Crear servidor VPN en Linux

En este tutorial vamos a aprovechar el servidor Linux que montamos sobre Debian para montarnos una red VPN, de manera que cuando estemos fuera de casa y naveguemos por una red publica o no confiable podamos conectarnos a nuestra red VPN y que todo nuestro trafico web este encriptado y no puedan leer nuestros datos y asi navegar de forma segura.

¿Que es una VPN?

Primero de todo vamos a explicar en que consiste una VPN (Virtual Private Network). Una VPN como bien dice su nombre es una red privada que no es fisica si no virtual. Una red fisica seria como la que tenemos en nuestras casa donde conectamos nuestro pc al router, y si tenemos varios pcs, podemos conectarnos entre ellos.
La VPN realiza el mismo cometido pero de forma virtual, nos crea una red donde ya no es necesario que los pcs conectados a dicha red, esten en la misma casa o pais. Para que os hagais una idea, Hamachi nos crea una vpn para que podamos jugar o conectarnos con otros pcs.
Estas redes se suelen usar en empresas para conectar diversas sedes entre ellas y así poder trabajar como si estuvieran todos en la misma red física, o para crear redes aisladas de la propia red local. Para conectar a una red vpn necesitamos tener un usuario y contraseña que nos será proporcinada por la persona que nos habilite el acceso a dicha VPN. Podeis encontrar mas información en la Wikipedia – VPN.

Pre requisitos

Haber configurado una ip estática en nuestro servidor Linux. Si no sabéis como hacerlo, podéis seguir el tutorial que publicamos en su día titulado configurar tarjeta de red con ip estática en Debian sin interfaz gráfica.

Instalando software para crear la VPN

Si ya hemos configurado nuestra ip estática en nuestro servidor, ahora procedemos a instalar el programa / servicio encargado de crearnos la red privada virtual (VPN). Tenemos que iniciar sesión con un usuario que tenga permisos de administracion, ya que sino no podremos instalar nada.
Ejecutamos el siguiente comando en la consola (si estais conectados como otro usuario que no es root, debeis poner sudo delante).

apt-get install pptpd

Nos indicará que se va a proceder a la instalación del paquete PPTPD y que es necesario el BCRELAY, así que aceptamos la instalación.

Configurando el servidor VPN

Configurando IPs de la VPN

Lo primero que vamos a hacer es asignarle una ip estática al servidor VPN pero que sea una ip de la VPN, no tiene nada que ver con el paso anterior de configurar ip estática en Debian. Para ello vamos a editar el archivo /etc/pptpd.conf usando el editor de archivos para consola llamado nano.

nano /etc/pptpd.conf

Una vez estamos dentro del archivo, bajamos al final de todo usando las flechas o bien la tecla AvPag del teclado. Una vez estamos al final del fichero, hemos de añadir las ips que queremos que tenga nuestra red vpn. Para ello debemos saber que rango de ip privadas queremos ponerles. Clase A, clase B, clase C ? En nuestro caso usaremos una IP de clase A pero usando una mascara de red para clase C, para mas información podéis ir a la Wikipedia – Red privada).
Las IPs privadas son ips que estan reservadas para uso domestico/privado, vease que no se pueden tener como ip publica nunca, ningun operador de internet debe asignarlas a tu conexion de internet.
Como hemos dicho, nosotros usaremos la ip de clase A 10.X.X.X pero con una mascara de subred de clase C.
En el archivo añadimos las siguientes lineas.

localip 10.1.1.1
remoteip 10.1.1.10-254

En la primera linea, estamos asignándole al servidor la ip estática 10.1.1.1 para la red VPN. En la segunda linea, estamos diciéndole al servidor VPN que a los clientes que se conecten les asigne una ip que este entre la 10.1.1.10 y la 10.1.1.254 incluyendo ambas.
El último numero nunca ha superar el numero 254, ni ser inferior al numero 1 y tampoco puede ser igual que el numero que hemos puesto en el localip (ojo los tres primeros números si que han de ser iguales). Para finalizar, guardamos el archivo pulsando Control + O y luego salimos con Control + X

Alta de usuarios

Para que los usuarios o nosotros nos podamos conectar a nuestra red VPN, debemos dar de alta usuarios. Para ello editaremos el archivo /etc/ppp/chap-secrets.

