Configuración de una red privada virtual de Windows 2000

Red privada virtual de Windows 2000

En «Problemas relacionados con las implementaciones de VPN de Windows 2000», analicé algunos de los principales problemas a tener en cuenta al crear una red privada virtual (VPN). Estos problemas incluyen factores como la seguridad, la confiabilidad y el costo. En esta función diaria, describiré el proceso de instalación de una VPN. También cubriré algunos otros problemas que enfrentará durante la instalación.

Instalar VPN
Antes de comenzar a crear una VPN, repasemos los requisitos básicos. En un extremo de la VPN, tienes un cliente. Este cliente puede ser una red remota o un usuario remoto. En el otro extremo de la VPN, eres el propietario del host. El host es un servidor Windows 2000 que actúa como enrutador entre Internet y la red privada.

Un servidor que actúe como un enrutador debe tener una conexión a Internet permanente, como el tipo proporcionado a través de una línea alquilada. Se puede implementar una VPN incluso si el host depende de una conexión de acceso telefónico a Internet. Sin embargo, estoy totalmente en contra del uso de una conexión de acceso telefónico. Esto se debe a que la mayoría de los proveedores de servicios de Internet asignan direcciones IP dinámicas a los usuarios de acceso telefónico, aunque usted puede permanecer conectado las 24 horas del día, los 7 días de la semana. Esto significa que el enrutador host puede tener una dirección IP diferente cada vez que se conecta a Internet. Como puede imaginar, si la dirección IP del host cambia todo el tiempo, será difícil que los clientes remotos se conecten al host.

Habiendo dicho eso, echemos un vistazo al proceso de configuración de un enrutador host para proporcionar la funcionalidad de VPN. A los efectos de esta función diaria, explicaré el proceso de unión de dos redes a través de VPN. Por lo tanto, ambos servidores Windows 2000 involucrados en el proceso actúan como hosts y clientes. La funcionalidad dual por máquina permite que el tráfico VPN fluya en ambas direcciones. Este arreglo permite el libre intercambio de datos entre las dos redes.

Haga clic en el botón Inicio y seleccione Programas | Iniciar el proceso de configuración. Herramientas Administrativas | Enrutamiento y Acceso Remoto. Cuando aparezca la consola de enrutamiento y acceso remoto, haga clic con el botón derecho en el servidor host y seleccione el comando Habilitar enrutamiento y acceso remoto en el menú contextual. Cuando lo haga, verá el asistente de configuración del servidor de enrutamiento y acceso remoto. En la pantalla inicial del asistente, haga clic en Siguiente para comenzar el proceso de instalación.

La siguiente pantalla que verá le ofrece la opción de varios tipos de enrutamiento y acceso remoto. Aunque este servidor actuará como un enrutador VPN, no elija una VPN por ahora. En su lugar, seleccione un servidor configurado manualmente y haga clic en Siguiente. La pantalla resultante mostrará un resumen de la configuración que seleccionó. Haga clic en Finalizar para cerrar el asistente.

Después de completar el asistente, Windows le preguntará si desea iniciar el servicio de acceso remoto. Haga clic en Sí y se iniciará el servicio. Si alguna vez ha creado un servidor de acceso remoto bajo Windows NT 4.0, notará (y apreciará) el hecho de que Windows 2000 no requiere que reinicie el servidor.Cuando se inicie el servicio, verá varias opciones de configuración disponibles en la consola de enrutamiento y acceso remoto, comoFigura A.

Figura A

Cuando el servicio de acceso remoto está habilitado, la consola de enrutamiento y acceso remoto contendrá más opciones.

En este punto, haga clic con el botón derecho en Interfaz de enrutamiento en la consola Enrutamiento y acceso remoto y seleccione el comando Nueva interfaz de marcación a pedido del menú contextual. Cuando haga esto, Windows 2000 iniciará el Asistente de interfaz de marcado a petición. Primero haga clic en Siguiente. El asistente ahora le pedirá el nombre de la interfaz que está configurando. Muchas personas optan por nombrar una interfaz según la red a la que está conectada o la funcionalidad que proporcionará la interfaz. Por ejemplo, puede llamar a la interfaz interfaz VPN. Después de ingresar un nombre para la nueva interfaz, haga clic en Siguiente.

Windows ahora le preguntará qué tipo de interfaz de marcado a petición desea crear. Seleccione el botón de opción Conectar mediante una red privada virtual (VPN) y haga clic en Siguiente.

La siguiente pantalla que muestra el asistente le pregunta qué tipo de interfaz VPN desea crear. Las opciones incluyen PPTP, L2TP o selección automática. El tipo de interfaz VPN que cree depende completamente de usted. Microsoft recomienda usar L2TP para nuevas instalaciones de VPN. Así que usemos L2TP para esta función diaria.

En este punto, verá una pantalla que le pedirá la dirección IP o el nombre de host del enrutador VPN remoto. Como probablemente sepa, el nombre de host es el nombre DNS registrado de la máquina remota. Por lo tanto, en el espacio provisto, puede ingresar una dirección IP, como 147.100.100.34, o un nombre de host, como techrepublic.com. Presione siguiente para continuar.

