Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW. Free Powerpoint Templates Page 1

Transcrição

1 Segurança na Web Cap. 5: VPN Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW Page 1

2 Introdução VPN (Virtual Private Network, ou rede virtual privada) criada para interligar duas redes distantes, através da Internet. Usar uma VPN permite: compartilhar arquivos usar aplicativos de produtividade e de gerenciamento, como se todos os micros estivessem conectados à mesma rede local. Page 2

3 Introdução Você pode até mesmo imprimir em impressoras da rede remota, da mesma forma que faria com uma impressora local. Page 3

4 Introdução Uma VPN, permite por exemplo: ter uma conexão dedicada entre dois pontos usando conexões via ADSL ou cabo, que são muito mais baratas. Dependendo do volume de uso da rede, é possível utilizar a conexão que já tem quanto utilizar uma segunda conexão apenas para a VPN, evitando assim que o tráfego prejudique a navegação dos usuários. Page 4

5 Introdução Além de interligar duas ou mais redes, a VPN pode (dependendo da configuração) ser acessada também por funcionários trabalhando remotamente. Page 5

6 Introdução Todos dados que trafegam através da VPN são encriptados, o que elimina o risco inerente à transmissão via Internet. Naturalmente, nenhuma VPN pode ser considerada "100% segura já que sempre existe um pequeno risco de alguém conseguir obter acesso aos servidores, de forma a roubar as chaves de encriptação (por exemplo). Page 6

7 Introdução Porém, é muito mais provável que um funcionário descontente sabote a rede interna, ou envie informações sigilosas para fora, do que algum invasor consiga efetivamente obter acesso à rede via Internet. Page 7

8 Vantagens É possível criar VPNs usando túneis interligando máquinas rodando Linux e Windows, sem grandes dificuldades. Outras vantagens são: ela pode ser usada por clientes conectando através de uma conexão compartilhada via NAT (apenas o servidor precisa de portas abertas) Page 8

9 Vantagens Outras vantagens são (continuação): Uso de conexões com IP dinâmico. A VPN pode ser configurada para ser restabelecida de forma automática em caso de interrupção na conexão, o que torna o link bastante confiável. Page 9

10 Segurança Com relação à segurança, uma VPN pode ser configurada para utilizar chaves estáticas que oferecem um nível mediano de segurança, em troca de uma configuração mais simples É possível também utilizar certificados X509 onde a configuração é um pouco mais complexa, mas, em compensação, a segurança é muito maior (bem superior à da maioria das soluções comerciais). Page 10

11 Aplicações para VPN Acesso remoto via internet Page 11

12 Aplicações para VPN Conexões de LAN via internet Page 12

13 Aplicações para VPN Conexões de computadores em uma intranet Page 13

14 Requisitos básicos de uma VPN Autenticação de usuários Gerenciamento de endereço Criptografia dos dados Gerenciamento de chaves Suporte a múltiplos protocolos Page 14

15 Tunelamento Processo de encapsular um protocolo dentro do outro Antes de encapsular o pacote que será transportado, este é criptografado de forma a ficar ilegível caso seja interceptado durante o seu transporte. O pacote criptografado e encapsulado viaja através da Internet até alcançar seu destino onde é desencapsulado e decriptografado, retornando ao seu formato original. Page 15

16 Tunelamento Exemplo Page 16

17 Tipos de Túneis Existem dois tipos de túneis: Tunelamento Voluntário Tunelamento Compulsório Page 17

18 Tipos de Túneis Tunelamento Voluntário Ocorre quando uma estação ou servidor de roteamento utiliza um software de tunelamento cliente para criar uma conexão virtual para o servidor do túnel desejado. O tunelamento voluntário pode requerer conexões IP através de LAN ou acesso discado. Page 18

19 Tipos de Túneis Tunelamento Voluntário Nas LANs, o cliente já se encontra conectado à rede que pode prover o roteamento de dados encapsulados para o servidor de túnel selecionado. Este é o caso de clientes numa LAN corporativa que inicializa túneis para alcançar uma subrede privada na mesma rede. Page 19

20 Tipos de Túneis Tunelamento Compulsório O computador ou dispositivo de rede que provê o túnel para o computador cliente é conhecido de diversas formas: FEP (Front End Processor) no PPTP LAC (L2TP Access Concentrator) no L2TP ou IP Security Gateway no caso do IPSec. Page 20

