Re: OpenVPN Roadwarrior - Proteger certificados que se instalan en equipos clientes Win2

[ciracusa <ciracusa@gmail.com>]

On 22/05/13 13:02, Camaleón wrote:
> El Wed, 22 May 2013 12:00:28 -0300, ciracusa escribió:
>
>    
> > On 22/05/13 11:21, Camaleón wrote:
> >      
> (...)
>
>    
> > > Podrías añadir un requerimiento adicional de seguridad como por
> > > ejemplo, solicitar usuario/contraseña.
> > >
> > >        
> > Camaleon, si si, no lo descarto.
> >
> > Pero me gustaría mucho implementar algo que sea personal tipo
> > USB/Pendrive y/o alguna autenticación como decía Mstaaravin.
> >      
> Hum... tengo filtrados a varios usuarios de esta lista así que no leo/veo
> sus mensajes por lo que no sé a qué te refieres exactamente con "algo
> personal tipo USB" ¿quieres decir una solución de tipo OTP (generador de
> contraseñas al vuelo? ¿o a un hardware de seguridad? Porque una llave USB
> también se la pueden llevar.
>    
Si tienes razón, luego de analizarlo estoy viendo este panorama:

- Certificados VPN con clave al conectar.
- Filtrar con Iptables en el Server OPENVPN desde donde se conectan (de 
esto aún no pude buscar información por la "querida" internet).
>    
> > Ahora, estaba pensando, sería posible "autenticar" los hosts desde donde
> > se realiza la petición de autenticación para el OpenVPN?
> >
> > Digo, habilitar a nivel de IPTABLES en el Server OpenVPN desde que IPs
> > se me conectan.
> >      
> Ese sistema de vincular una IP con un usuario no suele dar buen resultado
> para los road-warrior ya que la mayoría de las conexiones que usan son de
> IP dinámica o salen a través de un NAT/proxy.
>    
Te comento, en mi caso solo tendré 2 clientes y si bien son RoadWarrior, 
deberían trabajar de lugares remotos pero fijos, vamos, no son viajantes 
que recorren el País.

Sobre lo del NAT/Proxy es un tema que me preocupa.
>    
> > El tema es que como los clientes tienen ADSLs tendría que buscar la
> > manera de saber que IPs tienen en cada momento?
> >      
> (...)
>
> Y cambiarla continuamente... no, no me parece una buena idea ni tampoco
> práctica.
>
> Saludos,
>
>    
Ok, que me sugieres tú para asegurarme que algún pillo no les "robe" los 
certificados VPN y tenga pleno acceso contra mis servidores?

Muchas Gracias.

Saludos.