Red privada virtual

La red privada virtual ( VPN ) es una arquitectura de red para extender virtualmente una red privada (es decir, cualquier red informática que no sea Internet pública ) a través de una o varias otras redes que no son confiables (ya que no están controladas por la entidad que pretende implementar la VPN) o que necesitan estar aisladas (lo que hace que la red inferior sea invisible o no se pueda utilizar directamente). ^[1]

Una VPN puede extender el acceso a una red privada a usuarios que no tienen acceso directo a ella, como una red de oficina que permite el acceso seguro desde fuera del sitio a través de Internet. ^[2] Esto se logra creando un enlace entre los dispositivos informáticos y las redes de computadoras mediante el uso de protocolos de tunelización de red .

Es posible hacer que una VPN sea segura para su uso en un medio de comunicación inseguro (como la Internet pública) eligiendo un protocolo de tunelización que implemente cifrado . Este tipo de implementación de VPN tiene el beneficio de costos reducidos y mayor flexibilidad, con respecto a las líneas de comunicación dedicadas, para trabajadores remotos . ^[3]

El término VPN también se utiliza para referirse a los servicios VPN que venden acceso a sus propias redes privadas para acceder a Internet conectando a sus clientes mediante protocolos de tunelización VPN.

El objetivo de una red privada virtual es permitir que los hosts de la red (PC, servidores, etc.) intercambien mensajes de red a través de otra red para acceder a contenido privado, como si fueran parte de la misma red. Esto se hace de una manera que hace que cruzar la red intermedia sea completamente transparente a partir de una determinada capa de comunicación hacia arriba. ^[1]

Los usuarios de un servicio de conectividad de red pueden considerar que dicha red intermedia no es confiable, ya que está controlada por un tercero, y podrían preferir una VPN implementada a través de protocolos que protejan la privacidad de su comunicación. ^[2]

En el caso de una VPN proporcionada por un proveedor , el objetivo no es proteger contra redes no confiables, sino aislar partes de la infraestructura de red del propio proveedor en segmentos virtuales, de manera que el contenido de cada segmento sea privado con respecto a los demás. Esta situación hace que muchos otros protocolos de tunelización sean adecuados para construir PPVPN, incluso con características de seguridad débiles o nulas (como en VLAN ). ^[1]

La forma en que funciona una VPN depende de las tecnologías y los protocolos en los que se basa. Se utiliza un protocolo de tunelización para transferir los mensajes de red de un lado al otro. Su objetivo es tomar los mensajes de red de las aplicaciones (que operan en la capa 7 de OSI ) en un lado del túnel y reproducirlos en el otro lado, como si sustituyeran virtualmente a las capas inferiores de red o enlace. No es necesario modificar las aplicaciones para permitir que sus mensajes pasen a través de la VPN, porque la red o el enlace virtual se ponen a disposición del sistema operativo.

Las aplicaciones que implementan funciones de tunelización o proxy para sí mismas sin poner dichas funciones a disposición como una interfaz de red no deben considerarse implementaciones de VPN, pero pueden coincidir parcialmente con el mismo objetivo o uno similar del usuario final de intercambiar contenidos privados hacia una red remota (como navegar en la intranet a través de un proxy autenticado).

Las configuraciones de redes privadas virtuales se pueden clasificar según el propósito de la extensión virtual, lo que hace que diferentes estrategias de tunelización sean apropiadas para diferentes topologías:

Acceso remoto

Una configuración de host a red es análoga a unir una o más computadoras a una red que no se puede conectar directamente. Este tipo de extensión proporciona a esa computadora acceso a la red de área local de un sitio remoto, o cualquier red empresarial más amplia, como una intranet . Cada computadora se encarga de activar su propio túnel hacia la red a la que desea unirse. La red unida solo conoce un único host remoto para cada túnel. Esto se puede utilizar para trabajadores remotos o para permitir que las personas accedan a sus recursos privados del hogar o la empresa sin exponerlos a Internet público. Los túneles de acceso remoto pueden ser a pedido o siempre activos. Las implementaciones adecuadas de esta configuración requieren que el host remoto inicie la comunicación hacia la red central a la que está accediendo, porque la ubicación del host remoto generalmente es desconocida para la red central hasta que el primero intenta llegar a ella.