21 Tipos de Túneis Tunelamento Compulsório Exemplo: Page 21

22 Conclusão Alternativa segura para transmissão de dados através de redes públicas ou privadas Recursos de autenticação e criptografia Possibilita eliminar os links dedicados de longa distância, de alto custo, na conexão de WANs. Page 22

23 Conclusão A decisão de implementar ou não redes privadas virtuais requer: uma análise criteriosa dos requisitos principalmente aqueles relacionados a: segurança, custos, qualidade de serviço e facilidade de uso que variam de acordo com o negócio de cada organização. Page 23

24 VPN na prática com o OpenVPN Instalação do OpenVPN # apt-get install openvpn # modprobe tun # echo tun >> /etc/modules Importante: Estes passos devem ser efetuados tanto no o cliente quando para o servidor Linux em questão Page 24

25 VPN na prática com o OpenVPN Como neste teste as maquinas encontram-se na mesma rede, devemos proceder as seguinte forma: Cliente # openvpn --remote dev tun0 -- ifconfig Importante: refere-se ao endereço IP do servidor refere-se ao endereço VPN do cliente refere-se ao endereço VPN do servidor Page 25

26 VPN na prática com o OpenVPN É necessário fazer a mesma configuração no computador servidor, especificando o endereço do cliente: # openvpn --remote dev tun0 -- ifconfig Page 26

27 VPN com chaves estáticas Para gerar as chaves estáticas são necessários os comandos abaixo: # cd /etc/openvpn # openvpn --genkey --secret static.key Importante: Gerar a chave no servidor dentro da pasta /etc/openvpn e copiá-la para cada maquina que vai fazer parte da VPN (clientes) Page 27

28 VPN com chaves estáticas Criar no servidor o seguinte arquivo # vim /etc/openvpn/server.conf dev tun ifconfig secret static.key Importante: os endereços de túneis devem ser sempre diferentes dos endereços IPs locais Page 28

29 VPN com chaves estáticas Criar no cliente o seguinte arquivo: # vim /etc/openvpn/client.conf remote dev tun ifconfig secret static.key Importante: remote refere-se ao endereço IP do servidor Page 29

30 VPN com chaves estáticas Para colocar as alterações em prática: # /etc/init.d/openvpn restart Feito isto, é possível testar a conexão com um ping ou acesso a um serviço do servidor Page 30

31 Configuração de Portas no OpenVPN Porta padrão: 1194 UDP (é preciso liberar no firewall) Caso queira alterar a porta padrão é necessário especificar as linhas abaixo, dentro dos arquivos, tanto do cliente como do servidor: Exemplo: proto udp port Page 31

32 Configuração de Portas no OpenVPN É possível também usar uma Porta TCP (é preciso liberar no firewall) Nesse caso, usa-se: "proto tcp-server" na configuração do servidor (/etc/openvpn/server.conf) e "proto tcp-client" na configuração do cliente (/etc/openvpn/client.conf), como em: Page 32

33 Configuração de Portas no OpenVPN Exemplo: proto tcp-server port e: proto tcp-client port O grande problema em utilizar o TCP no OpenVPN é que o desempenho da VPN será perceptivelmente pior do que se utilizada uma porta UDP. Page 33

34 Configuração de OpenVPN no Windows Baixar o pacote em: Depois de instalado acessar: OpenVPN file directory, dentro da pasta OpenVPN (Menu Iniciar) Copiar para a pasta de configuração o arquivo static.key gerado no servidor Linux (neste caso estaremos fazendo a maquina Windows se logar ao servidor Linux) Page 34

35 Configuração de OpenVPN no Windows Criar um arquivo com a extensão ovpn O conteúdo é o mesmo do cliente linux: remote dev tun ifconfig secret static.key Page 35

36 Configuração de OpenVPN no Windows Após copiar a chave e gerar o arquivo de configuração: Clicar com o botão direito sobre o arquivo client.ovpn e usar a opção "Start OpenVPN on this config file" para ativar a VPN Verificar se uma nova interface de rede aparece nas configurações de rede do windows... Page 36

37 Exercícios Em duplas, criar um servidor com o OpenVPN, e configurar uma segunda máquina da rede para ser o cliente. O servidor deve gerar a chave estática e estar configurado conforme o padrão O cliente deverá ser configurado e gerar uma interface nova de rede tanto no linux como no windows (testando a comunicação nos dois sistemas) Page 37