Usar Mobile VPN with IPSec con Grupos de Active Directory

1. Seleccione Autenticación > Servidores.
   Aparece la página Servidores de Autenticación.
2. Seleccione Active Directory.
   Aparece la página Servidores / Active Directory.
3. Haga clic en Agregar.
   Aparece la página Configuración del Active Directory Server.

4. En el cuadro de texto Nombre de Dominio, ingrese el nombre de dominio que se usará para este Active Directory Server.
   El nombre de dominio debe incluir un sufijo de dominio. Por ejemplo, ingrese ejemplo.com, y no ejemplo.
5. En los cuadros de texto Contraseña y Confirmar, ingrese la contraseña.
6. De la lista desplegable Principal, seleccione Dirección IP o Nombre DNS.
   Para este ejemplo, seleccione Dirección IP.
7. En el cuadro de texto Principal, ingrese la dirección IP del servidor principal de Active Directory.
   Para este ejemplo, ingrese 10.0.1.100.

El Active Directory server puede estar ubicado en cualquier interfaz Firebox. También es posible configurar el dispositivo para usar un Active Directory Server disponible a través de un túnel VPN.

8. En el cuadro de texto Puerto, ingrese o seleccione el número de puerto TCP utilizado para conectarse al Active Directory server. El número de puerto predeterminado es 389.

Si su Active Directory server es un servidor de catálogo global, puede ser útil alterar el puerto predeterminado. Para obtener más información, consulte Alterar el puerto predeterminado de Active Directory Server.

9. En el cuadro de texto Base de búsqueda, ingrese la ubicación en el directorio para empezar la búsqueda en el formato:
   ou=<nombre de la unidad organizacional>,dc=<primera parte del nombre completo del servidor>,dc=<cualquier parte del nombre completo del servidor que aparece después del punto>.

Para este ejemplo, el nombre de dominio raíz en la base de datos de Active Directory es excellentschool.edu, por lo tanto, para la base de búsqueda, ingrese dc=excellentschool,dc=edu.

10. En el cuadro de texto Cadena de Grupo, ingrese la cadena de atributos que se usa para mantener la información del grupo de usuarios en el Active Directory Server. Si no cambió su esquema de Active Directory, la cadena de grupo siempre es memberOf.

11. En el cuadro de texto DN del usuario de búsqueda, ingrese el nombre completo (DN) para una operación de búsqueda.

No es necesario ingresar nada en este cuadro de texto si mantiene el atributo de inicio de sesión de sAMAccountName. Si cambia el atributo de inicio de sesión, debe agregar un valor en el cuadro de texto DN del Usuario de Búsqueda. Puede usar cualquier DN de usuario con el privilegio de búsqueda en LDAP/Active Directory, por ejemplo, el de Administrador. No obstante, un DN de usuario más débil, sólo con un privilegio de búsqueda, suele ser suficiente.

12. En el cuadro de texto Contraseña de Usuario de Búsqueda, inserte la contraseña asociada al nombre completo para una operación de búsqueda.
13. En el cuadro de texto Atributo de Inicio de Sesión, ingrese un atributo de inicio de sesión para Active Directory para utilizarlo como autenticación.

El atributo de inicio de sesión es el nombre que se utiliza para conectarse con la base de datos de Active Directory. El atributo predeterminado de inicio de sesión es sAMAccountName. Si utiliza sAMAccountName, puede dejar el campoDN de usuario de búsqueda y la Contraseña de usuario de búsqueda vacíos.

14. En el cuadro de texto Tiempo Muerto, ingrese el tiempo después del cual un servidor inactivo se marca como activo nuevamente.
    Para establecer la duración, seleccione Minutos u Horas en la lista desplegable al costado.

Después que un servidor de autenticación no haya respondido por un período de tiempo, éste queda marcado como inactivo. Los intentos de autenticación adicionales no tratarán de utilizar este servidor hasta que vuelva a marcarse como activo.

15. Haga clic en Guardar.

1. Haga clic en
   O bien, seleccione Configurar > Autenticación > Servidores de Autenticación.
   Aparece el cuadro de diálogo Servidores de Autenticación.
2. Seleccione la pestaña Active Directory.
   Aparece la configuración de Active Directory.
3. Haga clic en Agregar.
   Aparecerá el cuadro de diálogo Agregar Dominio de Active Directory.

