VPN de sitio a sitio frente a VPN de cliente

Existen dos tipos principales de VPN, según lo que conecten. Una site-to-site VPN enlaza redes completas, mientras que una client (remote-access) VPN conecta un único dispositivo de usuario a una red.

Ambas crean túneles cifrados, pero responden a necesidades distintas: unir oficinas o proporcionar a trabajadores individuales acceso seguro desde cualquier lugar.

Una site-to-site VPN conecta dos redes completas, como la oficina central y una sucursal, a través de Internet. El túnel se establece entre los routers o firewalls de ambos sitios, denominados VPN gateways.

Una vez establecido, los dispositivos de cada sitio se comunican como si estuvieran en una sola red, sin necesidad de instalar software en cada equipo. Los gateways gestionan todo el cifrado de forma transparente.

En una configuración site-to-site, cada dispositivo del Sitio A envía al gateway VPN local el tráfico destinado al Sitio B. Ese gateway cifra el tráfico y lo envía por el túnel al gateway del Sitio B, que lo descifra y lo entrega localmente.

Los usuarios no tienen que configurar nada; el túnel siempre activo entre los gateways hace que dos oficinas lejanas parezcan una única LAN continua.

Una client VPN conecta un dispositivo a una red. El usuario ejecuta un software cliente de VPN que crea un túnel hasta un concentrador VPN o firewall de la oficina y autentica al usuario individual.

Esta es la configuración clásica para trabajar desde casa: un portátil ubicado en cualquier parte del mundo crea un túnel hacia la red corporativa y obtiene acceso seguro a los recursos internos cuando lo necesita.

Estas son las diferencias principales:

• Site-to-site: de gateway a gateway, siempre activo, conecta redes completas y no requiere software por dispositivo.
• Client: de dispositivo a gateway, bajo demanda, conecta a un solo usuario y requiere software cliente.

Use site-to-site para enlaces permanentes entre ubicaciones; use client VPNs para personas móviles y remotas.

Las VPN de cliente pueden enrutar el tráfico de dos formas. El full tunnel envía todo el tráfico del dispositivo a través de la VPN, incluida la navegación web general, lo que maximiza la seguridad y el control.

El split tunnel envía a través de la VPN únicamente el tráfico dirigido a la empresa, mientras que el tráfico normal de Internet sale directamente. La tunelización dividida ahorra ancho de banda, pero reduce la visibilidad y el control de la organización sobre el tráfico general del usuario.

Las organizaciones con muchos usuarios remotos implementan un VPN concentrator, un dispositivo diseñado para finalizar simultáneamente un gran número de túneles VPN de cliente y gestionar la intensa carga de cifrado.

Autentica a los usuarios, les asigna direcciones internas y aplica políticas de acceso. A menudo, esta función está integrada en el firewall, que actúa como el único punto de entrada seguro para todos los trabajadores remotos.

Los túneles site-to-site normalmente autentican ambos gateways mediante claves precompartidas o certificados, ya que los endpoints son dispositivos fijos y de confianza.

Las VPN de cliente deben autenticar a personas concretas, por lo que utilizan credenciales de usuario, certificados y, cada vez más, autenticación multifactor para comprobar que cada usuario remoto es realmente quien afirma ser antes de concederle acceso.

Elija según la necesidad de conexión: conectar permanentemente una sucursal con la sede central requiere una VPN site-to-site; permitir que los empleados trabajen de forma segura desde casa o mientras viajan requiere una VPN client.

Muchas organizaciones utilizan ambas: enlaces site-to-site siempre activos entre oficinas y acceso mediante client VPN para su personal móvil y remoto.

Los enfoques más recientes, como ZTNA (Zero Trust Network Access) y SASE (Secure Access Service Edge), están transformando el acceso remoto. En lugar de conceder un acceso amplio a la red, verifican cada solicitud y conectan a los usuarios únicamente con aplicaciones específicas autorizadas.

Se basan en las ideas de las VPN, pero aplican principios de confianza cero y conceden acceso con el menor privilegio necesario, en lugar de situar al usuario en toda la red.

Las Site-to-site VPNs enlazan redes completas de gateway a gateway, siempre activas y sin software cliente, por lo que son ideales para conectar oficinas. Las Client VPNs conectan dispositivos individuales bajo demanda mediante software VPN, son ideales para trabajadores remotos y pueden utilizar full or split tunneling. Un concentrator gestiona numerosos túneles de cliente, mientras que ZTNA y SASE modernizan el modelo.

Ponga a prueba sus conocimientos sobre los tipos de VPN.

Las Site-to-site VPNs conectan redes completas mediante VPN gateways, permanecen siempre activas y no requieren software, por lo que unen oficinas. Las Client VPNs conectan un dispositivo bajo demanda mediante software VPN, son ideales para usuarios remotos y admiten full or split tunneling. Un VPN concentrator finaliza numerosos túneles de cliente, y ZTNA/SASE modernizan el acceso remoto.