1 MAESTRIA EN REDES DE LA INFORMACIÓN Y CONECTIVIDAD III PROMOCIÓN TEMA: “FACTIBILIDAD DE IPSEC PARA IPV6 EN LA RED DE LA UNIVERSIDAD POLITÉCNICA SALESIANA, SEDE QUITO” AUTOR: ING. LÓPEZ LOGACHO, JORGE ENRIQUE

2 Descripción del Problema La seguridad en un entorno LAN se ha desarrollado más lentamente de lo esperado, muchos administradores no comprenden lo suficientemente bien su importancia ni las opciones disponibles como para promover su inclusión en sus diseños de red. La universidad ecuatoriana está en un proceso de restructuración, esto ha determinado nuevos retos a cumplir, para enfrentar estos requerimientos se necesita una infraestructura adecuada para el tratamiento de la información, la que debe ser manejada con altos niveles de seguridad.

3 Justificación e Importancia La Universidad Politécnica Salesiana, como institución educativa superior, ha tenido un crecimiento exponencial en base a la necesidad de cubrir las expectativas y demanda de la población estudiantil, ofreciendo educación de calidad, razón por la cual posee una infraestructura de red que ofrece los servicios necesarios para cumplir este reto, se maneja por lo tanto información de orden crítico, esto obliga a que se debe ofrecer niveles de seguridad muy altos.

4 Objetivos Objetivo General Analizar la factibilidad para la implementación del protocolo IPSec sobre IPv6 para la red de la Universidad Politécnica Salesiana, Sede Quito Objetivos Específicos Analizar las extensiones de seguridad del protocolo IPv6, que se denominan IPSec, y cuáles son los nuevos servicios que proporcionan. Levantar el estado actual de la red de la UPS, sede Quito Procesar los datos obtenidos de la simulación del protocolo IPSec en IPv6, para justificar la validez de la hipótesis planteada.

5 IPSec Modo transporte

6 IPSec Modo túnel

7 Arquitectura IPSec

8 Estado inicial de la red Infraestructura de acceso y seguridad

9 Análisis de vulnerabilidades

10 Conexiones Recibidas

11 Protocolos bloqueados

12 Levantamiento de estado inicial de la red Propuesta de direccionamiento.- El consorcio CEDIA asigna a la Universidad Politécnica Salesiana la red 2800:68:0016::/48, para los proveedores se tiene la dirección 2800:2a0::/32 asignada a Telconet y la dirección 2800:370::/32, asignada a CNT.

13 VLAN a proteger VLANNombreDirección redPrefijo 7UPS-NET-ESTUDIANTES2800:68:16:A00:: 56 8UPS-NET-DOCENTES2800:68:16:A01:: 56 11INTERNET2800:68:16:2000:: 56 12IUS2800:68:16:2100:: 56 13SOL2800:68:16:2200:: 56 14 INSPECTORIA ADMINISTRATIVA 2800:68:16:2300:: 56 99VLAN00992800:68:16:2900:: 56 112Administrativosv22800:68:16:3000:: 56 114VLAN-WLC2800:68:16:3100:: 56 116WLC-ESTUDIANTES2800:68:16:3300:: 56 810SERVIDORES-INTERNOS2800:68:16:200:: 56 820SERVIDORES-PUBLICOS2800:68:16:4000:: 56 830SERVIDORES-PROXY2800:68:16:4100:: 56 999TELCONET2800:68:16:1000:: 56

14 Propuesta de implementación de los túneles IPSec. IPSec se configurará en modo túnel: todo el paquete se someterá a un proceso de cifrado con 3DES y a un autenticado por medio de clave pre compartida con MD5. La combinación de las SA será de acuerdo al Caso I: el escenario es una intranet y el protocolo se configurará entre los Security Gateway internos Se usará la cabecera ESP y se generarán varias SA’s entre el switch core y cada switch de distribución respectivamente.

