Tutorial: Implementación de Always On VPN: configuración de la infraestructura para Always On VPN

  • Artículo

Se aplica a: Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows 10, Windows 11

En este tutorial, aprenderá a implementar conexiones VPN de Always On para equipos cliente unidos a un dominio remoto de Windows. Creará una infraestructura de ejemplo que muestra cómo implementar un proceso de conexión Always On VPN. El proceso consta de los siguientes pasos:

  1. El cliente VPN de Windows usa un servidor DNS público para realizar una consulta de resolución de nombres para la dirección IP de la puerta de enlace de VPN.

  2. El cliente VPN usa la dirección IP que DNS devuelve para enviar una solicitud de conexión a la puerta de enlace de VPN.

  3. El servidor VPN también está configurado como cliente de Servicio de autenticación remota telefónica de usuario (RADIUS); el cliente RADIUS de VPN envía la solicitud de conexión al servidor NPS para el procesamiento de solicitudes de conexión.

  4. El servidor NPS procesa la solicitud de conexión, incluida la realización de la autorización y la autenticación y determina si se debe permitir o denegar dicha solicitud.

  5. El servidor NPS reenvía una respuesta de aceptación de acceso o de rechazo de acceso al servidor VPN.

  6. La conexión se inicia o finaliza en función de la respuesta que el servidor VPN recibió del servidor NPS.

Requisitos previos

Para completar los pasos de este tutorial,

  • Necesitará acceso a cuatro equipos físicos o máquinas virtuales (VM).

  • Asegúrese de que la cuenta de usuario de todas las máquinas sea miembro de Administradores o equivalente.

Importante

No se admite el uso del acceso remoto en Microsoft Azure, incluida la VPN de acceso remoto y DirectAccess. Para más información, consulte Soporte técnico de software de servidor de Microsoft para máquinas virtuales de Microsoft Azure.

Creación del controlador de dominio

  1. Instale Windows Server en el equipo que ejecutará el controlador de dominio.

  2. Instale Active Directory Domain Services (AD DS). Para obtener información detallada sobre cómo instalar AD DS, consulte Instalación de Active Directory Domain Services.

  3. Promueva el Windows Server a controlador de dominio. En este tutorial, creará un nuevo bosque y el dominio en ese nuevo bosque. Para obtener información detallada sobre cómo instalar el controlador de dominio, consulte Instalación de AD DS.

  4. Instale y configure la Autoridad de certificación (CA) en el controlador de dominio. Para obtener información detallada sobre cómo instalar la entidad de certificación, consulte Instalación de la entidad de certificación.

Creación de una directiva de grupo de Active Directory

En esta sección, creará una directiva de grupo en el controlador de dominio para que los miembros del dominio soliciten automáticamente certificados de usuario y de ordenador. Esta configuración permite a los usuarios de VPN solicitar y recuperar certificados de usuario que autentican automáticamente las conexiones VPN. Esta directiva también permite al servidor NPS solicitar certificados de autenticación de servidor automáticamente.

  1. Desde el controlador de dominio, abra Administración de directivas de grupo.

  2. En el panel izquierdo, haga clic con el botón derecho en el dominio (por ejemplo, corp.contoso.com). Seleccione Crear un GPO en este dominio y vincularlo aquí.

  3. En el cuadro de diálogo Nuevo GPO, en Nombre, escriba Directiva de inscripción automática. Seleccione Aceptar.

  4. En el panel izquierdo, haga clic con el botón derecho en Directiva de inscripción automática. Seleccione Editar para abrir el Editor de administración de directiva de grupo.

  5. En el Editor de administración de directiva de grupo, complete los pasos siguientes para configurar la inscripción automática de certificados de equipo:

    1. En el panel izquierdo, vaya a Configuración del equipo>Directivas >Configuración de Windows>Configuración de seguridad>Directivas de clave pública.

    2. En el panel de detalles, haga clic con el botón derecho en Cliente de Servicios de certificados: Inscripción automática. Seleccione Propiedades.

    3. En el cuadro de diálogo Cliente de Servicios de certificados: propiedades de inscripción automática, en Modelo de configuración, seleccione Habilitado.

