Este documento es un anexo al documento publicado anteriormente Guía paso a paso para crear una VPN y un túnel de acceso remoto para mantenimiento de repetidores Kenwood.
El Problema: El candado
del PC Corporativo En el manual principal establecimos que la mejor forma de
lograr la independencia total para gestionar repetidores Kenwood remotos era
instalando la pequeña aplicación de WireGuard en nuestro ordenador portátil.
Sin embargo, el mundo real de las
empresas está lleno de barreras de seguridad. ¿Qué ocurre si la empresa para
la que trabajas te entrega un portátil corporativo totalmente bloqueado? No
tienes permisos de administrador, no puedes instalar aplicaciones de terceros y
el departamento de IT se niega a abrir excepciones. La seguridad corporativa te
ahoga y te impide "estirar el cable invisible" hacia tu laboratorio.
La Solución: El
"Traductor Mango" (Hardware vs. Software) Si no podemos meter el
túnel dentro del PC mediante software, sacaremos el túnel fuera del PC mediante
hardware.
Para ello, utilizamos un router
de viaje ultra-compacto (conocido coloquialmente como el "Mango" por
su característico color amarillo).
Con el engañamos al sistema
central haciendo que sea el router Mango el que se comporte como el
"Técnico en movilidad".
Conectamos nuestro PC corporativo
“bloqueado” a la red Wi-Fi o al puerto LAN del router Mango.
El router Mango se encarga de
"traducir" todo nuestro tráfico y meterlo por el túnel WireGuard de
forma totalmente transparente para el ordenador, sin tener que instalar ni un
solo programa en Windows.
Veamos paso a paso como se
consigue en esa conversación de amigos (Carlos / El Experto).
Carlos: Oye, la conexión
remota va fantástica, pero ahora tengo un problema: mi empresa ha cambiado los
PC por nuevos, ha añadido VPNs y políticas estrictas, y no nos dejan instalar
nada de nada. Eso de instalar el cliente de WireGuard en Windows me han dicho que
ni hablar, o sea, ¡todo el trabajo a la basura!
El Experto: De eso nada,
Carlos, existen trucos casi para todo. Mira, ¿ves esa caja amarilla chillona de
la estantería? Esa es tu solución.
Carlos: ¿Cómo? ¿Ese enano
amarillo (el router GL.iNet Mango)? ¿Qué voy a poder hacer lo mismo con toda la
seguridad de mi nuevo PC?
El Experto: Sí,
exactamente. La gran ventaja es que el cliente de WireGuard se ejecuta dentro
del propio cacharrito, no en tu ordenador. Para tu nuevo PC corporativo, el
Mango es simplemente un router normal y corriente; te conectas a él por cable
de red o por Wi-Fi y listo. Tu empresa no tiene que instalar ningún software ni
modificar las políticas de seguridad del sistema. Pero claro, antes de
llevártelo a casa o dárselo al cliente, hay que prepararle el
"pasaporte" en el taller basándonos exactamente en la configuración
real de nuestro servidor.
Carlos: Vale, estoy delante del ordenador del taller.
¿Cuáles son los pasos exactos en el router fijo?
El Experto: Entra en la web de gestión del Ruijie
fijo del taller (192.168.110.1) y vas al menú izquierdo: Gateway > VPN
> WireGuard. Verás tu "Servidor" VPN-Casa hacemos clic
a su derecha en Editar. Se abre la ventana ya configurada de VPN_Casa,
casi al final ves el “Cliente” que creaste para tu PC antiguo, ahora
vamos a crear uno nuevo, en la línea de Cliente dale al botón de +Añadir.
Carlos: Vale le
doy a añadir… anda de esto me acuerdo, pongo en nombre “VPN_Mango”,
luego pongo la IP, aquella inventada pero un número más, mi PC antiguo es la
10.0.0.2 pues esta será la10.0.0.3.
El Experto: pero bueno ya no necesitas.
Carlos: de eso nada, tú de
aquí no te mueves, ¿ahora que tenía que hacer? Aquí había cosas raras.
El Experto: El resto lo
dejas tal cual, la "Clave pública" ya estará cumplimentada, la casilla "Solo la IP
de la interfaz" debe estar activa y "Clave previamente compartida" en blanco.
Recuerda que nada más poner el
nombre y la IP, aparece un código QR que indica que el archivo se ha creado (si
te pones sobre el QR te muestra el texto del mismo).
Si tienes buena memoria aquí
habíamos editado las IPs del archivo con “Bloc de Notas”, pero al router “Mango”
le da igual porque las sobrescribe, así que no vale la pena editarlas, haz clic
en el botón para descargar el archivo de cliente que llamaste “VPN_Mango”,
guárdalo en el ordenador y guarda la regla en el este router de taller dándole
al botón “Aceptar”.