15 VLAN a proteger

16 Factibilidad: Topología Lógica

17 Topología Física- Bloque A

18 Topología Física- Bloque B

19 Direccionamiento de la simulación

20 Parámetros de simulación DESCRIPCIONHOST AHOST BROUTER ASwitch CoreROUTER B Nombre del dispositivo Host AHost BCatalyst_3750Catalyst_4750RCatalyst3750 Versión del IOSNo c2691- advipservicesk9- mz.124-15.T6 Dirección IPv6 Fa0/0 2800:68:16:1:A0 1:1200:23:3 2800:68:16:400 1:E01:1230:112 3:6 2800:68:16:1:A01: 1200:23:4 2800:68:16:2001: B01:1200:23:8 2800:68:16:100 1:D01:1220:102 3:7 Dirección IPv6 Fa0/1 2800:0068:0016 :1:A01:1200:23: 2 No 2800:68:16:2001: B01:1200:23:7 2800:68:16:1001: D01:1220:1023:6 2800:68:16:400 1:E01:1230:112 3:5 Dirección IPv6 Tunnel0 No 2800:68:16:3001: C01:1200:23:9 2800:68:16:3001: C01:1200:23:10 Dirección IPv6 Tunnel1 2800:68:16:3002: C02:1200:23:11 2800:68:16:300 2:C02:1200:23:1 2 Protocolo de ruteo No OSPF

21 Parámetros de simulación DESCRIPCIONHOST AHOST BROUTER ASwitch CoreROUTER B ClaveNo hh87fkqwfw Protocolo de seguridad No IPSec, IKE, ISAKMP Algoritmo de cifrado No 3DES Algoritmo hashNo MD5 Intercambio de llaves No Diffie-Hellman Grupo 1 de 768 bits Método de autenticación No Pre-share Tiempo de vida IKE No 86400 segundos

22 Configuración básica Catalyst_3750(config)# interface fastethernet 0/0 Catalyst_3750(config-if)# ipv6 enable Catalyst_3750(config-if)# ipv6 address 2800:0068:16:0001:A01:1200:0023:004/64 Catalyst_3750(config-if)# ipv6 ospf 1 area 0 Catalyst_3750(config-if)# no shutdown Catalyst_3750(config-if)# exit Catalyst_3750(config)# ipv6 router ospf 1 Catalyst_3750(config-rtr)# router-id 10.1.1.3 Catalyst_3750(config-rtr)# exit Catalyst_3750(config)# ipv6 unicast-routing

23 Configuración de IPSec Catalyst_3750 (config)# crypto isakmp policy 1 Catalyst_3750 (config-isakmp-policy)# authentication pre-share Catalyst_3750 (config-isakmp-policy)# hash md5 Catalyst_3750 (config-isakmp-policy)# group 1 Catalyst_3750 (config-isakmp-policy)# encryption 3des Catalyst_3750 (config-isakmp-policy)# lifetime 86400 Catalyst_3750 (config-isakmp-policy)# exit Catalyst_3750 (config)# crypto isakmp key 0 cisco address ipv6 2800:0068:16:2001:B01:1200:0023:008/128 Catalyst_3750 (config)# crypto keyring ANILLO Catalyst_3750 (config-keyring)# pre-shared-key address ipv6 2800:0068:16:2001:B01:1200:0023:008/128 key chh87fkqwfw Catalyst_3750 (config-keyring)# exit

24 Configuración de IPSec Catalyst_3750 (config)# crypto ipsec transform-set TRANSFORMADA esp-3des Catalyst_3750 (cfg-crypto-trans)# crypto ipsec profile PERFIL Catalyst_3750 (ipsec-profile)# set transform-set TRANSFORMADA Catalyst_3750 (ipsec-profile)# exit Catalyst_3750 (config)# interface tunnel 0 Catalyst_3750 (config-if)# ipv6 address 2800:0068:16:3001:C01:1200:0023:009/64 Catalyst_3750 (config-if)# ipv6 enable Catalyst_3750 (config-if)# tunnel source 2800:0068:16:2001:B01:1200:0023:007 Catalyst_3750(config-if)# tunnel destination 2800:0068:16:2001:B1:1200:0023:008 Catalyst_3750 (config-if)# tunnel mode ipsec ipv6 Catalyst_3750 (config-if)# tunnel protection ipsec profile PERFIL Catalyst_3750 (config)# ipv6 route 2800:0068:16:4001:E01:1230:1123:005/64 tunnel 0

