Cómo asegurar con WARP & One Agent tu conexión a Internet usando Post Quantum Cryptography para evitar ataques o bloqueos de webs

Los usuarios tenemos derecho de conectarnos libremente a Internet y de hacerlo con seguridad. Este es uno de los motivos por lo que Cloudflare creó el cliente WARP, para que todos los usuarios gocen de seguridad a la hora de conectarse a Internet de forma gratuita estableciendo una conexión PQC (Post Quantum Cryptography) entre el cliente y los servidores de WARP en la plataforma de Cloudflare.

Figura 1: Cómo asegurar con WARP & One Agent tu conexión a Internet

usando Post Quantum Cryptography para evitar ataques o bloqueos de webs

Esto permite que, una vez establecida esa connexión entre tu ordenador personal o dispositivo móvil y la red de Cloudflare, todo tu tráfico vaya cifrado con PQC, lo que evita que cualquiera pueda acceder al contenido de lo que envías o recibes por Internet.

Figura 2: Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica. 

Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

Pablo González, Fran Ramírez, Carmen Torrano, Daniel Romero,

Javier Álvarez, Mario Piattini, Iker Pastor, Pablo García Bringas

Pero mucho mejor, una vez estés conectado a Cloudflare, estarás protegido por las protecciones de ataques que puedan venir desde Internet, porque estás en la plataforma de Cloudflare, con lo que no podrán hacerte ataques de Denegación de Servicio y tu dirección IP estará protegida. 

Figura 3: Arquitectura de cliente WARP

Además, si hay algún problema en la conexión, como un bloqueo de dirección IP que evita que te puedas conectar a una página web, no pasa nada, porque Cloudflare, con su red mundial, re-enruta el tráfico a través de nuevas localizaciones, lo que hace que, si hay algún problema puntual entre tu casa y la página web a la que te quieres conectar, te siga funcionando.

Figura 4: Un clic en WARP y conexión Securizada

En este ejemplo puedes ver cómo, aún teniendo conexión a Internet, como se ve en la conexión a la web del medio digital, algunas webs han sido bloqueadas limitando tu visión de Internet. Pero basta con que te conectes a la plataforma de Cloudflare usando PQC y el cliente WARP, y ya podrás acceder a las páginas web que están bloqueadas.

Figura 5: Cómo securizar una conexión con PQC usando WARP

Así que, si tienes una pequeña web, un comercio, un sitio que se ve bloqueado por alguna razón, o que tus clientes no se pueden conectar a él porque tienen un problema con su conexión, diles que se instalen el cliente WARP que automáticamente tendrán toda la protección de la red de Cloudflare sin coste alguno.

Figura 6: Download WARP para Windows, MacOS & GNU/Linux

Además, gracias a la ejecución en el Edge de los servicios de Cloudflare, el DNS y la conexión irá mucho más rápido, con lo que tendrás conectividad y además más veloz, para que ningún bloqueo te deje sin tu derecho de navegar a tu tienda online favorita, universidad o página de la administración pública que pueda estar siendo bloqueada. 

Figura 7: Cloudflare Agent ONE disponible en AppStore para iOS (iPhone & iPad)

Tienes el cliente WARP disponible para Windows, MacOS y GNU/Linux en la página de descarga de la herramienta, y también tienes el cliente Cloudflare One Agen disponible en AppStore para iOS (iPhone & iPad) y Cloudflare One Agent en Google Play para Android y Chrome OS.

Figura 8: Cloudflare One Agent en Google Play para Android y Chrome OS

Estas aplicaciones funcionan a nivel mundial, y es una de las muchas formas en las que Cloudflare cumple su misión de ayudar a construir un mejor Internet para las personas y webs que ven censurado Internet, por cortes en redes o bloqueos de servidores, que en muchos países del mundo se han dado estos casos, por desgracia.

Figura 9: Help us build a better Internet

Este es un ejemplo de uso de PQC para proteger a las personas de manera práctica. Si te gustan estos temas de Quantum Security, puedes participar, comentar y aprender en el Foro de Quantum Security al que puedes conectarte con tu cuenta de MyPublicInbox. Primero inicia sesión con tu cuenta de MyPublicInbox, y luego visita este enlace para poder entrar en el foro.

Figura 10: Foro Público de Quantum Security de

la Universidad de Deusto en MyPublicInbox

Además, aquí te dejo todos los artículos que he publicado en este blog sobre estos temas por si quieres leer con calma todo. 

