Diferencia entre revisiones de «Configurando os modos de seguridade WiFi»

De MediaWiki
Ir a la navegación Ir a la búsqueda
 
(No se muestran 76 ediciones intermedias del mismo usuario)
Línea 6: Línea 6:
 
* deixaremos a WiFi aberta
 
* deixaremos a WiFi aberta
 
* cambiaremos o SSID por defecto
 
* cambiaremos o SSID por defecto
−
* cambiarmeos a canle
+
* cambiaremos a canle
 
* aprenderemos a facer filtrado MAC
 
* aprenderemos a facer filtrado MAC
 
* revisaremos algunhas opcións de configuración
 
* revisaremos algunhas opcións de configuración
  
 +
=== Acceso ===
 
Para iso, accedemos ao enlace do fabricante [http://ui.linksys.com/ linksys] e eliximos [http://ui.linksys.com/WRH54G/1.01.04/ o router WRT54G].
 
Para iso, accedemos ao enlace do fabricante [http://ui.linksys.com/ linksys] e eliximos [http://ui.linksys.com/WRH54G/1.01.04/ o router WRT54G].
 
Vamos a configurar aspectos básicos desde punto de acceso sen fíos e establecer a rede como aberta.
 
Vamos a configurar aspectos básicos desde punto de acceso sen fíos e establecer a rede como aberta.
  
−
Aparece a seguinte ventá coa pestana Setup->Basic Setup seleccionada por defecto. Nesta pantalla configuraremos a IP deste AP e a continuación desactivaremos o DHCP.  
+
=== Deshabilitamos DHCP ===
 +
Aparece a seguinte ventá coa pestana Setup -> Basic Setup seleccionada por defecto. Nesta pantalla configuraremos a IP deste AP e a continuación desactivaremos o DHCP.  
  
 
[[File:WRH54G_disable_DHCP.PNG|center|300px|deshabilitamos DHCP]]
 
[[File:WRH54G_disable_DHCP.PNG|center|300px|deshabilitamos DHCP]]
  
−
A continuación, na pestana Wireless -> Basic Wireless Settings cambiamos o SSID do router e o canal:
+
=== Cambiamos SSID e canle ===
 +
A continuación, na pestana Wireless -> Basic Wireless Settings cambiamos o SSID do router e o canle:
  
−
[[File:WRH54G_change_SSID_channel.PNG|100px|Cambiamos SSID e canle]]
+
[[File:WRH54G_change_SSID_channel.PNG|center|300px|Cambiamos SSID e canle]]
  
−
Na opción Wireless Security da pestana Wireless, desactivamos a seguridade, polo que a rede estará aberta.
+
=== Deixamos a WiFI aberta ===
 +
Na opción ''Wireless Security'' da lapela ''Wireless'', desactivamos a seguridade, polo que a rede estará aberta.
  
−
[[File:WRH54G_disable_security_mode.png|center|100px|Deixamos a rede aberta]]
+
[[File:WRH54G_disable_security_mode.PNG|center|300px|Deixamos a rede aberta]]
  
−
E na opción Wireless MAC Filter podemos permitir ou denegar algún equipo indicando a súa MAC:
+
=== Filtramos por MAC ===
 +
E na opción Wireless ''MAC Filter'' podemos permitir ou denegar algún equipo indicando a súa MAC:
  
−
[[File:WRH54G_MAC_filtering.png|center|100px|Podemos filtrar con lista branca ou negra por MAC]]
+
[[File:WRH54G_MAC_filtering.PNG|center|300px|Podemos filtrar con lista branca ou negra por MAC]]
  
 +
=== Revisamos parámetros de configuración do firewall ===
 +
Na lapela ''Security'' podemos configurar parámetros relacionados co firewall:
  
−
Na pestana Security podemos configurar parámetros relacionados co Firewall:
+
[[File:WRH54G_Security.png|center|300px|Podemos configurar parámetros do firewall]]
  
−
[[File:WRH54G_Security.png|center|100px|Podemos configurar parrámetros do firewall]]
+
=== Revisamos configuración VPN ===
 +
E na opción ''VPN Passthroough'' da mesma lapela, podemos habilitar o protocolo a empregar:
  
−
E na opción VPN Passthroough da mesma pestana, podemos habilitar o protocolo a empregar:
+
[[File:WRH54G_VPN.png|center|300px|Podemos configurar VPN]]
  
−
[[File:WRH54G_VPN.png|center|100px|Podemos configurar VPN]]
+
=== Configuramos políticas ===
−
 
+
Na lapela ''Access Restrictions'', podemos establecer diferentes políticas a seguir, nas que se configurará:
−
Na pestana Access Restrictions, podemos establecer diferentes políticas a seguir, nas que se configurará dende o bloqueo a determinadas webs, coma restrición a portos, como a conexión a determinadas horas do día:
+
* a conexión a determinadas horas do día (seccións ''Days'' e  ''Timing Control'')
 +
* restrición a portos (sección ''Blocked Serviecs'')
 +
* o bloqueo a determinadas webs (seccións ''Website Blocked by URL Address'' e ''Website Blocked by Keyword'')
 
   
 
   
−
[[File:WRH54G_Access_Restrictions.png|center|100px|Podemos configurar políticas]]
+
[[File:WRH54G_Access_Restrictions.PNG|center|300px|Podemos configurar políticas]]
  
−
Ademais, se facemos clic en “Edit List” poderemos indicar sobre que equipos aplicaremos as políticas establecidas, indicando as súas MACs ou IPs:
+
Ademais, se facemos clic en ''Edit List of PCs'' poderemos indicar sobre que equipos aplicaremos as políticas establecidas, indicando as súas MACs ou IPs:
  
