Criptografía más moderna frente a métodos más clásicos de OpenVPN (OpenVPN tiene ya 17 años de vida)
Multiplataforma
Más seguro
Este software está diseñado para poder realizar roaming de manera fácil y rápida, si nuestro dispositivo cambia de redes, y lógicamente cambia de IP pública, como por ejemplo cuando pasamos de la red Wi-Fi y la red 4G/LTE de nuestro operador, la conexión VPN seguirá levantada porque se volverán a autenticar rápidamente con el servidor VPN, de tal forma que siempre estaremos conectados a la VPN.
Pocas líneas de código -> facilita su auditoría (3700 líneas vs 600.000 de OpenVPN)
Solo soporta protocolo UPD y no usa 443 (contra) -> El protocolo es considerado como productos WIP
El Throughput de una red es el ratio de datos exitosamente recibidos en una conexión de red. A más rate, más rápida y mejor es la conexión (al menos en teoría)
pi@raspberrypi:~ $ echo "deb http://deb.debian.org/debian/ unstable main" | sudo tee --append /etc/apt/sources.list.d/unstable.list deb http://deb.debian.org/debian/ unstable main pi@raspberrypi:~ $ sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 04EE7237B7D453EC Executing: /tmp/apt-key-gpghome.buGYeUegil/gpg.1.sh --keyserver keyserver.ubuntu.com --recv-keys 04EE7237B7D453EC gpg: key E0B11894F66AEC98: 13 signatures not checked due to missing keys gpg: key E0B11894F66AEC98: public key "Debian Archive Automatic Signing Key (9/stretch) " imported gpg: Total number processed: 1 gpg: imported: 1 pi@raspberrypi:~ $ printf 'Package: *\nPin: release a=unstable\nPin-Priority: 150\n' | sudo tee --append /etc/apt/preferences.d/limit-unstable Package: * Pin: release a=unstable Pin-Priority: 150 pi@raspberrypi:~ $ sudo apt update Hit:1 http://deb.debian.org/debian unstable InRelease Hit:2 http://archive.raspberrypi.org/debian buster InRelease Hit:3 http://raspbian.raspberrypi.org/raspbian buster InRelease Reading package lists... Done Building dependency tree Reading state information... Done All packages are up to date. pi@raspberrypi:~ $ sudo apt install wireguard -y Reading package lists... Done DKMS: install completed. Setting up wireguard-tools (0.0.20190702-1) ... Setting up wireguard (0.0.20190702-1) ... Processing triggers for man-db (2.8.5-2) ...
Activando IP Forwarding
pi@raspberrypi:~ $ cd /etc pi@raspberrypi:/etc $ ls -l sysctl* -rw-r--r-- 1 root root 2683 Apr 8 06:56 sysctl.conf sysctl.d: total 8 -rw-r--r-- 1 root root 51 Nov 26 2018 98-rpi.conf lrwxrwxrwx 1 root root 14 Apr 8 07:51 99-sysctl.conf -> ../sysctl.conf -rw-r--r-- 1 root root 639 May 17 2018 README.sysctl
Hay que ver /etc/sysctl.d/99-sysctl.conf es un enlace simbólico a /etc/sysctl.conf. Será suficiente editar el último para habilitar el reenvío de paquetes IP.
pi@raspberrypi:/etc $ sudo nano sysctl.conf
Y simplemente se descomenta esta línea (eliminar la # )
# Uncomment the next line to enable packet forwarding for IPv4 net.ipv4.ip_forward=1
Recuerda, control X para salir ( y pulsar Y para salvar cambios claro)
Ahora hace falta rebotar la Raspberry:
pi@raspberrypi:~ $ sudo reboot Connection to raspberrypi.local closed by remote host. Connection to raspberrypi.local closed. ... michel@hp:~$ ssh pi@raspberrypi.local ... ... pi@raspberrypi:~ $ sysctl net.ipv4.ip_forward net.ipv4.ip_forward = 1
Instalamos User Management Script (que facilita la creación de las claves públicas y privadas) :
Ojo ! Cambiar wlan0 por eth0 si la rasp está conecatada por cable a la red ! Una manera de verlo es usar :
pi@raspberrypi:~/ip a
Creamos un fichero de configuración nuevo:
pi@raspberrypi:~/wg_config $ cd .. pi@raspberrypi:~ $ sudo touch /etc/wireguard/wg0.conf
Esto solo se hace un avez, el script “User management” lo actualizará cada vez que sea usado para añadir o quitar usuarios.