De sitio a sitio

Una configuración de sitio a sitio conecta dos redes. Esta configuración expande una red a través de ubicaciones geográficamente dispares. La tunelización solo se realiza entre dos dispositivos (como enrutadores, cortafuegos, puertas de enlace VPN, servidores, etc.) ubicados en ambas ubicaciones de la red. Luego, estos dispositivos hacen que el túnel esté disponible para otros hosts de la red local que buscan comunicarse con cualquier host del otro lado. Esto es útil para mantener los sitios conectados entre sí de manera estable, como las redes de la oficina con su sede central o centro de datos. En este caso, cualquiera de los lados puede configurarse para iniciar la comunicación siempre que sepa cómo comunicarse con el otro en la red media. Si ambos se conocen entre sí y el protocolo VPN elegido no está ligado al diseño cliente-servidor, la comunicación puede ser iniciada por cualquiera de los dos tan pronto como vean que la VPN está inactiva o que algún host local está tratando de comunicarse con otro que se sabe que está ubicado en el otro lado.

En el contexto de las configuraciones de sitio a sitio, los términos intranet y extranet se utilizan para describir dos casos de uso diferentes. ^[4] Una VPN de sitio a sitio de intranet describe una configuración donde los sitios conectados por la VPN pertenecen a la misma organización, mientras que una VPN de sitio a sitio de extranet une sitios que pertenecen a múltiples organizaciones.

Por lo general, las personas interactúan con las VPN de acceso remoto, mientras que las empresas tienden a utilizar conexiones de sitio a sitio para entornos de negocio a negocio , computación en la nube y sucursales . Sin embargo, estas tecnologías no son mutuamente excluyentes y, en una red empresarial significativamente compleja, se pueden combinar para permitir el acceso remoto a recursos ubicados en cualquier sitio determinado, como un sistema de pedidos que reside en un centro de datos.

Además de la configuración de topología general, una VPN también puede caracterizarse por:

• El protocolo de tunelización utilizado para tunelizar el tráfico.
• la ubicación del punto de terminación del túnel, por ejemplo, en el borde del cliente o en el borde del proveedor de red.
• Las características de seguridad proporcionadas.
• la capa OSI que presentan a la red de conexión, como el enlace/circuito de capa 2 o la conectividad de red de capa 3 .
• el número de túneles simultáneos permitidos.
• la relación entre el actor que implementa la VPN y el propietario/proveedor de la infraestructura de red, y si el primero confía o no en el medio del primero.

Existe una variedad de técnicas de VPN para adaptarse a las características anteriores, cada una de las cuales proporciona diferentes capacidades de tunelización de red y diferente cobertura o interpretación del modelo de seguridad.

Los proveedores y desarrolladores de sistemas operativos generalmente ofrecen soporte nativo para una selección de protocolos VPN que está sujeta a cambios a lo largo de los años, ya que se ha demostrado que algunos no son seguros con respecto a los requisitos y expectativas modernos, y han surgido otros.

Los sistemas operativos de computadoras de escritorio, teléfonos inteligentes y otros dispositivos de usuario final generalmente admiten la configuración de VPN de acceso remoto desde sus herramientas gráficas o de línea de comandos . ^{[5] [6] [7]} Sin embargo, debido a la variedad de protocolos VPN, a menudo no estándar, existen muchas aplicaciones de terceros que implementan protocolos adicionales que aún no son compatibles de forma nativa con el sistema operativo o que ya no lo son.

Por ejemplo, Android carecía de soporte nativo para IPsec IKEv2 hasta la versión 11, ^[8] y la gente necesitaba instalar aplicaciones de terceros para conectar ese tipo de VPN, mientras que Microsoft Windows , BlackBerry OS y otros sí lo tenían en el pasado.

Por el contrario, Windows no admite la configuración nativa de VPN de acceso remoto IPsec IKEv1 (comúnmente utilizada por las soluciones VPN de Cisco y Fritz!Box ), lo que hace obligatorio el uso de aplicaciones de terceros para las personas y empresas que dependen de dicho protocolo VPN.