−
IMAGEN
+
[[File:WRH54G_Filter_IP_Mac.PNG|center|300px|Filtrado por IP ou MAC]]
  
−
Na pestana Aplications & Gaming podemos redireccionar portos ou configurar unha DMZ (estudarémolo na unidade 7):
+
=== Revisamos configuración de redirección de portos e DMZ ===
 +
Na lapela ''Aplications & Gaming'' podemos redireccionar portos ou configurar unha DMZ:
  
−
IMAGEN
+
[[File:WRH54G_Port_Forwarding.png|center|300px|Port Forwarding, DMZ, UPnP]]
  
−
Na pestana Administration cambiaremos o contrasinal de acceso ao router. É importante rea-lizar este cambio periodicamente
+
=== Cambiamos contrasinal de acceso ó router ===
 +
Na pestana ''Administration'' cambiaremos o contrasinal de acceso ao router. É importante realizar este cambio periódicamente.
  
−
IMAGEN
+
[[File:WRH54G_Administration_Management.png|center|300px|Router Management]]
  
−
Por último, a pestana Status mostra o estado do router na que aparece a configuración que acabamos de facer.
+
=== Revisamos a configuración ===
 +
Por último, a lapela ''Status'' mostra o estado do router na que aparece a configuración que acabamos de facer.
 +
En cada unha das catro lapelas atopamos a información correspondente:
 +
* Router
 +
* Local Network
 +
* Wireless
 +
* Traffic Statistics
  
−
IMAGEN
+
Na lapela ''Router'' indícase a versión do ''Firmware'': cómpre recordar que é aconsellable a actualización a última versión por cuestións tanto de rendemento como de seguridade.
  
 
== Tarefa 1.2. Outros routers ==
 
== Tarefa 1.2. Outros routers ==
Línea 71: Línea 89:
  
 
== Tarefa 2.1. Router Linksys ==
 
== Tarefa 2.1. Router Linksys ==
−
Seguiremos co simulador do router Linksys WRT54GR empregado na tarefa anterior.
+
Seguiremos co [http://ui.linksys.com/WRH54G/1.01.04/ simulador do router LinkSys WRT54G] empregado na tarefa anterior.
−
Para iso, accedemos novamento o simulador do [http://ui.linksys.com/WRH54G/1.01.04/ router WRT54G]
 
  
−
Seleccionamos a pestana Wireless->Wireless Security e eliximos:
+
Seleccionamos a pestana Wireless -> Wireless Security e eliximos:
 
* Security mode: WEP
 
* Security mode: WEP
−
* Encryption: 128 bits
+
* Default transmition TX Key: indicaremos do 1 o 4 o número do contrasinal que queremos empregar (se escribes unha en Key 1, debes indicar o valor 1)
−
* Key n: contrasinal que queremos empregar (debe ser forte)
+
* WEP Encryption: 128 bits 26 hex digits
−
* TX Key: indicaremos o número do contrasinal que queremos empregar: se escribes unha en Key 1, debes indicar o valor 1.
+
* Key 1: contrasinal que queremos empregar (debe ser forte)
  
−
IMAGEN
+
[[File:WRH54G_WEP.PNG|center|400px|Configuración Wireless con Security Mode WEP]]
  
 
O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.
 
O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.
Línea 92: Línea 109:
  
 
Debes documentar todos os pasos seguidos.
 
Debes documentar todos os pasos seguidos.
−
 
  
 
= Tarefa 3. Comprobación da seguridade WEP =
 
= Tarefa 3. Comprobación da seguridade WEP =
 
Nesta tarefa veremos o sinxelo que é descubrir o contrasinal dunha rede sen fíos con seguridade WEP.
 
Nesta tarefa veremos o sinxelo que é descubrir o contrasinal dunha rede sen fíos con seguridade WEP.
 +
 +
Para iso [https://wiki.cifprodolfoucha.es/index.php?title=Crackear_WEP_con_Aircrack utilizaremoa Aircrack para creackear esa rede con seguridade WEP]
  
 
= Tarefa 4. Seguridade WPA2-Personal =
 
= Tarefa 4. Seguridade WPA2-Personal =
−
Nesta tarefa configuraremos seguridade WPA2-Personal na rede Wifi.
+
Nesta tarefa configuraremos seguridade WPA2-Personal na rede WiFi.
  
 
== Tarefa 4.1. Router Linksys ==
 
== Tarefa 4.1. Router Linksys ==
 
Seguiremos co simulador do [http://ui.linksys.com/WRH54G/1.01.04/ router Linksys WRT54G]
 
Seguiremos co simulador do [http://ui.linksys.com/WRH54G/1.01.04/ router Linksys WRT54G]
  
−
Seleccionamos a pestana Wireless->Wireless Security e eliximos:
+
Seleccionamos a lapela Wireless -> Wireless Security e eliximos:
−
* Security mode: PSK-2 Mixed, de maneira que os algoritmos de encriptación serán TKIP ou AES.  
+
* Security mode: WPA2 Personal
−
* Passphrase: contrasinal que queremos empregar (debe ser forte)
+
* WPA Algorithms: as alternativas serán AES ou TKIP+AES.  
 +
* WPA Shared Key: contrasinal que queremos empregar (debe ser forte)
 +
* Key Renewal: por defecto 3600 segundos (1 hora)
  
−
IMAGEN
+
[[File:WRH54G_WPA2_Personal.PNG|center|400px|Configuración Wireless con WPA2 Personal]]
  
 
O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.
 