4. En el cuadro de texto Nombre de Dominio, ingrese el nombre de dominio que se usará para este Active Directory Server.
   El nombre de dominio debe incluir un sufijo de dominio. Por ejemplo, ingrese ejemplo.com, y no ejemplo.
5. Haga clic en Agregar.
   Aparece el cuadro de diálogo Agregar IP/Nombre de DNS.
6. De la lista desplegable Elegir Tipo, seleccione Dirección IP o Nombre DNS.
   Para este ejemplo, seleccione Dirección IP.
7. En el cuadro de texto Valor, ingrese la dirección IP del servidor principal de Active Directory.
   Para este ejemplo, ingrese 10.0.1.100.

El Active Directory server puede estar ubicado en cualquier interfaz Firebox. También es posible configurar el dispositivo para usar un Active Directory Server disponible a través de un túnel VPN.

8. En el cuadro de texto Puerto, ingrese o seleccione el número de puerto TCP utilizado para conectarse al Active Directory server. El número de puerto predeterminado es 389.

Si su Active Directory server es un servidor de catálogo global, puede ser útil alterar el puerto predeterminado. Para obtener más información, consulte Alterar el puerto predeterminado de Active Directory Server.

9. Haga clic en Aceptar.
   Aparecerá la dirección IP o nombre de DNS que usted agregó en el cuadro de diálogo Agregar dominio de Active Directory.
10. En el cuadro de texto Base de búsqueda, ingrese la ubicación en el directorio para empezar la búsqueda en el formato:
    ou=<nombre de la unidad organizacional>,dc=<primera parte del nombre completo del servidor>,dc=<cualquier parte del nombre completo del servidor que aparece después del punto>.

Para este ejemplo, el nombre de dominio raíz en la base de datos de Active Directory es excellentschool.edu, por lo tanto, para la base de búsqueda, ingrese dc=excellentschool,dc=edu.

11. En el cuadro de texto Cadena de Grupo, ingrese la cadena de atributos que se usa para mantener la información del grupo de usuarios en el Active Directory Server. Si no cambió su esquema de Active Directory, la cadena de grupo siempre es memberOf.

12. En el cuadro de texto DN del usuario de búsqueda, ingrese el nombre completo (DN) para una operación de búsqueda.

No es necesario ingresar nada en este cuadro de texto si mantiene el atributo de inicio de sesión de sAMAccountName. Si cambia el atributo de inicio de sesión, debe agregar un valor en el cuadro de texto DN del Usuario de Búsqueda. Puede usar cualquier DN de usuario con el privilegio de búsqueda en LDAP/Active Directory, por ejemplo, el de Administrador. No obstante, un DN de usuario más débil, sólo con un privilegio de búsqueda, suele ser suficiente.

13. En el cuadro de texto Contraseña de Usuario de Búsqueda, inserte la contraseña asociada al nombre completo para una operación de búsqueda.
14. En el cuadro de texto Atributo de Inicio de Sesión, ingrese un atributo de inicio de sesión para Active Directory para utilizarlo como autenticación.

El atributo de inicio de sesión es el nombre que se utiliza para conectarse con la base de datos de Active Directory. El atributo predeterminado de inicio de sesión es sAMAccountName. Si utiliza sAMAccountName, puede dejar el campoDN de usuario de búsqueda y la Contraseña de usuario de búsqueda vacíos.

15. En el cuadro de texto Tiempo Muerto, ingrese el tiempo después del cual un servidor inactivo se marca como activo nuevamente.
    Para establecer la duración, seleccione Minutos u Horas en la lista desplegable al costado.

Después que un servidor de autenticación no haya respondido por un período de tiempo, éste queda marcado como inactivo. Los intentos de autenticación adicionales no tratarán de utilizar este servidor hasta que vuelva a marcarse como activo.

16. Haga clic en Aceptar.
17. Guardar el Archivo de Configuración.

1. Seleccione VPN > Mobile VPN with IPSec.
   Aparece la página de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece la página Mobile VPN with IPSec / Agregar.