Los dispositivos de red, como los cortafuegos, suelen incluir la función de puerta de enlace VPN para el acceso remoto o las configuraciones de sitio a sitio. Sus interfaces de administración suelen facilitar la configuración de redes privadas virtuales con una selección de protocolos compatibles que se han integrado para una fácil configuración inmediata.

En algunos casos, como en los sistemas operativos de código abierto dedicados a firewalls y dispositivos de red (como OpenWrt , IPFire , PfSense u OPNsense ), es posible agregar soporte para protocolos VPN adicionales instalando componentes de software faltantes o aplicaciones de terceros.

De manera similar, es posible hacer que funcionen configuraciones VPN adicionales, incluso si el sistema operativo no facilita la configuración de esa configuración en particular, editando manualmente las configuraciones internas o modificando el código fuente abierto del propio sistema operativo. Por ejemplo, pfSense no admite configuraciones VPN de acceso remoto a través de su interfaz de usuario donde el sistema operativo se ejecuta en el host remoto, mientras que proporciona soporte integral para configurarlo como la puerta de enlace VPN central de dicho escenario de configuración de acceso remoto.

De lo contrario, los dispositivos comerciales con funciones VPN basadas en plataformas de hardware y software patentadas suelen admitir un protocolo VPN uniforme en todos sus productos, pero no permiten personalizaciones fuera de los casos de uso que pretendían implementar. Este suele ser el caso de los dispositivos que dependen de la aceleración de hardware de las VPN para proporcionar un mayor rendimiento o admitir una mayor cantidad de usuarios conectados simultáneamente.

Siempre que se pretenda que una VPN extienda virtualmente una red privada a través de un medio de terceros no confiable, es deseable que los protocolos elegidos coincidan con el siguiente modelo de seguridad:

• confidencialidad para evitar la divulgación de información privada o el rastreo de datos , de modo que incluso si el tráfico de la red se rastrea a nivel de paquete (ver rastreador de red o inspección profunda de paquetes ), un atacante solo vería datos cifrados , no los datos sin procesar
• integridad del mensaje para detectar y rechazar cualquier caso de manipulación de los mensajes transmitidos, los paquetes de datos se protegen mediante un código de autenticación de mensajes (MAC), que evita que el mensaje se altere o manipule sin ser rechazado debido a que el MAC no coincide con el paquete de datos alterado.

Las VPN no tienen como objetivo que los usuarios que se conectan no sean anónimos ni inidentificables desde la perspectiva del proveedor de la red del medio no confiable. Si la VPN utiliza protocolos que sí ofrecen las características de confidencialidad mencionadas anteriormente, su uso puede aumentar la privacidad del usuario al impedir que el propietario del medio no confiable pueda acceder a los datos privados intercambiados a través de la VPN.

Para evitar que usuarios no autorizados accedan a la VPN, la mayoría de los protocolos se pueden implementar de manera que también permitan la autenticación de las partes que se conectan. Esto garantiza la confidencialidad, la integridad y la disponibilidad de la red remota conectada.

Los puntos finales del túnel se pueden autenticar de varias maneras durante el inicio del acceso a la VPN. La autenticación puede ocurrir inmediatamente después del inicio de la VPN (por ejemplo, simplemente agregando la dirección IP del punto final a la lista blanca) o muy tarde, después de que los túneles ya estén activos (por ejemplo, con un portal cautivo web ).

Las VPN de acceso remoto, que normalmente son iniciadas por el usuario, pueden utilizar contraseñas , datos biométricos , autenticación de dos factores u otros métodos criptográficos . Las personas que inician este tipo de VPN desde ubicaciones de red arbitrarias y desconocidas también se denominan "guerreros de la carretera". En tales casos, no es posible utilizar propiedades de red de origen (por ejemplo, direcciones IP) como factores de autenticación seguros y se necesitan métodos más sólidos.

