Utilizar una appliance Watchguard como VPN personal en un hotel

Estamos en un hotel, nos conectamos con nuestra empresa a través de su WiFi, pero los datos no están securizados. Podemos utilizar un cliente SSL VPN, pero ahí solo podemos utilizar un aparato cableado, y queremos asegurarnos además de que estamos protegidos en todo momento por un firewall con la política de seguridad de nuestra empresa.

Una manera de lograr esto es adquiriendo un firewall pequeño, la versión WiFi del mismo y utilizarlo como Gateway personal en nuestros viajes. La conexión debe ser en todo momento cableada, a no ser que incluyamos también un AP en la configuración. Te explicamos como:

Primero montamos una LAN en el firewall con un direccionamiento raro, esto es para asegurarnos que no coincide con ningún direccionamiento de la empresa o algún compañero que use la misma solución. Aquí podéis elegir el que queráis, no hace falta que sea el que os proponemos. Nos aseguramos también que haya DHCP para que la conexión con nuestro portátil sea automática:

Una vez hecho esto, pasamos a configurar la wireless del aparato como WAN. Nos metemos en Wireless:

Nos sale el siguiente menú:

Habilitamos el wireless que debe estar sin habilitar por defecto, y escogemos la opción de habilitar wireless como interfaz externa. Pasamos a configurar:

Habilitamos el Wifi de de nuevo como interfaz externa, y le decimos que la IP la adquirirá por DHCP, este será el método habitual en los hoteles y convenciones que visitemos. Pasamos a la pestaña Wireless:

Esta es la parte que no es automática de todo el proceso, y esto tenemos que rellenarlo cada vez con los datos que nos suministre el hotel o centro de convenciones. 

Con esto tendríamos el firewall Watchguard conectado al WiFi como si fuera su WAN. Vamos a configurar ahora la VPN. Nos vamos a VPN, Branch Office Gateways para configurar la fase 1 del túnel:

Nos sale este menú:

Pulsamos Añadir:

Le damos un nombre a nuestra VPN, elegimos una shared key, y añadimos el gateway contra el que conectaremos:

Elegimos que el IKE ID sea en los 2 lados por información de dominio, y damos la IP contra la que vamos a conectar. Por supuesto, ésta será la IP pública de nuestra oficina, en este ejemplo hemos elegido la IP 80.80.80.80.

Configuramos los 2 dominios para identificarnos. Esto no es más que una clave adicional, que para aumentar la seguridad deberían ser distintas la una de la otra:

Por supuesto, en el lado de mi oficina debemos invertir el orden de estas "claves" o dominios no resolubles.

Una vez hecho esto, deberíamos de ir a la pestaña Phase 1 Settings:

Y tenemos que elegir la opción de Modo Agresivo, para poder meter una IP dinámica en la ecuación. Este modo agresivo debe estar configurado también en el sitio contra el que conectemos. La configuración del Gateway en el lado de la oficina con la que nos estamos conectando sería de esta manera:

Como veis, indicamos que la otra IP, nuestra IP, es dinámica. Ahora sólo habría que configurar la fase 2 del túnel, en Branch Office Tunnels. Aquí especificamos las IPs privadas que se van a conectar:

Nos sale el siguiente menú:

Añadimos:

Le damos un nombre a nuetra fase 2, elegimos un gateway, que va a ser el la fase 1 que hemos creado antes, y añadimos las IPs pulsando  el botón Add:

Metemos el direccionamiento de red que hemos configurado al principio como local, asegurándonos de que sea la notación de red. Igualmente ponemos el direccionamiento de la oficina al que queremos tener acceso.

Tened en cuenta que en el lado de la oficina la configuración de estos direccionamientos será justo al revés.

Y con esto estaría configurada la VPN, que se conectaria de manera automática tan pronto lleguemos al hotel y elijamos el SSID al que nos conectamos.