VPN RoadWarrion IPFire Linux IPS Proxy DNSSEC
secure server vpn on IpFire 2.23 Core 139
(https://www.ipfire.org/download/ipfire-2.23-core139)
Questa guida con screenshot permette di creare un router firewall proxy con sistema Snort IPS abilitando il servizio server VPN creando il certificato apposito per la connessione sicura permettendo cosi da openvpn di connettersi alla lan in modo sicuro il tutto sotto il progetto LinuxIPFIRE.
In questo esempio sono state inserite due schede di rete WAN 100/1000 (red) e LAN (green) una volta finita l’installazione di IpFire e configurato a dovere dns e classe indirizzi IP in base alla sottorete entreremo nel pannello di amministrazione dalla rete LAN digitando nel browser preferito esempio HTTPS://192.168.5.1:444 dove il 5 è la sottorete da me assegnata in questo specifico caso. Prima cosa andiamo su Sistema-→Settaggio GUI e selezioniamo la nostra “lingua” e mettiamo la spunta su “Aggiorna la pagina...”
Secondo step è l’abilitazione di Snort IPS nella sezione Firewall-→Intrusion Detection
In questo esempio si è scelto di usare le regole della comunità Emergingthreats ma potete prendere anche quelle di snort GPL.
In questo caso è stato abilitato su Rosso che corrisponde alla nostra WAN quindi internet e con la spunta su Enable IPS cosi da permettere a snort di intervenire sulla base delle regole poi da selezionare in basso di bloccare o meno le connessioni sospette. IPS/IDS sono due modalità di Snort, mentre la prima in base alle regole decide cosa far passare, la modalità IDS monitora solamente le connessione registra se c’è qualcosa di sospetto ma non interviene nella connessione. Questo tool è finalizzato a sistemisti di rete che possono intervenire dal pannello di IpFire per controllare falsi-positivi e segnalazioni varie. Abilitare tutte le regole vi ritroverete molto probabilmente che snort bloccherà connessione lecite quindi abilitare in modo graduale in modo da monitorare se qualche regola và a scontrarsi con qualche sito specifico di vostro utilizzo.
Terzo punto abilitare il server proxy trasparente cioè senza autenticazione da parte della LAN dal menù RETE-→ProxyWeb. Nel PC che ho utilizzato per la prova vi è anche la wifi
sulla scheda Blue abilitate la prima spunta su “Abilitato su Green”, la seconda su “Trasparente su Green”, terza “NON visualizzare….” serve per non dare troppi dettagli tecnici a chi visualizza per sbaglio dalla parte LAN il pannello di gestione IPFIRE infine “Attiva cachemanager”.
Ora che proxy per la navigazione e IPS per la protezione sono stati abilitati passiamo al server VPN.
Nella sezione Servizi-→OpenVPN abilitate il servizio dalla parte RED cosi da poter accettare connessioni da parte di internet al vostro firewall/router sulla porta 1194 connessioni vpn.
In questo caso ho lasciato Encryption e HASH algorithm di default ma potete aumentare la complessità e robustezza della connessione ciò comporta più traffico quindi in base alla velocità della connessione valutate se cambiare o lasciare il predefinito. Occorre Generare il certificato con l’apposito tasto in basso.
Inserite i dati della vostra ditta e anche qui scegliete i parametri del protocollo e con il pulsante Generate root/host dopo alcuni minuti in base al pc sarà generato il certificato per la connessione. Finito il certificato avrete nella schermata OpenVPN il risultato dell’elaborazione del certificato che certifica che siete autorizzati alla connessione in entrata tramite vpn.
Ora tramite il pulsante “Aggiungi” andremo a selezionare “Host-to-Net Virtual Private Network (RoadWarrior)” cosi da permettere al nostro portatile o pc esterno di poter accedere all’indirizzo IP pubblico tramite connessione sicura VPN. Avanzando nella pagina successiva dovremo compilare i dati richiesti obbligatori quelli con l’asterisco rosso.
Nel mio caso essendo una prova esempio ho messo testipfire e salvate in fondo su salva .
Una volta collegati lo stato cambierà in verde e indicherà che la connessione è online e dal vostro portatile noterete che il vostro indirizzo ip sarà della classe della LAN.
Se tutto è andato nel suo verso dopo il salva vedrete nella schermata principale questa immagine dove il file zip contenente il opvn da inserire in openvpn (windows e linux) o tunnelblick (macosx) è pronto per essere scaricato dall’icona apposita.
I link dove poter scaricare il software client
https://openvpn.net/community-downloads/
https://tunnelblick.net/index.html
Ultimo paranoico sicuro accorgimento sono i DNS. Nel menù RETE-→Assign DNS server
inserite indirizzi di server DNS che supportano DNSSEC ovvero la richiesta di interrogazioni DNS che di regola sono in chiaro in richieste riservate. Non tutti i server DNS supportano tali richieste sicure in questo caso ho inserito 1.1.1.1 che corrisponde a Cloudflare e 9.9.9.9 a Quad9 DNS un altro server orientato alla privacy e internet security.
Sul manù STATO-→Rete Esterna dovreste trovare questa schermata.
Una soluzione come questa è l’ideale per chi necessita di un server VPN quindi ha bisogno di connessioni esterne sicure implementando un firewall con IPS alla propria rete LAN. Nel file generato ovpn può essere editato per cambiare l’IP pubblico. Se avete una ditta con un contratto in cui non potete accedere al router fornito dal provider dovrete contattare il servizio di assistenza in modo che possano aprire la porta indicata dal server vpn e collegare le vostre richieste esterne al server VPN IPFIRE. La privacy e la sicurezza informatica sono tematiche sempre più sentite in questi anni solo implementando misure adeguate si può raggiungere un buon livello. Il progetto IPFIRE ha come obbiettivo sviluppare questa distro linux orientata alla filosofia OpenSource e alla sicurezza informatica, affiancato da una buona comunità di utente che testato e contribuiscono al suo sviluppo, merita l’attenzione per chi necessita sia di una soluzione professionale sia per chi è sensibile alla protezione della propria connessione. Protezione che per paranoia o per tutela dovremmo sempre più prendere in considerazione.
Fabio Carletti aka Ryuw
