En este post vamos a ver como configurar nuestra VPN SSL de acceso remoto para que los usuarios del Active Directory se conecten a nuestras redes internas, en este link de este mismo blog podéis ver como se configura una VPN SSL de acceso remoto.

• Lo primero que vamos a realizar será crearnos el siguiente grupo en nuestro Active Directory, en este grupo vamos a ir añadiendo los usuarios que posteriormente se van a conectar a la VPN:

• Ahora vamos a acceder a nuestro Fortigate, y vamos a configurar el LDAP para que se pueda conectar al árbol de directorios del Active Directory, para ello nos vamos a Usuario y Dispositivo > LDAP > Crear nuevo:

• Realizamos las siguientes configuraciones, le indicamos un Nombre, la IP o nombre del servidor, en este caso le indicamos el nombre del dominio, puerto por el que se va a conectar al árbol de directorio LDAP, en este caso 389 que es el puerto de Active Directory para LDAP, le indicamos el Id Common name y el distinguised name, necesitamos un usuario del dominio para conectarnos al árbol LDAP, por lo que le indicamos el usuario y password, como podemos ver al probar la conexión esta todo correcto:

• Este es el usuario que nos hemos creado para realizar la conexión del Fortigate al LDAP del Active Dirtectory:

• Ahora en el Fortigate vamos a crear el grupo de acceso a la VPN, para ello accedemos a las opciones de Usuario y Dispositivo > Grupos de Usuario > Crear nuevo:

• Le indicamos un Nombre y Tipo, y agregamos un Grupo Remoto que será el grupo que hemos creado en el Active Directory:

• Seleccionamos el Servidor Remoto que configuramos anteriormente y añadimos el grupo del Active Directory Gvpn:

• Como podemos ver ya está correctamente agregado:

• Ahora, este grupo remoto que acabamos de crear tenemos que mapearlo al portal de la VPN-SSL, para ello, nos vamos a VPN > Configuración de SSL-VPN > Autenticación/mapeo del portal y lo agregamos como full-access:

• Para terminar, debemos de crear y configurar las reglas o políticas, para que los usuarios se conecten a las redes internas a través de la VPN configurada en el firewall, para ello, nos vamos a Políticas y Objetos > Política IPv4 > Crear nuevo:

• Creamos la regla o política para una de nuestras redes internas:

• Ahora desde un equipo remoto con el Forticlient instalado y conexión a Internet, vamos a verificar que el usuario testvpn se puede conectar a nuestra red interna:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar una VPN SSL de acceso remoto en un firewall Fortigate, concretamente con el modelo FG 50E, con este tipo de VPN usando SSL nos podemos conectar desde cualquier equipo con conexión a Internet hacia nuestra red interna, dónde todo el tráfico irá encriptado mediante SSL.

• Lo primero que vamos a realizar será crearnos un objeto – dirección que incluirá todo el rango de direcciones IP que usaremos para los equipos que se conecten a través de esta VPN, para ello lo crearemos desde Políticas y Objetos > Dirección > Crear nuevo > Dirección:

• Ahora nos vamos a crear los usuarios locales que accederán a través de la VPN:

• Para una correcta administración los usuarios que nos hemos creado anteriormente los vamos a anidar en un grupo:

• Una vez creados los usuarios y grupos, vamos a configurar los portales SSL-VPN, por defecto, vienen creados estos tres, nosotros vamos a editar el portal full-access:

• Nos quedaría configurado de la siguiente manera:

• Ahora configuramos la VPN-SSL, con los siguientes parámetros:

• Para terminar de configurar la VPNSSL de acceso remoto, debemos de crear las reglas o políticas para que los equipos que se conecten a través de la VPN, tengan acceso a las redes internas configuradas en nuestro firewall, voy a mostrar sólo una de ellas ya que para las demás sería exactamente igual:

• Como podemos ver aquí las tenemos todas creadas:

• Como nuestra conexión a Internet se encuentra a través de un router FTTH haciendo las funciones de NAT, debemos mapear el puerto que hemos utilizado para la VPNSSL (10443) hacia nuestro Fortigate:

