Autenticação de WiFi com L2TP/IPSEC. Edielson Pantoja Santana MyRouter Soluções

Transcrição

1 Autenticação de WiFi com L2TP/IPSEC Edielson Pantoja Santana MyRouter Soluções

2 Desafio Autenticar os usuários do provedor, evitando uso não Autorizado Operar independente do modelo de rádio Ser independente de Sistema Operacional Baixo custo de implementação Grande número de usuários já instalados, que precisa alterar

3 Comparando com HOTSPOT Prós: O método de maior facilidade para Instalação e configuração no lado do servidor Não é preciso configurar a ponta do usuário Funciona com qualquer topologia de Rede Custo muito baixo

4 Comparando com HOTSPOT Contra: Fácil de ser vencido, mac pode ser clonado e pegar carona na sessão autenticada Também seu usuário e senha pode ser facilmente capturado por programas de trafego de rede. cain&abel

5 Comparando com PPPoE Prós: Fácil implementação e configuração no lado do servidor Padrão de mercado, existindo para muitas plataformas, inclusive APs e Roteadores que os usuários possam ter para compartilhar o acesso

6 Contra: Comparando com PPPoE A Criptografia e segurança da senha é fraca, podendo inclusive ser capturada e reenviada criptografada Somente os pacotes de dados são criptografados, os pacotes de controle da sessão não são Pode ser feito replay da autenticação, para se autenticar Vulnerável a clone, pois não há validação do servidor Precisa configurar a ponta do usuário

7 L2TP/IPSEC Prós: Padrão de Mercado Valida o lado do usuário e o lado do servidor Extremamente Seguro Suporte nativo em várias plataformas

8 Contra: L2TP/IPSEC Precisa configurar a ponta do usuário Para ser segura precisa de certificados, o que exige software adicional para geração e manutenção dos mesmos Difícil configuração pelo usuário fora do mundo Microsoft ( especialmente em linux) Overhead de pacotes, PPP sobre L2TP sobre IPSEC, é preciso lidar com a MTU

9 Configuração L2TP Server

10 Configuração IPSec

11 Configuração IPSec Vamos configura l2tp + ipsec sem certificador Address: com ser colocar apenas o ip da placa de rede do cliente ou toda sua rede Auth Method: nessa campo iremos selecionar o método de autenticação, iremos selecionar rsa signature e no campo Certificate e Remote Certificate iremos selecionar os certificados.

12 Criando Usuário para L2TP

13 Configuração dos Clientes

14 Configuração dos Clientes

15 Configuração dos Clientes

16 Configuração dos Clientes

17 Configuração dos Clientes Ip do servidor L2TP Clique em Avançar e Concluir

18 Configuração dos Clientes

19 L2TP/IPSEC/Certificador Criar entidade certificadora usando Openssl. Comandos aplicados nas Distribuições Debian/Ubuntu. /usr/lib/ssl/misc/ca.sh newca Agora é só ir respondendo as perguntas que iram aparece.

20 L2TP/IPSEC/Certificador Gerar certificado para servidor /usr/lib/ssl/misc/ca.sh newreq Agora é só ir respondendo as perguntas que iram aparece. Após criar a entidade é só criamos os certificados para os clientes.

21 L2TP/IPSEC/Certificador Importando certificado no servidor MikroTik

22 L2TP/IPSEC/Certificador Importando certificado no servidor MikroTik

23 L2TP/IPSEC/Certificador 1 2 3

24 L2TP/IPSEC/Certificador

25 L2TP/IPSEC/Certificador Agora precisamos instalar o certificador digital no computador do cliente você pode fazer isto manual ou desenvolver uma ferramenta para auxiliar na instalar do certificador uma vez que instalar certificador digital no windows xp da um pouco de trabalho.

26 Configuração dos Clientes

27 L2TP/IPSEC/Certificador Caso o certificador digital não tenha sido importado para maquina do cliente em hipótese alguma o computador se autenticará na rede.

28 Referências Referências: Livro: Openswan: Building and Integrating Virtual Private Networks

29 Obrigado Edielson Santana MyRouter Soluções