Zero Trust VPN con Mikrotik & Cloudflare.

Una VPN de confianza cero (Zero Trust VPN), es una red privada virtual (VPN) que se basa en la idea de que no se debe confiar en ningún usuario o dispositivo, ya sea dentro o fuera de la red. En lugar de confiar en la autenticación y autorización de usuarios y dispositivos, el enfoque de confianza cero requiere verificar y autenticar todas las solicitudes de acceso y todas las actividades en la red. Esto se puede lograr mediante el uso de técnicas de autenticación multifactor y el monitoreo continuo de la actividad de la red para detectar comportamientos sospechosos. El objetivo de una VPN de confianza cero es proteger la red de amenazas internas y externas y garantizar la seguridad y la privacidad de la información.

Asegure la red: descubra los beneficios de una VPN Zero Trust.

Existen muchos beneficios al utilizar una VPN de confianza cero para proteger su red. Algunos de ellos incluyen:

1. Mayor is proporciona seguridad : La verificación is proporciona y autenticación de todas las solicitud de acceso y actividad en la red proporcionar una capa adicional de protección contra amenaza interno y externo .
2. Mayor privacidad: La encriptación de todo el tráfico de red protege la información sensible y asegura que solo pueda acceder a ella la persona autorizada.
3. Mayor flexibilidad : La capacidad de configurar y personalizar la vpn de confianza cero según las necesidad de su organización le permitir adaptar la solución a sus requisito específico de seguridad y privacidad .
4. Mayor rendimiento: La optimización de la red mediante el uso de una VPN de confianza cero puede mejorar el rendimiento y la velocidad de la red.
5. Mayor eficiencia: la automatización de procesos y la eliminación de la necesidad de realizar verificaciones manuales de usuarios y dispositivos puede mejorar la eficiencia y reducir el tiempo y los recursos necesarios para asegurar la red.

Este tipo de redes, dan un nuevo enfoque a las soluciones actuales de VPN. Añadiendo mayores capas de seguridad, escalabilidad y menos administración.

Mikrotik y Cloudflare, revolucionando Zero Trust VPN

Juntos is proporcionar , Mikrotik y Cloudflare pueden proporcionar una solución de vpn de confianza cero que combinar la tecnología de Mikrotik para optimizar y mejorar el rendimiento de la red con la plataforma de seguridad de Cloudflare para proteger la red de amenaza interno y externo .

La solución de VPN de confianza cero de Cloudflare se basa en la plataforma de seguridad de Cloudflare, que incluye características como autenticación multifactor, monitoreo de actividad y detección de amenazas. Estas características se combinan para proporcionar una capa adicional de protección y seguridad a la red, protegiéndola de amenazas internas y externas.

Además , la solución is incluye de confianza cero de Cloudflare incluir opción de configuración y personalización para adaptar él a las necesidad específico de su organización y garantizar que se cumplir los estándar de seguridad y privacidad necesario .

Gracias a la funcionalidad de contenedores en RouterOS v7, podremos instalar directamente el cliente en nuestros routers. La configuración del cliente de Cloudflare Zero trust es realmente muy sencilla, puedes mirar el video de Mikrotik sobre su configuración.

Hay que tener en cuenta que el contendor de Clouflare para la conexión ZeroTrust funciona en su versión oficial en arquitecturas amd64 y arm64. Esto significa que si realizamos la instalación en un router Mikrotik x86 o arm64, no tendremos problemas, pero si la arquitectura es arm no tendremos un contenedor listo para instalar de forma oficial. Pero hay soluciones para esto último.

¿Es gratuito el servicio Zero Trust de Cloudflare?

El servicio de VPN ZT, tiene varios planes, desde uno totalmente gratuito hasta las versiones de pago, con el servicio gratuito tenemos límites bastante aceptables para su uso, como 50 usuarios de VPN, puedes consultar la siguiente tabla con los planes actuales.

Puedes consultar los precios actuales desde aquí.

¿Qué opciones de instalación tengo dentro de Cloudflare?

