Como el router de la casa es un dispositivo que está encendido 24×7,  esto lo hace un lugar idóneo para configurar un servidor de VPN. En mi caso tengo instalado OpenWrt en mi router TP-LINK TL-WR1043ND (para instalarlo puedes consultar el artículo de Instalación de OpenWrt en TP-LINK TL-WR1043ND). Este el artículo está redactado de forma general y describe cómo configurar OpenVPN en OpenWrt para cualquier modelo de router que tengas.

Instalación de OpenVPN en OpenWrt

En el router solo instalaremos el paquete de OpenVPN:

opkg install openvpn

Certificados (en el PC)

Los certificados del cliente y el servidor lo realizaremos en un PC con Linux, más en concreto con Debian. La idea de esto es evitar instalar software en el router ya que ocupa espacio en la limitada rom. Para obtener lo necesario instalamos el paquete openvpn de los repositorios:

aptitude install openvpn

• Crear el directorio de trabajo y los archivo base a usar:

mkdir /etc/openvpn/easy-rsa/
cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/

• Editar  el archivo /etc/openvpn/easy-rsa/vars, el cual permitirá crear un certificado único usando los valores proporcionados:

export KEY_COUNTRY="VE"
export KEY_PROVINCE="DC"
export KEY_CITY="Caracas"
export KEY_ORG="Mi organización"
export KEY_EMAIL="[email protected]"

• Ir a el directorio de trabajo y cargar el archivo que editamos:

cd /etc/openvpn/easy-rsa/
source vars

Ahora pasamos a crear los certificados del servidor y los clientes.

Certificados del servidor

Para crear los certificados del servidor se debe realizar los siguientes pasos:

./clean-all./build-dh
./pkitool --initca
./pkitool --server server
cd keys
openvpn --genkey --secret ta.key

Certificados de los clientes

Para generar el certificad odel cliente se debe usar basta con hacer:

cd /etc/openvpn/easy-rsa/
source vars
./pkitool hostname

Donde hostname es el nombre de la máquina donde se instalará el certificado y las llaves (componente aleatorio).

Configuración de la VPN

Ahora veremos cómo configurar la VPN en tanto en el servidor como en los clientes.

Configuración del servidor (en el router)

• Copiar los certificados generados para el servidor en el router:

scp server.crt server.key ca.crt dh1024.pem ta.key [email protected]:/etc/openvpn/

Donde 192.168.1.1 es la dirección IP del router de este ejemplo.

• Aunque tengamos creado un archivo de configuración de forma similar en otro servidor OpenVPN, es mejor seguir el formato propuesto por la gente de OpenWrt y adaptarlo a nuestras necesidades. En ese sentido se debe editar el archivo /etc/config/openvpn con los siguientes valores (por razones de espacio solo coloco las líneas no comentadas).

config openvpn sample_server
    option enable 1
    option port 1194
    option proto udp
    option dev tun
    option ca /etc/openvpn/ca.crt
    option cert /etc/openvpn/server.crt
    option key /etc/openvpn/server.key
    option dh /etc/openvpn/dh1024.pem
    option server "10.8.0.0 255.255.255.0"
    option ifconfig_pool_persist /tmp/ipp.txt
    option client_to_client 1
    option keepalive "10 120"
    option comp_lzo 1
    option persist_key 1
    option persist_tun 1
    option status /tmp/openvpn-status.log
    option verb 3

Configuración de los clientes (en los PCs)

• Copiar los certificados y llaves generados para cada cliente, por ejemplo la máquina hostname, como se explica a continuación:

/etc/openvpn/ca.crt
/etc/openvpn/easy-rsa/keys/hostname.crt
/etc/openvpn/easy-rsa/keys/hostname.key
/etc/openvpn/ta.key

• Si no se ha instalado OpenVPN en los clientes se debe proceder a hacerlo:

aptitude install openvpn

• Copiar el archivo ejemplo de configuración del cliente:

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/

• Editar el archivo copiado con los siguientes valores:

client
dev tun
proto udp
remote 192.168.1.30 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca /mnt/datos/OpenVpn/easy-rsa/keys/ca.crt
cert /mnt/datos/OpenVpn/easy-rsa/keys/hostname.crt
key /mnt/datos/OpenVpn/easy-rsa/keys/hostname.key
ns-cert-type server
tls-auth /mnt/datos/OpenVpn/easy-rsa/keys/ta.key 1
comp-lzo
verb 3

En la directiva remote se usó una dirección IP fija, pero puedes configurar un nombre de dominio dinámico en dyndns o no-ip y colocar el dominio en vez de una dirección dinámica o privada.