O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.
Línea 131: Línea 151:
 
A configuración será a seguinte:
 
A configuración será a seguinte:
  
−
IMAGEN
+
[[File:Escenario_WPA2-Enterprise.PNG|center|400px|Escenario Wireless con WPA2 Enterprise]]
 +
 
 +
== Tarefa 5.1. Instalación e configuración do servidor RADIUS ==
 +
Hai duas alternativas:
 +
* Instalac FreeRADIUS en pfSense
 +
* Instalar o servidor RADIUS nun equipo conectado directamente ao noso router sen fíos.
 +
 
 +
Para a instalación e configuración con pfSense, [https://www.redeszone.net/tutoriales/redes-wifi/configurar-servidor-freeradius-pfsense-wpa2-wpa3-enterprise/ podes seguir este tutorial] ou [https://techexpert.tips/pfsense/pfsense-radius-authentication-freeradius/ este outro].
  
−
== Tarefa 5.1. Instalación do servidor RADIUS ==
+
Para a instalación e configuración de FreeRADIUS e clientes, tes a continuacións as indicacións.
−
Instalamos o servidor RADIUS nun equipo conectado directamente ao noso router sen fíos.
 
  
−
Neste caso instalaremos o servidor Radius gratuíto [https://freeradius.org/ Freeradius] co comando:
+
=== Instalación de FreeRADIUS ===
 +
Neste caso instalaremos o servidor radius gratuíto [https://freeradius.org/ FreeRADIUS] co comando:
 
  sudo apt-get install freeradius
 
  sudo apt-get install freeradius
  
−
IMAGEN
+
[[File:apt-get_install_freeradius.PNG|center|400px|sudo apt-get install freeradius]]
−
+
 
 +
=== Configuración de FreeRADIUS ===
 
Unha vez instalado, temos que configurar varios ficheiros para indicarlle:
 
Unha vez instalado, temos que configurar varios ficheiros para indicarlle:
 
* Os clientes que se conectarán ao servidor RADIUS, xa que so atenderá as peticións dos que configuremos
 
* Os clientes que se conectarán ao servidor RADIUS, xa que so atenderá as peticións dos que configuremos
Línea 146: Línea 174:
 
* E o tipo de autenticación. Neste caso, PEAP, pois os contrasinais empregarémolos en texto plano.
 
* E o tipo de autenticación. Neste caso, PEAP, pois os contrasinais empregarémolos en texto plano.
  
−
Configuramos o noso AP no arquivo /etc/freeradius/clients.conf. Indicámoslle que o noso AP 192.168.0.1 empregará o contrasinal “probando”.
+
Configuramos o noso AP no arquivo:
 +
/etc/freeradius/3.0/clients.conf
  
−
IMAGEN
+
Indicámoslle que o noso AP 192.168.0.1 empregará o contrasinal “probando”.
  
−
Configuramos os usuarios que se conectarán a rede wifi no arquivo /etc/freeradius/users. Indicámoslle o nome de usuario e o contrasinal que empregará:
+
[[File:freeradius_clients_conf.PNG|center|400px|Ficheiro de configuracion clients.conf de FreeRADIUS]]
  
−
IMAGEN
+
Configuramos os usuarios que se conectarán a rede wifi no arquivo:
 +
/etc/freeradius/3.0/users
 +
 
 +
Indicámoslle o nome de usuario e o contrasinal que empregará. Podemos descomentar para deixar o usuario ''bob'' con contrasinal ''hello'':
 +
 
 +
[[File:freeradius_users_conf.png|center|400px|Ficheiro de configuración users.conf de FreeRADIUS]]
  
−
Configuramos o tipo de autenticación no arquivo /etc/freeradius/eap.conf. Indicámoslle que usaremos peap en vez de md5(comentamos esta liña):
+
Configuramos o tipo de autenticación no arquivo:
 +
/etc/freeradius/3.0/mods-enabled/eap
  
−
IMAGEN
+
Indicámoslle que usaremos peap en vez de md5:
 +
Comentando a liña
 +
#default_eap_type = md5
 +
 +
Engadingo a liña
 +
default_eap_type = peap
 +
[[File:freeradius_eap_conf.png|center|400px|sudo Ficheiro de configuración eap.conf de FreeRADIUS]]
  
 
A continuación xa podemos arrancar o servidor para ver as peticións que recibe:
 
A continuación xa podemos arrancar o servidor para ver as peticións que recibe:
−
  sudo freeradius –X :
+
  sudo freeradius –X  
  
−
IMAGEN
+
[[File:freeradius_sudo_freeradius_X.png|center|400px|sudo sudo freeradius -X]]
  
 
O servidor está preparado para recibir peticións de conexión.
 
O servidor está preparado para recibir peticións de conexión.
 +
 +
== Comprobación do Freeradius ==
 +
Para comprobar que FreeRadius está operativo e funcionando correctamente podes usar a ferramente radtest para probar unha conta desde a liña de comandos:
 +
radtest username password servername NAS-Port secret
 +
 +
Así, se o teu usuario e ''bob'' con contrasinal ''hello'', o teu servidor e local ''localhost'' e está usando o NAS-Port ''0'' e tes ''localhost'' (ou a ip de localhost) en clients.conf con un segredo ''testing123'', sería:
 +
radtest bob hello localhost 0 testing123
 +
 +
[[File:freeradius_radtest_comprobar_funcionamento.png|center|400px|Comprobando funcionamento...]]
 +
 +
Se algo sae mal, podes desinstalar borrando os ficheiros de configuración con
 +
sudo apt-get purge freeradius-common
 +
 +
Podes arrincar, parar e reiniciar o servizo con:
 +
radiusctl start
 +
radiusctl restart
 +
radiusctl stop
  
 
== Tarefa 5.2. Configuración do AP ==
 
== Tarefa 5.2. Configuración do AP ==
 
Configuramos o noso router para indicarlle que empregaremos seguridade WPA2-enterprise.
 