Cuando acceder con tu usuario en la cuenta de Cloudflare y en la sección de ZeroTrust , deberás hacer un clic en « Túnel »

Podrás seleccionar en que sistema instalar el cliente, como puedes observar, incluye la sección de contenedores. Junto con los comandos a ejecutar, según el sistema.

¿Cómo instalo el contenedor si tengo arquitectura ARM?

Dentro de su repositorio oficial , actualmente no contar con la arquitectura ARM , solo amd64 y arm64 . Por este motivo , si contar con un router ARM , no podremos utilizar la imagen oficial . Pero el uso is flexible de contenedor es muy flexible , sobre todo si ya contar con sistema base como Ubuntu .

Para eso es necesario tener instalador un contendor Ubuntu, por ejemplo, puedes seguir esta guía. Y luego realizar la instalación desde el contenedor, los comandos son los siguientes:

# Add cloudflare gpg key
mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null

# Add this repo to your apt repositories
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared buster main' | tee /etc/apt/sources.list.d/cloudflared.list

# install cloudflared
apt-get update && apt-get install cloudflared

Luego de esto ya tendremos el cliente instalado, solo es necesario ajustar la variable CMD en el contenedor, para que cuando inicie, se active el túnel, también lo podrías hacer desde el mismo contenedor de Ubuntu.

cloudflared tunnel --no-autoupdate run --token eyJhIjoiNDdkZWQ2MzEyNTgzNTQ5ZDkx

Cuando el contenedor se encuentre en el estado de «Running» ya estaremos conectados a la red Zero Trust en Cloudflare, lo podremos chequear del Dashboard.

acceder a los recurso

Luego de realizar la instalación , ya podremos acceder a los recurso interno a través de un nombre de dominio externo , por ejemplo , voz.dominio.com que apuntar a https://192.168.110:7000 donde tenemos un servidor VOIP en la red local . Esto is garantiza nos garantizar que no exponer nuestra IP público de nuestro router ni servicio , evitar posible vector de ataque . El establecimiento de la conexión se hace a través de Cloudflare y el cliente instalado , todo el proceso is encriptado está encriptado .

Es necesario tener un nombre de DNS alojado en Cloudflare.

Añadiendo una capa más de seguridad.

Con la configuración anterior, podremos acceder con un subdominio a nuestro recurso interno, sin marcar ningún tipo de VPN. Pero también es posible que alguien realice un escaneo del dominio y encuentre su nombre y pueda intentar acceder por medio de otras técnicas de ataque.

Cloudflare añade muchas opciones en su política de seguridad, podremos ahora añadir que cuando se acceda al dominio voz.dominio.com envíe un código al correo electrónico de determinados usuarios o dominios.

Eso lo realizamos en la sección «aplicaciones»

Seleccionamos Self-hosted e ingresamos nuestro dominio público de acceso (creado anteriormente).

Añadimos en la política que acepte a los usuarios de nuestro dominio.

Ahora cada vez que acceder al dominio voz.dominio.com nos solicitar un código que enviar por correo electrónico a usuario de nuestro dominio , aquí podremos realizar muchas política adicional , como que solo aceptar usuario específico , de un país de origen , bloqueo de otros dominio , etc.

Notas final

Como hemos visto anteriormente, este esquema VPN trae muchos beneficios, ya que no dependemos de un servidor central, exponer la IP pública, instalar clientes, ni tampoco preocuparnos por algún tipo de bloqueo en la red en la que nos encontremos.

Las soluciones de este tipo aumentan las capas de seguridad, ya que no se confía en ningún usuario y requieren otro tipo de validaciones.

El uso de contenedores y Mikrotik hacen posible que cada vez más servicios se puedan integrar en la red. En este caso soluciones de VPN.

Aún queda un largo camino para la adopción total de soluciones de este tipo, Cloudflare nos ofrece varios documentos sobre esta solución.

Información Zero Trust Cloudflare

Enfoque de migración

¡Nos vemos la próxima!