sitio web de EduBooks: https://www.edubooks.com.ar/

Los cursos on line que desarrollo se pueden adquirir a través del sitio web de Educática: https://www.educatica.com.ar/

Estás invitado a seguirme en Instagram:
https://www.instagram.com/libros.networking/

También podés participar de nuestro grupo en Facebook: 
https://www.facebook.com/groups/librosnetworking/

O si preferís redes sociales con mayor respeto de tu privacidad,
podés participar de nuestro grupo en VKontakte
https://vk.com/libros.networking

O también puedes seguir las principales novedades en el grupo de Telegram:
https://t.me/LibrosNetworking

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

 

Tipos de VPNs - Gráfica

Una VPN es, como su nombre lo indica, una red privada virtual. Es decir que se trata de una conexión que une puntos remotos como si se tratara de una red privada pero desarrollada en realidad utilizando protocolos de tunelizado sobre un medio compartido.
Ese medio compartido puede ser Internet o la red de un proveedor de servicios.
El término suele asociarse a seguridad pero no es estrictamente así, no todas las VPNs son "seguras". Por ejemplo, una VLAN es una VPN ya que se trata de un segmento de red independiente que opera sobre una red conmutada más amplia, y no implementa mecanismos de seguridad.
Hay diferentes formas de abodar su tipología:

Desde la perspectiva de la seguridad.

• Hay VPNs "seguras" porque implementan sistemas de autenticación y control de privacidad.
  Las más conocidas son las que implementan protocolos como IPsec o SSL.
• Hay VPNs no-seguras que solamente aíslan tráfico.
  Es el caso de las montadas utilizando túneles GRE o las VPN MPLS.

La certificación CCNA de Cisco adopta una perspectiva diferente centrada en quién configura y gestiona la VPN:

• VPNs gestionadas por el proveedor de servicios.
  En la actualidad son básicamente los servicios de VPN MPLS sean en capa 2 o en capa 3.
  Su implementación y despliegue es parte del servicio ofrecido por el proveedor.
• VPNs gestionadas por las empresas.
  Circunstancialmente son también VPNs seguras implementadas utilizando IPsec o SSL. Se trata de redes virtuales desplegadas directamente por la empresa o usuario sin intervención de un proveedor de servicios.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Next-Generation Cryptography

En la actualidad se sugiere que se actualicen las herramientas criptográficas que se implementan en las políticas corporativas de protección de la confidencialidad de la información transmitida.
Para esta actualización se propone la adopción de un conjunto de algoritmos denominados "Suite B".

La Suite B se considera como un estándar público avanzado de criptografía que proporciona sistemas de seguridad de al menos 128 bits de longitud o equivalentes, lo que supera claramente los estándares utilizados hasta el momento y brinda un entorno seguro para el intercambio de información corporativa sobre redes públicas como Internet.

Suite B responde a los requerimientos de múltiples certificaciones de seguridad como PCI (Payment Card Industry), HIPAA (Health Insurance Portability and Accountability Act) y FIPS (Federal Information Processing Standards).

La suite B

Ha sido inicialmente definida por la NSA como adecuada para asegurar información clasificada, y ha sido descrita en el RFC 4869 para su utilización con IPsec. Considera 4 algoritmos criptográficos de dominio público:

• Cifrado basado en AES de 128 o 256 bits en modo Galois/Counter (GCM).
• Firma digital con ECDSA utilizando curvas de 256 y 384 bits.
• Para el intercambio de llaves se utiliza método ECDH.
• Algoritmo de hash se basa en SHA-2.

Para asegurar compatibilidad e interoperabilidad los dispositivos que incorporan Suite B están sometidos a las mismas regulaciones y certificaciones que los que brindan el soporte IPsec tradicional incluyendo FIPS y Common Criteria.

La Suite B evoluciona el conjunto de algoritmos típicamente soportado para la implementación de IPsec:

• Para el cifrado simétrico:
  Inicialmente se sugería DES o 3DES.
  Ahora AES 128 o AES 256.
• Para la firma digital:
  Inicialmente se sugería RSA de 2048 bits.
  Ahora ECDSA.
• Como algoritmo de hash:
  Inicialmente se sugería MD5 o SHA-1
  Ahora SHA-2 (256, 384 o 512 bits)
• Para el intercambio de llaves:
  Se sugería DH
  Ahora ECDH

Suite B en Cisco

Cisco ha participado del desarrollo de esta suite de algoritmos de cifrado desde el inicio, particularmente trabajando en el desarrollo y estandarización del modo de operación Galois/Counter de AES utilizado en el cifrado simétrico de esta suite.

Actualmente la Suite B está incorporada en los principales productos Cisco de manera tal que pueden aplicarse en soluciones VPN IPsec o DMVPN. 

Estos algoritmos están disponibles para su implementación en los routers ISR G2 desde IOS 15.1 o 15.2 según la plataforma. 

También se introdujo en IOS-XE 3.7, con lo que está disponible en CSR 1000v con IOS-XE 3.12 y en ISR 4400 desde IOS-XE 3.9, ISR 4300 desde IOS-XE 3.13.
En Cisco ASA la suite B está disponible a partir de versión 9.0. Requiere AnyConnect 3.1 o superior con licencia Premium.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.