Implementação de uma VPN com Protocolo PPTP Rafael Folhal 1, Msc. Rafael Rodrigues 1 1 Curso Superior de Tecnologia em Redes de Computadores FACULDADE DE TECNOLOGIA SENAC (FATEC PELOTAS) Rua Gonçalves Chaves 602-A Centro 96015-560 Pelotas RS Brasil rafaelnfolha@gmail.com, rafiro@gmail.com Resumo. Este artigo aborda a implementação de uma vpn com protocolo pptp no Windows Server 2008, bem como a utilização do protocolo pptp visando uma maior segurança na transferência de pacotes dentro de uma vpn e seus benefícios. Abstract. This article discusses the implementation of a vpn with pptp protocol in Windows Server 2008, and the use of the protocol pptp as a security in the 1. Introdução [Liou Kuo Chin] A idéia de utilizar uma rede pública como a Internet em vez de linhas privativas para implementar redes corporativas é denominada de Virtual Private Networks (VTN) ou Rede Privada Virtual. As VPNs são túneis de criptografia entre pontos autorizados, criados através da Internet ou outras redes publicas e/ou privadas para transferência de informações, de modo seguro, entre redes corporativas ou usuários remotos. A segurança é a mais importante função da VPN. Uma vez que dados privados serão transmitidos pela Internet, que são um meio de transmissão inseguro, eles e devem ser protegidos de forma a não permitir que sejam modificados ou interceptados. Outro serviço oferecido pelas VPNs é a conexão entre corporações (Extranets) através da Internet, além de possibilitar conexões dial-up criptografadas que podem ser muito ser muito úteis para usuários moveis ou remotas, bem como filiais distantes de uma empresa. Uma das maiores vantagens do uso das VPNs é a diminuição de custos com comunicações corporativas, pois elimina a necessidade de links dedicados de longa distância que podem ser alterados pela Internet. As LANs podem, através de links dedicados ou discados, conectarem-se a algum provedor de acesso local e interligar a outras LANS, proporcionado o fluxo de dados através da Internet. Esta alternativa pode ser bastante interessante sob o fator econômico, sobretudo nos casos em que enlaces internacionais ou nacionais de longa distância estão relacionados. Outro alternativa que simplifica a operacionalização da WAN é que conexão LAN-Internet-LAN fica divididos a cargo dos provedores de acesso.
2. Definição de VPNs: Virtual Private Networks são redes que abrangem um acesso privado de comunicação, utilizando redes publicas que já existentes, como a Internet. Referente à combinação de tecnologias que garantem a comunicação, utilizando-se redes publicas já existentes, como a Internet. O termo refere-se à combinação de tecnologias que asseguram a comunicação entre dois pontos, através de um túnel que simula uma comunicação ponto-a-ponto inacessível à interceptação e interferências. As VPNs podem ser utilizadas de duas maneiras. No primeiro caso, existe uma conexão (sempre através de um tunelamento via internet) entre duas redes privadas como, um exemplo, entre a matriz de uma corporação, em um ponto, e um escritório remoto, em outro ponto, ou entre a rede da matriz e a rede de um parceiro. Nesse tipo de conexão, a manutenção do túnel entre os dois pontos é mantida por um servidor VPN dedicado. Na verdade, para estes exemplos, as VPN s podem ser encaradas como funções firewalls melhoradas. Este tipo de VPN é chamada de extranet. Outra forma de se usar uma VPN é conectando-se um computador remoto individual a uma rede privada, novamente através da internet. Neste caso, a VPN é implementada através de um software dentro do computador remoto. Este computador poderá usar uma conexão dial-up local para conectar-se a internet, possibilitando assim o alcance à rede privada. A figura 1 mostra estas duas abordagens de VPNS. Figura 1. Tipos de Utilizações de VPN'S. Sendo assim, portanto as VPNs permitem virtualizar às comunicações de uma corporação, tornando invisíveis a observações externas, ou seja, a interceptação de pacotes e ainda aproveita a infra-estrutura da comunicação existente.