3. En el cuadro de texto Nombre, ingrese el nombre del grupo de usuarios.
   Para este ejemplo, debido a que los estudiantes están en el grupo de Active Directory Estudiantes, ingrese Estudiantes.
4. En los cuadros de texto Contraseña y Confirmar, ingrese la contraseña a usar para cifrar el perfil Mobile VPN que distribuya a los usuarios en este grupo. La contraseña también su utiliza para cifrar el archivo de certificado exportado que le envía a los estudiantes.
5. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
   Para el ejemplo, seleccione excellentschool.edu.
6. En el cuadro de texto Principal, ingrese la dirección IP externa principal a la cual los usuarios de Mobile VPN en ese grupo pueden conectarse. Esta puede ser una dirección IP externa, una dirección IP externa secundaria o una VLAN externa. Para un dispositivo en el modo directo, utilice la dirección IP asignada a todas las interfaces.
7. Seleccione la pestaña Recursos.

8. Asegúrese de que la casilla de selección Permitir todo el Tráfico a través del Túnel esté desmarcada.
   Esta opción hace que el cliente VPN enrute todo el tráfico del equipo cliente hacia Internet a través de la VPN. En este ejemplo, debido a que la escuela permite a los estudiantes un acceso muy limitado a los recursos en esta red a través del túnel VPN, no tienen motivo para enrutar el tráfico que no es para su red a través del túnel VPN.
9. Para agregar las direcciones IP de los recursos a los que los estudiantes pueden acceder a través del túnel, haga clic en Agregar, debajo de la lista Recursos Permitidos.

La escuela sólo desea que los estudiantes tengan acceso al DNS, FTP y a los servidores web internos. Para el ejemplo, agregue las tres direcciones de Host IPv4 10.0.2.21, 10.0.2.53 y 10.0.2.80.

10. Para agregar un rango de direcciones IP de host IPv4 para las conexiones de los estudiantes, haga clic en Agregar, debajo de la lista Grupo Virtual de Direcciones IP.

Para este ejemplo, agregue el rango de direcciones IP 10.0.4.1 - 10.0.4.254 en el grupo virtual de direcciones IP. Esto permite que el dispositivo admita más de 200 conexiones simultáneas de cliente VPN de los estudiantes.

A los usuarios de Mobile VPN se les asigna una dirección IP del grupo de direcciones IP virtuales cuando se conectan a su red. El número de direcciones IP en el grupo de direcciones IP virtuales debe ser igual al número de usuarios de Mobile VPN. Si se ha configurado un FireCluster, debe agregar dos direcciones IP virtuales para cada usuario Mobile VPN.

Las direcciones IP virtuales deben estar en una subred diferente de las redes locales. Las direcciones IP virtuales no pueden ser usadas para nada más en su red.

11. Haga clic en Guardar.

1. Seleccione VPN > Mobile VPN > IPSec.
   Aparece el cuadro de diálogo Configuración de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece el Add Mobile VPN with IPSec Wizard.
3. Haga clic en Siguiente.
   Aparece la página Seleccionar un servidor de autenticación de usuario.

4. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
5. En el cuadro de texto Nombre de Grupo, ingrese el nombre del grupo de usuarios.
   Para este ejemplo, dado que los estudiantes están en el grupo de Active Directory Estudiantes, ingrese Estudiantes.
6. Haga clic en Siguiente.
   Aparece la página Seleccionar un método de autenticación de túnel.

7. Seleccione una opción para autenticación de túnel:
   • Usar esta contraseña
     Ingrese y confirme una contraseña para este túnel.
   • Usar un certificado RSA emitido por su WatchGuard Management Server.
     Ingrese la Dirección IP de su Management Server y la Contraseña de Administración.
8. Haga clic en Siguiente.
   Aparece la página Dirigir el flujo de tráfico de Internet.