Configuramos o noso router para indicarlle que empregaremos seguridade WPA2-enterprise.
  
−
Antes de nada, comprobamos cal é a IP do servidor RADIUS, xa que teremos que indicarlla ao router
+
Primeiro comprobamos cal é a IP do servidor RADIUS, xa que teremos que indicarlla ao router:
 +
ifconfig
 +
ou
 +
ip a
  
−
IMAGEN
+
=== Exemplo 1 - Nun router Conceptronic ===
 +
 
 +
[[File:freeradius_ip.png|center|400px|Enderezo ip do servidor FreeRADIUS]]
  
 
Podemos comprobar que está na IP 192.168.0.111.
 
Podemos comprobar que está na IP 192.168.0.111.
−
A continuación procedemos a configurar o AP. Neste caso empregaremos un router Concep-tronic. Investigamos as súas opcións e vemos que temos que acceder a Wireless->Security. As opcións a configurar son:
+
 
 +
A continuación procedemos a configurar o AP.
 +
 
 +
Neste caso empregaremos un router Conceptronic. Investigamos as súas opcións e vemos que temos que acceder a Wireless -> Security.  
 +
 
 +
As opcións a configurar son:
 
* Security mode: WPA2 enterprise
 
* Security mode: WPA2 enterprise
 
* WPA algorithms: TKIP&AES
 
* WPA algorithms: TKIP&AES
 
* Radius IP Address: 192.168.0.111 (a IP do noso Radius)
 
* Radius IP Address: 192.168.0.111 (a IP do noso Radius)
 
* Radius Port: 1812 (porto por defecto do RADIUS)
 
* Radius Port: 1812 (porto por defecto do RADIUS)
−
* Shared key: probando (é a que configuramos en clients.conf)
+
* Shared key: testing123 (é a que configuramos en clients.conf)
  
−
IMAGEN
+
[[File:Conceptronic_Wireless_Security_WPA2_Enterprise.png|center|400px|Configuración de router Conceptronic para WPA2 Enterprise]]
  
 
Facemos clic en “Apply” e xa temos configurado o AP.
 
Facemos clic en “Apply” e xa temos configurado o AP.
 +
 +
=== Exemplo 2 - Nun router Linksys WRT1900ACS ===
 +
 +
[[File:freeradius_ip_a_probando_con_linksys.png|center|400px|Enderezo ip do servidor FreeRADIUS]]
 +
 +
As opcións a configurar son as da pantalla que se amosa:
 +
 +
[[File:linksys_wrt_1900_acs_wifi_wpa2_enterprise.png|center|400px|Configuración de router Linksys WRT1900ACS]]
  
 
== Tarefa 5.3. Configuración do cliente Wi-fi ==
 
== Tarefa 5.3. Configuración do cliente Wi-fi ==
−
Configuraremos un cliente nunha máquina Ubuntu 20.04 que será o usuario “usuario-1”, e outro cliente nunha máquina Windows 10 que será o usuario “usuario-2”
+
Configuraremos:
 +
* un cliente nunha máquina Ubuntu 20.04 que será o usuario “usuario-1”
 +
* un cliente nunha máquina Windows 10 que será o usuario “usuario-2”
 +
* un cliente nun smartphone Android que será o usuario "usuario-3"
  
−
''' Tarefa 5.3.1 Ubuntu 20.04 '''
+
=== Tarefa 5.3.1 Ubuntu 20.04 ===
  
 
Para configurar o noso cliente wifi, accedemos á configuración da conexión wifi WLAN_50 (Herramientas del sistema->Preferencias->Conexiones de red), na que configuraremos os parámetros do mesmo xeito que no servidor e no router:
 
Para configurar o noso cliente wifi, accedemos á configuración da conexión wifi WLAN_50 (Herramientas del sistema->Preferencias->Conexiones de red), na que configuraremos os parámetros do mesmo xeito que no servidor e no router:
Línea 205: Línea 284:
 
Pulsamos “ignorar” e xa estamos conectados a wifi WLAN_50.
 
Pulsamos “ignorar” e xa estamos conectados a wifi WLAN_50.
  
−
Se quixéramos empregar un certificado para validar a conexión co RADIUS, teríamos que instalar neste cliente o certificado do servidor que está no arquivo /etc/freeradius/certs do equipo do RADIUS.
+
AMPLIACIÓN. E se quixéramos empregar un certificado para validar a conexión co RADIUS?
−
 
+
Teríamos que instalar neste cliente o certificado do servidor que está no arquivo /etc/freeradius/certs do equipo do RADIUS.
−
''' Tarefa 5.3.2 Windows 10 '''
 
  
−
Do mesmo xeito que no caso anterior, accedemos á configuración da conexión wifi WLAN_50 (Panel de control->Redes e Internet-> Administrar redes inalámbricas), na que configuraremos os mesmos parámetros que no caso anterior:
+
=== Tarefa 5.3.2 Windows 10 ===
  
−
IMAGEN
+
A conexión nun equipo con Windows 10 tamén é bastante sinxela; deberemos engadir a rede sen fíos de xeito manual para posteriormente editar a configuración da autenticación.
  
−
Na pestana Seguridade indicamos:
+
''' Engadimos a rede sen fíos de xeito manual '''
−
* Tipo de Seguridade: WPA2 enterprise
 
−
* Tipo de cifrado: AES
 
−
* Autenticación de red: PEAP
 
−
 
−
IMAGEN
 
−
 
 
−
Facemos clic en “Configuración”, e na seguinte ventá:
 
−
* Non marcamos Validar un certificado de servidor
 
−
* Método Autenticación: EAP-MSCHAPv2
 
−
 
 
−
IMAGEN
 
  
−
Temos que configurar o método de autenticación. Para iso facemos clic en “Configurar”, e aparecerá a seguinte ventá na que desmarcaremos a opción de que empregue as mesmas credenciais que para o inicio de sesión de Windows:
+
Accedemos a:
 +
Panel de Control -> Redes e Internet -> Centro de redes y recursos compartidos
  
−
IMAGEN
+
E pulsamos sobre ''"Configurar una nueva conexión o red"''.
  