3. Tunelamento As VPNs (redes virtuais privadas) usam a tecnologia de tunelamento onde a existência dessa tecnologia é bem anterior as redes virtuais privadas. Podemos mencioná-lo, como um processo de encapsular um protocolo dentro do outro. O uso do tunelamento dentro das VPNs adiciona um novo componente a criptografia: antes de encapsular o pacote que ira ser transportado, este é criptografado de uma forma que fica totalmente ilegível caso seja interceptado durante o seu caminho de destino. Conforme [Liou Kuo Chin] o pacote criptografado é encapsulado e é transportado através da internet até o seu destino final onde são desencapsulado e decripitografado, sendo assim retornando ao seu formato de origem. Uma importante característica é que pacotes de um determinado tipo de protocolo podem ser encapsulados em pacotes de protocolos diferentes, um exemplo que citarei é um pacote de protocolo IPX pode ser encapsulado e transportado dentro de pacotes TCP/IP. O protocolo de tunelamento encapsula o pacote com um cabeçalho adicional que contém informações de roteamento que permitem a travessia dos pacotes ao longo da rede intermediária. Os pacotes encapsulados são roteados entre as extremidades do túnel na rede intermediária. Túnel é a denominação do caminho lógico percorrido pelo pacote ao longo da rede intermediária. Após alcançar o seu destino na rede intermediária, o pacote é desencapsulado e encaminhado ao seu destino final. A rede intermediária por onde o pacote trafegará pode ser qualquer rede publica ou privada. Note que na figura2 o processo de tunelamento envolve encapsulamento, transmissão ao longo da rede intermediária e desencapsulamento do pacote.. Figura 2. Processo de Tunelamento.
3.1 Tipos de Túneis Existem dois tipos de túneis de diferentes formas que são o túnel voluntario e o túnel compulsório. 3.1.1 Túnel Voluntario Um cliente emite uma solicitação de uma VPN para configurar e criar um túnel voluntario. Neste tipo de caso o computador do usuário funciona como uma das extremidades do túnel e também como cliente do túnel. 3.1.2 Túnel Compulsório Um servidor de acesso discado VPN configura e cria um túnel compulsório. Neste caso, o computador do cliente não funciona como extremidade do túnel. Outro dispositivo, o servidor de acesso remoto, que fica localizado entre o computador do usuário e o servidor do túnel, funciona como uma das extremidades e atua como o cliente do túnel. 4. Protocolos de Tunelamento Postarei um breve resumo sobre os protocolos de tunelamento, senado que abordarei com mais ênfase o protocolo PPTP. Para se estabelecer um túnel é necessário que as suas extremidades utilizem o mesmo protocolo de tunelamento. O tunelamento pode ocorrer na camada 2 ou 3 (respectivamente enlace e rede) do modelo de referencia OSI (Open Systems Interconnection). 4.1 Tunelamento em Nível 2 Enlace (PPP sobre IP) O objetivo é transporte protocolos de nível 3, tais como IP e IPX na Internet. Os protocolos utilizam quadros como unidade de troca, encapsulando os pacotes da camada 3 (como IP/IPX) em quadros PPP (Point-to-Point Protocol). Como exemplos podem citar: PPTP (Point-to-Point Tunneling Protocol) da Microsoft permite que o trafego IP, IPX e NetBEUI sejam criptografados e encapsulados para serem enviados através de redes IP privadas ou publicas como a Internet. 4.1.1 L2TP (Layer 2 Tunneling Protocol) Protocolo da IETF (Internet Engineering Task Force) permite que o tráfego IP, IPX e NetBEUI sejam criptografados e enviados através de canais de comunicação de datagrama ponto a ponto tais como IP, X25, Frame Relay ou ATM. 4.1.2 L2F (Layer 2 Forwarding) É um protocolo da Cisco e é utilizada para VPNs discadas. 4.2. Tunelamento em Nível 3 Rede (IP sobre IP) Encapsulam pacotes IP com um cabeçalho adicional deste mesmo protocolo antes de enviá-los através da rede.
