Configurar BOVPN por TLS en Modo Cliente

1. Seleccione VPN > BOVPN over TLS.

2. Haga clic en Habilitar.
   Aparece el cuadro de diálogo Modo BOVPN over TLS.

3. En la lista desplegable Modo Firebox, seleccione Cliente.

4. Haga clic en Agregar.
   Aparece la página Agregar Servidor.

5. En el cuadro de texto Nombre de Túnel, ingrese un nombre para el túnel.
6. En el cuadro de texto Descripción, ingrese una descripción del túnel.
7. Mantenga marcada la casilla de selección Habilitado para habilitar este túnel.
8. En el cuadro de texto Servidor Primario, escriba la dirección IP o el nombre de dominio del servidor TLS.
   El servidor TLS es un Firebox remoto configurado en el modo Servidor TLS.
9. (Opcional) En el cuadro de texto Servidor de Respaldo, escriba la dirección IP o el nombre de dominio del servidor TLS de respaldo.
10. En el cuadro de texto ID del Túnel, ingrese un nombre para el túnel. Debe especificar la misma ID de Túnel en el servidor TLS.
11. En la casilla de selección Clave Precompartida, ingrese la clave precompartida.
    La clave precompartida debe tener entre 8 y 23 caracteres de extensión.

12. (Opcional) Para cambiar los ajustes de comunicación predeterminados, haga clic en Editar.
    Aparece el cuadro de diálogo Configuración Avanzada.

13. Configure los Ajustes Avanzados.

Autenticación

Seleccione un método de autenticación para la conexión: SHA-1, SHA-256 o SHA-512. Recomendamos las variantes SHA-2, SHA-256 y SHA-512, que son más fuertes que SHA-1.

Cifrado

Seleccione un algoritmo para cifrar el tráfico: 3DES, AES (128 bits), AES (192 bits) o AES (256 bits). En Fireware v12.2 o posterior, también puede seleccionar AES-GCM (128 bits), AES-GCM (192 bits) o AES-GCM (256 bits). Recomendamos el cifrado AES. Para un mejor rendimiento, elija una variante AES de 128 bits. Para el cifrado más fuerte, elija una variante AES de 256 bits.

Si selecciona 3DES, tenga en cuenta un ataque de seguridad potencial, aunque poco probable. Para más información, consulte Vulnerabilidad de Sweet32 en la Base de Conocimiento de WatchGuard.

Canal de Datos

Si el protocolo del canal de datos es TCP, no puede especificar otro número de puerto que no sea 443.

Puede cambiar el protocolo del canal de datos a UDP y especificar un puerto diferente, a menos que el Management Tunnel over SSL esté habilitado en su Management Server. Para obtener información sobre las diferencias entre TCP y UDP, consulte Elegir un Puerto y Protocolo para Mobile VPN with SSL.

Intervalo Keep-alive

Si no se han enviado paquetes a través del túnel durante el tiempo especificado, el cliente BOVPN over TLS hace ping al servidor BOVPN over TLS.

Tiempo de espera de Keep-alive

Si el servidor BOVPN over TLS no envía una respuesta u otro paquete antes de que transcurra el Tiempo de Espera Keep-Alive, la conexión del túnel se cierra y se reinicia.

Renegociar el canal de datos

Si una conexión de BOVPN over TLS ha estado activa por el tiempo especificado en el cuadro de texto Renegociar Canal de Datos, el cliente BOVPN over TLS debe crear un nuevo túnel. El valor mínimo es 1 hora.

La opción Importar un archivo de configuración es para propósitos de prueba interna y no es compatible.

1. Seleccione VPN > BOVPN over TLS.
2. Seleccione Activar BOVPN over TLS.
3. En la lista desplegable Modo Firebox, seleccione Cliente.
4. Haga clic en Agregar.
   Aparece el cuadro de diálogo Agregar Servidor.

5. En el cuadro de texto Nombre de Túnel, ingrese un nombre para el túnel.
6. En el cuadro de texto Descripción, ingrese una descripción del túnel.
7. Mantenga marcada la casilla de selección Habilitado para habilitar este túnel.
8. En el cuadro de texto Servidor Primario, escriba la dirección IP o el nombre de dominio del servidor TLS.
   El servidor TLS es un Firebox remoto configurado en el modo Servidor TLS.
9. (Opcional) En el cuadro de texto Servidor de Respaldo, escriba la dirección IP o el nombre de dominio del servidor TLS de respaldo.
10. En el cuadro de texto ID del Túnel, ingrese un nombre para el túnel. Debe especificar la misma ID de Túnel en el servidor TLS.
11. En la casilla de selección Clave Precompartida, ingrese la clave precompartida.
    La clave precompartida debe tener entre 8 y 23 caracteres de extensión.

12. (Opcional) Para cambiar los ajustes de comunicación predeterminados, haga clic en Editar.
    Aparece el cuadro de diálogo Configuración Avanzada.

13. Establezca las configuraciones avanzadas:

Autenticación

Seleccione un método de autenticación para la conexión: SHA-1, SHA-256 o SHA-512. Recomendamos las variantes SHA-2, SHA-256 y SHA-512, que son más fuertes que SHA-1.

Cifrado

Seleccione un algoritmo para cifrar el tráfico: 3DES, AES (128 bits), AES (192 bits) o AES (256 bits). En Fireware v12.2 o posterior, también puede seleccionar AES-GCM (128 bits), AES-GCM (192 bits) o AES-GCM (256 bits). Recomendamos el cifrado AES. Para un mejor rendimiento, elija una variante AES de 128 bits. Para el cifrado más fuerte, elija una variante AES de 256 bits.

Si selecciona 3DES, tenga en cuenta un ataque de seguridad potencial, aunque poco probable. Para más información, consulte Vulnerabilidad de Sweet32 en la Base de Conocimiento de WatchGuard.

Canal de Datos

Si el protocolo del canal de datos es TCP, no puede especificar otro número de puerto que no sea 443.

Puede cambiar el protocolo del canal de datos a UDP y especificar un puerto diferente. Para obtener información sobre las diferencias entre TCP y UDP, consulte Elegir un Puerto y Protocolo para Mobile VPN with SSL.

Intervalo Keep-alive

Si no se han enviado paquetes a través del túnel durante el tiempo especificado, el cliente BOVPN over TLS hace ping al servidor BOVPN over TLS.

Tiempo de espera de Keep-alive

Si el servidor BOVPN over TLS no envía una respuesta u otro paquete antes de que transcurra el valor del Tiempo de Espera Keep-Alive, la conexión del túnel se cierra y se reinicia.

Renegociar el canal de datos

Si una conexión de BOVPN over TLS ha estado activa por el tiempo especificado en el cuadro de texto Renegociar Canal de Datos, el cliente BOVPN over TLS crea un nuevo túnel. El valor mínimo es 1 hora.