−
Facemos clic en “Aceptar” e voltaremos a ventá principal:
+
Deberemos seleccionar ''"Conectarse manualmente a una red inalámbrica"'' e pulsamos en ''siguiente''.
  
−
IMAGEN
+
No seguiente menú deberemos introducir os mesmos parámetros que no caso anterior:
 +
* no campo ''"Nombre de la red"'' o SSID correcto (prueba24)
 +
* no campo ''"Tipo de seguridad"'' seleccionaremos AES WPA2-Enterprise
 +
* no campo ''"Método EAP"'' seleccionaremos EAP protegido (PEAP).
 +
* no campo ''"Método de autenticación"'' seleccionaremos Contraseña segura (EAP-MSCHAP v2).
 +
* na casilla ''"Iniciar esta conexión automáticamente""'deixámola marcada se queremos que conecte automáticamente
  
−
Faremos clic en “Configuración Avanzada”, e aparecerá a seguinte ventá na que especifica-remos o modo de autenticación “Autenticación de usuarios”:
+
[[File:freeradius_prueba24_windows_1.PNG|center|400px|Configuracion en Windows 10]]
−
 
−
IMAGEN
 
  
−
Facemos clic en “Guardar credenciales” para indicarlle cal será o usuario e o contrasinal que utilizamos:
+
Cando intentemos conectar, pediranos usuario e contrasinal (por exemplo ''bob'' e ''hello'' e xa quedaremos conectados).
−
* Nome de usuario: usuario-2 (ten que coincidir con algún dos configurados no arquivo users)
 
−
* Contrasinal: usu-2 (ten que coincidir coa indicada para o usuario-2 no arquivo users)
 
−
 
−
IMAGEN
 
  
−
Aceptamos todas as ventás, e podemos comprobar a configuración da nosa conexión.  
+
=== Tarefa 5.3.3 Android ===
 +
PENDENTE
  
−
IMAGEN
+
= Ampliación =
 +
* [https://www.securityartwork.es/2014/01/13/dumb-down-atacando-redes-wifi-empresariales/ Atacando con Dumb Down redes Wifi empresariales]
 +
* [https://www.securityartwork.es/2013/12/12/aplicacion-de-aaa-authentication-authorization-and-accounting/ Uso de un servidor AAA]
  
 
= Autoavaliación das tarefas =
 
= Autoavaliación das tarefas =
 
   
 
   
 
{| class="wikitable"
 
{| class="wikitable"
−
|+Food complements
+
|+Rúbrica
 
|-
 
|-
 
!Indicadores
 
!Indicadores
Línea 309: Línea 379:
 
|-
 
|-
 
| Configurou o cliente Windows para acceso a rede WiFi con seguridade WPA2-Enterprise
 
| Configurou o cliente Windows para acceso a rede WiFi con seguridade WPA2-Enterprise
 +
|
 +
|
 +
|
 +
|-
 +
| Configurou o cliente Android para acceso a rede WiFi con seguridade WPA2-Enterprise
 
|
 
|
 
|
 
|
Línea 315: Línea 390:
  
 
= Referencias =
 
= Referencias =
 +
* Traballo realizado nunha licenza de formación retribuída pola Consellería de Cultura, Educación e Ordenación Universitaria con licenza Creative Commons BY-NC-SA por Amalia Falcón Docampo e Laura Fernández Nocelo
 +
== WPA2 Personal e WPA2 Enterprise ==
 +
* https://www.tp-link.com/es/support/faq/500/
 +
 +
== WPA2 e WPA3 ==
 
* [https://www.xataka.com/basics/que-se-diferencia-seguridad-wifi-wpa3-wpa2 Diferenzas entre WPA2 e WPA3]
 
* [https://www.xataka.com/basics/que-se-diferencia-seguridad-wifi-wpa3-wpa2 Diferenzas entre WPA2 e WPA3]
−
* Traballo realizado nunha licenza de formación retribuída pola Consellería de Cultura, Educación e Ordenación Universitaria e ten licenza Creative Commons BY-NC-SA por Amalia Falcón Docampo e Laura Fernández Nocelo
+
* [https://www.netspotapp.com/es/wifi-encryption-and-security.html#:~:text=Los%20protocolos%20de%20seguridad%20inal%C3%A1mbrica%20son%20WEP%2C%20WPA,enviados%20a%20trav%C3%A9s%20de%20las%20ondas%20de%20radio. Protocolos de seguridad inalámbrica: WEP, WPA, WPA2, y WPA3]
−
* https://www.netspotapp.com/es/wifi-encryption-and-security.html#:~:text=Los%20protocolos%20de%20seguridad%20inal%C3%A1mbrica%20son%20WEP%2C%20WPA,enviados%20a%20trav%C3%A9s%20de%20las%20ondas%20de%20radio.
+
* [https://www.linksys.com/es/support-article?articleNum=139152 Configuración de la seguridad inalámbrica WEP, WPA o WPA2 - linksys]
−
* https://www.linksys.com/es/support-article?articleNum=139152
+
* [https://www.redeszone.net/tutoriales/configuracion-routers/configurar-wpa3-router-wi-fi-conectar-windows/ Configura WPA3 en tu router Wi-Fi y conéctate con seguridad]
−
* https://www.redeszone.net/tutoriales/configuracion-routers/configurar-wpa3-router-wi-fi-conectar-windows/
+
 