4.2.1 IPSec (IP security tunnel mode) É um protocolo da IETF (internet engineering task force) permite que pacotes IP sejam criptografados e encapsulados com um cabeçalho adicional deste mesmo protocolo para serem transportado numa rede IP publica ou privada. O IPSec é um protocolo desenvolvido para IPV6,devendo,no caso future, se constituir como padrão para todas as formas de VPNs caso o IPV6 venha de fato substituir o IPV4. O IPSec sofreu adaptações possibilitando, também, a sua utilização com o IPV4. 5 PPTP (Protocolo de encapsulamento ponto a ponto) Pode-se acessar uma rede privada via internet ou outra rede publica usando uma rede virtual privada (VPN) com o protocolo PPTP (protocolo de encapsulamento ponto a ponto. Esse protocolo permite a transferência totalmente segura de dados de um micro remoto para um servidor privado ao estabelecer uma conexão VPN em todas as redes de dados baseadas em IP (Internet Protocol). O Protocolo PPTP oferece suporte a redes virtuais privadas por continuidade com vários protocolos através de redes publicas. Desenvolvido como uma extensão do protocolo PPP,o PPTP proporciona um nível maior de segurança e comunicação com multiprotocolos na internet.com o novo protocolo EAP, com métodos de autenticação mais seguras como os certificados, a transferência de dados em uma VPN habilitada pelo protocolo PPTP é tão segura quanto em uma rede locas de uma corporação. O EAP é um protocolo de alta segurança e é essencial para redes virtuais privadas (VPN) Os tipos de EAP de alta segurança, como aqueles baseados em certificados, oferecem mais segurança contra tentativas de violação ou ataques de dicionário e descoberta de senha do que os protocolos de autenticação baseados em senha, como, por exemplo, o CHAP ou o MS-CHAP. Durante o processo de autenticação EAP-TLS, são geradas chaves de criptografia secreta compartilhada para MPPE (criptografia ponto a ponto da Microsoft). Conforme (figura 3) o PPTP faz um encapsulamento dos protocolos IP ou IPX em datagramas do protocolo PPP, isso significa que se pode executar remotamente aplicativos que dependem de determinados protocolos de rede privada. O servidor de encapsulamento efetua todas as verificações e validações de segurança, alem de permitir a criptografia de dados sendo assim torna-se mais seguro a troca de informações em redes não seguras, pode ser usado o protocolo PPTP entre redes locais privadas. O protocolo IPX/SPX não se encontra disponível no Windows XP 64-bits edition e também nas versões de 64-bits da família Windows Server 2003. Na (figura 3) mostra-se uma conexão em uma rede privada com o protocolo PPTP.
Figura 3. Conexão PPTP no Tunelamento. O protocolo PPTP necessita uma conectividade IP entre o micro e o servidor, se estiver conectado diretamente a uma rede local IP e tem acesso a um servidor será possível estabelecer um encapsulamento PPTP na rede local. Agora se estiver sendo criado um encapsulamento pela internet e o acesso norma da internet for por uma conexão dial-up com um provedor de serviços de internet vai ter que conectar a ela antes de estabelecer um encapsulamento PPTP. PPTP. Na (figura4) mostra um exemplo de código de como estabelecer uma conexão Figura 4. Código de uma conexão PPTP.
6 Instalação A instalação de uma VPN (Rede Virtual Privada) consiste de duas maneiras, primeiro deve-se configurar o servidor ou o micro. É possível criar uma VPN entre dois micros também, mas somente é possível realizar essa operação em Windows XP. A instalação da VPN que criei foi no Windows Server 2008 é uma instalação bem tranqüila só tem que ter bastante atenção na hora de configura o roteamento de acesso remoto. Irei mostrar passo a passo a instalação de uma VPN com protocolo PPTP tanto no servidor como na maquina cliente. 6.1 Instalação no Servidor Primeiramente deve-se acessar o servidor e acessar no painel de controle a aba ferramentas administrativas, vamos adicionar uma função que será serviços de acesso e diretiva de rede conforme mostra (figura 5). Figura 5. Selecionando Funções. Quando marcar a caixa de serviços de acesso e diretiva de rede deve-se por padrão marcar as duas caixas que vão surgir abaixo que será serviço de acesso remoto e roteamento conforme mostra (figura 6), essas duas seleções são fundamentais para a instalação da VPN funcionar corretamente.
