-
8/16/2019 VPN Con Assenda
1/6
Esquemas de conexión vpn conAssenda E-business
!
1 7/23/2009
-
8/16/2019 VPN Con Assenda
2/6
1. ¿Que es una VPN?
Es una red privada que se extiende, mediante un proceso de
encapsulación y en su caso de
encriptación, de los paquetes de datos a distintos puntos
remotos mediante el uso de unas
infraestructuras públicas de transporte.
Los paquetes de datos de la red privada viajan por medio de un
"túnel" definido en la red
pública.
En la figura anterior se muestra como viajan los datos a través
de una VPN, los datos parten
del servidor dedicado, llegando al Firewall que hace la función
de una pared para engañar a
los intrusos a la red, después los datos llegan a la nube de
Internet donde se genera un túnel
dedicado únicamente para nuestros datos y que estos con una
velocidad garantizada, con
un ancho de banda también garantizado lleguen a su vez al
Firewall remoto y terminen en el
servidor remoto.
Las VPN pueden enlazar oficinas corporativas con los socios, con
usuarios móviles, con
oficinas remotas mediante los protocolos como Internet, IP,
Ipsec, Frame Relay, ATM,
etc.etc....
Las VPN representan una gran solución para las empresas en
cuanto a seguridad,
confidencialidad e integridad de los datos y prácticamente se ha
vuelto un tema importanteen las organizaciones, debido a que reduce
significativamente el costo de la transferencia de
datos de un lugar a otro, el único pre-requisito que pudieran
tener las VPN, es que primero
se deben establecer correctamente las políticas de seguridad y
de acceso porque si esto no
esta bien definido pueden existir consecuencias
serias .
!
2 7/23/2009
-
8/16/2019 VPN Con Assenda
3/6
2. Descripción del proceso de conexión
A. Esquema Client to Site:
Una vez el cliente haya creado los protocolos requeridos para la
conexión y activado los
permisos requeridos en sus Firewalls (si los tiene), debe
instalar en el PC donde se
encuentra el software GE-Desktop, el cliente de conexión vpn
llamado Secure Remote.
Cabe mencionar que este metodo de conexión tambien puede ser
configurado si del lado del
cliente tienen banda ancha(DSL, ADSL, etc.) o enlaces
dedicados.
El esquema de seguridad de la conexión, hace que el
cliente envíe un usuario y password
de conexión, una vez estos datos son validados por el
Firewall/Vpn de Assenda se establece
una sesión encriptada. Esta sesión es soportada por un
certificado digital que es emitido por
el Firewall/Vpn y almacenado por el cliente. Cabe mencionar, que
aquí los parámetros de
conexión son mandatorios del lado del Firewall de Assenda.
Adicional a lo anterior, cada
intervalo de tiempo (el cual es configurable), el Firewall/Vpn y
el cliente están haciendo
intercambio de las llaves de autenticación con el fin el de
mantener fortalecida y segura la
conexión.
Puertos a configurar del lado del Firewall del cliente:
500 (UDP) IKE (Internet Key Exchange) -Used for the initial
key exchange by 2 VPN
endpoints to establish and authenticate a VPN tunnel.
Protocol 50 (ESP-IPSec) Used for site-to-site VPN tunnels to
pass the encrypted data
traffic.
2746 (UDP Encapsulation) Used for client to site VPN
tunnels to pass the encrypted
data traffic. Is used by VPN clients that have NAT traversal
capabilities. It is also used
when SofaWare firewall/VPN appliance acts as a VPN server behind
NAT.
FW-1 - TCP Ports 256, 264 These are used by Check Point
SecureRemote/SecureClient
to transfer the network topology when the Software firewall/VPN
appliance is being
connected to as a VPN site. Also used by the Software
firewall/VPN appliance if it is
being used as a client to connect to a VPN site.
!
3 7/23/2009
-
8/16/2019 VPN Con Assenda
4/6
Internet
CLIENTE ASSENDA
Servidores
EDI
Hosts(Secure Remote
instalado)
ESQUEMA VPN
CLIENT TO SITE
B. Esquema Site to Site:
Este esquema es mas complejo y seguro que el anterior, en esta
modalidad el túnel es
administrado por los dispositivos de Seguridad establecidos en
cada uno de los extremos de
la conexión (Firewalls/Vpn ó Concentradores Vpn).
Para poder que la conexión se establezca correctamente, es
necesario acordar entre las
partes (Cliente-Assenda) el esquema de encripción (IKE, IPSEC),
algoritmo de encripción
(DES, 3DES, CAST AES256), algoritmo de integridad de los datos
(MD5, SHA1), algoritmo
de intercambio de llaves (Diffie Hellman Groups) y una
Preshared- Key.
!
4 7/23/2009
-
8/16/2019 VPN Con Assenda
5/6
Internet
TUNEL VPN DE EXTREMO A EXTREMO
CLIENTE ASSENDA
Servidores
EDI
Hosts
ESQUEMA VPN
SITE TO SITE
Componentes de Topología
Dentro de los elementos de Seguridad que posee Assenda para
establecer las conexiones
vpn tenemos: Firewalls/Vpn Checkpoint NGX R6.5 (Apliance in
clustering), Filtrado IPS yFiltrado de Contenido (Smart Defense),
Servidores HPUX in cluistering con filtros TCP
Wrappers. Los servidores de aplicación se encuentran ubicados en
una DMZ privada.
Las conexiones vpn siempre son en sentido
Unidireccional (del Cliente a Assenda), por lo
tanto el cliente no debe abrir brecha de seguridad alguna en su
Infraestructura. Las reglas de
negocio establecen hacer solo conexiones TCP al puerto 3001 del
servidor EDI (Ge-
Desktop, Mtip, etc, etc).
PARA SU INFORMACION:
Las configuraciones de seguridad de la plataforma del cliente,
son siempre llevadas a cabo por
su personal de TI. La responsabilidad de Assenda es entregar la
información necesaria para la
configuración.
!
5 7/23/2009
-
8/16/2019 VPN Con Assenda
6/6
3. Beneficios para tener en cuenta
Cuando se desea establecer una conexión VPN para comunicarse con
la VAN, el
cliente deja de utilizar el acceso telefónico vía MODEM, para
usar los recursos de
infraestructura de la empresa, ya con esto se adquiere una mayor
velocidad de
conexión y trasmisión respecto a las conexiones telefónicas.
La conexión puede permanecer On-line, sin que con esto se
aumente el costo de
conexión por el uso del carrier de Internet (con un enlace
dedicado), con el acceso
telefónico cada minuto de conexión del MODEM es un cobro para la
factura
telefónica.
Se cuenta con un esquema de seguridad donde el servidor y el
cliente están
intercambiando cada cierto tiempo las llaves de autenticación
por medio dealgoritmos complejos de encripción y validación.
Niveles de Seguridad: Ya sea en la modalidad Client to
Site o Site to Site, las
conexiones vpn con Assenda manejan esquemas de encripción,
algoritmos de
encripción, algoritmos de autenticación y procesos para el
intercambio de llaves de
extremo a extremo, los cuales cumplen con las normas estándares
de Seguridad
Informática en la industria.
!
6 7/23/2009
