Tema 13
Extender una red más allá de su perímetro físico es una necesidad habitual: usuarios remotos, sedes distribuidas, proveedores y servicios externos necesitan conectividad. La clave está en hacerlo sin convertir internet en una extensión ciega de la red interna.
Las organizaciones modernas rara vez operan dentro de una sola ubicación física. Empleados trabajan desde fuera de la oficina, sucursales necesitan intercambiar información, proveedores acceden a ciertos sistemas y servicios en la nube se integran con entornos internos. Todo eso exige conectividad remota.
El problema es que esa conectividad suele ocurrir sobre redes no confiables, especialmente internet. Por eso aparecen las VPN y otros mecanismos de acceso remoto seguro: buscan ofrecer confidencialidad, integridad y control sobre conexiones que atraviesan infraestructura ajena.
Pero una VPN no es automáticamente segura por el simple hecho de cifrar. También importa quién se conecta, desde qué dispositivo, a qué recursos y con qué nivel de privilegio.
VPN significa Virtual Private Network. Se trata de una tecnología que crea un canal lógico protegido sobre una red subyacente no confiable, de manera que dos extremos puedan comunicarse como si existiera un enlace privado entre ellos.
La VPN suele aportar:
Una VPN resuelve principalmente el problema del transporte seguro a través de redes que no controlamos. Sin ella, una conexión remota sensible quedaría expuesta a interceptación, manipulación o falta de garantías sobre el canal.
Eso resulta útil en escenarios como:
Una VPN de acceso remoto conecta a un usuario o dispositivo individual con la red de la organización. Es habitual en trabajo remoto, soporte, administración y acceso a aplicaciones internas desde fuera de la oficina.
En este modelo, el dispositivo del usuario establece un túnel con una puerta de enlace VPN y, una vez autenticado, recibe acceso según políticas definidas.
Una VPN site-to-site conecta dos redes completas entre sí, por ejemplo una sede central y una sucursal. En lugar de autenticar a un usuario individual, autentica los extremos del enlace y protege el tráfico entre ambos dominios.
Este modelo es útil cuando se necesita comunicación permanente o frecuente entre ubicaciones y no se dispone de un enlace privado dedicado.
Sus ventajas principales son:
| Aspecto | Acceso remoto | Site-to-site |
|---|---|---|
| Quién se conecta | Usuario o equipo individual | Una red o sede completa |
| Uso típico | Teletrabajo, soporte, acceso puntual | Interconexión entre oficinas o entornos |
| Riesgo dominante | Endpoint comprometido | Confianza excesiva entre redes |
| Necesidad de segmentación | Alta | Muy alta |
La seguridad de una VPN no depende solo del cifrado. También depende de identidad, políticas, postura del dispositivo y alcance del acceso concedido.
Cuando una VPN se usa para acceso remoto de usuarios, la autenticación es crítica. Una contraseña sola suele ser insuficiente para un entorno expuesto a internet. Por eso es habitual combinar la VPN con MFA.
El MFA reduce mucho el riesgo de acceso no autorizado por robo o reutilización de credenciales. También conviene integrar la VPN con fuentes centrales de identidad para aplicar políticas coherentes y revocación rápida.
La postura del dispositivo influye fuertemente en la seguridad del acceso remoto. Un equipo personal desactualizado o comprometido no debería recibir el mismo nivel de acceso que un equipo corporativo gestionado.
Algunas organizaciones aplican controles como:
Un error frecuente es usar la VPN como si fuera una puerta abierta a toda la red interna. Eso amplía demasiado el radio de impacto de una cuenta comprometida o de un endpoint inseguro.
Siempre que sea posible, conviene limitar el acceso remoto a:
En las VPN site-to-site, el problema habitual no es la autenticación de una persona, sino la relación de confianza entre redes completas. Si una sucursal o un entorno remoto está menos protegido, la conexión puede convertirse en vía de propagación hacia sistemas más sensibles.
Riesgos comunes:
Una buena práctica clave es no confiar ciegamente en que el hecho de viajar cifrado vuelve seguro cualquier flujo. El tráfico sobre VPN también debe ser segmentado, filtrado y monitoreado.
Eso implica:
En algunas VPN de usuario existe la opción de enviar solo cierto tráfico por el túnel y dejar el resto salir directamente a internet. Esto puede mejorar rendimiento o experiencia, pero también cambia el modelo de seguridad y debe evaluarse con cuidado.
Dependiendo del contexto, una configuración de split tunneling puede:
Las conexiones remotas deberían dejar una huella operativa clara. Esto es importante tanto para seguridad como para soporte y auditoría.
Suele ser útil registrar:
Las VPN siguen siendo una herramienta central para acceso remoto y conectividad entre sedes, pero deben usarse con criterio. El canal cifrado resuelve una parte del problema: proteger el transporte. La parte restante consiste en decidir quién entra, a qué accede, desde qué dispositivo y cómo se limita el impacto si algo falla. Esa combinación es la que convierte a una VPN en una solución realmente segura.
En el próximo tema estudiaremos IDS, IPS, SIEM y monitoreo continuo del tráfico para avanzar desde la prevención hacia la detección y la respuesta.