    4. Seleccione Renovar certificados expirados, actualizar certificados pendientes y quitar certificados revocados y Actualizar certificados que usan plantillas de certificado.

    5. Selecciona Aceptar.

  6. En el Editor de administración de directiva de grupo, complete los pasos siguientes para configurar la inscripción automática de certificados de usuario:

    1. En el panel izquierdo, vaya a Configuración del usuario>Directivas >Configuración de Windows>Configuración de seguridad>Directivas de clave pública.

    2. En el panel de detalles, haga clic con el botón derecho en Cliente de Servicios de certificados: inscripción automática y seleccione Propiedades.

    3. En el cuadro de diálogo Cliente de Servicios de certificados: propiedades de inscripción automática, en Modelo de configuración, seleccione Habilitado.

    4. Seleccione Renovar certificados expirados, actualizar certificados pendientes y quitar certificados revocados y Actualizar certificados que usan plantillas de certificado.

    5. Selecciona Aceptar.

    6. Cierre el Editor de administración de directivas de grupo.

  7. Cierre Administración de directivas de grupo.

Creación del servidor NPS

  1. Instale Windows Server en el equipo que ejecutará el servidor NPS.

  2. En el servidor NPS, instale el rol Servicios de acceso y directivas de red (NPS). Para obtener información detallada sobre cómo instalar NSP, consulte Instalación del servidor de directivas de red.

  3. Registre el servidor NPS en Active Directory. Para obtener información sobre cómo registrar el servidor NPS en Active Directory, vea Registrar un NPS en un Dominio de Active Directory.

  4. Asegúrese de que los firewalls permiten el tráfico necesario para que las comunicaciones VPN y RADIUS funcionen correctamente. Para más información, consulte Configurar firewalls para el tráfico RADIUS.

  5. Creación del grupo de servidores NPS:

    1. En el controlador de dominio, abra Usuarios y equipos de Active Directory.

    2. En el dominio, haga clic con el botón derecho en Equipos. Seleccione Nuevo y, después, Grupo.

    3. En Nombre de grupo, escriba Servidores NPS y seleccione Aceptar.

    4. Haga clic con el botón derecho en Servidores NPS y seleccione Propiedades.

    5. En la pestaña Miembros del cuadro de diálogo Propiedades de los servidores NPS, seleccione Agregar.

    6. seleccione Tipos de objeto, seleccione la casilla Equipos y, después, Aceptar.

    7. En Escriba los nombres de objeto que quiere seleccionar, escriba el nombre del equipo del servidor NPS. Seleccione Aceptar.

    8. Cierre Usuarios y equipos de Active Directory.

Creación del servidor VPN

  1. Instale Windows Server en el equipo que ejecutará el servidor VPN. Asegúrese de que la máquina tiene instalados dos adaptadores de red físicos: uno para conectarse a Internet y otro para conectarse a la red donde se encuentra el controlador de dominio.

  2. Identifique qué adaptador de red se conecta a Internet y qué adaptador de red se conecta al dominio. Configure el adaptador de red orientado a Internet con una dirección IP pública, mientras que el adaptador orientado a la intranet puede usar una dirección IP de la red local.

  3. Para el adaptador de red que se conecta al dominio, establezca la dirección IP preferida de DNS en la dirección IP del controlador de dominio.

  4. Una el servidor VPN al dominio. Para obtener información sobre cómo unir un servidor a un dominio, vea Unir un servidor a un dominio.

  5. Abra las reglas de firewall para permitir que los puertos UDP 500 y 4500 entrantes a la dirección IP externa se apliquen en la interfaz pública del servidor VPN.

  6. En el adaptador de red que se conecta al dominio, habilite los siguientes puertos: UDP1812, UDP1813, UDP1645 y UDP1646.

