Protocolos de tunelización y cifrado

Un túnel VPN se crea mediante protocolos específicos que definen cómo se encapsula, cifra y autentica el tráfico. Cada protocolo se adapta a necesidades distintas y establece un equilibrio entre seguridad, velocidad y compatibilidad.

Los dos grandes pilares de la tecnología VPN son IPsec y SSL/TLS. Comprender sus funciones le ayudará a reconocer cómo se construye realmente casi cualquier VPN que encuentre.

IPsec (Internet Protocol Security) es un conjunto de protocolos que protege el tráfico en la capa de red (capa 3). Puede cifrar y autenticar cada paquete entre dos endpoints, y constituye la base de la mayoría de las VPN site-to-site.

Como funciona en la capa 3, IPsec protege todo el tráfico de forma transparente, independientemente de la aplicación que lo envíe, lo que lo hace ideal para conectar redes completas.

IPsec utiliza varios componentes:

• AH (Authentication Header): proporciona integridad y autenticación, pero no cifrado.
• ESP (Encapsulating Security Payload): proporciona cifrado e integridad; es el componente más utilizado.
• IKE (Internet Key Exchange): negocia las claves y establece la asociación segura.

ESP con IKE es la combinación habitual para proporcionar confidencialidad e integridad completas.

IPsec funciona en dos modos. El Transport mode cifra únicamente la carga útil del paquete y deja intacta la cabecera IP original; se utiliza para enlaces entre hosts. El Tunnel mode cifra el paquete original completo y lo encapsula en uno nuevo.

El modo túnel es el que utilizan las VPN site-to-site, ya que oculta el direccionamiento interno y protege el paquete original completo entre ambos gateways.

Las VPN SSL/TLS (Secure Sockets Layer / Transport Layer Security) protegen el tráfico en una capa superior y a menudo funcionan directamente en un navegador web o mediante un cliente ligero. TLS es el mismo protocolo que protege los sitios web HTTPS.

Las VPN SSL son populares para el acceso remoto de clientes porque son fáciles de implementar, atraviesan firewalls y NAT con facilidad y pueden no requerir software especial aparte de un navegador.

Cada una destaca en tareas diferentes:

• IPsec: excelente para conexiones site-to-site y acceso a redes completas, pero puede tener dificultades con NAT y firewalls, además de requerir más configuración.
• SSL/TLS: excelente para el acceso de clientes a aplicaciones específicas y compatible con navegadores y firewalls.

Muchas organizaciones utilizan IPsec entre oficinas y SSL/TLS para los usuarios remotos.

Los protocolos más recientes mejoran los clásicos. WireGuard es un protocolo moderno, rápido y ligero, con una base de código pequeña que facilita su auditoría y ofrece una gran eficiencia.

OpenVPN es una opción flexible, de código abierto y ampliamente utilizada, basada en TLS. IKEv2/IPsec es una opción habitual en dispositivos móviles porque se vuelve a conectar rápidamente cuando cambia la red, por ejemplo, al pasar de Wi‑Fi a la red móvil.

Algunos protocolos VPN antiguos ya no son seguros y no deben utilizarse. PPTP (Point-to-Point Tunneling Protocol) presenta vulnerabilidades conocidas y un cifrado comprometido. El L2TP (Layer 2 Tunneling Protocol) sin más no cifra el tráfico y debe combinarse con IPsec.

Es importante reconocer los protocolos obsoletos: utilizarlos genera una falsa sensación de seguridad mientras deja el tráfico expuesto.

Todos estos protocolos dependen de la criptografía. Utilizan cifrado simétrico (una clave compartida) para los datos en volumen porque es rápido, y cifrado asimétrico (pares de claves), junto con algoritmos de intercambio de claves, para acordar de forma segura esa clave compartida.

Los cifrados modernos y robustos, junto con un intercambio de claves adecuado, son los que hacen que un túnel sea realmente seguro; una criptografía débil u obsoleta debilita incluso una VPN bien diseñada.

La configuración de una VPN se centra en los endpoints, las claves y el tráfico permitido. Este fragmento simplificado muestra el tipo de ajustes que utiliza un peer de WireGuard.

IPsec protege el tráfico en la capa 3 mediante ESP e IKE, con tunnel mode para enlaces site-to-site. Las VPN SSL/TLS protegen el acceso de clientes y son compatibles con navegadores y firewalls. Las opciones modernas, como WireGuard, OpenVPN e IKEv2, mejoran la velocidad y la movilidad, mientras que debe evitarse el protocolo heredado PPTP.

Ponga a prueba sus conocimientos sobre los protocolos VPN.

IPsec protege el tráfico en la capa de red mediante AH, ESP e IKE, y utiliza tunnel mode para las VPN site-to-site. Las VPN SSL/TLS son adecuadas para el acceso de clientes mediante navegador. Entre los protocolos modernos se incluyen WireGuard, OpenVPN e IKEv2, mientras que las opciones heredadas inseguras, como PPTP, deben retirarse.