Como elegir, usar y configurar una VPN en Zentyal Server (formerly eBox Platform) (Tutorial)

Las VPN más adecuadas para Zentyal Server

En Zentyal Server (anteriormente eBox Platform), una distribución basada en Ubuntu LTS y gestionada con apt, el usuario tipo suele ser un administrador de sistemas de pymes que prefiere controlar servicios desde la consola o la interfaz web de Zentyal (puerto 8443). Al no llevar entorno de escritorio por defecto (aunque se puede instalar GNOME, XFCE u otro), muchas tareas se realizan vía SSH o desde módulos web. Además, Zentyal cuenta con su propio framework de módulos (firewall, directorio, VPN, gateway), lo que condiciona la integración nativa de cualquier solución VPN.

De entre las opciones disponibles, las más recomendables son:

strongSwan (IPsec): Módulo ya incluido y profundamente integrado con el firewall y el directorio de Zentyal, ideal si buscas compatibilidad con clientes IPsec y gestión centralizada.
OpenVPN: Cliente/servidor maduro y muy documentado, disponible en los repositorios oficiales de Ubuntu. Es una buena opción si requieres flexibilidad con certificados o túneles SSL.
WireGuard: Ligero y de alto rendimiento gracias a su implementación en el kernel, perfecto si deseas máxima velocidad y un archivo de configuración sencillo.

Comparativa de VPN para Zentyal Server

Solución	Protocolo	Integración con Zentyal	Rendimiento	Complejidad de configuración
strongSwan	IPsec (IKEv2)	Nativo via módulo `zentyal-vpn`	Alta	Media (require conocimientos IPsec)
OpenVPN	SSL/TLS	Manual, pero disponible en repositorios	Media-Alta	Media (gestión de certificados)
WireGuard	WireGuard	Manual, requiere kernel ≥ 5.x	Muy alta	Baja (sólo pares y llaves)

Instalación y configuración de las mejores opciones

1. strongSwan (IPsec)

Este módulo ya figura en Zentyal. Basta instalar el paquete y activar la sección VPN desde la consola o la interfaz web.

Instalación vía CLI:

apt update
apt install zentyal-vpn

Una vez instalado, acceder a la interfaz web en https://tu-servidor:8443, módulo VPN gt IPsec. Crear conexión:

Tipo: IKEv2
Autenticación: certificado o PSK
Asignación de red interna

Para personalizar archivos directamente:

# /etc/ipsec.conf
config setup
    charondebug=ike 1, knl 1, cfg 0
conn zentyal-vpn
    keyexchange=ikev2
    left=%any
    leftcert=serverCert.pem
    right=%any
    rightauth=pubkey
    auto=add

Reiniciar el servicio:

systemctl restart strongswan

2. OpenVPN

OpenVPN es muy versátil y dispone de paquetes listos en los repositorios de Ubuntu sobre los que se apoya Zentyal.

Instalación:

apt update
apt install openvpn easy-rsa

Generación rápida de PKI:

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa gen-req server nopass
./easyrsa sign-req server server
./easyrsa gen-dh
openvpn --genkey --secret ta.key

Ejemplo de /etc/openvpn/server.conf:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0
server 10.8.0.0 255.255.255.0
push route 192.168.1.0 255.255.255.0
keepalive 10 120
cipher AES-256-CBC
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
verb 3

Habilita y arranca OpenVPN:

systemctl enable openvpn@server
systemctl start openvpn@server

3. WireGuard

Si tu kernel es ≥ 5.0, WireGuard ofrece un rendimiento excepcional con muy poca sobrecarga.

Instalación:

apt update
apt install wireguard

Genera claves y configura el servidor:

wg genkey  tee /etc/wireguard/privatekey  wg pubkey > /etc/wireguard/publickey
cat gt /etc/wireguard/wg0.conf ltltEOF
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = (cat /etc/wireguard/privatekey)

# Cliente 1
[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32
EOF

Arrancar la interfaz:

wg-quick up wg0
systemctl enable wg-quick@wg0

LINUXMIND.DEV