  7. Cree el grupo de servidores VPN:

    1. En el controlador de dominio, abra Usuarios y equipos de Active Directory.

    2. En el dominio, haga clic con el botón derecho en Equipos. Seleccione Nuevo y, después, Grupo.

    3. En Nombre de grupo, escriba Servidores VPN y seleccione Aceptar.

    4. Haga clic con el botón derecho en Servidores VPN y seleccione Propiedades.

    5. En la pestaña Miembros del cuadro de diálogo Propiedades de los servidores VPN, seleccione Agregar.

    6. seleccione Tipos de objeto, seleccione la casilla Equipos y, después, Aceptar.

    7. En Escriba los nombres de objeto que quiere seleccionar, escriba el nombre del equipo del servidor VPN. Seleccione Aceptar.

    8. Cierre Usuarios y equipos de Active Directory.

  8. Siga los pasos descritos en Instalación del acceso remoto como servidor VPN para instalar el servidor VPN.

  9. Abra la herramienta Enrutamiento y acceso remoto desde el Administrador del servidor.

  10. Haga clic con el botón derecho del ratón en el servidor VPN y seleccione Propiedades.

  11. En Propiedades, seleccione la pestaña Seguridad y haga lo siguiente:

    1. Seleccione Proveedor de autenticación y seleccione Autenticación RADIUS.

    2. Seleccione Configurar para abrir el cuadro de diálogo Autenticación RADIUS.

    3. Seleccione Agregar para abrir el cuadro de diálogo Agregar servidor RADIUS.

      1. En Nombre del servidor, escriba el nombre de dominio completo (FQDN) del servidor NPS. En este tutorial, el servidor NPS es el servidor del controlador de dominio. Por ejemplo, si el nombre NetBIOS del servidor NPS y del controlador de dominio es dc1 y el nombre de dominio es corp.contoso.com, escriba dc1.corp.contoso.com.

      2. En Secreto compartido, seleccione Cambiar para abrir el cuadro de diálogo Cambiar secreto.

      3. En Nuevo secreto, escriba una cadena de texto.

      4. En Confirmar nuevo secreto, escriba la misma cadena de texto y seleccione Aceptar.

      5. Guarde este secreto. Lo necesitará al agregar este servidor VPN como cliente RADIUS más adelante en este tutorial.

    4. Seleccione Aceptar para cerrar el cuadro de diálogo Agregar servidor RADIUS.

    5. Seleccione Aceptar para cerrar el cuadro de diálogo Autenticación de Radius.

  12. En el cuadro de diálogo Propiedades del servidor VPN, seleccione Métodos de autenticación....

  13. Seleccione Permitir autenticación de certificados de máquina para IKEv2.

  14. Seleccione Aceptar.

  15. En Proveedor de contabilidad, seleccione Contabilidad de Windows.

  16. Seleccione Aceptar para cerrar el cuadro de diálogo de Propiedades.

  17. Un cuadro de diálogo le pedirá que reinicie el servidor. Seleccione Sí.

Creación de un cliente VPN de Windows

  1. Instale Windows 10 o posterior en el equipo que será el cliente VPN.

  2. Una el cliente VPN a su dominio. Para obtener información sobre cómo unir un equipo a un dominio, consulte Unir un equipo a un dominio.

Creación de un usuario y un grupo de VPN

  1. Cree un usuario de VPN siguiendo estos pasos:

    1. En el controlador de dominio, abra Usuarios y equipos de Active Directory.

    2. En el dominio, haga clic con el botón derecho en Usuarios. Seleccione Nueva. En Nombre de inicio de sesión de usuario, escriba cualquier nombre de inicio de sesión. Seleccione Next (Siguiente).

    3. Elija una contraseña para el usuario.

    4. Quite la selección de El usuario debe cambiar la contraseña en el siguiente inicio de sesión. Seleccione La contraseña nunca expira.

