Keenetic: Parte 2 — servidor VPN para acceso remoto

Por qué un servidor VPN en el router

Cuando necesitas desde casa o durante un viaje acceder al almacenamiento en red, cámaras, al equipo de trabajo por RDP o a dispositivos domóticos, abrir sus puertos en Internet es peligroso. Es más fiable levantar un servidor VPN en el propio router: el dispositivo se conecta a él mediante un túnel cifrado y queda dentro de la red local.

Keenetic admite varios servidores a la vez. Cada uno se instala como un componente independiente y se configura en la página «Aplicaciones».

Condición principal — dirección pública

Casi todos los servidores VPN de Keenetic necesitan una dirección IP pública en la interfaz externa, y si se usa KeenDNS — el modo de acceso directo. Sin esto no será posible conectarse al servidor desde Internet.

Excepción: SSTP y OpenConnect. Funcionan a través de los servidores en la nube de KeenDNS y permiten conectarse incluso si tanto el cliente como el router tienen direcciones privadas. El precio por ello es la velocidad: depende de la carga de la nube.

Qué servidores hay

Las valoraciones se tomaron de la documentación de Keenetic. El número de conexiones simultáneas también depende del protocolo: IKEv2 y WireGuard tienen un límite de 32 conexiones (para WireGuard en algunos modelos lo han aumentado), L2TP/IPsec no tiene limitación, y PPTP, SSTP y OpenConnect tienen entre 100 y 200 según el modelo.

Qué elegir

• Hay dirección pública, los clientes son portátiles y teléfonos de empleados: WireGuard. Es la opción más simple y rápida, especialmente en dispositivos móviles.
• No se pueden instalar programas de terceros: IKEv2 — el cliente ya está integrado en Windows, macOS, iOS y Linux. L2TP/IPsec — como opción de reserva para dispositivos antiguos.
• No hay dirección pública: SSTP (cliente integrado en Windows) u OpenConnect — a través de la nube de KeenDNS.
• Se necesita compatibilidad con la infraestructura existente OpenVPN: OpenVPN. La configuración se define en un único archivo con certificados y claves integrados.
• No usar PPTP. El protocolo está obsoleto; su cifrado hace tiempo que no se considera fiable.

Los túneles GRE, IPIP y EoIP no están en esta lista: no son acceso remoto, sino conexión de redes entre dos routers. Un ejemplo de ese túnel — EoIP entre MikroTik y Keenetic.

Ejemplo: servidor WireGuard

Con KeeneticOS 5.0, WireGuard obtuvo una aplicación independiente «WireGuard VPN Server», que crea clientes y les proporciona archivos de configuración listos y códigos QR.

1. Instala el componente WireGuard VPN Server en los parámetros de componentes.
2. En la página «Aplicaciones» abre WireGuard VPN Server.
3. En el campo «Acceso a la red» elige el segmento que estará accesible para los clientes, normalmente el doméstico.
4. Establece la dirección del servidor en el túnel dentro de un rango privado que no se solape con otras redes del router, por ejemplo 172.16.6.1/24. Los clientes obtendrán direcciones de esa misma subred.
5. La opción «NAT para clientes» está activada por defecto — se necesita si los clientes deben salir a Internet a través del router.
6. Haz clic en «Agregar cliente», asigna un nombre, marca el acceso y guarda. Descarga el archivo de configuración o escanea el código QR en la aplicación WireGuard.

El archivo de configuración del cliente se ve aproximadamente así:

[Interface]
PrivateKey = <clave privada del cliente>
Address = 172.16.6.2/32
DNS = 192.168.1.1

[Peer]
PublicKey = <clave pública del router>
Endpoint = 203.0.113.10:51820
AllowedIPs = 192.168.1.0/24, 172.16.6.0/24
PersistentKeepalive = 25

En AllowedIPs se enumeran las redes cuyo tráfico irá por el túnel: aquí son la red doméstica y la subred VPN. Para que todo el tráfico de Internet del dispositivo pase por el router se indica 0.0.0.0/0.

Para esquemas más complejos, por ejemplo la unión de redes, WireGuard se configura como una conexión normal en la página «Otras conexiones».

Seguridad del servidor

• Una cuenta separada por cada persona. Para servidores con inicio de sesión y contraseña (SSTP, L2TP/IPsec, IKEv2, OpenConnect) desactiva los inicios de sesión simultáneos con el mismo nombre de usuario — así es más fácil saber quién está conectado y revocar el acceso.
• Minimizar lo expuesto. Los clientes VPN tienen acceso solo al segmento seleccionado, no a toda la red del router.
• Actualizaciones. Mantén KeeneticOS en el canal principal y actualízalo: las correcciones de seguridad llegan con las versiones normales.

Errores típicos

• No hay dirección pública. El proveedor asigna una dirección privada y el servidor no es accesible desde Internet. Verifica la dirección en la interfaz externa o usa SSTP y OpenConnect a través de la nube.
• Solapamiento de subredes. Si la red doméstica del cliente y la de la oficina son ambas 192.168.1.0/24, el enrutamiento se rompe. Para la oficina es mejor elegir un rango menos común.
• PPTP “porque es más sencillo”. La comodidad no compensa la baja seguridad.
• Todo el tráfico a través de la nube. Para SSTP a través de KeenDNS el fabricante no recomienda NAT para clientes: el ancho de banda de la conexión en la nube es inferior al directo.