• Quantum Computing Cybersecurity Preparedness Act: Comienza la era de Ciberseguridad Post-Quantum en Estados Unidos
• Hamming Quasi-Cyclic (HQC-KEM): Nuevo Key-Encapsulation Mechanism en Post-Quantum Cryptography
• FrodoKEM: Un Key-Encapsulation Mechanism Quantum-Safe (PQC) que recibe su nombre por "El señor de los Anillos"
• La Gran Búsqueda de Números Primos de Mersenne en Internet para superar el mayor Número Primo conocido hasta la fecha
• Cómo acelerar los algoritmos de Inteligencia Artificial con Computadores Analógicos Ópticos (AOC)
• Premio Nobel en Física 2025: El trabajo del "Efecto Tunel" que trajo la cuántica a nuestro mundo y abrió la puerta a los ordenadores cuánticos
• Un Reloj Atómico Óptico del MIT con Optimización Cuántica para medir el Tiempo del Futuro
• Quantum Cryptography: Una comunicación con cifrado cuántico
• Factorización de RSA con un Optimizador de Quantum Computing (y Classic Computing)
• Cuánto del tráfico en Internet funciona con Post-Quantum Cryptography
• Algoritmo Cuántico de Grover: Un algoritmo de búsqueda optimizado por superposición cuántica 
• Quantum Sensors: Cuando lo invisible se hace visible gracias al Mundo Cuántico
• Bitcoin vs Quantum Computers: Hora de pasar a Post-Quantum Cryptography
• El White Paper de MasterCard que urge a pasar a Quantum Safe: Post-Quantum Cryptography (PQC) & Quantum Key Distribution (QKD)
• Dyber: Hardware-Accelerated Post-Quantum Cryptography (PQC)
• Cómo ser Quantum Safe y desplegar Post-Quantum Cryptography (PQC) con Cloudflare
• Quantum GPS: Navegación con GPS cuánticos para evitar ataques de Jamming & Spoofing

Y recuerda, si tienes un amigo, conocido, familiar, que se está quejando porque algunos días hay páginas web en las que no puede entrar, dile que se instale el cliente de Cloudflare WARP en el PC/Mac o el cliente Cloudflare One Agent en el Smartphone.

Saludos,

Autor: Philippe Lardy

Contactar con Philippe Lardy

Apúntate al Cloudflare Immerse Madrid: 19 de Febrero de 2026

Queda menos de un mes para el Cloudflare Immerse Madrid 2026, que tendrá lugar en España, con una agenda de tecnología con grandes ponentes, con charlas que os harán sacar lo mejor de la plataforma mundial en el Edge que tiene Cloudflare, y donde yo estaré hablando de Inteligencia Artificial y las innovaciones para desplegar IA con seguridad en entornos empresariales. Y quedan muy pocos días, así que tienes que apuntarte ya o te quedas fuera.

Figura 1: Cloudflare Immerse Madrid 2026

El evento tendrá lugar el 19 de Febrero de 2026 en Madrid, en el Green Patio, y estaremos - además de algunos clientes invitados y nuestros partners - hablando de las novedades de Cloudflare en el área de SASE, App Performance, y del despliegue seguro de Agentic AI en la empresa para seguir la velocidad de evolución del mundo de la Inteligencia Artificial en los negocios.

Figura 2: Cloudflare Immerse Madrid: 19 de Febrero de 2026

En la jornada estarán mis compañeros Tony Van den Berge, VP Sales EMEA,  Alexis de la Fuente, que es el responsable de ventas de Iberia, Wouter Vloeberghs, y un grupo de ingeniería espectacular con Alejandro Grabriel Krumkamp Duran, Alfonso Alves, Marcos Pryce-Jones y Sergio Maeso Jiménez, compartiendo el escenario conmigo, donde además tendremos al equipo técnico que tenemos en Iberia y en parte del sur de Europa para acompañarnos en ese día.

Figura 3: Cloudflare Immerse Madrid: 19 de Febrero de 2026

Pero también están mis compañeros y amigos Sergio Padilla, Chief Data Officer del Banco de España, Roberto Baratta CISO de Abanca y Presidente de ISMS Forum, Chema Rivera García, CISO de Iberia Cards, David López, responsable de plataforma global de pagos de Puig, y mi querido David Martín Lombas, de Telefónica.

