Introducción a las VPN con Kill Switch en entornos de auditoría

En el ámbito de la seguridad informática y la auditoría de redes, trabajar con distribuciones como Wifislax, Kali Linux o Parrot OS exige no solo herramientas potentes, sino también una capa adicional de privacidad y protección. Una VPN (Virtual Private Network) con función Kill Switch se convierte en un elemento crítico para garantizar que, ante cualquier caída del túnel seguro, todo el tráfico restante quede bloqueado, evitando filtraciones de IP o datos sensibles.

¿Por qué un Kill Switch es imprescindible

• Prevención de fugas de datos: Si la VPN se desconecta, el Kill Switch bloquea automáticamente el acceso a Internet.
• Mantenimiento del anonimato: Evita que tu IP real o ubicación quede expuesta.
• Protección en auditorías y pentesting: Reduce el riesgo de revelar la infraestructura de tu laboratorio.

Selección de proveedores VPN recomendados

A continuación, se presenta una tabla comparativa de algunos servicios con Kill Switch robusto y soporte para Linux:

Pasos generales para activar el Kill Switch

1. Instalación del cliente VPN:
   • Descarga e instala desde el repositorio oficial o el paquete .deb/.rpm del proveedor.
   • Comprueba la conectividad con vpn --version o openvpn --version.
2. Definición de políticas en firewall:
   • Determina la interfaz de red de la VPN (por ejemplo, tun0).
   • Crea reglas iptables/ufw para denegar cualquier tráfico que no pase por tun0.
3. Activación del Kill Switch:
   • Activa la opción integrada si el cliente la soporta (p. ej. protonvpn-cli ks --on).
   • O bien, implementa un script que verifique periódicamente el estado del túnel y reaccione en caso de caída.
4. Pruebas de seguridad:
   • Ejecuta ping 8.8.8.8 con y sin VPN activa.
   • Simula un fallo de VPN (cierra el servicio) y comprueba que no hay salida a Internet.

Configuración avanzada en Wifislax

1. Instalación del cliente OpenVPN

Abre una terminal y ejecuta:
apt-get update apt-get install openvpn

2. Importar archivos de configuración

Copia tus archivos .ovpn al directorio /etc/openvpn/ y renómbralos para facilitar su uso.

3. Creación de reglas iptables

iptables -F
iptables -t nat -F
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 127.0.0.0/8 -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A OUTPUT -j DROP

Este conjunto bloquea todo, salvo el túnel tun0 y la interfaz local.

Implementación en Kali Linux

1. Utilizar NetworkManager

• Instala el complemento: apt-get install network-manager-openvpn-gnome.
• Desde el icono de red, elige Importar conexión VPN y selecciona tu .ovpn.

2. Configurar el Kill Switch con UFW

ufw default deny outgoing
ufw default deny incoming
ufw allow out on tun0
ufw allow out on lo
ufw enable

Con estas reglas, solo se permitirá tráfico saliente a través de tun0 y la interfaz local.

Adaptación en Parrot OS

1. Systemd y scripts personalizados

En Parrot OS podemos crear un servicio que compruebe la conexión VPN:

# /etc/systemd/system/vpnkill.service
[Unit]
Description=Monitor VPN y bloquea tráfico si falla
Wants=network-online.target
After=network-online.target

[Service]
Type=simple
ExecStart=/usr/local/bin/vpnkill.sh

[Install]
WantedBy=multi-user.target

2. Script de monitoreo

#!/bin/bash
while true do
  if ! ip link show tun0 > /dev/null then
    # VPN caída: bloquear todo el tráfico
    iptables -P OUTPUT DROP
    iptables -P INPUT DROP
  else
    # VPN activa: permitir tráfico
    iptables -P OUTPUT ACCEPT
    iptables -P INPUT ACCEPT
  fi
  sleep 5
done

Dale permisos de ejecución: chmod x /usr/local/bin/vpnkill.sh y activa el servicio:

systemctl enable vpnkill.service
systemctl start vpnkill.service

Buenas prácticas y recomendaciones finales

• Verificación constante: Ejecuta de forma periódica scripts de prueba de fugas (DNS leaks, IPv6 leaks).
• Actualizaciones: Mantén tu sistema y cliente VPN al día.
• Registro mínimo: Elige proveedores sin registros (no-logs policy).
• Aislamiento de servicios: Usa contenedores o máquinas virtuales para pruebas arriesgadas.