• Con esto ya tendríamos configurada y operativa nuestra VPNSSL de acceso remoto, ahora desde cualquier equipo con conexión a internet, le instalaremos el Forticlient y configuraremos los parámetros de la VPNSSL para conectarnos desde cualquier lugar del mundo a las redes internas de nuestra infraestructura, dónde todo el tráfico irá encriptado mediante SSL:

• Como podemos ver ya estamos conectados y nos está sirviendo una dirección IP del rango que habíamos configurado:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda

Después de unas buenas y merecidas vacaciones con la familia y amigos, dónde hemos podido recargar baterías y coger fuerzas para esta segunda parte del año volvemos con un nuevo post sobre los certificados en MS Exchange 2013.

En este post vamos a ver los certificados en MS Exchange 2013 para asegurar el acceso a los servicios del servidor de correos, podemos utilizar tres tipos de certificados:

• Certificado autofirmado, al instalar Exchange 2013 se genera automáticamente un certificado autofirmado (self signed) habilitado para IIS, POP, IMAP y SMTP, este certificado incluye los nombres de host y FQDN del servidor, por ejemplo, mail01, mail01.ragasys.net. El certificado autofirmado habilita de forma predeterminada  a que los servicios de Exchange sean accedidos de forma segura, cumpliendo así la función básica, pero presenta el inconveniente de que los clientes no confían en el certificado, llegando incluso a no poder conectar.

• Certificado interno, este certificado es emitido por una entidad certificadora (CA) interna.   Esta CA podría estar integrada con Active Directory o no y funcionar del modo “stand alone”. Para usar este tipo de certificado es necesario contar con una CA interna instalada para este propósito.

• Certificado público o externo, este tipo de certificado es el que en general se recomienda para cualquier servicio expuesto en Internet, para obtenerlo es necesario una entidad certificadora externa como Digicert, Godaddy, entre otras. Este certificado a diferencia del autofirmado y del interno tiene un costo directo al momento de la compra y en función al tipo, cantidad de nombres y tiempo de validez tendrá un precio u otro. El certificado público es ideal ya que puede ser utilizado interna como externamente, y sería   confiable en clientes internos, externos, dispositivos móviles, etc… de forma predeterminada.

• Una vez realizada esta introducción, vamos a acceder a nuestro Exchange 2013 y veremos que los certificados que tenemos operativos son los certificados autofirmados que nos genera automáticamente la instalación de Exchange:

• En nuestro caso, ya que tenemos instalada y configurada una entidad certificadora interna, vamos a usar un certificado interno para asegurar el acceso a los servicios de Exchange 2013, para solicitar un nuevo certificado, independientemente del tipo de certificado a utilizar, ya sea interno o público, el procedimiento a seguir sería:
• 1. Generar la solicitud de certificado (CSR) en Exchange.
• 2. Procesar la solicitud con una entidad certificadora interna o externa.
• 3. Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA.
• 4. Habilitar el certificado para que los servicios de Exchange puedan utilizarlo.

• Vamos con el primer paso, que sería Generar la solicitud de certificado (CSR) en Exchange, para ello nos vamos a Servidores > Certificados > +, el certificado autofirmado con el que interactúan los clientes es el que se llama Microsoft Exchange, los otros dos se recomienda no modificarlos:

• Se nos abre este asistente, donde vamos configurando lo siguiente, primero elegimos “Crear una solicitud para un certificado desde una entidad de certificación”:

• Le asignamos un nombre descriptivo:

• Clic en “siguiente”:

• Hacemos clic en Examinar y seleccionamos el servidor donde realizar la solicitud:

• Aquí nos aparecen los dominios que tenemos definidos para cada servicio, clic en siguiente:

• Dejamos los dominios que nos interesan, clic en “siguiente”:

• Completamos la información de la organización y hacemos clic en siguiente:

• Especificamos una ruta UNC válida para guardar la solicitud, clic en “Finalizar”:

• La carpeta share en el servidor mail01 la hemos compartido y le hemos asignado los permisos necesarios:

• Verificamos que el archivo se ha creado correctamente y que la solicitud se encuentra como “Pedido pendiente”:

• Vamos con el segundo paso, que sería Procesar la solicitud con una entidad certificadora interna, entidad que ya configuramos en un post anterior, para ello accedemos a nuestra CA interna a través de la URL https://adcs/certsrv y damos clic a “Solicitar un certificado”:

• Clic en solicitud avanzada de certificado:

• Clic en la segunda opción:

• Abrimos con el bloc de notas el archivo con extensión REQ que creamos anteriormente y copiamos todo el texto:

• En la ventana “Enviar una solicitud de certificado o una solicitud de renovación, pegamos el texto del archivo REQ en “Guardar solicitud” y seleccionamos Servidor web en “Plantilla de certificado”, clic a “Enviar”:

• Seleccionamos la opción “Codificado en Base64” y clic en Descargar certificado:

• Guardamos el certificado en la carpeta share que hemos compartido anteriormente:

• Vamos con el tercer paso, que sería Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el Pedido pendiente y damos clic a “Completo” para completar la solicitud:

• Ingresamos la ruta UNC donde se encuentra el certificado que descargamos anteriormente de nuestra CA interna, aceptamos para finalizar:

• Como podemos ver ya tenemos el certificado operativo, tarda un poco en pasar de No válido a Válido:

• Vamos con el cuarto y último paso, que sería, Habilitar el certificado para que los servicios de Exchange puedan utilizarlo, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el certificado que acabamos de añadir y lo editamos:

• Seleccionamos los servicios que queremos utilizar y guardamos los cambios:

• Nos muestra el siguiente mensaje de advertencia, dónde le indicamos que sobrescriba:

• Como podemos ver, ya tenemos el certificado completamente válido y con sus servicios asociados:

• Como hemos eliminado el certificado autofirmado (selg signed) que Exchange instala por defecto, llamado Microsoft Exchange, al acceder a la consola de configuración ecp o al acceder al OWA nos va a mostrar la página en blanco, ya que en el Administrador de IIS en Sitios > Exchange Back End >Modificar sitio > Enlaces la conexión por https al puerto 444 no va a tener asignada ningún certificado, para añadir el nuevo certificado creado a esta conexión y poder acceder a la consola ecp, OWA y que los clientes Outlook puedan conectar hacemos lo siguiente:

• Tras realizar estas configuraciones, ya tenemos acceso a la consola ecp, OWA, etc…
• Como podemos ver, el acceso a través del OWA con la URL https://webmail.ragasys.net (accesos externos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• Como podemos ver, el acceso a través del OWA con la URL https://mail01.ragasys.net (accesos internos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• La Fuente para realizar este post ha sido Aprendiendo Exchange.com – Daniel Nuñez Banega, darle las gracias por su magnífico trabajo con servidores Microsoft Exchange.

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar SSL HTTPS en Owncloud, para proporcionar un acceso cifrado y seguro a nuestros usuarios.

• Lo primero que haremos será instalar el paquete openssl ejecutando el siguiente comando:

• Activamos el módulo SSL en el servidor Apache:

• Ahora vamos a modificar la configuración de SSL, editamos el fichero de configuración de openssl, donde vamos a cambiar el tiempo de caducidad del certificado y la ubicación dónde se guardará el certificado :

• Ahora vamos a crear las carpetas y archivos para generar el certificado SSL:

• Accedemos al directorio que acabamos de crear:

• Creamos tres carpetas que son necesarias para que openssl pueda generar nuestras claves y certificados:

• Una vez creadas las carpetas certs, private y newcerts, crearemos el fichero indext.txt y el fichero serial con un valor de 1000. Para ello introduciremos los siguientes comandos en la terminal:

• El fichero index.txt contendrá una base de datos de los certificados generados. El fichero serial se usará para generar el número de serie del certificado que vamos a generar.
• Ahora vamos a crear una autoridad de certificación, para ello introducimos los siguientes comandos:

• Al ejecutar el comando lo primero que se nos pregunta es una clave, esta clave tenemos que recordarla y se nos preguntará cada vez que firmemos un certificado, nos pedirá que confirmemos la clave que acabamos de elegir:

