Upload
others
View
4
Download
0
Embed Size (px)
Citation preview
1
VPN entre Unimed Federação do Paraná e Singulares do Paraná
Gustavo Kochan Nunes dos Santos
Curso de Especialização em Redes e Segurança de Sistemas
Pontifícia Universidade Católica do Paraná
Curitiba, Fevereiro de 2013.
2
Sumário
1 Introdução ......................................................................................................................... 3
2 Ambiente e Problema ....................................................................................................... 4
3 Solução ............................................................................................................................... 5
4 Configuração ..................................................................................................................... 6
5 Testes ................................................................................................................................ 15
6 Conclusão ......................................................................................................................... 15
7 Referências Bibliográficas ............................................................................................. 16
3
1 Introdução
A Unimed Federação do Paraná faz parte de um sistema cooperativista que visa oferecer serviços para as demais Unimeds do Estado, com o crescimento do sistema Unimed, a Federação está preocupada em oferecer serviços com qualidade e segurança.
Um dos sistemas disponibilizados pela Federação é o Autorizado On-line, é utilizado em 17 Unimeds, se tratando de um sistema crítico, foi necessária a adequação da conectividade entre a Unimed Federação com as Unimeds do Estado, inicialmente a conexão era realizada somente através de links privativos da Copel, chamado BIOREDE, com este trabalho foi traçada uma estratégia de redundância entre a Federação e as Unimeds, através de uma rede VPN pela internet. Utilizando o [4]OpenVPN que é um software livre e open-source para criar redes privadas virtuais do tipo ponto-a-ponto através de túneis criptografados entre os Firewalls de cada Unimed com a Federação, com uma grande dificuldade de gerenciar as VPN e roteamentos, foi escolhido o [1]PFSense que também é um software livre, baseado no sistema operacional FreeBSD e adaptado para assumir um papel de firewall e roteador, possuindo nativamente uma ferramenta de gerenciamento completa do [3]OpenVPN, foi adota como solução.
Com esta solução é possível perder a conectividade em um dos dois links que o Sistema Autorizador continua em pleno funcionamento, sendo que quanto utilizado pela VPN o tempo de resposta do Sistema é um pouco maior, sem grandes impactos.
4
2 Ambiente e Problema O ambiente é formado com 17 Unimeds em um modelo básico de rede, Rede Interna,
BIOREDE (Copel) e Internet, como mostra a Figura 1.
Figura 1 – Diagrama Básico de Rede
Com este ambiente o acesso do Autorizador ao Banco de Dados tem somente uma
rota, caso ocorra problemas o sistema fica indisponível.
5
3 Solução A solução proposta é criar acesso alternativo pela internet utilizado VPN, instalando
um servidor de OpenVPN para concentrar as conexões das Unimeds, este servidor gerenciará as rotas e mudará automaticamente, caso ocorra algum problema, para o caminho que esteja funcionado, a figura 2 demostra os elementos dispostos no diagrama.
Figura 2 – Redundância de Links
6
4 Configuração Para dar inicio ao processo é necessário a criação dos certificados utilizados nas
configurações do OpenVpn, a Figura 3 demostra o certificado de autoridade.
Figura 3 - Autoridade de certificação
Na sequencia foram criados os certificados de cada Singular de acordo com os
paramentos abaixo:
A Figura 4 e 5 demostram as configurações e certificados criados para cada Singular;
Figura 4 – Criação de certificados
7
Figura 5 - Certificados das Singulares
Exportando os certificados e suas chaves, distribuindo para cada Singular utilizar na configuração do OpenVPN. Com os certificados criados, configuramos o Servidor do OpenVPN para cada Singular, como exemplo na figura 6.
8
9
Figura 6 - Exemplo de Configuração do OpenVPN A figura 7 demostra as configurações de servidor com as portas UDP para cada Singular.
Figura 7 – OpenVPN Server
No lado do cliente (Singular) os servidores são Linux: Debian ou RedHat com filtragem de pacotes Iptables, após a instalação do OpenVPN foram ajustados os certificados e chaves, na figura 8 é demostrado o arquivo de configuração do OpenVPN cliente.
10
Figura 8 – Configuração OpenVPN cliente
Com o cliente configurado, a interface do OpenVPN se apresenta como na Figura 9.
Figura 9 – Interface OpenVPN Cliente
Após as configurações do OpenVPN é necessário configurar a filtragem de pacotes, para que o servidor PFsense monitore as interfaces. Na figura 10 mostra na primeira regra o cliente da VPN aceitando requisições ICMP do Servidor PFsense na interface do OpenVPN, a segunda regra permite o acesso do servidor PFsense ao servidor de aplicação em determinadas portas TCP. A Figura 11 representa a regra que permite requisições ICMP do servidor PFsense na interface da COPEL.
Figura 10 – Regras iptables OpenVPN
Figura 11 – Regras iptables COPEL
Com a VPN fechada e a filtragem de pacotes aplicada, configuramos o serviço de rotas no PFsense, sendo que sempre a rota preferencial é da interface da Copel, caso ocorra problemas com este link, automaticamente e alterado para a interface do OpenVPN. A configuração na figura 12 e 13 mostra TIER 1 e TIER 2 que é a ordem dos Links.
11
Figura 12 – Configuração de preferência de rotas
Figura 13 – Priorização de Rota
12
Com esta configuração realizada temos um monitoramento via ICMP do servidor PFsense com os clientes (singulares) mostrando o status dos links na figura14.
Figura 14 – Monitoramento dos Links
Com esta estrutura criada é possível direcionar a conexão tanto para o link da Copel ou para o Link da VPN, colocando em uso este recurso foi direcionado as conexões de rede de um serviço especifico para o servidor PFsense, foi encontrado um problema, quando direcionado para o link da VPN, a conexão de rede do servidor de destino retornava pelo link da Copel, pois a rede de origem faz parte do roteamento padrão, para resolver este problema, foi efetuado o mascaramento do IP de origem pelo IP da VPN como mostra na figura 15, juntamente com a segunda regra demonstrada na Figura 10.
13
Figura 15 – NAT
Após estas etapas concluídas é possível realizar testes de roteamento, foi criadas rotas
especificas nos servidores que utilizam os serviços necessários demonstrado nas figuras 15 e simulado a queda do link da Copel demonstrado nas figuras 16 e 17.
14
Figura 16 - Rotas no servidor que utiliza a redundância
15
5 Testes Na figura 17 é observado que o acesso do Servidor Autorizador ao Servidor de banco
é realizado através do link da Copel. Para realizar o teste de mudança de rota foi bloqueado o ICMP no firewall da Singular
do sistema de monitoramento do Pfsense para o Servidor OpenVPN da singular, mostrado na figura 18 a falha do link da Copel e na figura 19 o novo caminho para acesso ao Servidor de banco.
Figura 17 – Gerenciamento de rotas
Figura 18 – Traçando rotas com os links em funcionamento
Figura 19 – Traçando rotas com o link da Copel parado.
6 Conclusão
Como resultado deste projeto, concluímos que o cenário oferecido atende as
necessidades da infraestrutura, podendo operar com uma falha ou manutenção no link da Copel.
16
7 Referências Bibliográficas [1] http://www.pfsense.org (01/2013) [2] http://doc.pfsense.org/index.php/Tutorials (01/2013) [3] http://openvpn.net/ (01/2013) [4] http://pt.wikipedia.org/wiki/OpenVPN (01/2013)