Habilitar el servicio

Ahora tanto del lado del servidor (OpenWrt) como de los clientes (PCs) se debe habilitar el servicio OpenVPN. Para cada caso se tiene:

Habilitar el servicio en el servidor (en el router)

Ejecutar lo siguiente en OpenWrt:

/etc/init.d/openvpn enable
/etc/init.d/openvpn start

Habilitar el servicio en los clientes (en los PCs)

Ahora se debe habilitar el servicio OpenVPN en los clientes. En general dependerá de la distribución que se tenga, pero para habilitar el servicio en Debian puede hacerse:

update-rc.d openvpn defaults
/etc/init.d/openvpn start

Luego de esto el servidor una interfaz tun con la dirección 10.8.01, y los clientes otra interfaz con alguna dirección como la 10.8.0.x.

Referencias

• Documentación de OpenVPN en Ubuntu (en inglés)
  
• Guía de configuración de OpenVPN en OpenWrt (en inglés)

Por razones ajenas a mi voluntad tuve que comprar otro router inalámbrico y aproveché de comprar el TP-LINK TL-WR1043ND, el cual viene con un puerto USB para compartir una conexión 3G con un módem USB. Lo compré a sabiendas de que OpenWrt funcionaría con este router por lo que inmediatamente que lo conecté procedí a instalarlo.

¿Por qué instalar OpenWrt?

El router TP-LINK TL-WR1043ND viene con muchas funciones con el firmware original, las cuales se pueden controlar desde una interfaz web, pero no se puede extender más allá de estas funciones. Con OpenWrt se tienen las mismas funciones que vienen con el router y se puede instalar software adicional que permita extender estas funciones. Un ejemplo que me viene a la mente es la posibilidad de instalar un web proxy como Squid en el router, o por ejemplo, configurar una VPN .

Instalación

Dejo aquí los pasos necesarios para poner a funcionar OpenWrt en el router TP-LINK TL-WR1043ND por si estás interesado en hacer lo mismo:

1. Descargar la imagen para el router TL-1043ND (Backfire 10.03.1-rc6). Nota: Recomiendo que verifiquen la versión del router y descargar la versión de OpenWrt que se ajuste al router que tengan.
2. Ir la interfaz web del router y buscar el apartado System Tools > Firmware Upgrade

1. Seleccionar la imagen descargada y esperar a que se complete el proceso.

Una vez terminado el proceso el router se reiniciará y comenzará a trabajar con la configuración por omisión. Es decir, se podrá acceder a la interfaz web desde la dirección http://192.168.1.1 o incluso se podrá entrar al sistema vía ssh.

Referencias

• Página de OpenWRT
• TP-Link TL-WR1043ND en OpenWrt

Viendo las distinta versiones de OpenWrt me percato de que existe una versión de pruebas que se actualiza con más frecuencia. Como Instalé Kamikaze en mi TP-Link TL-WR841N v7.1, y esta es una versión anterior a la actual Backfire, decidí probar motivado a que existe un binario para la versión de mi router (v7.1).

Instalación de testing

Para actualizar a la versión testing Attitude Adjustment debes hacer lo siguiente:

1. Descargar la imagen testing para el router TL-WR841 v7.1.
2. Ir a System > Flash Firmware y subir la imagen que se descargó



3. Se indicará la suma de comprobación MD5 de la imagen a flashear, para que se pueda comparar.



4. Una vez verificada la imagen, procede a aplicar.

No hay interfaz web

Luego de aplicar la imagen intenté acceder a la interfaz web sin éxito, pero si pude entrar por ssh. Desde allí comprobé que la imagen viene sin la interfaz web instalada, por lo que se debe hacer lo siguiente para activarla:

opkg update
opkg install luci
/etc/init.d/uhttpd restart

La interfaz sigue siendo la misma, y realmente no noto grandes cambio. Pero me percato que ya tiene el soporte USB activo a través de módulo cargado. Esto puede ser de interés si por ejemplo más adelante quisiera usar el puerto disponible en el board como comentan en el foro de dd-wrt.

Capturas adicionales

Aquí les dejo un par de capturas adicionales del monitoreo que se puede hacer desde la interfaz web: