IPsec, protocolos VPN y seguridad del acceso remoto

Una red privada virtual (VPN) crea un túnel cifrado a través de una red pública o que no es de confianza, lo que permite que los usuarios y los sitios remotos se comuniquen como si estuvieran en la misma red privada. Las VPN protegen contra la interceptación en redes que no son de confianza (Wi-Fi de hoteles, puntos de acceso públicos), permiten que los empleados remotos accedan a recursos internos y conectan de forma segura las sucursales a través de Internet. El examen Security+ evalúa varias tecnologías VPN —IPsec, SSL-VPN y protocolos emergentes como WireGuard—, junto con las consideraciones de seguridad aplicables a cada una.

IPsec (seguridad del protocolo de Internet) es un conjunto de protocolos que protege el tráfico IP en la capa 3. IPsec funciona en dos modos: el modo de transporte cifra únicamente la carga útil de cada paquete IP (se conserva el encabezado IP original; se usa para la comunicación de extremo a extremo entre hosts), mientras que el modo de túnel cifra el paquete original completo y lo encapsula en un nuevo encabezado IP; se usa para las VPN de sitio a sitio, donde las puertas de enlace actúan como extremos del túnel. IPsec utiliza dos protocolos principales: AH (Authentication Header), que proporciona únicamente integridad y autenticación (sin cifrado), y ESP (Encapsulating Security Payload), que proporciona cifrado y autenticación.

IKE (Internet Key Exchange) negocia los parámetros de seguridad (algoritmos y claves) de una sesión IPsec. IKEv1 utilizaba dos fases: la fase 1 (establecer un canal seguro para proteger la negociación de la fase 2) y la fase 2 (negociar las asociaciones de seguridad IPsec reales). IKEv2 (el estándar actual) es más sencillo, rápido y fiable, y añade compatibilidad integrada con la autenticación EAP y MOBIKE (gestión de cambios de dirección IP durante la sesión, algo importante para los dispositivos móviles). Las asociaciones de seguridad (SA) de IPsec son unidireccionales; cada dirección tiene su propia SA con su propia clave de cifrado.

La VPN IPsec funciona en la capa 3, requiere software cliente y a menudo necesita abrir puertos específicos en el firewall (UDP 500, UDP 4500 para la conversión de direcciones NAT, protocolo ESP 50). Es más difícil de implementar, pero proporciona acceso completo en la capa de red. La SSL-VPN tuneliza el tráfico mediante HTTPS (TCP 443), que atraviesa prácticamente cualquier firewall, y puede funcionar desde navegadores (modo sin cliente) o mediante thin clients. SSL-VPN utiliza TLS para el túnel externo, por lo que se beneficia de las mejoras de seguridad de TLS y facilita la conexión de los usuarios. Los productos SSL-VPN empresariales (Cisco AnyConnect, Palo Alto GlobalProtect) también admiten túnel dividido y evaluación de la postura del endpoint.

El túnel dividido permite que los clientes VPN enruten únicamente el tráfico dirigido a la empresa a través del túnel VPN, mientras envían el tráfico dirigido a Internet directamente a Internet sin pasar por los controles de seguridad corporativos. El riesgo de seguridad es que un endpoint comprometido puede acceder simultáneamente a la red corporativa (mediante la VPN) y comunicarse con servidores C2 de malware (a través de Internet directamente), conectando de hecho la red corporativa con el atacante. El túnel completo enruta todo el tráfico mediante la puerta de enlace VPN, donde los controles de seguridad corporativos (filtrado web, DLP e IPS) lo inspeccionan. La mayoría de las organizaciones preocupadas por la seguridad impone el túnel completo, asumiendo el coste adicional de ancho de banda.

WireGuard es un protocolo VPN moderno diseñado para ser más sencillo, rápido y seguro que IPsec y OpenVPN. WireGuard utiliza una pila criptográfica fija y mínima: ChaCha20 para el cifrado simétrico, Poly1305 para la autenticación, Curve25519 para el intercambio de claves ECDH, BLAKE2s para el hashing y SipHash24 para las claves de las tablas hash. Su base de código tiene menos de 4.000 líneas (frente a las más de 100.000 de OpenVPN), lo que facilita su auditoría y reduce la superficie de ataque. WireGuard ya está integrado en el kernel de Linux (5.6 o posterior) y es compatible con las principales plataformas.