    5. Seleccione Finalizar. Mantenga abierto Usuarios y equipos de Active Directory.

  2. Cree un grupo de usuarios de VPN siguiendo estos pasos:

    1. En el dominio, haga clic con el botón derecho en Usuarios. Seleccione Nuevo y, después, Grupo.

    2. En Nombre de grupo, escriba Usuarios de VPN y seleccione Aceptar.

    3. Haga clic con el botón derecho en Usuarios de VPN y seleccione Propiedades.

    4. En la pestaña Miembros del cuadro de diálogo Propiedades de los usuarios de VPN, seleccione Agregar.

    5. En el cuadro de diálogo Seleccionar usuarios, agregue el usuario de VPN que creó y seleccione Aceptar.

Configuración del servidor VPN como cliente RADIUS

  1. En el servidor NPS, abra las reglas de firewall para permitir los puertos UDP 1812, 1813, 1645 y 1646 entrantes.

  2. En la consola de NPS, haga doble clic en Clientes y servidores RADIUS

  3. Haga clic con el botón derecho en Clientes RADIUS y seleccione Nuevo para abrir el cuadro de diálogo Nuevo cliente RADIUS.

  4. Compruebe que la casilla Habilitar este cliente RADIUS está activada.

  5. En Nombre descriptivo, escriba un nombre para mostrar para el servidor VPN.

  6. En Dirección (IP o DNS), escriba la dirección IP o el FQDN del servidor VPN.

    Si escribe el FQDN, seleccione Comprobar si desea comprobar que el nombre es correcto y se asigna a una dirección IP válida.

  7. En Secreto compartido:

    1. Asegúrese de que la opción Manual está seleccionada.

    2. Escriba el secreto que creó en la sección Creación del servidor VPN.

    3. En Confirmar secreto compartido, vuelva a escribir el secreto compartido.

  8. Seleccione Aceptar. El servidor VPN debería aparecer en la lista de clientes RADIUS configurados en el servidor NPS.

Configuración del servidor NPS como servidor RADIUS

Nota:

En este tutorial, el servidor NPS se instala en el controlador de dominio con el rol de CA; y no es necesario registrar un certificado de servidor NPS independiente. Sin embargo, en un entorno en el que se instala el servidor NPS en un servidor independiente, se debe inscribir un certificado de servidor NPS antes de poder realizar estos pasos.

  1. En la consola NPS, seleccione NPS(Local).

  2. En Configuración estándar, asegúrese de que esté seleccionada la opción Servidor RADIUS para conexiones VPN o de acceso telefónico.

  3. Seleccione Configurar VPN o Acceso telefónico para abrir el Asistente para la configuración de VPN o acceso telefónico.

  4. Seleccione Conexiones de red privada virtual (VPN) y seleccione Siguiente.

  5. En Especificar servidor VPN o de acceso telefónico, en clientes RADIUS, seleccione el nombre del servidor VPN.

  6. Seleccione Next (Siguiente).

  7. En Configurar métodos de autenticación, complete los pasos siguientes:

    1. Desactive Autenticación cifrada de Microsoft versión 2 (MS-CHAP v2).

    2. Seleccione Protocolo de autenticación extensible.

    3. En Tipo, seleccione Microsoft: Protected EAP (PEAP). A continuación, seleccione Configurar para abrir el cuadro de diálogo Editar propiedades de Protected EAP.

    4. Seleccione Quitar para quitar el tipo de EAP Contraseña segura (EAP-MSCHAP v2).

    5. Seleccione Agregar. Se abre el cuadro de diálogo Agregar EAP.

    6. Seleccione Tarjeta inteligente u otro certificado y, a continuación, seleccione Aceptar.

    7. Seleccione Aceptar para cerrar Editar propiedades de EAP protegido.

  8. Seleccione Next (Siguiente).

  9. En Especificar grupos de usuarios, complete los pasos siguientes:

    1. Seleccione Agregar. Se abre el cuadro de diálogo Seleccionar Usuarios, Equipos, Cuentas de servicio o Grupos.

    2. Escriba Usuarios de VPN y, a continuación, seleccione Aceptar.

    3. Seleccione Siguiente.

  10. En Especificar filtros IP, seleccione Siguiente.

  11. En Especificar configuración de cifrado, seleccione Siguiente. No realice ningún cambio.

  12. En Especificar un nombre de dominio kerberos, seleccione Siguiente.

  13. Seleccione Finalizar para cerrar el asistente.

Pasos siguientes

Ahora que ha creado la infraestructura de ejemplo, está listo para configurar la entidad de certificación.