nano /etc/ppp/chap-secrets

La sintaxis que debemos ponerle al archivo es la siguiente

loginusuario pptpd contraseña *
loginusuario2 pptpd contraseña2 *

Los espacios deben ser tabulaciones. El pptpd es para indicar el tipo de servidor VPN, como hemos instalado el pptpd, pues le indicamos que use ese. El asterisco sirve para decirle que le asigne cualquier IP de el rango que le hemos indicado en el archivo anterior. Si queremos asignarle una por algun motivo en especial, deberemos cambiar el asterisco por la ip que queramos asignarle. Guardamos el archivo pulsando Control + O y salimos con Control + X

Configurar firewall iptables

Para poder conectarnos a nuestro servidor VPN debemos configurar el firewall de manera que nos acepte las conexiones para ese servicio. Para ello debemos añadir el siguiente comando al final del archivo /etc/rc.local , pero antes de exit 0.

iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -o eth0 -j MASQUERADE

Donde pone eth0 es el nombre de nuestra interfaz de red, podéis saberlo haciendo ifconfig o bien revisando el archivo donde hemos configurado anteriormente la ip estática real de el servidor (pre requisitos).



Guardamos pulsando Control + O y salimos con Control + X.

Navegar por Internet través de la VPN

Esto es opcional, ya que solo lo vamos a usar si queremos navegar de forma segura desde redes publicas como puede ser la red de una biblioteca, wifi abierta, etc… al activarlo lo que estaremos haciendo es salir a Internet como si estubieramos conectados en casa, véase saldremos desde nuestro router a internet. Mucha gente alquila servidores VPN para poder saltarse bloqueos que ponen los gobiernos, o ISP a ciertas paginas, de forma que ellos se conectan a una VPN con forwarding activado para poder navegar sin problemas. Un ejemplo seria poder descargar series o musica desde paises donde esta prohibido la descarga de estos materiales, usariamos una VPN de un pais donde si estubiera permitido tales acciones, y nuestro ISP no podria ver que es lo que estamos haciendo, ya que la conexion ira cifrada al ser una VPN.

Sea cual sea el motivo, para activar el IP Forwarding debemos editar un par de archivos más. El archivo /etc/sysctl.conf

nano /etc/sysctl.conf

Buscamos la linea #net.ipv4.ip_forward=1 y le eliminamos el # de delante, dejando que quede asi

net.ipv4.ip_forward=1

Por último editamos el archivo /etc/ppp/options, si encontramos las siguientes lineas (el numero sera diferente)

#ms-dns 208.67.222.222
#ms-dns 208.67.220.220

las editamos eliminando el # que tienen delante y poniendo unos servidores DNS que queramos. Unos buenos servidores DNS son los que he puesto yo (OpenDNS), de manera que al final quede

ms-dns 208.67.222.222
ms-dns 208.67.220.220

Guardamos pulsando Control + O y salimos con Control + X y a continuación reiniciamos el servidor usando el comando

reboot

en el caso de que os salga un mensaje que no teneis permisos de administracion o que el comando se ha de lanzar como superusuario, simplemente añadirle sudo delante

sudo reboot

Configurando el router para la VPN

Para poder conectar desde Internet a nuestra VPN, debemos configurar el router de nuestra conexión a Internet de forma que nos deje pasar el puerto 1723 para la dirección que estática que le hemos puesto. Para abrir los puertos de vuestro router podéis encontrar información en http://www.driverlandia.com/abriendo-las-puertas-a-internet-solo-si-tienes-router/ y también habilitar la opción de PPTP en los Linksys en la sección Security > VPN Passthrough. Para otras marcas, podéis usar Google o bien siguiendo en enlace que os he puesto justo encima.


Una vez ya tengamos todo configurado, podemos probar de conectarnos mediante Windows , Linux, MacOS o incluso routers que soporte conexiones a VPN como los Cisco o Linksys. No hace falta decir que el ordenador que hace de servidor VPN debe estar encendido cuando queramos conectarnos a ella.

Se han detectado problemas al conectarse desde redes que usen el router de Jazztel. Para ello debéis contactar con el servicio técnico de Jazztel y comentarles el problema (siempre que sea vuestro router).