Configuración del servidor OpenVPN en routers ASUS

El servidor OpenVPN de los routers y sistemas Wi-Fi Mesh de ASUS nos permite configurarlo de dos formas diferentes, con una «Configuración general» donde únicamente modificaremos el puerto de escucha de OpenVPN y el usuario/contraseña para acceder al servidor, y luego tenemos una «Configuración avanzada» que nos permitirá realizar más configuraciones de seguridad adicionales.

Nuestra recomendación a la hora de configurar el servidor OpenVPN en los routers ASUS, es que vayas directamente a por la configuración avanzada, porque nos va a proporcionar todas las opciones de configuración disponibles en el software, como si lo instalásemos en un servidor con Linux y editásemos el fichero de configuración de OpenVPN. Uno de los aspectos que más nos gustan de los routers de ASUS es la implementación del servidor OpenVPN, porque no solamente dispondremos de muchas opciones de configuración vía web, sino que también disponemos de un campo de texto donde podremos añadir configuraciones personalizadas avanzadas, ideal para adaptarlo perfectamente a nuestras necesidades.

Paso 1: Configurar el DNS dinámico para conectarnos vía dominio en lugar de IP pública

Si nuestro operador de Internet nos proporciona dirección IP pública dinámica, esta IP cambiará cada vez que encendamos el router, o cuando pase un cierto tiempo. Para poder conectarnos a nuestro servidor OpenVPN es fundamental saber en todo momento la dirección IP pública, o bien, podemos configurar un DNS dinámico para utilizarlo en lugar de la dirección IP.

ASUS nos permite configurar varios proveedores de DNS dinámicos, para configurarlo debemos irnos a la sección de «WAN / DDNS» y podremos ver el listado de compatibilidad:

• El DNS dinámico de ASUS
• Google
• DynDNS
• SelfHost
• Zoneedit
• DNSomatic
• Tunnelbroker
• NoIP
• Oray

Nuestra recomendación es usar el servidor DDNS del propio ASUS, DynDNS o No-IP, ya que son los típicos que se suelen utilizar en estos casos. Si tienes un servidor NAS, es probable que también te proporcione un DNS dinámico gratuito, también podrías utilizarlo para conectarte al servidor OpenVPN del router ASUS.

Después de haber configurado el servicio de DNS dinámico, podremos empezar a configurar el servidor OpenVPN.

Configuración del servidor OpenVPN en «Modo general»

En la sección de «VPN / Servidor VPN / OpenVPN» es donde tendremos todas las opciones de configuración del servidor OpenVPN. Tendremos que habilitarlo pinchando en «Habilitar servidor OpenVPN», y una vez que se habilite, tendremos el menú general del servidor OpenVPN con las opciones básicas de configuración. En esta sección podremos configurar diferentes aspectos del servidor:

• Puerto del servidor: por defecto es 1194 UDP, pero podremos cambiar el puerto por cualquier otro, y es recomendable hacerlo.
• RSA Encryption: ASUS genera automáticamente una CA con certificado de servidor y clientes basado en RSA, podremos elegir una seguridad de 1024 bits o 2048 bits, hoy en día es recomendable como mínimo 2048 bits, por lo que seleccionamos esta opción. No obstante, si nosotros creamos la CA (Autoridad de Certificación) y los certificados del servidor y clientes con seguridad de 4096 bits e incluso con EC, podremos posteriormente «pegar» estos certificados en la sección de «Configuración avanzada». Sin lugar a dudas, esta última forma es la mejor de cara a la seguridad de las comunicaciones.
• Client will use VPN to access: aquí podremos definir el comportamiento de la VPN, si queremos únicamente acceder a la red local vía VPN, o también acceder a Internet (redirección del tráfico). Esta última opción es la que nos permitirá tener seguridad en redes Wi-Fi públicas, por lo que es recomendable siempre seleccionar esta opción.

Justo debajo, tendremos la posibilidad de añadir un total de 16 usuarios con sus respectivas contraseñas, estos usuarios/claves tendremos que introducirlo para conectarnos al servidor OpenVPN. Añadimos uno y pinchamos en «+», posteriormente pinchamos en «Aplicar» para arrancar el servidor OpenVPN con la configuración elegida.

Una vez que haya arrancado, podremos pinchar en una nueva opción que indica «Exportar archivo de configuración OpenVPN», el cual incorpora todo lo necesario para conectarnos a nuestro servidor OpenVPN, tal y como podéis ver aquí:

Lo único que debemos cambiar de este fichero de configuración es la dirección IP que nos aparece por el dominio que hayamos configurado, por tanto, deberemos poner: «remote dominio.no-ip.org 43333» por ejemplo.