Figura 6. Selecionando Serviços. Esses dois primeiros passos são o principio para a instalação de uma VPN. Logo apos marcar essas seleções iremos ter que confirmar essas seleções, vai surgir uma tela de confirmação conforme (figura 7). Figura 7. Confirmando Seleções.
Depois de Confirmadas as Funções então vamos instalar as seleções solicitadas para um correto funcionamento (figura 8). A instalação ira demorar alguns minutos depois ira surgir uma tela de confirmação de instalação comunicando que a instalação foi bem sucedida, Figura 8. Resultado da Instalação. Quando acessar o gerenciador de servidores iremos observar que os dois serviços instalados estarão parados vamos ter que iniciar eles. Porem quando se inicia os serviços, não quer dizer que já estão prontos para serem executados, os serviços de roteamento e acesso remoto já estão instalados no servidor, mas esses serviços precisam ser configurados para funcionar corretamente. Essa parte de configuração ira ser abordado posteriormente. Ao chegar nesse ponto da instalação pode-se dizer que esta quase completa a instalação de VPN no Windows Server 2008, porem a parte de configuração é a mais importante nela se vê os tipos de protocolos, se vai instalar uma VPN com NAT, roteamento com LAN e acesso dial-up enfim varias funções para adicionar na VPN para deixá-la mais robusta, embora que no servidor seja quase tudo por avançar ou next ainda sim se exige um pouco mais de conhecimento na hora de instalar um desses serviços. Existe a opção personalizada a qual vou usar, pois o meu servidor foi criado numa vm (maquina virtual), então estou usando somente uma placa de rede e não duas, se fosse usar com duas placas de rede, teria que marcar a primeira opção acesso a VPN. Também poderia usar duas placas de redes na vm (maquina virtual), adicionado mais uma placa de rede no painel da vm, feito esse processo de duas placas de redes selecionaria a primeira opção VPN. Essa opção seria mais apropriada para servidores que ficam a frente da internet, ou seja, a solicitação do usuário antes de ir para rede
externa, passa por esse servidor para verificação do conteúdo após analisar ele libera para rede externa (internet). Esse processo seria necessárias duas placas de rede no servidor, uma conectada ao roteador ou modem e outra a o swicht. Para configurar a VPN primeiramente vamos ter que ativar o roteamento e acesso remoto o servidor vai estar off vamos ter que subir ele conforme (figura 9) como pode ver ele esta com um ícone de uma flecha vermelha para baixo isso significa que ele esta em off. Figura 9. Configurar Acesso Remoto e Roteamento. Se observar na (figura 9), logo acima, vai ter uma opção com o nome de AÇÃO vamos clicar nela e selecionar configurar e habilitar acesso remoto e roteamento", logo ira surgir uma tela de assistente de configuração, clicaremos em avançar e seguir o padrão que se pede. Em seguida vai surgir uma tela, solicitando a configuração conforme mostra a (figura 10) Como citei anteriormente, se o servidor tem duas placas de rede deve-se clicar na primeira opção acesso remoto dial-up ou rede virtual privada, mas no meu caso selecionei a opção personalizada e cliquei em VPN, pois instalei no servidor somente com uma placa.
