Aula Segurança de redes
Autor: João Lucas Goergen | Publicado: 2012-05-11T06:58:00-07:00


Após ter a VPBN instalada (comnados aptitude) basta fazer o comando para testar

"openvpn --remote 192.168.1.1(ip real da outra máquina)--ifconfig 10.0.0.1 10.0.0.2"

"openvpn --remote 192.168.1.2(ip real da outra máquina)--ifconfig 10.0.0.2 10.0.0.1"

(da ESQUERDA É O DA PROPRIA MÁQUINA)
deixa em NAT a placa

-----------------------

dar rebot nas máquinas pra garantir

os 10.0.0.1 siginificam os |Ips usados dentro das vpn's ;)

-----------------------

Cria canal enter as máquinas...

-----------------------

CONFIGURANDO VPN:

teset de conexão, a vpn não está protegida..

protegida e criptografada, preciso proteger,
qualquer tunel "criado" não está protegido..

-CRIAR A CHAVE QUE POSIIBILITE A COMUNCÇÃO DENTRO DA VPN 

CHAVE ESTÁTICA(simétrica)
(abre e fecha a senha)

-rápida, doméstica
(apenas duas máquinas)

-assimétrica (dinâmica)

---------------

CRIAR TUNEL COM CRIPTOGRAFIA

vo no servidor
entrar no diretório (/etc/openvpn)

-digitar 
openvpn --genkey --secret static.key

(dentro do diretório)

o "static" pode ser qualquer coisa

-----------------

aqui está criado a chave simétrica, ok

-----------------

chave criada no servidor, mas esta chave deve estar no cliente..

------------------

levar a chave pro cliente (mas ninguem pode pegar esta chave)

------------------

mandar via ssh
(deve-se instalar o ssh para mandar a chave de modo seguro)
(instala o ssh no servidor)
(open - ssh server)

aptitude update

O cliente então faz:
#cd /etc/openvpn
sftp root@IPSERVIDOR
Password:digita o passoword
cd /etc/openvpn
get static.key
quit


ou por pendrive

aki, as chaves estão no cliente e servidor, simétricas(estática-para duas máquinas)
porém não servem "para nada";

na verdade ela criou a chave na pasta tal do outro servidor, através do cliente ele pegou a

chave do servidor e "jogou" para o cliente;

---------------------------------------------------

Agora, os dois tem a chve, mas nada garante somente "ter achave", a segurança ainda está

comprometido

para garantir a segurança--

no servidor-

cria o arquivo q não existe: server.conf
dentro da pasta "/etc/openvpn"

dentro deste arquivo:
o básico:

dev tun (interface)
ifconfig 10.0.0.1 10.0.0.1(quais ips, sendo o primeiro o desta máquina)
secret static.key (chave recém criada)

----

depois vah no cliente
na pasta "etc/openvpn/"
cria o arquivo "cliente.conf"

e escreve:
remote IPSERVIDOR
dev tun
ifconfig 10.0.0.2 10.0.0.1(ips usados)
secret static.key(ou caminho da coisa)

-----------------------------------------------


no servidor (eriniciar o serviço)
/etc/init.d/openvpn restart

(reiniciou o serviço no servidor)


no cliente agora (eriniciar o serviço)
/etc/init.d/openvpn restart

(reiniciou o serviço no cliente)

após reiniciado basta dar um "ifconfig" as interfaces devem estar 'aparecendo'
tun0 deve aparecer em algum lugar

----------------------------------------------

Neste ponto a vpn está estabelecida entre os dois ;)
para testar vc pode dar um ping do cliente para o servidor (10.0.0.2)
;)
ou o contrário ping do servidor para o cliente (10.0.0.1)

----------------------------------------------

tudo feito até aqui é o básico
--------

Comandos "avançados"

podemos editar a porta da vpn .. como?

lah no arquivo ".conf" no cliente oou servidor eu mudo a porta...
pelo comando(dentro do arquivo)

proto udp
port 2222

(se mudar no cliente, mudo no cliente também, para haver comunicação)

-------------

muadr o protocolo (colocar tcp)

proto tcp-server
assim usará o protocolo tcp (confirmação de envio, naevgção qual??)
mais lento e tal

----------
estabilizição da vpn

keepalive&nbsp;
(tempo)&nbsp;&nbsp;&nbsp;(tempo)

assim o cli e o server monitorarão a conexão (ping automáticos e reiniciação da vpn automáticamente)

(tempo)=cada int a segundos dar ping
(tempo)=int b segundos sem vim ping tenta reconectar

---------------

inactive (tempo)

tentou cada tempo dar ping, cada tannto tenpo reconectar nao consegur
após&nbsp;
(tempo)&nbsp;segundos ele desiste... ;)
ex: rompeu um fio real, nunca conseguirá conectar ;)
depois manualmente restabelecer

comp-lzo
compactar dados: agiliza a comunicação, transmite o dado compactado e descompacta

SEMPRE NOS DOIS, NO SERVER E CLIENTE
DE LINUX PARA LINUX É MELHOR ;)
o lzo o cliente windowns nao está preparado para o lzo

persist-key
mantem a chave na memória (criptografia)
quando chega o pacote o sistema pega chave abre o pacote e fecha a chave
com o persiste ele mantem a chave aberta

persist-tun
mante o tum "levantaa" caso reinicia a vpn ele mante a interface tun aberta e carregada

float
conexoes com ip dinamico
ele mantem o tunel aberto mesmo qu o ip altere, ou seja caso mude o ip, nao afetara a vpn