Aunque la seguridad de este servidor OpenVPN es notable, ya que utiliza una CA con RSA 2048bits y con un certificado cliente generado automáticamente, es recomendable siempre montar nuestra autoridad de certificación y usar nuestros propios certificados individualmente, para aumentar la seguridad del servidor. Para poder acceder a la configuración avanzada, deberemos seleccionar en «Detalles de VPN: Configuración avanzada» y se nos desplegará un nuevo menú.

Configuración del servidor OpenVPN en «Modo avanzado»

En el modo avanzado del servidor OpenVPN de los ASUS podremos configurar en detalle el servidor OpenVPN para tener la máxima seguridad. En este menú podremos configurar los siguientes aspectos:

• Tipo de interfaz: TUN o TAP. Recomendable TUN para tunelizar todo el tráfico en una nueva subred.
• Protocolo: UDP o TCP. Recomendable usar UDP, será más rápido y permitirá más clientes VPN simultáneos con un buen rendimiento.
• Puerto del servidor: el elegido anteriormente, es recomendable no usar el 1194 que es el de por defecto.
• Responder a DNS: marcar sí para usar los DNS del servidor VPN
• Cifrado: AES-256-CBC (aunque posteriormente configuraremos un cifrado simétrico mejor, AES-256-GCM).
• HMAC Authentication: SHA512, también puedes elegir SHA256, ambas opciones son seguras actualmente.
• Compresión: Deshabilitar.
• Solo autenticación mediante nombre de usuario y contraseña: No (usaremos certificados digitales más el usuario/clave).
• Modo de autorización: TLS. Vamos a añadir unos certificados digitales creados manualmente para mejorar la seguridad.
• RSA Encryption: 2048 bits, aunque no lo usaremos ya que pondremos unos certificados digitales creados manualmente.
• Autorización HMAC Adicional: Incoming (0)
• Máscara de red / subred VPN: 10.8.0.0 y 255.255.255.0 está correcto.
• Empujar LAN a clientes: sí
• Clientes directos para redireccionar el tráfico de Internet: sí
• Tiempo de renegociación TLS: -1
• Administrar opciones específicas del cliente: opcional, por defecto no.

La configuración inicial quedaría así:

La parte más importante es la de poder incorporar tu propia CA y certificado digital del servidor para posteriormente utilizar los certificados digitales de los clientes VPN. Esto se configura pinchando en «Modificación de contenido de teclas y certificación«. Para crear una autoridad de certificación con sus correspondientes certificados digitales, os recomendamos acceder a nuestro completo tutorial de cómo crear un servidor OpenVPN paso a paso. Ahí podrás elegir que en lugar de utilizar RSA utilicemos Curvas Elípticas para una mejor seguridad y más eficiente, asimismo podrás incorporar una clave secreta adicional en los clientes VPN para que te pida una confirmación adicional (no lo hagas en el certificado del servidor porque no lo podrá leer el router).

Para que podáis probarlo, aquí os dejamos los certificados que hemos creado para vosotros, pero solamente usadlo para las pruebas, luego tenéis que crearlos vosotros manualmente.

Autoridad de certificación:

Certificado del servidor donde hemos utilizado secp521r1.

Clave privada del certificado del servidor:

Los parámetros Diffie-Hellmann que nos genera el router ASUS los dejamos así, no los vamos a utilizar así que no hay problema por dejarlo así, si los borramos nos dará error.

Como medida de seguridad adicional, vamos a utilizar la característica tls-auth, sin esta clave privada compartida con todos los clientes VPN no podremos conectar. Esta característica nos protegerá frente a posibles ataques DoS al servidor OpenVPN. Para introducirla en el router, debemos pinchar en «Modo de autorización: Static Key» y darle a «Modificación de contenido de teclas y certificación«.

La generación de esta «ta.key» lo habéis podido ver en el tutorial de generación de claves, pero aquí os dejamos la nuestra, simplemente tenéis que copiar y pegar.

Una vez que hayamos realizado toda esta configuración, procedemos a seleccionar nuevamente «Modo de autorización: TLS», y pinchamos en «Aplicar» para guardar todos los cambios realizados. Más directivas avanzadas que podremos incorporar al servidor VPN son las siguientes:

Estas directivas nos permitirán tener una mayor seguridad tanto en el canal de control (TLS 1.2 como mínimo), y también en el canal de datos (AES-256-GCM), por lo que tendremos una configuración en modo «paranoico».

Ahora pinchamos en «Aplicar» nuevamente, y ya tendremos configurado el servidor OpenVPN en el router del fabricante ASUS.

Configuración de los clientes OpenVPN

Una vez que hemos configurado el servidor OpenVPN, ahora tendremos que configurar los clientes OpenVPN con la configuración tan personalizada que hemos realizado. Todos y cada uno de los clientes VPN deben tener los siguientes archivos:

• ca.crt (autoridad de certificación).
• cliente1-openvpn-redeszone.crt (certificado del cliente)
• cliente1-openvpn-redeszone.key (llave privada del certificado)
• ta.key (todos los clientes deben tener esta llave para autenticación con tls-auth).