Figura 4: Cloudflare Immerse Madrid: 19 de Febrero de 202

Para participar hay que registrarse, y después de la convocatoria que se ha hecho por e-mail se ha llenado el evento, pero si quieres venir, regístrate, que haremos una gestión de la lista de espera con mimo y cuidado, para conseguir que el máximo posible de gente podáis asistir.

Figura 5: Regístratre para Cloudflare Immerse Madrid 2026

Además, os aseguro que no será la única actividad que haremos en España, que estamos preparando algo muy grande para más adelante, que ya sabéis que a mí me encanta tener un día grande al año, donde poder contaros todo lo nuevo que estemos haciendo, pero esta vez... tenéis que apuntaros cuanto antes.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo ser Quantum Safe y desplegar Post-Quantum Cryptography (PQC) con Cloudflare

Llevo ya mucho tiempo hablando de Post-Quantum Cryptography (PQC), de Quantum Key Distribution (QKD) y de Quantum Security en general, así que no podía no dedicarle una pequeña entrada a cómo desplegar PQC utilizando Cloudflare, porque es una de las piezas clave de la plataforma, por lo que es bastante sencillo de realizarlo.

Figura 1: Cómo ser Quantum Safe y desplegar

Post-Quantum Cryptography (PQC) con Cloudflare

Por supuesto, déjame comenzar recomendándote que, si quieres aprender de este mundo, te compres el libro de "Quatum Security: Tecnología Cuántica & Ciberseguridad. Criptográfica Cuántica y Post-Cuántica" donde hablamos de todo este mundo de Quantum Security para que te lo sepas de memoria.

Figura 2: Quatum Security: Tecnología Cuántica & Ciberseguridad.

Criptográfica Cuántica y Post-Cuántica. 

Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

Pablo González, Fran Ramírez, Carmen Torrano, Daniel Romero,

Javier Álvarez, Mario Piattini, Iker Pastor, Pablo García Bringas

Como ya os había dicho, Cloudflare es el mayor despliegue de Internet de Post-Quantum Cryptography, y aunque ya os he hablado un poco de ello en el artículo de Cuánto del tráfico en Internet funciona con Post-Quantum Cryptography, pero hoy quería hablaros  de las diferentes soluciones de arquitectura PQC que puedes tener con los servicios de Cloudflare.

Figura 3: Soluciones de arquitectura PQC que puedes

tener con los servicios de Cloudflare

Para poder entenderlo, veamos las conexiones a los servicios de una empresa protegida y acelerada en Cloudflare a los que se conecta un determinado usuario, como un viaje por tres zonas totalmente diferentes. La primera entre en el cliente y la plataforma de Cloudflare, la segunda parte sería entre los centros de datos de la red en Edge de Cloudflare, y la tercera zona entre el último centro de datos de Cloudflare y el servidor de la empresa.

Figura 4: Conexiones entre clientes y servicios a través de Cloudflare

En este entorno, para tener PQC en la Zona 1 de la conexión, hay que tener en cuenta que hoy en día Mozilla Firefox, Google Chrome y Android soportan por defecto PQC en modo Hybrid, y con el lanzamiento de iOS 26 Apple en Septiembre de 2025, tenemos HTTP PQC en la parte de cliente en una gran mayoría. 

En la Zona 2 Cloudflare comenzó el despliegue masivo de PQC en todas sus conexiones en el año 2023, y hoy día existe un despliegue completo PQC entre sus nodos. Esto quiere decir que tanto si el cliente en Zona 1 como el servidor en Zona 3 están listos, es posible tener PQC entre el cliente y la red de Cloudflare y entre la red de Cloudflare y el servidor. 

Figura  5: OpenSSL 3.5 con Hybrid ML-KEM en TLS v1.3

En la parte de servidores, la fundación OpenSSL lanzó la versión 3.5 con soporte en modo Híbrido de ML-KEM en TLS v1.3, por lo que todos los servidores en Zona 3 que tengan esta versión desplegada y configurada, ya están listos con soporte PQC.

Figura 6: Arquitectura PQC entre cliente y Cloudflare,

y entre Cloudflare y  el Servidor.

Con esta arquitectura, podría ser que hubiera solo PQC en Zona 1 y Zona 2, o sólo PQC en Zona 2 y Zona 3, pero al menos se tendría siempre parte del tráfico cifrado con criptografía post-cuántica. 