−
* https://wiki.freeradius.org/guide/Getting-Started
+
== Radius ==
−
* https://bytexd.com/freeradius-ubuntu/
+
* [https://www.redeszone.net/tutoriales/servidores/que-es-servidor-radius-funcionamiento/ Qué es un servidor radius y su funcionamiento]
−
* https://bytexd.com/freeradius-debian/
+
* [https://wiki.freeradius.org/guide/Getting-Started Getting started]
−
* http://www.winradius.eu/
+
* [https://wiki.freeradius.org/guide/Basic-configuration-HOWTO Basic Configuration howto]
−
* https://wiki.freeradius.org/guide/Basic-configuration-HOWTO
+
* [https://bytexd.com/freeradius-debian/ freeradius Debian]
−
* https://thebackroomtech.com/2018/08/16/how-to-install-freeradius-on-ubuntu/
+
* [https://bytexd.com/freeradius-ubuntu/ freeradius Ubuntu]
−
* https://techexpert.tips/es/freeradius-es/instalacion-de-freeradius-en-ubuntu-linux/
+
* [https://thebackroomtech.com/2018/08/16/how-to-install-freeradius-on-ubuntu/ How to install freeradius on Ubuntu]
 +
* [https://techexpert.tips/es/freeradius-es/instalacion-de-freeradius-en-ubuntu-linux/ Instalación de freeradius en Ubuntu]
 +
* [http://www.winradius.eu/ freeRADIUS for Windows]
 +
* [https://www.securityartwork.es/2013/11/06/seguridad-wi-fi-empresarial-servidores-radius-i/ Seguridad wifi empresarial servidores radius I]
 +
* [https://www.securityartwork.es/2013/11/29/seguridad-wi-fi-empresarial-servidores-radius-ii/ Seguridad wifi empresarial servidores radius II]
 +
 
 +
== Radius e configuración de clientes ==
 +
* [https://www.redeszone.net/2017/12/13/como-configurar-y-utilizar-el-servidor-radius-interno-del-d-link-dap-2610/ Configuración del RADIUS y la red Wi-Fi en el D-Link DAP-2610, y de cliente W10 y Android]
 +
* [https://www.redeszone.net/tutoriales/redes-wifi/configurar-servidor-freeradius-pfsense-wpa2-wpa3-enterprise/ Radius en pfSense e clientes W10 e Android con WPA2-Enterprise]

Revisión actual del 09:54 24 sep 2021

Tarefa 1. Rede WiFi aberta

Nesta tarefa configuraremos varios APs ou routers e configuraremos a rede como aberta empregando simuladores na web.

Tarefa 1.1. Router Linksys

Nesta tarefa configuraremos o router Linksys WRT54GR empregando un simulador e:

  • deixaremos a WiFi aberta
  • cambiaremos o SSID por defecto
  • cambiaremos a canle
  • aprenderemos a facer filtrado MAC
  • revisaremos algunhas opcións de configuración

Acceso

Para iso, accedemos ao enlace do fabricante linksys e eliximos o router WRT54G. Vamos a configurar aspectos básicos desde punto de acceso sen fíos e establecer a rede como aberta.

Deshabilitamos DHCP

Aparece a seguinte ventá coa pestana Setup -> Basic Setup seleccionada por defecto. Nesta pantalla configuraremos a IP deste AP e a continuación desactivaremos o DHCP.

deshabilitamos DHCP

Cambiamos SSID e canle

A continuación, na pestana Wireless -> Basic Wireless Settings cambiamos o SSID do router e o canle:

Cambiamos SSID e canle

Deixamos a WiFI aberta

Na opción Wireless Security da lapela Wireless, desactivamos a seguridade, polo que a rede estará aberta.

Deixamos a rede aberta

Filtramos por MAC

E na opción Wireless MAC Filter podemos permitir ou denegar algún equipo indicando a súa MAC:

Podemos filtrar con lista branca ou negra por MAC

Revisamos parámetros de configuración do firewall

Na lapela Security podemos configurar parámetros relacionados co firewall:

Podemos configurar parámetros do firewall

Revisamos configuración VPN

E na opción VPN Passthroough da mesma lapela, podemos habilitar o protocolo a empregar:

Podemos configurar VPN

Configuramos políticas

Na lapela Access Restrictions, podemos establecer diferentes políticas a seguir, nas que se configurará:

  • a conexión a determinadas horas do día (seccións Days e Timing Control)
  • restrición a portos (sección Blocked Serviecs)
  • o bloqueo a determinadas webs (seccións Website Blocked by URL Address e Website Blocked by Keyword)
Podemos configurar políticas

Ademais, se facemos clic en Edit List of PCs poderemos indicar sobre que equipos aplicaremos as políticas establecidas, indicando as súas MACs ou IPs:

Filtrado por IP ou MAC

Revisamos configuración de redirección de portos e DMZ

Na lapela Aplications & Gaming podemos redireccionar portos ou configurar unha DMZ:

Port Forwarding, DMZ, UPnP

Cambiamos contrasinal de acceso ó router

Na pestana Administration cambiaremos o contrasinal de acceso ao router. É importante realizar este cambio periódicamente.

Router Management

Revisamos a configuración

Por último, a lapela Status mostra o estado do router na que aparece a configuración que acabamos de facer. En cada unha das catro lapelas atopamos a información correspondente:

  • Router
  • Local Network
  • Wireless
  • Traffic Statistics

Na lapela Router indícase a versión do Firmware: cómpre recordar que é aconsellable a actualización a última versión por cuestións tanto de rendemento como de seguridade.