Carlos: oye Experto en nuestro
manual anterior, este archivo que habíamos creado lo importábamos en la
aplicación WireGuard de Windows. Pero como en este PC corporativo nuevo la
empresa me tiene bloqueada la instalación de programas... ¿qué hacemos?
El Experto: Aquí es donde
el enano amarillo hace su magia. Olvídate de la aplicación de Windows. Enciende
el router “Amarillo“ el “Mango” y
conéctate a su entrada LAN o por Wifi como haces con otros routers, encuentras
la red, pones contraseña y ya está. Abre el panel web de administración introduciendo
su IP en el navegador 192.168.8.1 y su contraseña por defecto es “goodlife”,
pero tendrás que cambiarla, cámbiala y vamos a su panel. Bien tienes conexión
wifi aunque lo mejor es por cable, conecta un cable desde tu router al WAN de
Mango y del LAN de Mango a tu PC, todo está por DHCP recuerdas, hablan entre
ellas y se conectan
Carlos: Genial, Hecho!
El Experto: Ahora ya estas
dentro, en el menú de la izquierda, ve a VPN> Cliente WireGuard
(WireGuard Client).
Dale a Añadir Nuevo Perfil (Add
New Profile).
Verás una opción que te permite
arrastrar o seleccionar archivos. Sube ahí directamente el archivo .conf que habías
guardado.
El Mango leerá toda la
configuración de golpe de forma automática. Le das a Guardar y haces clic en el
botón Conectar (Connect). En unos segundos verás que el estado cambia a
conectado y se enciende su luz verde virtual. ¡El router ya ha establecido el túnel
por su cuenta!
Carlos: ¡Qué bueno! El
túnel ya vive dentro del Mango. ¿Pero cómo lo uso ahora en mi PC? Todavía no lo
veo
El Experto: El Mango ahora
tiene el túnel hecho y funcionando, pero si llamas a una página web no la podrás
ver.
Carlos: Como ¿no tengo el túnel hecho?.
Experto; Sí, pero Mango es
muy suyo, ha hecho su túnel con el servidor Ruijie de taller y no ve a nadie más, solo ve la IP 10.0.0.1. Tenemos que modificar algunos parámetros para que
funcione, algo similar a cuando editamos el archivo y las IPs en Wireguard del
router Ruijie.
Carlos: Vale por eso no tengo acceso a webs, ni a
correo, ni nada, pero si hago un pin a 10.0.0.1 si responde.
El Experto: Correcto es buena herramienta la del pin ¿a
que sí?
Carlos: Sin duda.
El Experto:
Ahora ves a “Panel de control VPN” Haz clic en “Proxy Global”
Selecciona: en las casillas de “Modo
Política”> “Basado en Dominio o IP de destino”, El VPN siempre
trabaja en el dominio 10.0.0.0/24 pero además por el VPN también pasarán las
IPs que se fijen en la política de enrutamiento donde tienes que poner las IPs
de los routers Ruijie de Fijo (tu base de taller) y Movil o Maleta el que está
con conexión Movil.
con esta selección ahora solo pasara
por el VPN el dominio propio 10.0.0.0/24 y los que añadiremos ahora, cierra la ventana.
Comprueba que estas en política. “Política
de VPN Basada en Dominio o IP de destino”.
Un poco más abajo haz “clic en definidos
por la dirección IP o el nombre de dominio” te aparece una ventana vacía,
introduce los rangos de las IPs de los routers a modo de listado,
recuerda 0/24 al final es el barrio entero..
Carlos, Si claro
El Experto, Aquí es donde
se fija que direcciones pasarán por el VPN cuando se las llame, el resto de las
direcciones teóricamente saldrán por conexión WAN.
Carlos: Por qué dices teóricamente.
El Experto: porque como te digo “Mango “es muy suyo y
por defecto viene con el acceso WAN desconectado y tienes que activarlo, vuelve
al panel “VPN cliente”
abre “Opción Global” y
activa “Permitir Acceso WAN”. Terminaste amigo.
Carlos: ¡Pum! Instantáneo.
En cuanto le doy a Aplicar, recupero internet en el PC corporativo y sigo
teniendo el acceso directo al repetidor 192.168.120.18 abierto.
El Experto: ¡Eso es! Al
activar ese interruptor, el Mango hace el puente perfecto: permite que tu
tráfico general de internet salga directamente por tu proveedor local. El PC de
la empresa funciona al 100%, tú tienes el control y no te has saltado ni una
sola norma de seguridad de la oficina. ¡A prueba de bombas!
Carlos:si ya puedo conectar de nuevo con los routers
a través de Wireguard sin haber instalado nada. ¡Genial¡,!! eres un crack!!