PQC en Zona 1: Cliente & Cloudflare

Vista la arquitectura anterior, siempre que hubiera uno de los clientes con soporte para PQC, tendríamos soporte de criptografía post-cuántica en Zona 1, pero... ¿y si ninguno es compatible? Bien, en ese caso Cloudflare tiene el Cliente WARP que es compatible con PQC para establecer el túnel de conexión con Cloudflare.

Figura 7: Cliente WARP gratuito para MacOS

En este caso, si te vas a descargar el cliente gratuito de Cloudflare WARP tendrías una conexión tunelizada con PQC entre MacOS donde se utilizaría Cloudflare como Secure Web Gateway para navegar usando PQC, lo que haría que la conexión cliente tuviera soporte PQC sí o sí.

Figura 8: Conexión con cliente WARP

Este cliente - que es gratuito y al que le dedicaré alguna entrada posterior - permite que la conexión con la plataforma de Cloudflare se enmascare con el protocolo MASQUE que usa PQC, lo que soluciona el problema para todos los clientes. En el mundo empresarial, el cliente WARP está en Zero Trust Network Access, que lleva muchas más funciones empresariales, pero ya os contaré más de éste también en algún otro artículo.

PQC en Zona 3: Cloudlfare & Servidor

Como hemos podido ver en el gráfico de la figura anterior, si el servidor tiene soporte para PQC entonces estará todo resuelto, pero si no, tendríamos una zona aún sin criptografía post-cuántica. Para solucionar esto, Cloudflare permite utilizar Cloudflared, que es un servicio de túnel usando MASQUE con PQC para conectar un servidor con la plataforma de Cloudflare.

Figura 9: Tunelizando un servidor usando Cloudflared con PQC

Puedes descargar el servicio de Cloudflared desde GitHub y ejecutarlo en tu servidor, después, debes crear un servicio en tu cuenta de Cloudflare para que de conecte con él, y listo, habrías resuelto el último tramo de tu conexión para que también tuviera PQC.

Figura 10: Cloudflared en GitHub

No es un proceso nada complejo, y en la documentación del servicio puedes encontrar todos los detalles que necesitas para configurar este puente en unos minutos, que no necesitas mucho más para tunelizar con PQC una conexión a Internet usando Cloudflared.

Figura 11: Documentación de Cloudflared en GitHub

Ya os iré contando más detalles de estos procesos, pero si te gustan estos temas de Quantum Security, puedes participar, comentar y aprender en el Foro de Quantum Security al que puedes conectarte con tu cuenta de MyPublicInbox. Primero inicia sesión con tu cuenta de MyPublicInbox, y luego visita este enlace para poder entrar en el foro.

Figura 12: Foro Público de Quantum Security de

la Universidad de Deusto en MyPublicInbox

Además, aquí te dejo todos los artículos que he publicado en este blog sobre estos temas por si quieres leer con calma todo. 

• Quantum Computing Cybersecurity Preparedness Act: Comienza la era de Ciberseguridad Post-Quantum en Estados Unidos
• Hamming Quasi-Cyclic (HQC-KEM): Nuevo Key-Encapsulation Mechanism en Post-Quantum Cryptography
• FrodoKEM: Un Key-Encapsulation Mechanism Quantum-Safe (PQC) que recibe su nombre por "El señor de los Anillos"
• La Gran Búsqueda de Números Primos de Mersenne en Internet para superar el mayor Número Primo conocido hasta la fecha
• Cómo acelerar los algoritmos de Inteligencia Artificial con Computadores Analógicos Ópticos (AOC)
• Premio Nobel en Física 2025: El trabajo del "Efecto Tunel" que trajo la cuántica a nuestro mundo y abrió la puerta a los ordenadores cuánticos
• Un Reloj Atómico Óptico del MIT con Optimización Cuántica para medir el Tiempo del Futuro
• Quantum Cryptography: Una comunicación con cifrado cuántico
• Factorización de RSA con un Optimizador de Quantum Computing (y Classic Computing)
• Cuánto del tráfico en Internet funciona con Post-Quantum Cryptography
• Algoritmo Cuántico de Grover: Un algoritmo de búsqueda optimizado por superposición cuántica 
• Quantum Sensors: Cuando lo invisible se hace visible gracias al Mundo Cuántico
• Bitcoin vs Quantum Computers: Hora de pasar a Post-Quantum Cryptography
• El White Paper de MasterCard que urge a pasar a Quantum Safe: Post-Quantum Cryptography (PQC) & Quantum Key Distribution (QKD)
• Dyber: Hardware-Accelerated Post-Quantum Cryptography (PQC)