Las VPN de sitio a sitio suelen utilizar contraseñas ( claves precompartidas ) o certificados digitales . Según el protocolo VPN, pueden almacenar la clave para permitir que el túnel VPN se establezca automáticamente, sin intervención del administrador.

Una red privada virtual se basa en un protocolo de tunelización y puede combinarse con otros protocolos de red o aplicación para proporcionar capacidades adicionales y una cobertura de modelo de seguridad diferente.

• El protocolo de seguridad de Internet ( IPsec ) fue desarrollado inicialmente por el Grupo de trabajo de ingeniería de Internet (IETF) para IPv6 y era obligatorio en todas las implementaciones de IPv6 que cumplían con los estándares antes de que la RFC  6434 lo convirtiera solo en una recomendación. ^[9] Este protocolo de seguridad basado en estándares también se usa ampliamente con IPv4 . Su diseño cumple con la mayoría de los objetivos de seguridad: disponibilidad, integridad y confidencialidad . IPsec utiliza cifrado, encapsulando un paquete IP dentro de un paquete IPsec. La desencapsulación ocurre al final del túnel, donde el paquete IP original se descifra y se reenvía a su destino previsto. Los túneles IPsec se configuran mediante el protocolo de intercambio de claves de Internet (IKE) . Los túneles IPsec hechos con IKE versión 1 (también conocidos como túneles IKEv1, o a menudo simplemente "túneles IPsec") se pueden usar solos para proporcionar VPN, pero a menudo se han combinado con el Protocolo de túnel de capa 2 (L2TP) . Su combinación hizo posible reutilizar las implementaciones relacionadas con L2TP existentes para funciones de autenticación más flexibles (por ejemplo, Xauth), deseables para configuraciones de acceso remoto. La versión 2 de IKE, que fue creada por Microsoft y Cisco, se puede utilizar sola para proporcionar la funcionalidad VPN IPsec. Sus principales ventajas son el soporte nativo para la autenticación a través del Protocolo de autenticación extensible (EAP) y que el túnel se puede restaurar sin problemas cuando cambia la dirección IP del host asociado, lo que es típico de un dispositivo móvil en roaming, ya sea en redes 3G o 4G LTE . IPsec también suele ser compatible con aceleradores de hardware de red, ^[10] lo que hace que la VPN IPsec sea deseable para escenarios de bajo consumo, como configuraciones de VPN de acceso remoto siempre activas. ^{[11] [12]}
• La seguridad de la capa de transporte ( SSL/TLS ) puede tunelizar el tráfico de toda una red (como lo hace en el proyecto OpenVPN y el proyecto SoftEther VPN ^[13] ) o proteger una conexión individual. Varios proveedores proporcionan capacidades de VPN de acceso remoto a través de TLS. Una VPN basada en TLS puede conectarse desde ubicaciones donde se admite la navegación web TLS habitual ( HTTPS ) sin configuraciones adicionales especiales.
• Seguridad de la capa de transporte de datagramas ( DTLS ): se utiliza en Cisco AnyConnect VPN y en OpenConnect VPN ^[14] para resolver los problemas que tiene TLS con la tunelización sobre TCP (SSL/TLS se basan en TCP, y la tunelización de TCP sobre TCP puede provocar grandes demoras y abortos de conexión ^[15] ).
• El cifrado punto a punto de Microsoft ( MPPE ) funciona con el Protocolo de tunelaje punto a punto y en varias implementaciones compatibles en otras plataformas.
• El protocolo de túnel de sockets seguros ( SSTP ) de Microsoft tuneliza el tráfico del protocolo punto a punto (PPP) o del protocolo de túnel de capa 2 a través de un canal SSL/TLS (SSTP se introdujo en Windows Server 2008 y en Windows Vista Service Pack 1).
• Red privada virtual de múltiples rutas (MPVPN). Ragula Systems Development Company es propietaria de la marca registrada "MPVPN". ^{[ ¿Relevante? ] [16]}
• VPN de Secure Shell (SSH): OpenSSH ofrece tunelización VPN (diferente del reenvío de puertos ) para proteger ^{[ ambiguas ]} conexiones remotas a una red, enlaces entre redes y sistemas remotos. El servidor OpenSSH proporciona una cantidad limitada de túneles simultáneos. La función VPN en sí no admite la autenticación personal. ^[17] SSH se usa con más frecuencia para conectarse de forma remota a máquinas o redes en lugar de una conexión VPN de sitio a sitio.
• WireGuard es un protocolo. En 2020, se agregó compatibilidad con WireGuard a los kernels de Linux ^[18] y Android ^{[19] , lo que lo abrió a la adopción por parte de los proveedores de VPN. De forma predeterminada, WireGuard utiliza el protocolo} Curve25519 para el intercambio de claves y ChaCha20-Poly1305 para el cifrado y la autenticación de mensajes, pero también incluye la capacidad de compartir previamente una clave simétrica entre el cliente y el servidor. ^[20]
• OpenVPN es un protocolo VPN gratuito y de código abierto basado en el protocolo TLS. Admite la confidencialidad directa perfecta y la mayoría de los conjuntos de cifrados seguros modernos, como AES , Serpent , TwoFish , etc. Actualmente ^{[ puede que esté desactualizado a partir de marzo de 2023 ]} está siendo desarrollado y actualizado por OpenVPN Inc., una organización sin fines de lucro que ofrece tecnologías VPN seguras.
• Crypto IP Encapsulation (CIPE) es una implementación de VPN libre y de código abierto para tunelizar paquetes IPv4 sobre UDP mediante encapsulación . ^[21] CIPE fue desarrollado para sistemas operativos Linux por Olaf Titz, con un puerto para Windows implementado por Damion K. Wilson. ^[22] El desarrollo de CIPE finalizó en 2002. ^[23]