Las VPN de sitio a sitio conectan redes completas (sucursales, centros de datos y VPC en la nube) mediante túneles cifrados persistentes entre dispositivos de puerta de enlace. A diferencia de las VPN de acceso remoto, en las que se conectan usuarios individuales, los túneles de sitio a sitio están siempre activos entre extremos fijos. IPsec en modo de túnel es la tecnología más habitual. La configuración requiere propuestas IKE coincidentes (cifrado, integridad, grupo DH y duración) en ambos extremos; las discrepancias son el problema más común al solucionar incidencias de sitio a sitio. Los túneles redundantes con detección de pares inactivos (DPD) proporcionan conmutación por error cuando falla la ruta principal.

Las VPN admiten varios mecanismos de autenticación. Claves precompartidas (PSK): un secreto compartido configurado en ambos extremos; es sencillo, pero crea un único punto de compromiso si se filtra la clave, por lo que resulta adecuado para conexiones de sitio a sitio. Autenticación basada en certificados: cada cliente o puerta de enlace presenta un certificado X.509; es más segura, escala a muchos usuarios y permite revocar certificados. EAP (Extensible Authentication Protocol): admite la integración con RADIUS, lo que permite usar nombre de usuario y contraseña, MFA (EAP-TTLS, EAP-TLS) e integración con Active Directory. La mayoría de las implementaciones empresariales combina la autenticación mediante certificados (identidad del dispositivo) con MFA (identidad del usuario).

Las puertas de enlace VPN modernas realizan comprobaciones de la postura del endpoint antes de conceder acceso, para garantizar que los dispositivos que se conectan cumplen los requisitos de seguridad. Las comprobaciones incluyen la versión del sistema operativo y el nivel de parches (se rechazan los sistemas operativos sin soporte), la instalación del antivirus y la actualidad de sus firmas, el cifrado del disco habilitado, la ausencia de software no autorizado instalado y la activación del firewall. Los dispositivos que no superan las comprobaciones de postura se colocan en una VLAN de cuarentena con acceso limitado —normalmente solo a recursos de corrección— hasta que cumplen la política. Esto evita que un dispositivo personal comprometido acceda directamente a la red corporativa de producción, incluso con credenciales válidas.

La VPN siempre activa garantiza que los endpoints corporativos mantengan una conexión VPN persistente cuando están fuera de la red corporativa. A diferencia de las VPN tradicionales, a las que los usuarios se conectan manualmente, la VPN siempre activa se conecta antes del inicio de sesión (en ocasiones mediante autenticación con certificado de máquina) y permanece conectada durante toda la sesión. Esto garantiza que todo el tráfico del endpoint sea inspeccionado por los controles de seguridad corporativos, incluso en el caso de empleados remotos. Microsoft DirectAccess (su predecesor) y soluciones como Cisco AnyConnect Always-On y GlobalProtect implementan este modelo. La contrapartida es una mayor carga en la puerta de enlace: cada endpoint remoto mantiene una sesión permanente.

Un concentrador VPN es un dispositivo dedicado o virtual que termina un gran número de sesiones VPN y gestiona la carga de procesamiento criptográfico que podría saturar un router o firewall de propósito general. Los concentradores VPN empresariales admiten miles de sesiones simultáneas y se integran con RADIUS para la autenticación, LDAP/AD para las búsquedas de usuarios y las autoridades de certificación para validar los certificados de los clientes. Las configuraciones de alta disponibilidad (HA) utilizan clústeres activo/en espera o activo/activo con sincronización de sesiones, de modo que los usuarios no se desconecten si falla un concentrador. Una planificación adecuada de HA es esencial para las organizaciones que dependen de la VPN para operaciones críticas.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido lo siguiente: IPsec protege el tráfico IP en la capa 3 mediante AH (solo integridad) o ESP (cifrado + integridad), en modo transporte o túnel, con IKEv2 para la negociación de claves; SSL-VPN crea túneles sobre HTTPS, lo que facilita su implementación a través de firewalls en comparación con IPsec; y el tunneling dividido genera un riesgo de seguridad al permitir que el malware de los endpoints acceda directamente a Internet mientras la VPN proporciona simultáneamente acceso a la red corporativa. Con esto finaliza el curso de Protocolos seguros; a continuación, exploraremos la arquitectura Zero Trust.