Tal y como hemos hecho antes con el servidor, os proporcionamos nuestros certificados para que probéis que funciona bien, pero os recomendamos que vosotros os creéis los certificados de forma manual con el tutorial que os hemos indicado anteriormente.

Autoridad de certificación ca.crt:

Certificado del cliente cliente1-openvpn-redeszone.crt

Clave privada del certificado, cliente1-openvpn-redeszone.key.

Ta.key que es necesaria para todos los clientes:

Finalmente, tenemos que crear un archivo de configuración del cliente con extensión .ovpn para Windows (por defecto), o .conf para sistemas Linux. El fichero de configuración sería el siguiente:

Al conectarnos al servidor OpenVPN, además de utilizar los certificados digitales generados y configurados, también tendremos que introducir el usuario/contraseña que hayamos dado de alta en el router. En la siguiente captura podéis ver que efectivamente el cliente OpenVPN está conectado perfectamente:

A continuación, os dejamos el registro del servidor OpenVPN del router:

Y este sería el registro del cliente OpenVPN al conectarse correctamente. Las pruebas han sido realizadas en local, pero en Internet funcionaría exactamente igual.

Un aspecto muy importante, es que las últimas versiones del firmware de los routers y WiFI Mesh de ASUS, disponen de OpenVPN 2.5.0 o superior, ideal para tener las últimas tecnologías en VPN, mejoras en la seguridad, en el rendimiento y también nuevas funcionalidades muy interesantes para exprimir al máximo esta posibilidad que disponen los routers del fabricante ASUS.

Esperamos que este completo tutorial de cómo configurar el servidor OpenVPN en routers y sistemas Wi-Fi Mesh de ASUS os sirva de ayuda para conectaros con seguridad a cualquier red Wi-Fi pública, y también para acceder a los recursos compartidos que tengáis en vuestro hogar, como servidores NAS, e incluso al propio USB de los routers. Sin lugar a dudas, una de las razones por las que los routers de ASUS son nuestros favoritos son porque disponen de un servidor OpenVPN realmente completo con decenas de opciones de configuración.

¿Qué otros protocolos de servidor VPN tenemos en ASUS?

El fabricante ASUS en su sistema operativo Asuswrt dispone de varios servidores VPN con los que podremos conectarnos de forma remota a la red local doméstica. El primero de ellos es PPTP, un protocolo muy fácil de configurar pero que no es nada seguro de utilizar, porque utiliza un cifrado débil que actualmente se puede romper de forma rápida, por tanto, nunca vamos a recomendable hacer uso del protocolo de VPN PPTP en los routers de ASUS, porque disponemos de protocolos que sí son seguros, por tanto, no tiene ningún sentido utilizar PPTP si podemos utilizar uno que sí es seguro.

Otro protocolo incorporado en Asuswrt es IPsec, el protocolo por excelencia de las redes VPN, sin embargo, lamentablemente no vamos a disponer de muchas opciones de configuración avanzadas como sí tenemos en OpenVPN. El protocolo IPsec, aunque es un estándar y todos los dispositivos lo soportan, hay muchos problemas habitualmente con los cifrados negociados entre el servidor y los clientes, lo que ocasiona que no podamos conectarnos correctamente al servidor, o que tengamos que «bajar» la seguridad del túnel VPN. En el caso de ASUS, no tenemos ninguna opción de configuración relevante para modificar la seguridad, por tanto, si tu cliente VPN soporta la suite de cifrados que hay, entonces podrás conectarte correctamente, de lo contrario, la conexión dará error.

Por último, el fabricante ASUS ha incorporado recientemente una nueva VPN llamada «Instant Guard VPN», esta VPN está basada en IPsec y no dispone de ninguna opción de configuración, simplemente podremos habilitar o deshabilitarla. Internamente esta VPN es segura al utilizar el protocolo IPsec. El motivo de incorporar Instant Guard VPN en los routers de ASUS es facilitar enormemente a los usuarios la conexión con la VPN de la red local sin necesidad de hacer complicadas configuraciones, de esta forma, a través de la aplicación ASUS Router app disponible para sistemas operativos Android y iOS, tendremos la posibilidad de conectarnos al servidor VPN de forma fácil y rápida, sin necesidad de crear complicados perfiles VPN en nuestro smartphone. De esta forma, ASUS ha querido democratizar el uso de las VPN en un entorno doméstico, facilitando enormemente la configuración y conexión, ya que basta con activarlo en el router y pinchar en «Connect» directamente en nuestro smartphone.

A día de hoy, nuestro protocolo favorito para entornos domésticos es OpenVPN y también WireGuard que es mucho más rápido, sin embargo, WireGuard aún no lo tenemos disponible en el firmware Asuswrt, pero os podemos adelantar que sí está previsto que en una futura versión lo incorporen.