Figura 10. Configurando VPN. Após vamos iniciar o serviço, é um processo rápido, pois o servidor já tem tudo instalado então é somente para ele reconhecer esses serviços. Depois de iniciar o serviço devemos reiniciar o servidor, pode observar que o servidor já levantou então ele esta funcionando corretamente conforme (figura11) Figura 11. Roteamento e Acesso Remoto Configurados. Bem já com os serviços de acesso remoto e roteamento configurados vamos terminar de configurar a VPN. Vamos configurar os serviços de diretiva de rede, vamos a ferramentas administrativas e servidor de diretiva de rede depois vamos
configurar as diretivas de rede e solicitação de acesso remoto para usar o protocolo PPTP e a autenticação compatível nota-se que devem ser configuradas igualmente no micro cliente as autenticações para iniciar o tunelamento da VPN. Conforme mostra a (figura 12), foi criado uma condição de tipo de encapsulamento com o protocolo PPTP (Point-toPoint Tunneling Protocol), tanto na diretiva de rede como na diretiva de acesso remoto. Figura 12. Diretivas. A instalação da VPN (Rede Virtual Privada) no servidor chega ao seu final, como se podem ver todas as diretivas foram adicionados o PPTP no qual ele fará o tunelamento com a maquina cliente. No qual esta composto com o protocolo EAP, também foram adicionados várias funções no acesso de diretiva como foi visto no processo de instalação, 6.2 Instalação na Maquina Cliente Agora vamos configurar a instalação na maquina cliente a qual atuara como uma das extremidades do tunelamento. A maquina cliente fará uma solicitação de autenticação no servidor através das configurações aplicadas nela e no servidor, se as configurações de autenticação estiverem erradas tanto no servidor ou na maquina cliente não vai ser possível fazer o tunelamento da VPN, portanto é fundamental a correta instalação da autenticação na maquina cliente para haver um sincronismo com o servidor. Devemos primeiramente liberar as portas do modem para ter acesso ao servidor através da VPN, as portas a serem liberadas para conexões virtuais são as portas TCP-1723 e a UDP 1701 depois vamos à central de rede e compartilhamento e criar uma nova conexão de rede, conectar-me a um local de trabalho, criar uma
conexão VPN e depois colocar o endereço da internet, devemos colocar o endereço IP do servidor, e marcar a caixa não se conectar agora conforme (figura 13). Pois se não marcar a caixa assim que terminar de instalar a VPN o computador vai conectar automaticamente e não vai conseguir fazer o tunelamento, pois as configurações de autenticação não vão estar configuradas ainda, conforme as configurações do servidor. O endereçamento IP é um fator bem relevante, pois se sua rede for atribuída por DHCP, toda vez que reiniciar seu servidor vai mudar o IP então a solução é fixar um IP e cadastrar ele em algum site do gênero uma sugestão é o site no-ip. Figura 13. Inserir IP do Servidor. Feito esses processos de instalação e configurações, a VPN estará configurada tanto no servidor como na maquina cliente e estará pronto para o uso.
7 Conclusão Podemos relatar que a VPN é uma implementação muito lucrativa para empresas de pequeno, médio e grande porte principalmente para corporações multinacionais onde se tem a matriz num pais e filiais em outros países. Pois o custo de um link internacional para esse tipo de situação tem um valor bem alto, feito uma VPN (rede virtual privada) o custo beneficio é baixíssimo bem dizer quase zero. Hoje em dia esta bem mais ativo o uso de VPNs do que alguns anos atrás, onde as corporações tinham um gasto enorme para trocarem informações eficaz e principalmente de forma segura, pois através do tunelamento que se cria entre a origem eo destino é blindado a qualquer tipo de ataques, pois grandes corporações trocam informações confidenciais importantíssimas que não podem vazar de maneira alguma. Então podemos dizer que uma VPN é a ferramenta ideal para esse tipo de situações, ela forma um túnel onde os pacotes enviados e recebidos transitam dentro desse túnel e ainda bem criptografados com o protocolo PPTP que é um protocolo de transferência de arquivos ponto a ponto. Alem disso o usuário poderá acessar o servidor de sua empresa ou pegar um arquivo de dentro do servidor em qualquer lugar do mundo, basta levar seu laptop já com a VPN configurada nele. Então podemos concluir que uma VPN (rede virtual privada), é ferramenta essencial para a segurança de transportes de arquivos entre redes distintas e também com um custo muito baixo comparado a outros métodos. 8 Referencias NORTHRUP, Tony e MACKIN, J.C Configuração do Windows Server 2008 Infraestrutura de Rede Ed. Bookman, Porto Alegre, 2009 http://www.alessandrobianchini.com.br/artigos/vpn%20ssl%20x%20vpn%20ipspdf http://www.rnp.br/newsgen/9811/vpn.html http://technet.microsoft.com pt.wikipedia.org/wiki/virtual_private_network