Espero que estos temas te estimulen a ir haciendo cada día más cosas con las tecnologías alrededor del mundo cuántico, porque cada día vamos a ver nuevos avances al respecto. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cloudflare Immerse Madrid: 19 de Febrero de 2026

Cuando aún estamos comenzando el periodo álgido de las fiestas navideñas, ya tengo que hablaros del calendario del año que viene de eventos, que ya tengo el primer Stint del año casi organizado. Pero hoy os hablo del primero, que hicimos la convocatoria hace un par de días y ha habido una gran respuesta. Es el Cloudflare Immerse Madrid.

Figura 1: Cloudflare Immerse Madrid: 19 de Febrero de 2026

El evento tendrá lugar el 19 de Febrero de 2026 en Madrid, en el Green Patio, y estaremos - además de algunos clientes invitados y nuestros partners - hablando de las novedades de Cloudflare en el área de SASE, App Performance, y del despliegue seguro de Agentic AI en la empresa para seguir la velocidad de evolución del mundo de la Inteligencia Artificial en los negocios.

Figura 2: Cloudflare Immerse Madrid: 19 de Febrero de 2026

En el evento estarán mis compañeros Alexis de la Fuente, que es el responsable de ventas de Iberia, y Wouter Vloeberghs, compartiendo el escenario conmigo, donde además tendremos al equipo técnico que tenemos en Iberia y en parte del sur de Europa para acompañarnos en ese día.

Figura 3: Cloudflare Immerse Madrid: 19 de Febrero de 2026

Para participar hay que registrarse, y después de la convocatoria que se ha hecho por e-mail se ha llenado el evento, pero si quieres venir, regístrate, que haremos una gestión de la lista de espera con mimo y cuidado, para conseguir que el máximo posible de gente podáis asistir.

Figura 4: Regístratre para Cloudflare Immerse Madrid 2026

Además, os aseguro que no será la única actividad que haremos en España, que estamos preparando algo muy grande para más adelante, que ya sabéis que a mí me encanta tener un día grande al año, donde poder contaros todo lo nuevo que estemos haciendo, pero esta vez... tenéis que apuntaros cuanto antes.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Exprimir el Secure Edge: Webinars de Cloudflare en Directo durante Septiembre

El calendario de actividades de divulgación tecnológica es alto en Cloudflare, y una de estas actividades son los Webinars en directo. Cada mes puedes participar en nuevos seminarios que además incluyen las novedades de todo lo que se va publicando en el modelo de Innovación Continua que defiende y practica la compañía.

Figura 1: Exprimir el Secure Edge - Webinars de Cloudflare

en Directo durante Septiembre

Hoy os traigo la lista de los que están planificados para este mes de Septiembre, para que si tienes tiempo, puedas participar en alguno de ellos que si te interesa el mundo de las tecnologías de seguridad en el Edge y los sistemas de Zero Trust en arquitecturas de Secure Access Service Edge (SASE), seguro que lo vas a disfrutar.

Todos los Webinars en Septiembre

09: From Robotics to Remote Access: Implementing Zero Trust in an Era of Evolving Threats

"Retailers are juggling managing vast amounts of customer data, payment information, and supply chain networks across multiple locations and platforms, traditional perimeter-based security models are proving inadequate against sophisticated cyber threats.Join us for our webinar featuring Ocado Group's Technical Architect as he shares their real-world Zero Trust Network Access (ZTNA) deployment journey. 

Figura 2: From Robotics to Remote Access: Implementing

Zero Trust in an Era of Evolving Threats

From securing robotic warehouse systems and customer fulfilment platforms to protecting proprietary technology solutions and sophisticated automation, discover how Ocado Group implemented Zero Trust principles across their entire technology ecosystem."

10: 3 phases, 10 steps: Implementing a SASE architecture

"Cloudflare experts will walk you through a proven 10-step roadmap to successfully implement SASE across your organization. Drawing from real-world customer examples, we’ll explore how leading enterprises are scoping their Zero Trust projects, overcoming common roadblocks, and unlocking measurable improvements in agility and security."