9. Seleccione una opción para tráfico de Internet:
   • No, permitir que el tráfico de Internet se dirija directamente al ISP de usuario móvil.
     (Túnel dividido)
   • Sí, forzar todo el tráfico de Internet para que fluya a través del túnel.
     (VPN de ruta predeterminada)

Para el perfil Estudiantes, elija la opción que empieza con No. En este ejemplo, debido a que la escuela permite a los estudiantes un acceso muy limitado a los recursos en esta red a través del túnel VPN, no tienen motivo para enrutar el tráfico desde los equipos de los estudiantes a Internet a través del túnel VPN.

10. Haga clic en Siguiente.
    Aparece la pantalla Identifique los recursos accesible a través del túnel.

La escuela sólo desea que los estudiantes tengan acceso al DNS, FTP y a los servidores web internos. Para este ejemplo, agregue las direcciones IP 10.0.2.21, 10.0.2.53 y 10.0.2.80.

11. Para especificar las direcciones IP de host o de red que los usuarios pueden usar para conectarse a través de un túnel VPN, haga clic en Agregar.
12. Haga clic en Siguiente.
    Aparece la página Crear grupo de direcciones IP virtuales.

13. Para agregar una dirección IP o un rango de direcciones IP, haga clic en Agregar.
    

Para este ejemplo, agregue el rango de direcciones IP 10.0.4.1 - 10.0.4.254 en el grupo virtual de direcciones IP. Esto permite que el dispositivo admita más de 200 conexiones simultáneas de cliente VPN de los estudiantes.

A los usuarios de Mobile VPN se les asigna una dirección IP del grupo de direcciones IP virtuales cuando se conectan a su red. El número de direcciones IP en el grupo de direcciones IP virtuales debe ser igual al número de usuarios de Mobile VPN. Si se ha configurado un FireCluster, debe agregar dos direcciones IP virtuales para cada usuario Mobile VPN.

Las direcciones IP virtuales deben estar en una subred diferente de las redes locales. Las direcciones IP virtuales no pueden ser usadas para nada más en su red.

14. Haga clic en Siguiente.
    Aparece la página Add Mobile VPN with IPSec Wizard ha concluido con éxito. El archivo de configuración del usuario final del grupo de Mobile VPN with IPSec está disponible en la ubicación especificada en esta página.
15. Haga clic en Finalizar.

1. Seleccione VPN > Mobile VPN with IPSec.
   Aparece la página de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece la página Mobile VPN with IPSec / Agregar.
3. En el cuadro de texto Nombre, ingrese el nombre del grupo de usuarios.
   Para este ejemplo, debido a que los maestros están en el grupo de Active Directory Maestros, ingrese Maestros.
4. En los cuadros de texto Contraseña y Confirmar, ingrese la contraseña a usar para cifrar el perfil Mobile VPN que distribuya a los usuarios en este grupo. La contraseña también su utiliza para cifrar el archivo de certificado exportado que le envía a los profesores.
5. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
   Para el ejemplo, seleccione excellentschool.edu.
6. En el cuadro de texto Principal, ingrese la dirección IP externa principal a la cual los usuarios de Mobile VPN en ese grupo pueden conectarse. Esta puede ser una dirección IP externa, una dirección IP externa secundaria o una VLAN externa. Para un dispositivo en el modo directo, utilice la dirección IP asignada a todas las interfaces.
7. Seleccione la pestaña Recursos.

8. Asegúrese de que la casilla de selección Permitir todo el Tráfico a través del Túnel esté desmarcada.
   Esta opción hace que el cliente VPN enrute todo el tráfico del equipo cliente hacia Internet a través de la VPN. El tráfico del grupo Maestros hacia los recursos en su red es enrutado a través del túnel. Los maestros pueden continuar utilizando su conexión casera de Internet para el tráfico hacia lugares que no están en la red privada.
9. Para agregar la direcciones IP de los recursos a los que pueden acceder los maestros a través del túnel, haga clic en Agregar, debajo de la lista Recursos Permitidos.

El grupo Maestros necesita tener acceso tanto a redes de confianza como opcionales. Para habilitar el acceso a estas redes, agregue las direcciones IP de red de esas dos redes. Para este ejemplo, agregue estas direcciones IP de red:
10.0.2.0/24 y 10.0.1.0/24.