Start / Stop la interface de WireGuard manualmente:
pi@raspberrypi:~ $ sudo wg-quick up wg0 [#] ip link add wg0 type wireguard [#] wg setconf wg0 /dev/fd/63 [#] ip link set mtu 1420 up dev wg0 pi@raspberrypi:~ $ sudo wg-quick down wg0 [#] ip link delete dev wg0 [#] iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERAD
Comprobar el estado del server :
pi@raspberrypi:~ $ sudo systemctl status wg-quick@wg0 ● wg-quick@wg0.service - WireGuard via wg-quick(8) for wg0 Loaded: loaded (/lib/systemd/system/wg-quick@.service; enabled; vendor preset: enabled) Active: active (exited) since Fri 2019-03-05 16:50:49 ADT; 20min ago Docs: man:wg-quick(8) man:wg(8) https://www.wireguard.com/ https://www.wireguard.com/quickstart/ https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8 https://git.zx2c4.com/WireGuard/about/src/tools/man/wg.8 Process: 378 ExecStart=/usr/bin/wg-quick up wg0 (code=exited, status=0/SUCCESS) Main PID: 378 (code=exited, status=0/SUCCESS) Jul 03 16:48:58 domo systemd[1]: Starting WireGuard via wg-quick(8) for wg0… Jul 03 16:50:46 domo wg-quick[378]: [#] ip link add wg0 type wireguard Jul 03 16:50:46 domo wg-quick[378]: [#] wg setconf wg0 /dev/fd/63 Jul 03 16:50:47 domo wg-quick[378]: [#] ip address add 192.168.99.1/24 dev wg0 Jul 03 16:50:47 domo wg-quick[378]: [#] ip link set mtu 1420 up dev wg0 Jul 03 16:50:49 domo systemd[1]: Started WireGuard via wg-quick(8) for wg0. pi@raspberrypi:~ $ sudo wg interface: wg0 listening port: 54130
Añadimos el primer “usuario” (iphone por ejemplo:
pi@raspberrypi:~ $ cd wg_config pi@raspberrypi:~/wg_config $ sudo ./user.sh -a iphone7 [QR CODE HERE]
Ahora escaneas el código QR desde el móbil y ya está !
Replica : Para enviar la pantalla de tu iPhone a un Chromecast.
Comentario respecto API Google en Router Synology.
Ayuda
App para valores bursátiles? Etfs, fondos…
Sistemas Bloqueo publicidad:
Aplicaciones (Adguard, 1Blocker…) -> Significa que debes instalar apps en cada dispositivo.
Utilizar una VPN (NordVPN, etc..) -> Los filtros los definen ellos.
AdGuard / PiHole a niovel de “servidor”. Tú defines los filtros, tu tienes el control de todo el tráfico.
Cómo ya vimos, con Pi-HOLE puedes añadir por ejemplo a DNSCrypt y además de la gestión del tráfico, tendrás las queries DNS encriptadas. O AdGuard, que simplemente rellenando la parte de servidor DNS puedes conseguir el mismo resultado.
Cómo comprobar que estamos encriptando nuestras peticiones: 1.1.1.1. -> Sólo en el caso que estés usando servidores de Cloudfare, sino te puede presentar resultados “engañosos” DNSLeak
Estos sistemas son efectivos en nuestra red local, pero que ocurre cuando salimos de casa y estamos en 4G ?
Navegación segura de Google proporciona una lista negra que identifica los recursos web no seguros a través de Internet. Para activar este servicio en su Synology Router, debe introducir una clave API de Navegación segura de Google en el paquete Safe Access Páginas web de phishing, malware, o código malicioso. Chrome lo lleva por defecto, pero si lo configuramos a nivel de router ya no debemos preocuparnos de que navegador utilicemos ya que se gestiona a nivel de Router, que es la puerta entre internet, y nuestra red.
Según Google, la protección de navegación segura Descubre más de 1000 nuevas páginas web con contenido inseguro todos los días. La mayoría de las páginas web no seguras descubiertas son páginas web legítimas que están de alguna manera comprometidas y contienen código malicioso de programación que podría dañar el dispositivo o el navegador. Google explica que el webmaster de su página web contiene código dañino y sirve a los consejos de webmaster Cómo limpiar sus páginas web y tener las páginas web indexadas de nuevo.
Google Transparency Report Dónde hay una serie de gráficos muy interesantes donde se ve claramente la tendencia creciente del phishing.