Figura 3:  3 phases, 10 steps: Implementing a SASE architecture

10: Securing and scaling your cloud environment to support AI transformation

"Even the most innovative and well-built AI application won’t succeed if it lacks the right underlying cloud infrastructure. The right foundation enables strong data security, efficient connectivity between AI components, and cost-effective scale. The wrong one turns those same benefits into obstacles. This is doubly true for agentic AI, whose complexity introduces a whole new realm of security and scalability issues.

Figura 4: Securing and scaling your cloud environment to support AI transformation

How should organizations adapt their cloud environments to support AI scale and security — whether they have already made cloud investments, or are turning to the cloud for the first time? Forrester guest speaker Lee Sustar has extensive experience advising enterprises on exactly that question. Join our webinar to learn about: Common trends and challenges in how organizations make AI-focused cloud investments Lee’s advice for organizations tackling these challenges Cloudflare’s perspective on how a commodity cloud vs a connectivity cloud delivers competitive advantage with AI scaling."

17: Modernizing Security: Real World Stories of Zero Trust in Action

"Employees, applications, and infrastructure exist everywhere today – across regions, cloud environments, and hybrid work settings. To manage this sprawling attack surface, many organizations are modernizing security with Zero Trust best practices to reduce risk, simplify their architectures, and enable business agility.

Figura 5: Modernizing Security: Real World Stories of Zero Trust in Action

In this webinar series, Cloudflare spotlights customers making progress on that journey. Register now to join a conversation exploring successful real-world deployments, including:Priority use cases to get started and scale with Zero TrustCommon challenges and best practices to overcome themArchitectural strategies and technical capabilities, including roadmap previews."

18: Temporada alta de fin de año 2025: Maximiza ingresos y minimiza riesgos.

"¿Está tu infraestructura digital lista para afrontar la temporada alta de ventas de fin de año 2025 y el aumento de ciber-amenazas?Únete a nuestros expertos de Cloudflare para conocer cómo fortalecer la resiliencia digital de tu negocio durante la época más exigente del comercio minorista.Compartiremos estrategias prácticas para retailers que se están preparando para los picos de tráfico del Buen Fin, Black Friday, Cyber Monday y la temporada navideña, en un contexto donde las amenazas evolucionan constantemente: desde ransomware que impacta operaciones e inventarios, hasta ataques dirigidos a APIs o páginas de pago.En esta sesión de alto impacto te mostraremos cómo proteger tus ingresos, reducir riesgos y asegurar una experiencia de compra fluida durante tus días más críticos.

Figura 6: Temporada alta de fin de año 2025: Maximiza ingresos y minimiza riesgos

Aprenderás cómo:Escalar sin fricción durante aumentos repentinos de visitas, donde cada segundo cuenta para convertirDefenderte de bots avanzados, ransomware y ataques DDoS que apuntan a los días de mayores ventasEvitar fraude digital, robo de datos de pago y abuso de APIs en plataformas de checkout, inventario y logísticaImplementar estrategias tecnológicas que prioricen al comprador real y aseguren la información del cliente."

30: How Cloudflare can coexist alongside Zscaler to fast-track your remote access project

"Are you worried about doubling down with the wrong security vendor? Maybe you are using one vendor (like Zscaler) for web inspections, but the thought of a full-scale SASE rollout seems overwhelming, complex, and disruptive. The good news is you can start modernizing remote access immediately, without those concerns.Join this webinar to discover how Cloudflare can strengthen and simplify security, while coexisting seamlessly alongside your web proxy from vendors like Zscaler.

Figura 7:  How Cloudflare can coexist alongside Zscaler

to fast-track your remote access project

In particular, our experts will show how to take advantage of clientless deployments of ZTNA, DNS filtering, and email security to improve your posture — all without installing additional software on devices.With demos, architectural walkthroughs, and real-world customer examples, you will learn:Use cases that deliver quick time-to-value with minimal disruptionStep-by-step technical guidance to run Cloudflare in parallel with Zscaler Recommendations on when a best-of-breed approach makes sense."