10. Para agregar un rango de direcciones IP de host IPv4 para las conexiones de los maestros, haga clic en Agregar, debajo de la lista Grupo Virtual de Direcciones IP.

En esta escuela, 50 direcciones IP son suficientes para el grupo Maestros. Para este ejemplo, agregue el rango de direcciones IP 10.0.5.1 - 10.0.5.50 en el grupo virtual de direcciones IP.

11. Haga clic en Guardar.

1. Seleccione VPN > Mobile VPN > IPSec.
   Aparece el cuadro de diálogo Configuración de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece el Add Mobile VPN with IPSec Wizard.
3. Haga clic en Siguiente.
   Aparece la página Seleccionar un servidor de autenticación de usuario.

4. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
5. En el cuadro de texto Nombre de Grupo, ingrese el nombre del grupo Maestros.
   Para este ejemplo, debido a que los maestros están en el grupo de Active Directory Maestros, ingrese Maestros.
6. Haga clic en Siguiente.
   Aparece la página Seleccionar un método de autenticación de túnel.

7. Seleccione una opción para autenticación de túnel:
   • Usar esta contraseña
     Ingrese y confirme una contraseña para este túnel.
   • Usar un certificado RSA emitido por su WatchGuard Management Server.
     Ingrese la Dirección IP de su Management Server y la Contraseña de Administración.
8. Haga clic en Siguiente.
   Aparece la página Dirigir el flujo de tráfico de Internet.

9. Seleccione una opción para tráfico de Internet:
   • No, permitir que el tráfico de Internet se dirija directamente al ISP de usuario móvil.
     (Túnel dividido)
   • Sí, forzar todo el tráfico de Internet para que fluya a través del túnel.
     (VPN de ruta predeterminada)

Para el perfil Maestros, elija la opción que comienza con No. El tráfico del grupo Maestros hacia los recursos en su red se enrutado a través del túnel. Los maestros pueden continuar utilizando sus conexiones caseras de Internet para el tráfico a lugares que no están en su red privada.

10. Haga clic en Siguiente.
    Aparece la página Identificación de los recursos accesibles a través del túnel.

11. Para especificar las direcciones IP de host o de red que los maestros pueden usar para conectarse a través de un túnel VPN, haga clic en Agregar.

Dado que el grupo Maestros debe tener acceso a las redes de confianza y opcionales, agregamos las direcciones IP de red de esas dos redes. Para este ejemplo, agregue las direcciones IP de red 10.0.2.0/24 y 10.0.1.0/24.

12. Haga clic en Siguiente.
    Aparece la página Crear grupo de direcciones IP virtuales. Para este ejemplo, asumimos que 50 direcciones IP de host son suficientes para el grupo Maestros.

13. Haga clic en Agregar para agregar una dirección IP o un rango de dirección IP.

En esta escuela, 50 direcciones IP son suficientes para el grupo Maestros. Para este ejemplo, agregue el rango de direcciones IP 10.0.5.1 - 10.0.5.50 en el grupo virtual de direcciones IP.

14. Haga clic en Siguiente.
    Aparece la página Add Mobile VPN with IPSec Wizard ha concluido con éxito. El archivo de configuración del usuario final del grupo de Mobile VPN with IPSec está disponible en la ubicación especificada en esta pantalla.
15. Haga clic en Finalizar.

1. Seleccione VPN > Mobile VPN with IPSec.
   Aparece la página de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece la página Mobile VPN with IPSec / Agregar.
3. En el cuadro de texto Nombre, ingrese el nombre del grupo de usuarios.
   Para este ejemplo, dado que los miembros de TI están en el grupo de Active Directory TI, ingrese TI.
4. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
   Para el ejemplo, seleccione excellentschool.edu.
5. En los cuadros de texto Contraseña y Confirmar, ingrese la contraseña a usar para cifrar el perfil Mobile VPN que distribuya a los usuarios en este grupo. La contraseña también su utiliza para cifrar el archivo de certificado exportado que le envía al grupo de IT.
6. En el cuadro de texto Principal, ingrese la dirección IP externa principal a la cual los usuarios de Mobile VPN en ese grupo pueden conectarse. Esta puede ser una dirección IP externa, una dirección IP externa secundaria o una VLAN externa. Para un dispositivo en el modo directo, utilice la dirección IP asignada a todas las interfaces.
7. Seleccione la pestaña Recursos.

