stunnel4 para encapsular conexiones TCP con cifrado TLS/SSL

octubre 12, 2026

https://www.onlinetis.com

stunnel4 para encapsular conexiones TCP con cifrado TLS/SSL

Para instalar y configurar stunnel4 en Kali Linux para encapsular conexiones TCP con cifrado TLS/SSL, sigue estos pasos directos:

1. Instalación

Actualiza los repositorios e instala el paquete ejecutando en la terminal:

Bash

sudo apt update
sudo apt install stunnel4

Verificación: Comprueba que se instaló correctamente ejecutando stunnel4 -version.

2. Configuración básica como cliente o servidor

El archivo de configuración principal se encuentra en /etc/stunnel/stunnel.conf.

Abre el archivo con tu editor de texto preferido (por ejemplo, nano):
Bash
```
sudo nano /etc/stunnel/stunnel.conf
```

Añade una sección de ejemplo para modo cliente (que toma tráfico local y lo cifra hacia un destino remoto):

Ini, TOML
; Habilitar modo cliente
client = yes

[tunel-ejemplo]
accept = 127.0.0.1:8080
connect = IP_SERVIDOR_REMOTA:443

Guarda y cierra el archivo (Ctrl + O, Enter, y Ctrl + X en nano).

3. Habilitar y ejecutar el servicio

Por defecto, en los sistemas basados en Debian/Kali, stunnel no arranca automáticamente hasta que se habilita en su configuración predeterminada.

Edita el archivo de configuración general del demonio:
Bash
```
sudo nano /etc/default/stunnel4
```
Cambia la línea ENABLED=0 por:
Bash
```
ENABLED=1
```
Inicia el servicio:
Bash
```
sudo systemctl start stunnel4
```

Verificación: Comprueba el estado del servicio ejecutando:
Bash
```
sudo systemctl status stunnel4
```
Debe mostrarse activo y en ejecución (active (running)). También puedes verificar si el puerto local está escuchando con ss -tulpn | grep stunnel4.

Para configurar stunnel4 como servidor en Kali Linux generando tus propios certificados SSL autofirmados, sigue estos pasos:

1.Generar el certificado SSL autofirmado:Requisito de cifrado.

Crea una clave privada y un certificado autofirmado ejecutando en la terminal:

Bash

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/stunnel/stunnel.pem -out /etc/stunnel/stunnel.pem

Verificación: Comprueba que el archivo combinado stunnel.pem se haya creado correctamente en /etc/stunnel/.

2.Configurar el archivo stunnel.conf:Modo servidor.

Edita el archivo de configuración para definir el puerto público cifrado y el servicio local de destino:

Bash

sudo nano /etc/stunnel/stunnel.conf

Añade la siguiente configuración al final del archivo:

Ini, TOML

cert = /etc/stunnel/stunnel.pem
[servidor-seguro]
accept = 443
connect = 127.0.0.1:80

Verificación: Asegúrate de guardar los cambios antes de salir del editor (Ctrl + O, Enter, y Ctrl + X).

3.Habilitar el servicio stunnel4:

Modifica la configuración general del demonio para permitir su ejecución automática:

Bash

sudo nano /etc/default/stunnel4

Cambia la línea ENABLED=0 por ENABLED=1.

4.Iniciar y comprobar el servicio:

Arranca el servicio y verifica que esté escuchando en el puerto configurado:

Bash

sudo systemctl restart stunnel4
sudo systemctl status stunnel4

Verificación: Comprueba que el estado sea active (running) y que el puerto esté abierto ejecutando ss -tulpn | grep stunnel4.

Para revisar los registros de actividad (logs) y solucionar problemas comunes en stunnel4, debes revisar los canales de logging del sistema y ajustar el nivel de depuración en la configuración.

1.Revisar los logs del sistema con journalctl:Verificación: Comprueba que aparezcan los eventos de arranque o conexión del demonio..

Dado que stunnel4 se ejecuta como un servicio del sistema (systemd) en Kali Linux, sus salidas se registran en el journal. Ejecuta:

Bash

sudo journalctl -u stunnel4 -e

También puedes ver los logs en tiempo real mientras intentas realizar una conexión ejecutando:

Bash

sudo journalctl -u stunnel4 -f

2.Aumentar el nivel de detalle (Debugging):Verificación: Abre el archivo de configuración para modificar la directiva de depuración..

Si no obtienes suficiente información, edita el archivo de configuración (/etc/stunnel/stunnel.conf) y añade o ajusta las siguientes líneas en la sección global (al inicio del archivo):

Ini, TOML

debug = 7
output = /var/log/stunnel4/stunnel.log

Nota: Asegúrate de crear el directorio de logs si no existe con sudo mkdir -p /var/log/stunnel4 y ajusta sus permisos. Reinicia el servicio para aplicar los cambios: sudo systemctl restart stunnel4.

3.Comprobar permisos de los certificados y claves:Verificación: Asegúrate de que el archivo .pem tenga permisos restringidos (600)..

Un error común es que el servicio falle al iniciar debido a permisos inseguros en la clave privada o certificado. Comprueba y corrige los permisos ejecutando:

Bash

sudo chmod 600 /etc/stunnel/stunnel.pem

4.Validar puertos y conectividad de red:Verificación: Comprueba con ss o netcat que los puertos estén abiertos y accesibles..

Verifica que no existan conflictos de puertos ejecutando:

Bash

sudo ss -tulpn | grep stunnel4

Si el túnel no conecta con el destino remoto, puedes probar la conectividad base usando nc (Netcat) o verificando reglas de firewall (iptables / nftables).

https://www.onlinetis.com

Buscar este blog