Dos talleres, un solo programa
Un taller de reparación de móviles tiene dos locales en dos barrios. Los dos usan el mismo programa de reparaciones, que vive en un ordenador del primer local.
Entre los dos locales está internet. Quien controle un tramo del camino podría leer lo que pasa por él.
El taller quiere un camino privado a través de un sitio público. Ese camino es una VPN.
Al final de esta lección
Nota
Puedo explicar qué protege una VPN.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Cifrado | desordenar los datos para que solo los lea quien tiene la clave |
| Clave | el valor secreto que cierra o abre los datos |
| Clave privada | la mitad de un par de claves que nunca se comparte |
| Clave pública | la mitad de un par de claves que puedes dar a cualquiera |
| Túnel | paquetes llevados dentro de otros paquetes entre dos puntos |
| VPN | una red privada virtual: un túnel con cifrado |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Dos redes con internet en medio
El laboratorio tiene dos sedes. La sede A es 10.1.0.0/24 y la sede B es 10.2.0.0/24. Sus puertas de enlace se unen por un enlace de internet, 203.0.113.0/24.
Las dos sedes usan direcciones privadas. Por eso ningún router del enlace de internet sabe llegar a la otra sede.
Conoce las cuatro máquinas
wglab statusSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Ping de la sede A a la B
sudo ip netns exec a1 ping -c 2 -W 1 10.2.0.2Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Lee la tabla de rutas de gwA
sudo ip netns exec gwA ip routeSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
La puerta A no tiene salida
El ping imprime dos veces From 10.1.0.1 ... Destination Net Unreachable. 10.1.0.1 es la puerta de enlace A.
Su tabla tiene dos líneas: su propia sede, 10.1.0.0/24, y el enlace de internet, 203.0.113.0/24. No hay línea para 10.2.0.0/24 ni ruta por defecto.
Cifrar necesita una clave
Cifrar convierte datos legibles en un revoltijo. Solo quien tiene la clave correcta puede deshacerlo.
Un ejemplo antiguo es el cifrado César: mover cada letra tres puestos hacia delante. Con la clave 3, SOL se convierte en VRO.
El cifrado moderno usa claves enormes y matemáticas muy pensadas. Adivinar la clave llevaría más que una vida entera.
Ejemplo resuelto: César con desplazamiento 3
| Letra normal | Cuenta tres | Letra secreta |
|---|---|---|
| S | T, U, V | V |
| O | P, Q, R | R |
| L | M, N, O | O |
| X | Y, Z, A | A |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Cada puerta tiene un par de claves
WireGuard da dos claves a cada puerta de enlace. La clave privada se queda en secreto en esa puerta. La clave pública se calcula a partir de ella y se entrega al otro lado.
Cada puerta conoce la clave pública de la otra. Así comprueba que habla con la pareja correcta.
Crea una clave privada de usar y tirar
wg genkeySe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Mira quién puede abrir la carpeta de claves
sudo ip netns exec gwA ls -ld /etc/wireguardSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Pregunta a gwA por sus túneles
sudo ip netns exec gwA wg showSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Una clave es un archivo secreto
El primer Run imprime una línea de 44 letras, números y signos que acaba en =. La tuya es distinta de la de todos. No se guardó, así que ya no existe.
La línea de la carpeta empieza por drwx------ y nombra a root dos veces. Solo root puede abrirla, y así debe ser con claves secretas.
wg show no imprime nada: gwA todavía no tiene ningún túnel. Crearlo es el laboratorio.
Qué esconde el túnel y qué no
Con el túnel en marcha, la puerta A envuelve cada paquete para la sede B. Lo cifra y lo envía dentro de un paquete nuevo a la puerta B.
En el enlace de internet, quien mire solo ve las direcciones de las dos puertas y datos revueltos. Las direcciones de dentro y el contenido quedan ocultos.
Una VPN no esconde que las dos puertas están hablando. Tampoco limpia un virus de un ordenador del taller.
Un error frecuente
Advertencia
Mucha gente cree que una VPN te hace invisible. Solo protege el tráfico que va dentro del túnel. Los dos extremos se siguen viendo, y los equipos de cada extremo se pueden seguir atacando.
Para ir más lejos: descifra un mensaje
Te llega FDMD DELHUWD y nadie te dice el desplazamiento.
Escribe un bucle que llame a tu uncaesar con cada desplazamiento del 1 al 25 e imprima cada resultado. ¿Qué línea está en español? ¿Por qué demuestra esto que el cifrado César es débil?