8. Seleccione la casilla de selección Permitir todo el tráfico a través del túnel.
   Cuando selecciona esta opción, la lista de Recursos Permitidos incluye automáticamente todos los recursos de red.

El grupo de TI tiene acceso ilimitado a la red, y también necesita conectarse con varios sitios que se conectan a la red a través de Túneles VPN de Sucursal. Esta configuración también significa que las conexiones de los usuarios en el grupo de TI se conectan con los host de Internet que utilizan la misma conexión de Internet que los usuarios locales en la red. Esto puede ser útil para la solución de problemas de red.

9. Para agregar un rango de direcciones IP de host IPv4 para las conexiones de los miembros de TI, haga clic en Agregar, debajo de la lista Grupo Virtual de Direcciones IP.

En esta escuela, el grupo de TI necesita solamente 25 direcciones IP virtuales. Para este ejemplo, agregue el rango de direcciones IP 10.0.5.51 - 10.0.5.76 en el grupo virtual de direcciones IP.

10. Haga clic en Guardar.
    Se agrega la configuración del grupo de IT.

1. Seleccione VPN > Mobile VPN > IPSec.
   Aparece el cuadro de diálogo Configuración de Mobile VPN with IPSec.
2. Haga clic en Agregar.
   Aparece el Add Mobile VPN with IPSec Wizard.
3. Haga clic en Siguiente.
   Aparece la página Seleccionar un servidor de autenticación de usuario.

4. En la lista desplegable Servidor de Autenticación, seleccione el dominio de Active Directory para este grupo de usuarios.
   Para este ejemplo, dado que el equipo de TI está en el grupo de Active Directory TI, ingrese TI.
5. En el cuadro de texto Nombre de Grupo, ingrese el nombre del Grupo de TI.
6. Haga clic en Siguiente.
   Aparece la página Seleccionar un método de autenticación de túnel.

7. Seleccione una opción para autenticación de túnel:
   • Usar esta contraseña
     Ingrese y confirme una contraseña para este túnel.
   • Usar un certificado RSA emitido por su WatchGuard Management Server.
     Ingrese la Dirección IP de su Management Server y la Contraseña de Administración.
8. Haga clic en Siguiente.
   Aparece la página Dirigir flujo de tráfico de Internet.

9. Seleccione una opción para tráfico de Internet:
   • No, permitir que el tráfico de Internet se dirija directamente al ISP de usuario móvil.
     (Túnel dividido)
   • Sí, forzar todo el tráfico de Internet para que fluya a través del túnel.
     (VPN de ruta predeterminada)

Para el perfil de TI, escoja la opción que comienza con Sí. El grupo de TI tiene acceso ilimitado a la red, y también necesita conectarse con varios sitios que se conectan a la red a través de Túneles VPN de Sucursal. Con esta configuración, las conexiones de los usuarios en el grupo de TI que se conectan con los host de Internet utilizan la misma conexión de Internet que los usuarios locales en la red. Esto puede ser útil para la solución de problemas de red

10. Haga clic en Siguiente.
    Aparece la página Identificación de los recursos accesibles a través del túnel. Dado que seleccionó Sí, fuerce todo el tráfico de Internet para que atraviese el túnel en el paso anterior, no tiene que cambiar los ajustes de configuración en esta página.

11. Haga clic en Siguiente.
    Aparece la página Crear grupo de direcciones IP virtuales.

12. Para agregar una dirección IP o un rango de direcciones IP, haga clic en Agregar.
    Para este ejemplo, dado que el grupo de TI necesita solamente 25 direcciones IP virtuales, especificamos este rango de direcciones: 10.0.5.51 - 10.0.5.76.
13. Haga clic en Siguiente.
    Aparece la página Add Mobile VPN with IPSec Wizard ha concluido con éxito. El archivo de configuración del usuario final del grupo de Mobile VPN with IPSec está disponible en la ubicación especificada en esta pantalla.
14. Haga clic en Finalizar.
15. Guardar la configuración en el Firebox.