Las VPN confiables no utilizan túneles criptográficos, sino que confían en la seguridad de la red de un único proveedor para proteger el tráfico. ^[24]

• La conmutación de etiquetas multiprotocolo (MPLS) a menudo se superpone a las VPN, a menudo con control de calidad de servicio a través de una red de distribución confiable.
• L2TP ^[25] , que es un reemplazo basado en estándares y un compromiso que toma las buenas características de cada uno, para dos protocolos VPN propietarios: el reenvío de capa 2 (L2F) de Cisco ^[26] (obsoleto a partir de 2009 ) y el protocolo de tunelaje punto a punto (PPTP)^[actualizar] de Microsoft . ^[27]

Desde el punto de vista de la seguridad, una VPN debe confiar en la red de distribución subyacente o aplicar la seguridad con un mecanismo en la propia VPN. A menos que la red de distribución confiable funcione solo entre sitios físicamente seguros, tanto los modelos confiables como los seguros necesitan un mecanismo de autenticación para que los usuarios obtengan acceso a la VPN. ^{[ cita requerida ]}

Las redes privadas virtuales móviles se utilizan en entornos en los que un punto final de la VPN no está fijado a una única dirección IP , sino que se desplaza por varias redes, como redes de datos de operadores celulares o entre múltiples puntos de acceso Wi-Fi sin interrumpir la sesión VPN segura ni perder sesiones de aplicaciones. ^[28] Las VPN móviles se utilizan ampliamente en la seguridad pública , donde brindan a los agentes de la ley acceso a aplicaciones como el despacho asistido por computadora y bases de datos criminales, ^[29] y en otras organizaciones con requisitos similares, como la gestión de servicios de campo y la atención médica. ^{[30] [ necesita cita para verificar ]}

Una limitación de las VPN tradicionales es que son conexiones punto a punto y no suelen admitir dominios de difusión ; por lo tanto, la comunicación, el software y la red, que se basan en la capa 2 y en paquetes de difusión , como NetBIOS utilizado en las redes de Windows , pueden no ser totalmente compatibles como en una red de área local . Las variantes de VPN, como el Servicio de LAN privada virtual (VPLS) y los protocolos de tunelización de capa 2, están diseñadas para superar esta limitación. ^[31]

• Kelly, Sean (agosto de 2001). «La necesidad es la madre de la invención de las VPN». Communication News : 26–28. ISSN  0010-3632. Archivado desde el original el 17 de diciembre de 2001.