• Luego, como podemos ver en la captura de pantalla, nos irá haciendo preguntas. Las vamos respondiendo una tras otra teniendo especial cuidado en el campo Common Name que tendrá que ser el fqdn (fully qualified name), en mi caso el Common Name (fqdn) es cloudrgs.ragasys.es:

• Una vez creada la autoridad de certificación, dentro de la ubicación /root/SSLCertAuth podemos encontrar los archivos cakey.pem y cacert.pem. Estos archivos hay conservarlos ya que serán necesarios para crear nuestros certificados:

• Ahora vamos a crear una clave privada y una solicitud de firma del certificado CSR, para ello introducimos el siguiente comando:

• Luego, como podemos ver en la captura de pantalla, nos irá haciendo preguntas. Las vamos respondiendo una tras otra teniendo especial cuidado en el campo Common Name que tendrá que ser el fqdn (fully qualified name), en mi caso el Common Name (fqdn) es cloudrgs.ragasys.es:

• Una vez finalizado el proceso en la ubicación /root/SSLCertAuth dispondremos de los siguientes archivos:

apache-req.pem: Es el archivo que contiene la solicitud de firma del certificado.

apache-key.pem: Es la clave privada que hemos generado. Está clave privada se usa para el proceso de autentificación SSL de los usuarios que se conectan al servidor de owncloud.

• Ahora vamos a crear y firmar el certificado SSL, para ello introducimos el siguiente comando:

• Al ejecutar el comando se nos preguntará la clave que fijamos en el apartado de crear una autoridad de certificación. La introducimos y presionamos Enter. Seguidamente se nos preguntará si queremos firmar el certificado e introducirlo en la base de datos. En ambos casos respondemos que Sí. Después de realizar estos pasos, tal y como se puede ver en la captura de pantalla, el proceso ha terminado:

• Para confirmar que el proceso ha finalizado, en la ubicación /root/SSLCertAuth, tenemos que comprobar que esté presente el archivo apache-cert.pem que será el certificado SSL que hemos creado:

• Ahora vamos a copiar las claves y los certificados en las ubicaciones correspondientes, para ello crearemos las carpetas que contendrán el certificado y la clave:

• Copiamos el certificado y la clave que hemos generado dentro de las carpetas que acabamos de crear:

• Ahora vamos a configurar apache para que utilice https, para ello editamos el siguiente fichero, dónde iremos modificando lo siguiente:

• Ahora crearemos un enlace simbólico del archivo /etc/apache2/sites-available/default-ssl.conf en la ubicación /etc/apache2/sites-enabled:

• Como podemos ver el enlace simbólico se ha realizado correctamente:

• Una vez creado el enlace simbólico, el servicio https está activado. Finalmente tan solo tenemos que reiniciar el servidor apache:

• Ahora accedemos por https a nuestra nube privada, primero vamos a acceder desde nuestra LAN:

• Introducimos las credenciales:

• Como podemos ver ya estamos accediendo a nuestro servidor de Owncloud a través de HTTPS, por lo que ya tenemos un acceso cifrado y seguro para nuestros usuarios:

• Para acceder de forma remota desde cualquier lugar, tendremos que mapear el puerto 443 hacia la dirección ip interna del servidor Owncloud, luego registraremos nuestra ip pública en 1&1 para asignarle un nombre en internet.
• Puerto 443 hacia IP interna de owncloud, está configurado sobre un router Mikrotik en “IP > Firewall > NAT” y agregar regla:

• La regla quedaría de la siguiente manera:

• Registro de IP pública en 1&1:

• Como podemos ver le hago un ping al nombre cloudrgs.ragasys.es y todo está correctamente configurado, ya podemos acceder remotamente al servidor desde cualquier lugar:

• Como podemos ver ya tenemos acceso desde el exterior:

• Introducimos las credenciales:

• Ahora con el cliente de Windows vamos a configurar la conexión a nuestra nube privada por HTTPS:

• Para ver que la sincronización está funcionando correctamente vamos a copiar un fichero en la carpeta personal owncloud de Windows y veremos si este archivo se ha subido a nuestro servidor de Owncloud:

Fuente para poder realizar este post: geekland.eu blog sobre tecnología el cuál recomiendo

Saludos y espero que os haya sido de ayuda