Redes privadas virtuales

El término Red Privada Virtual, frecuentemente referido por VPN ^1.3, designa conceptos muy diferentes dependiendo del interlocutor que lo utilice. Por lo general, se asume un significado común y mínimo que lo designa como una extensión de una red local o privada a través de una red mayor y pública, como bien puede ser Internet. El objetivo básico, por tanto, consiste en proporcionar conectividad completa entre dos redes privadas diferentes y separadas, a través de una tercera, de modo que el usuario de cualquiera de estas redes realmente no pueda apreciar separación alguna. Paradójicamente, y como veremos más adelante, es posible utilizar redes privadas virtuales precisamente para todo lo contrario, separar una misma red en partes diferentes e independientes entre sí.

Por lo general cuando hablamos de redes privadas virtuales nos referimos a su implementación concreta más popular, unir redes locales a través de Internet de una forma segura. En los últimos años ésta se ha convertido sin duda en la aplicación más utilizada de este tipo de redes, debido a la rápida expansión y abaratamiento de las comunicaciones a través de una red global, Internet. Nótese que introducimos el concepto de seguridad del que no habíamos hablado en absoluto anteriormente, y que no está necesariamente ligado a las redes privadas virtuales.

Figura 1.1: Esquema de una VPN a través de Internet. Se utiliza un medio de acceso público que permita la interconexión de las dos redes A y B de forma que se unan en una única red virtual cuyo acceso siga siendo restringido.

Podemos distinguir varios tipos de redes privadas virtuales atendiendo a la forma de implementarlas:

De acceso remoto:

permiten a un usuario conectado a Internet desde algún punto remoto acceder a una red corporativa y sus servicios asociados. Un ejemplo de esto son trabajadores que realizan su actividad desde su propia casa, pero necesitan acceso a la red de su empresa. A través de su propia conexión a Internet establecen una red privada virtual que les permite trabajar como si estuviesen físicamente dentro de la red privada.

Figura 1.2: Esquema de una VPN de acceso remoto. Un usuario con conexión a Internet establece una VPN con la red corporativa, pudiendo acceder a la misma como usuario legítimo.

Punto a punto:

unen distintas subredes de forma que la red privada resultante es el conjunto de todas ellas enlazadas en una VPN. Es un modelo típico de entidades bancarias, en el que las sucursales establecen una red privada virtual con un servidor central corporativo. Permiten eliminar los altos costes de infraestructuras en redes y vínculos punto a punto propios, dirigiendo todo el tráfico a través de una conexión a Internet mucho más barata.

Figura 1.3: Esquema de una VPN punto a punto. La red local de una sucursal se conecta mediante una red privada virtual a un servidor central, que une respectivamente todas las sucursales en una misma red.

Internas:

una aplicación realmente desconocida pero muy útil y potente consiste en establecer redes privadas virtuales dentro de una misma red local. El objetivo último es aislar partes de la red y sus servicios entre sí, aumentando la seguridad. Una aplicación muy típica de este modelo se utiliza para aumentar la seguridad en redes de acceso inalámbrico, separándolas así de la red física para evitar posibles fugas de información o accesos no autorizados.

Figura 1.4: Esquema de una VPN interna. Se utiliza una VPN para restringir el acceso a ciertas partes de la red o usuarios concretos.

Existen dos formas típicas de implementar una red privada virtual, basadas en hardware y en software respectivamente. En el fondo ambas soluciones implementan los mismos protocolos y soluciones típicas para construir redes privadas virtuales, aunque en distintos niveles. Lógicamente, una solución hardware ofrecerá un rendimiento mayor y permitirá construir sistemas complejos y grandes de forma sencilla. Como contrapartida, las soluciones software permitirán menor rendimiento, pero un aumento en la flexibilidad de configuración.