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo montar tu (Open) VPN con PFSense de forma sencilla #PyMES #Teletrabajo

La irrupción de la pandemia en nuestras cambió muchas cosas. Una de esas situaciones fue el fortalecimiento del teletrabajo y la necesidad de las empresas a amoldarse a un trabajo remoto debido a las necesidades que todos conocemos y la imposibilidad de poder tener contacto entre nosotros. Todo esto produjo una situación en la que muchas empresas tuvieron que amoldarse y empezar a emplear recursos para poder llevar a cabo el teletrabajo.

Figura 1: Cómo montar tu (Open) VPN con PFSense de forma sencilla

En muchas ocasiones, se cometieron errores, ya que se empezaron a exponer servidores a Internet con todo el riesgo que eso podía conllevar. Las soluciones más factibles, incluso cómodas, sería la instalación de una VPN para una empresa, independientemente del tamaño de ésta. Una forma segura (si todo está bien configurado) de acceder a los recursos internos de la organización y de disponer de una trazabilidad sencilla de quién se conecta y cuando a la organización.

Figura 2: Ataques en redes de datos IPv4&IPv6 (4ª Edición) de

JL. Rambla, ampliado y revisado por Pablo González y Chema Alonso

En el artículo de hoy vamos a mostrar como se puede montar una OpenVPN, la cual es una de las posibilidades que trae PFSense, para implementar una VPN. Si eres una persona que viaja mucho y necesitas conexiones seguras en diferentes ubicaciones puede interesarte este tipo de soluciones. Montar una VPN en tu casa no es algo complejo a día de hoy con algo de conocimiento básico. PFSense simplifica el proceso de creación de la CA, del certificado del servidor, de los usuarios, etcétera.

 
Entorno: Comenzando

El entorno que vamos a suponer en este ejemplo es el siguiente:

• Disponemos de una solución PFSense.
• Tenemos una red LAN donde tenemos una serie de máquinas y recursos.
• Tenemos una red WAN, la cual es Internet.

Lo que vamos a hacer es configurar en PFSense, el cual es el que se encuentra entre esa LAN y esa WAN filtrando el tráfico, es decir, actuando de firewall, para poder implementar la VPN en dicho punto. La herramienta de Package Manager que dispone PFSense permite instalar paquetes y demás funcionalidades que hacen de esta suite all-in-one una buena solución para muchos entornos. Para poder exportar los perfiles de OVPN vamos a hacer uso de la instalación del paquete openvpn-client-export.

Figura 3: Instalación del paquete openvpn-client-export

Ahora vamos a llevar a cabo la instalación del servicio de OpenVPN en PFSense. Nos dirigimos al apartado VPN y seleccionamos OpenVPN. Seleccionamos ahora “Wizards”, el asistente que simplificará el proceso de creación de todo lo necesario.

Figura 4: Libro de Hardening de Servidores GNU/Linux 4ª Edición

(Revisada y Ampliada) de Carlos Álvarez y Pablo González en 0xWord

Al acceder a “Wizards” empezamos en el paso 6 del proceso y nos solicita el tipo de autenticación con el que se van a autenticar los usuarios de la VPN. Puede ser una base de datos local de usuarios que mantenga PFSense o podríamos incluso integrarlo con un servidor RADIUS o LDAP. En este ejemplo, usamos la base de datos de usuarios locales.

Figura 5: Configuración de RAS

Al pulsar sobre siguiente llegamos al apartado de generación de CA. Es un apartado importante, ya que posteriormente podremos gestionar revocaciones de certificados de usuarios, entre otras cosas. Generamos la CA para el servidor de VPN, simplemente seleccionamos el tamaño de clave y el nombre que le daremos a la CA. Además, hay que indicar los típicos parámetros de país, ciudad, tiempo de validez, etcétera.

Figura 6: Configuración de la Certification Authority

Damos a siguiente y nos encontramos con la generación del certificado del servidor. Seleccionamos el tamaño de clave y rellenamos los parámetros anteriores (tiempo de vida, país, ciudad, etcétera). Si alguna vez has implementado una OpenVPN a mano con el uso de OpenSSL para generar CA y certificados o con easy-RSA, verás la diferencia al instante, ya que la GUI enmascara muchos pasos manuales que, aunque necesarios, podían ser tediosos.

Figura 7: Configuración del Certificado del Servidor

Ahora nos aparece un gran número de opciones dentro de la configuración del servicio de VPN. Hay que ir analizando cada opción. Opciones como:

• Puerto: Es recomendable utilizar un puerto alto para montar el servicio, en vez de utilizar el puerto por defecto (1194).