Tarefa 1.2. Outros routers

Neste caso realizarás os mesmos pasos que no exercicio anterior pero empregando outro router diferente.

Podes acceder a calquera das seguintes webs e examinar algún dos simuladores dispoñibles:

Debes documentar todos os pasos seguidos

Tarefa 2. Seguridade WEP

Nesta tarefa configuraremos seguridade WEP na rede Wifi.

Tarefa 2.1. Router Linksys

Seguiremos co simulador do router LinkSys WRT54G empregado na tarefa anterior.

Seleccionamos a pestana Wireless -> Wireless Security e eliximos:

  • Security mode: WEP
  • Default transmition TX Key: indicaremos do 1 o 4 o número do contrasinal que queremos empregar (se escribes unha en Key 1, debes indicar o valor 1)
  • WEP Encryption: 128 bits 26 hex digits
  • Key 1: contrasinal que queremos empregar (debe ser forte)
Configuración Wireless con Security Mode WEP

O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.

Tarefa 2.2. Outros routers

Neste caso realizarás os mesmos pasos que no exercicio anterior pero empregando outro router diferente.

Podes acceder a calquera das seguintes webs e examinar algún dos simuladores dispoñibles:

Debes documentar todos os pasos seguidos.

Tarefa 3. Comprobación da seguridade WEP

Nesta tarefa veremos o sinxelo que é descubrir o contrasinal dunha rede sen fíos con seguridade WEP.

Para iso utilizaremoa Aircrack para creackear esa rede con seguridade WEP

Tarefa 4. Seguridade WPA2-Personal

Nesta tarefa configuraremos seguridade WPA2-Personal na rede WiFi.

Tarefa 4.1. Router Linksys

Seguiremos co simulador do router Linksys WRT54G

Seleccionamos a lapela Wireless -> Wireless Security e eliximos:

  • Security mode: WPA2 Personal
  • WPA Algorithms: as alternativas serán AES ou TKIP+AES.
  • WPA Shared Key: contrasinal que queremos empregar (debe ser forte)
  • Key Renewal: por defecto 3600 segundos (1 hora)
Configuración Wireless con WPA2 Personal

O contrasinal que configures aquí será o que ten que empregar o cliente WiFi para conectarse a rede sen fíos.

Tarefa 4.2. Outros routers

Neste caso realizarás os mesmos pasos que no exercicio anterior pero empregando outro router diferente.

Podes acceder a calquera das seguintes webs e examinar algún dos simuladores dispoñibles:

Debes documentar todos os pasos seguidos

Tarefa 5. Seguridade WPA2-Enterprise

Nesta tarefa imos a incrementar a seguridade instalando un servidor RADIUS na nosa rede e configurando seguridade WPA empresarial tanto nos sistemas Windows coma Linux.

Temos que realizar 3 tarefas:

  • Instalar un servidor RADIUS.
  • Configurar o router ou AP para indicarlle que utilice WPA2-enterprise
  • Configurar un cliente Windows e outro Linux para que poidan empregar a rede WiFi.

A configuración será a seguinte:

Escenario Wireless con WPA2 Enterprise

Tarefa 5.1. Instalación e configuración do servidor RADIUS

Hai duas alternativas:

  • Instalac FreeRADIUS en pfSense
  • Instalar o servidor RADIUS nun equipo conectado directamente ao noso router sen fíos.

Para a instalación e configuración con pfSense, podes seguir este tutorial ou este outro.

Para a instalación e configuración de FreeRADIUS e clientes, tes a continuacións as indicacións.

Instalación de FreeRADIUS

Neste caso instalaremos o servidor radius gratuíto FreeRADIUS co comando: 

sudo apt-get install freeradius
sudo apt-get install freeradius

Configuración de FreeRADIUS

Unha vez instalado, temos que configurar varios ficheiros para indicarlle:

  • Os clientes que se conectarán ao servidor RADIUS, xa que so atenderá as peticións dos que configuremos
  • Os usuarios que vai a autenticar.
  • E o tipo de autenticación. Neste caso, PEAP, pois os contrasinais empregarémolos en texto plano.

Configuramos o noso AP no arquivo: 

/etc/freeradius/3.0/clients.conf

Indicámoslle que o noso AP 192.168.0.1 empregará o contrasinal “probando”.

Ficheiro de configuracion clients.conf de FreeRADIUS

Configuramos os usuarios que se conectarán a rede wifi no arquivo: 

/etc/freeradius/3.0/users

Indicámoslle o nome de usuario e o contrasinal que empregará. Podemos descomentar para deixar o usuario bob con contrasinal hello:

Ficheiro de configuración users.conf de FreeRADIUS

Configuramos o tipo de autenticación no arquivo: 

/etc/freeradius/3.0/mods-enabled/eap

Indicámoslle que usaremos peap en vez de md5: 

Comentando a liña 
#default_eap_type = md5

Engadingo a liña
default_eap_type = peap
sudo Ficheiro de configuración eap.conf de FreeRADIUS

A continuación xa podemos arrancar o servidor para ver as peticións que recibe: 

sudo freeradius –X
sudo sudo freeradius -X

O servidor está preparado para recibir peticións de conexión.

Comprobación do Freeradius

Para comprobar que FreeRadius está operativo e funcionando correctamente podes usar a ferramente radtest para probar unha conta desde a liña de comandos: 

radtest username password servername NAS-Port secret

Así, se o teu usuario e bob con contrasinal hello, o teu servidor e local localhost e está usando o NAS-Port 0 e tes localhost (ou a ip de localhost) en clients.conf con un segredo testing123, sería: 

radtest bob hello localhost 0 testing123
Comprobando funcionamento...