La mayoría de estos productos se centran en el actual estándar de facto para redes privadas virtuales, IPSec^1.4 , aunque cada vez aparecen más soluciones basadas en otros protocolos de distinto nivel, como PPTP^1.5, L2TP ^1.6o el cada vez más popular SSL/TLS^1.7. Todos estos sistemas establecen túneles entre dos puntos de una red (los que son, estrictamente, los extremos de la red privada virtual) a través de los cuales se encapsula el tráfico intercambiado entre las dos redes a unir.

Estos últimos conceptos son la base teórica en la que se sustentan las redes privadas virtuales. El enlace se establece entre dos equipos que tienen acceso directo tanto a las subredes que se pretenden comunicar, como a la red que servirá de apoyo para la red privada virtual, como ya se ha dicho, generalmente Internet. Se establece una comunicación entre estos dos equipos, de forma que todo el tráfico que se dirige desde una de las subredes a la otra a través de la VPN es enviado desde el terminador de la primera al equipo terminador de la segunda.

Cuando un paquete cualquiera atraviesa la red privada virtual, el terminador saliente encapsula dicho paquete dentro de otro construido especialmente, correspondiente a alguno de los protocolos mencionados anteriormente, por norma general IPSec. El destino de ese paquete no será el destino original del paquete encapsulado, sino el terminador de la subred de destino. Una vez el paquete llega a través de la red pública al otro extremo de la VPN, el terminador correspondiente recoge dicho paquete y extrae su contenido intacto, redirigiéndolo tal cual a la red local de su extremo. Este es el concepto de túnel anteriormente mencionado, tráfico que se encapsula como carga útil de un protocolo utilizado para establecer la red privada virtual entre los dos terminadores del túnel, extremos de la VPN.

Figura 1.5: Concepto de tunelado. El paquete original es encapsulado dentro de un nuevo paquete en el terminador que lo envía a través de la VPN, y el otro terminador lo extrae, enviándolo tal cual a su destino.

Pese a que como se ha dicho, la funcionalidad principal que se espera de una red privada virtual es dar acceso a una red local desde puntos separados en el espacio, sin necesidad de realizar un gran desembolso en infraestructuras, se suele considerar también básico que la solución alternativa proporcione varios niveles de seguridad. En este sentido entendemos por seguridad dos aspectos fundamentales, la privacidad e integridad de las comunicaciones, y la autenticación de los usuarios y equipos que utilizan la red.

Dada la alta frecuencia con la que se utiliza Internet como medio sobre el que sustentar una VPN, es necesario establecer mecanismos adicionales que aseguren que el tráfico generado se mantiene fuera de los ojos de usuarios no autorizados. Al utilizar una red pública es imposible controlar qué uso se hace de las infraestructuras y quién tiene acceso a ellas. De hecho, ni siquiera es posible controlar cuáles son las infraestructuras que se utilizarán, que pueden variar a lo largo del tiempo. En estas condiciones es necesario recurrir a sofisticados esquemas criptográficos que aseguren la privacidad de las comunicaciones.

Más aún, resulta de interés garantizar que el tráfico no resulta alterado de su paso por la red pública de comunicaciones. Al igual que alguien podría monitorizar la red y obtener información sensible correspondiente al tráfico generado por la VPN, el que ese tráfico viaje cifrado no asegura que esa misma persona no pudiese modificarlo de alguna forma. De modo que no sólo nos interesa cifrar los datos transmitidos, sino también buscar algún mecanismo que nos asegure que llegan a su destino tal cual salieron del origen.

Por otro lado, se hace patente la necesidad de identificar a los usuarios de la red y comprobar que su identidad sea correcta y adecuada para acceder a los recursos proporcionados. La aproximación típica que se utiliza para solventar este problema trabaja a dos niveles, autenticando por un lado el equipo informático desde el que se utiliza el servicio, y por otro lado al usuario que se encuentra detrás del mismo. Si alguno de estos dos elementos falla no podremos garantizar que alguien no autorizado acceda a los recursos, y por tanto la privacidad e integridad de las comunicaciones subyacentes no tienen sentido.