25 Resultados Catalyst_4507R#show crypto ipsec sa interface: Tunnel0 Crypto map tag: Tunnel0-head-0, local addr 2800:68:16:2001:B01:1200:23:8 protected vrf: (none) local ident (addr/mask/prot/port): (::/0/0/0) remote ident (addr/mask/prot/port): (::/0/0/0) current_peer 2800:68:16:2001:B01:1200:23:7 port 500 PERMIT, flags={origin_is_acl,} #pkts encaps: 10, #pkts encrypt: 10, #pkts digest: 10 #pkts decaps: 36023, #pkts decrypt: 36023, #pkts verify: 36023 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0 #pkts not decompressed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0

26 Resultados local crypto endpt.: 2800:68:16:2001:B01:1200:23:8, remote crypto endpt.: 2800:68:16:2001:B01:1200:23:7 path mtu 1514, ip mtu 1514, ip mtu idb Tunnel0 current outbound spi: 0xA299BCF3(2727984371) inbound esp sas: spi: 0xE8A19F25(3902906149) transform: esp-3des, in use settings ={Tunnel, } conn id: 17, flow_id: SW:17, crypto map: Tunnel0-head-0 sa timing: remaining key lifetime (k/sec): (4576641/542) IV size: 8 bytes replay detection support: N Status: ACTIVE

27 Resultados inbound pcp sas: outbound esp sas: spi: 0xA299BCF3(2727984371) transform: esp-3des, in use settings ={Tunnel, } conn id: 18, flow_id: SW:18, crypto map: Tunnel0-head-0 sa timing: remaining key lifetime (k/sec): (4584845/534) IV size: 8 bytes replay detection support: N Status: ACTIVE outbound ah sas: outbound pcp sas:

28 Resultados Catalyst_4507R#show crypto isakmp policy Global IKE policy Protection suite of priority 1 encryption algorithm: Three key triple DES hash algorithm: Message Digest 5 authentication method: Pre-Shared Key Diffie-Hellman group: #1 (768 bit) lifetime: 86400 seconds, no volume limit Default protection suite encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Secure Hash Standard authentication method: Rivest-Shamir-Adleman Signature Diffie-Hellman group: #1 (768 bit) lifetime: 86400 seconds, no volume limit

29 Resultados

30

31 Entre el switch 3750 y el 4507R, con 5458 paquetes

32 Entre el switch 4507R y el 3750 con 5458 paquetes

33 Entre el host A y el switch 4507R con 2791 paquetes

34 Conclusiones La investigación demostró la factibilidad de la implementación del protocolo IPSec en un entorno nativo IPv6 dentro de un escenario LAN. IPv6 no es la solución absoluta en materia de seguridad, contiene vulnerabilidades, razón por la cual la seguridad debe ser inherente en el diseño de la red, por lo tanto es imperioso que se implementen mecanismos de seguridad de capa 3

35 Conclusiones El impacto de una implementación de IPv6 en una red existente basada en IPv4 es mínimo, puesto que los cambios solamente se lo realizan a nivel de capa 3, de esta manera se mantiene intacto el diseño jerárquico de la red. La implementación de IPSec en una red LAN no necesariamente se la debe hacer en todo el escenario, sino más bien a segmentos determinados elegidos en base al tipo de información que se cursa por ellos.

36 RECOMENDACIONES Implementar políticas de seguridad. El administrador de TI deberá realizar regularmente pruebas de intrusión. Programas de entrenamiento y capacitación continua dirigidos al grupo de trabajo encargado del departamento de TI.