Se algo sae mal, podes desinstalar borrando os ficheiros de configuración con 

sudo apt-get purge freeradius-common

Podes arrincar, parar e reiniciar o servizo con: 

radiusctl start
radiusctl restart
radiusctl stop

Tarefa 5.2. Configuración do AP

Configuramos o noso router para indicarlle que empregaremos seguridade WPA2-enterprise.

Primeiro comprobamos cal é a IP do servidor RADIUS, xa que teremos que indicarlla ao router: 

ifconfig

ou 

ip a

Exemplo 1 - Nun router Conceptronic

Enderezo ip do servidor FreeRADIUS

Podemos comprobar que está na IP 192.168.0.111.

A continuación procedemos a configurar o AP.

Neste caso empregaremos un router Conceptronic. Investigamos as súas opcións e vemos que temos que acceder a Wireless -> Security.

As opcións a configurar son:

  • Security mode: WPA2 enterprise
  • WPA algorithms: TKIP&AES
  • Radius IP Address: 192.168.0.111 (a IP do noso Radius)
  • Radius Port: 1812 (porto por defecto do RADIUS)
  • Shared key: testing123 (é a que configuramos en clients.conf)
Configuración de router Conceptronic para WPA2 Enterprise

Facemos clic en “Apply” e xa temos configurado o AP.

Exemplo 2 - Nun router Linksys WRT1900ACS

Enderezo ip do servidor FreeRADIUS

As opcións a configurar son as da pantalla que se amosa:

Configuración de router Linksys WRT1900ACS

Tarefa 5.3. Configuración do cliente Wi-fi

Configuraremos:

  • un cliente nunha máquina Ubuntu 20.04 que será o usuario “usuario-1”
  • un cliente nunha máquina Windows 10 que será o usuario “usuario-2”
  • un cliente nun smartphone Android que será o usuario "usuario-3"

Tarefa 5.3.1 Ubuntu 20.04

Para configurar o noso cliente wifi, accedemos á configuración da conexión wifi WLAN_50 (Herramientas del sistema->Preferencias->Conexiones de red), na que configuraremos os parámetros do mesmo xeito que no servidor e no router:

  • Seguridade: WPA2 enterprise
  • Autenticación: PEAP
  • Non eliximos certificado CA
  • Autenticación interna: MSCHAPv2
  • Nome de usuario: usuario-1 (ten que coincidir con algún dos configurados no arquivo users)
  • Contrasinal: usu-1 (ten que coincidir coa indicada para o usuario-1 no arquivo users)

IMAGEN

Como non indicamos certificado CA, mostra a seguinte ventá:

IMAGEN

Pulsamos “ignorar” e xa estamos conectados a wifi WLAN_50. 

AMPLIACIÓN. E se quixéramos empregar un certificado para validar a conexión co RADIUS? 
Teríamos que instalar neste cliente o certificado do servidor que está no arquivo /etc/freeradius/certs do equipo do RADIUS.

Tarefa 5.3.2 Windows 10

A conexión nun equipo con Windows 10 tamén é bastante sinxela; deberemos engadir a rede sen fíos de xeito manual para posteriormente editar a configuración da autenticación.

Engadimos a rede sen fíos de xeito manual

Accedemos a: 

Panel de Control -> Redes e Internet -> Centro de redes y recursos compartidos

E pulsamos sobre "Configurar una nueva conexión o red".

Deberemos seleccionar "Conectarse manualmente a una red inalámbrica" e pulsamos en siguiente.

No seguiente menú deberemos introducir os mesmos parámetros que no caso anterior:

  • no campo "Nombre de la red" o SSID correcto (prueba24)
  • no campo "Tipo de seguridad" seleccionaremos AES WPA2-Enterprise
  • no campo "Método EAP" seleccionaremos EAP protegido (PEAP).
  • no campo "Método de autenticación" seleccionaremos Contraseña segura (EAP-MSCHAP v2).
  • na casilla "Iniciar esta conexión automáticamente""'deixámola marcada se queremos que conecte automáticamente
Configuracion en Windows 10

Cando intentemos conectar, pediranos usuario e contrasinal (por exemplo bob e hello e xa quedaremos conectados).

Tarefa 5.3.3 Android

PENDENTE

Ampliación

Autoavaliación das tarefas

Rúbrica
Indicadores Si Non Observacións
Configurou a rede WiFi como aberta empregando o router Linksys
Configurou a rede WiFi como aberta empregando outro router diferente
Incorporou seguridade WEP a rede WiFi empregando o router Linksys
Incorporou seguridade WEP a rede WiFi empregando outro router
Conseguiu descubrir o contrasinal de acceso a rede WiFi con seguridade WEP
Incorporou seguridade WPA2-Personal a rede WiFi empregando o router Linksys
Incorporou seguridade WPA2-Personal a rede WiFi empregando outro router
Instalou o servidor RADIUS
Configurou o AP con seguridade WPA2-Enterprise
Configurou o cliente Ubuntu para acceso a rede WiFi con seguridade WPA2-Enterprise
Configurou o cliente Windows para acceso a rede WiFi con seguridade WPA2-Enterprise
Configurou o cliente Android para acceso a rede WiFi con seguridade WPA2-Enterprise

Referencias

  • Traballo realizado nunha licenza de formación retribuída pola Consellería de Cultura, Educación e Ordenación Universitaria con licenza Creative Commons BY-NC-SA por Amalia Falcón Docampo e Laura Fernández Nocelo

WPA2 Personal e WPA2 Enterprise

WPA2 e WPA3

Radius

Radius e configuración de clientes

Obtenido de «https://wiki.cifprodolfoucha.es/index.php?title=Configurando_os_modos_de_seguridade_WiFi&oldid=16022»