Después de ingresar el nombre de host o la dirección IP del enrutador remoto, verá una pantalla similar a la que se muestra en Figura BEsta pantalla le pregunta qué tipo de paquetes planea enrutar a través del enlace VPN. Una vez más, las elecciones que haga dependerán en gran medida de su red personal. Como se muestra, elegí permitir paquetes IP pero no paquetes IPX. También elijo crear una cuenta de usuario de acceso remoto y una contraseña para que el enrutador remoto (o el usuario remoto) pueda acceder a la red a través de la VPN. Después de hacer sus selecciones, haga clic en Siguiente.

Figura B

Seleccione los tipos de datos que permite que fluyan a través de su enlace VPN.

Ahora, suponiendo que haya permitido el acceso telefónico, el asistente mostrará una pantalla que le pedirá algunas credenciales de acceso telefónico. Al principio, esta pantalla puede ser un poco engañosa. Es fácil pensar accidentalmente que esta pantalla está diseñada para dar acceso a los usuarios de acceso telefónico. Sin embargo, su propósito es establecer un nombre de usuario y una contraseña que se puedan verificar cuando el enrutador remoto intente conectarse. Después de todo, no desea que nadie que conozca su nombre de host o dirección IP pueda construir una VPN que permita el acceso a su red.

En esta pantalla, el asistente se configurará para crear automáticamente una cuenta de usuario con el mismo nombre que la interfaz que está creando. Por ejemplo, si llamó a la interfaz interfaz VPN, la cuenta de usuario también se llamaría interfaz VPN. Aunque esta pantalla no le permite cambiar el nombre de usuario, puede ingresar la contraseña de la cuenta de usuario. Después de ingresar y confirmar la contraseña de la cuenta, haga clic en Siguiente para continuar.

La siguiente pantalla que verá le brinda la oportunidad de ingresar sus credenciales para conectarse a la red remota. Recuerde, cuando une dos redes a través de VPN, ambas redes deben estar protegidas. Esto significa que tendrá un nombre de usuario y una contraseña de VPN independientes para cada red. Cada enrutador VPN debe configurarse para conocer la información de autenticación del enrutador VPN remoto al que se conectará. Simplemente complete el nombre de dominio, el nombre de usuario, la contraseña y la confirmación de la contraseña del enrutador remoto. Después de ingresar esta información, haga clic en Siguiente.

Ahora ha completado la configuración del enrutador VPN. Haga clic en Finalizar para completar el proceso. Recuerde, debe configurar ambos enrutadores antes de que su VPN funcione.

limpiando la casa
Ahora que ha creado una VPN, debe hacer algunas cosas para asegurarse de que su red sea segura y su VPN funcione. Recuerde que cada enrutador VPN está conectado a Internet. Hay innumerables usuarios de Internet maliciosos que solo quieren tocar su red.

Aunque el enlace VPN que acaba de crear es seguro, existen otras formas de ingresar a su red desde Internet. A menudo, los piratas informáticos explotan los puertos TCP/IP no utilizados. Por lo tanto, recomiendo encarecidamente implementar el filtrado de paquetes IP para bloquear todo el tráfico entrante de Internet, excepto el tráfico VPN (y cualquier otro tipo de tráfico que pueda necesitar).

El filtrado de IP es una ciencia en sí misma. Por lo tanto, es imposible discutir el filtrado de IP a fondo en el espacio que tengo que usar. Sin embargo, puedo mostrarte la técnica básica.

Para habilitar el filtrado de IP, vaya al Panel de control y haga doble clic en el icono Conexiones de red y acceso telefónico. Ahora haga clic derecho en su conexión a Internet y seleccione el comando «Propiedades» en el menú contextual. A continuación, seleccione Protocolo de Internet (TCP/IP) de la lista de componentes instalados y haga clic en el botón Propiedades.

Cuando haga esto, verá la hoja de propiedades del Protocolo de Internet (TCP/IP). Haga clic en el botón Avanzado para ver las propiedades avanzadas de TCP/IP. En la hoja Propiedades avanzadas de TCP/IP, seleccione la pestaña Opciones. Ahora, seleccione Filtrado TCP/IP y haga clic en el botón Propiedades. A continuación, puede utilizar el cuadro de diálogo resultante para habilitar o deshabilitar varios puertos TCP/IP. Sin embargo, es importante señalar que en Windows 2000 no es posible filtrar TCP/IP en un adaptador pero no en otro. Si filtra TCP/IP en un adaptador, habrá filtrado TCP/IP en todos los adaptadores.

Otra tarea que debe completar es intercambiar información de enrutamiento entre enrutadores y probar el enlace VPN. Para hacer esto, regrese a la consola de Enrutamiento y acceso remoto y navegue a Servidores | Enrutamiento IP | General. A continuación, haga clic con el botón derecho en la interfaz Demand Dial y seleccione el comando Actualizar ruta en el menú contextual.

Ahora, realice esta tarea también en otros enrutadores. Para asegurarse de que el intercambio de enrutamiento sea válido, vaya a la sección Enrutamiento IP | Enrutamiento estático de la consola Enrutamiento y acceso remoto. La ruta que creaste debería estar visible. Ahora debería poder hacer ping a cada enrutador desde el otro enrutador.

En conclusión
En esta función diaria, explico cómo implementar una VPN. Mientras lo hacía, analicé algunos de los problemas que podría encontrar durante la fase de implementación.
Los autores y editores se han ocupado de preparar el contenido de este documento, pero no ofrecen garantías de ningún tipo, expresas o implícitas, y no aceptan responsabilidad por errores u omisiones. Ninguna responsabilidad por cualquier daño. Tenga siempre una copia de seguridad verificada antes de realizar cualquier cambio.