• Descripción de la VPN: Nombre descriptivo.

• Tipo de protocolo: Sobre el que la VPN funcionará (UDP o TCP) y sobre que protocolo de red IPv4 o IPv6.

• Opciones criptográficas: TLS Auth, TLS Key, el tamaño de DH, algoritmos criptográficos que se pueden utilizar, el algoritmo de digest, etcétera.

• Configuración de red: De esto hablaremos un poco más adelante.

Figura 8: Configuración General de la VPN

Llegados a este punto, nos fijamos en la configuración del túnel, es decir, la configuración de red. El direccionamiento que se otorgará a los clientes, por defecto 10.0.8.0/24, aunque esto se puede personalizar como se puede ver en la imagen. Este direccionamiento podrá tener acceso a la red LAN, si así lo decidimos. Como se puede ver un poco más abajo, tenemos que indicar la red de área local, en este caso la 10.0.0.0/24 y es con la que tendremos visibilidad.

Figura 9: Opciones de Tunneling

Además, podemos configurar los diferentes parámetros de red que los clientes de la VPN recibirán por parte del servidor como, por ejemplo:

• Direcciones de los servidores DNS (pudiendo ser el propio PFSense el servidor DNS).
• Dirección del Gateway.
• Dirección del servidor NTP.
• Wins Server.
• Opciones NetBIOS.

Después, nos encontraremos con la posibilidad de crear automáticamente la regla en el firewall para permitir las conexiones a la OpenVPN desde clientes que se encuentren en la interfaz WAN. Además, existe otra opción para crear una regla que permite todo el tráfico desde los clientes a través del túnel.

Figura10: Firewall y OpenVPN

Cuando acabamos el proceso, se nos crea una nueva interfaz en el firewall. Esta interfaz es la de OpenVPN (tendremos LAN, WAN, DMZ si la tuviéramos). En la interfaz de WAN deberíamos ver la regla creada que da acceso a la OpenVPN y el puerto que hemos seleccionado. Mientras que en la interfaz OpenVPN deberíamos ver también una regla que nos permite sacar el tráfico a través del túnel.

Figura 11: Regla del tunel

Una vez finalizado el proceso, vamos con la parte de usuarios. Lo primero que hay que hacer es ir a crear un usuario o los usuarios necesarios. Vamos al apartado System -> User Manager y aquí gestionaremos el alta y baja de los diferentes usuarios. No se ha comentado, pero en el proceso de configuración también se elige cómo se autenticarán los usuarios (contraseña, certificado, contraseña más certificado…). Hemos elegido, contraseña y certificado. 

Damos de alta un nuevo usuario, tendremos que darle un nombre, podemos meterlo en un grupo con privilegios en el firewall o no, y podremos configurarle una contraseña y, además, indicar que debe disponer de un certificado para la conexión con la VPN.

Figura 12: Certificado para la conexión

Bien, ahora que ya tenemos todo listo, nos vamos al apartado de VPN y OpenVPN y vamos a la aplicación que instalamos al principio para exportar perfiles. Veremos una opción que nos permite exportar el perfil en formato OVPN. Este perfil es el que utilizará el usuario concreto para conectarse a la VPN. 

Figura 13: Conexión VPN funcionando

En cualquier instante se puede revocar el certificado o eliminar el usuario de la base de datos, por lo que el acceso quedará inhabilitado. A continuación, importamos el perfil a un cliente OpenVPN, por ejemplo, en Windows, y vemos como se realiza la conexión por la interfaz WAN. A partir de entonces, tendremos acceso a los recursos de la LAN (que es la red 10.0.0.0/24).

Figura 14: Hacking Windows: "Ataques a sistemas y redes Microsoft"
de Pablo González, Carlos García y Valentín Martín.

Sin duda, PFSense es un All-in-one que proporciona muchas posibilidades y en temas de seguridad no solo se queda con la VPN. Hay que recordar que se puede instalar un IDS, proxy, AV, ciertos elementos que fortifican la infraestructura y desde un punto de vista accesible a muchos. Es importante asegurarse que las configuraciones son realmente seguras.

Saludos,

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root",  “Pentesting con Powershell” y de "Empire: Hacking Avanzado en el Red Team", Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDCO de Telefónica.  Para consultas puedes usar el Buzón Público para contactar con Pablo González

Contactar con Pablo González