Primero de todo, debemos saber qué es una VPN. A modo de descripción rápida, podemos decir que es una tecnología que nos permitirá conectarnos a un entorno local (LAN) desde fuera del mismo (p.ej. desde Internet), y nos permitirá actuar (de un modo bastante transparente) como si estuvieramos en el mencionado entorno local. Y todo esto de un modo seguro.

Aquí no pretendo explicar las interioridades de VPN, sino un modo de configurarlo en un Windows 2003 Server y en clientes Windows usando el protocolo PPTP.

Requisitos

• Un Windows 2k3 server (en este caso, un SBS). Un 2000 ó NT 4.0 también servirían, si bien los pasos pueden diferir y habría que hacer algunas operaciones extra manualmente.
• Un cliente windows (en este caso, un XP, pero prácticamente cualquier cliente sirve).
• Trabajar con Active Directory (el LDAP windowsero).

Pasos

Yendo al grano, podemos desglosar la configuración de una VPN en 3 pasos:

1. Configuración del servicio de VPN.
2. Establecimiento de los permisos para los clientes.
3. Configuración del cliente VPN.

Paso 1

En el servidor (en nuestro caso, un w2k3 sbs), vamos a "Herramientas administrativas" y "Enrutamiento y acceso remoto". En el servidor que hay creado por defecto, botón derecho y seleccionamos "Configurar y habilitar Enrutamiento y acceso remoto". Como sólo disponemos de un interfaz de red, seleccionaremos la última opción de servidor para escoger la modalidad VPN sin NAT. Cuando hayamos finalizado este asistente, se nos pedirá si queremos iniciar el servicio VPN, a lo que responderemos afirmativamente. Entonces veremos cómo al lado del nombre del servidor aparace ahora un círculo verde (que indica su estado iniciado). Si desplegamos su árbol, podemos ver todos los aspectos de configuración del servicio VPN, que no son pocos.

Paso 2

En el servidor también, nos vamos a "Usuarios y equipos de Active Directory" y nos dirigimos a los usuarios que queremos que tengan derechos de acceder remotamente. Habilitaremos este derecho en base a cada usuario en su ventana de "Propiedades", pestaña "Marcado", opción "Permitir acceso".

Paso 3

Ya en el cliente (estoy sobreentendiendo que usamos un Windows XP) iremos a "Conexiones de red" y crearemos una conexión nueva. Seleccionaremos la opción "Conectarse a la red de mi lugar de trabajo" y luego "Conexión de red privada virtual". Especificaremos el nombre de la empresa o entidad (algo meramente descriptivo que nos ayuda a identificar de qué VPN se trata), y luego su ubicación (mediante su nombre de dominio o dirección IP). Finalmente, indicaremos para quién estará disponible la conexión (para un usuario concreto o para todos) y finalizaremos el asistente.

Esto nos mostrará directamente el diálogo para conectarse a la VPN una vez acabada de configurar. Si la cuenta con la que inician sesión los usuarios es la del dominio aún y estando fuera de la oficina, vamos al botón "Propiedades" de este diálogo y en la pestaña "Opciones" le indicamos el incluir el dominio de inicio de sesión Windows. Ahora haría falta probar si funciona todo el tinglado. Para ello, debemos hacer un intento de conexión a la VPN bien (1) desde fuera de la oficina, bien (2) con un usuario que no sea de dominio. Esto lo deberemos hacer en "Conexiones de red", que es dónde yacen todas las configuraciones realizadas en el equipo cliente. Una vez conectados, debemos intentar acceder a algún recurso disponible en el dominio (impresoras compartidas, directorios samba...).

Aspectos a tener en cuenta

• Si tenemos un router por delante de nuestro servidor VPN, deberemos abrir y mapear los puertos correspondientes a los protocolos que usaremos (el 1723 para PPTP y el 1701 en el caso de usar L2TP) hacia el servidor VPN. En este ejemplo hemos usado el protocolo PPTP.
• Asimismo, deberemos habilitar (en el dispositivo que hace de router) el forwarding/passthrough de PPTP ó L2TP. Si nuestro router no permite esta opción... chungo.
• Ciertamente, hay protocolos que ofrecen mayor seguridad que PPTP. En este aspecto, L2TP y soluciones basadas en IPSec parecen ser alternativas más recomendables.

Y si quisiéramos clientes GNU/Linux...

Tenemos clientes como poptop (aka pptp) que pueden solucionarnos la papeleta habilitando previamente algún que otro módulo del kernel tal como el MPPE (Microsoft Point-to-Point Encryption). No se si es necesario habilitar expresamente algún otro (como PPP y el PPP MPPE compression). Para quien quiera probarlo (antes que yo, se entiende ;), aquí tenéis las instrucciones genéricas oficiales de configuración, asi como una orientación acerca del proceso de configuración del cliente pptp (sí, de los colegas bulmeros ;).

Resources