Pasarelas VPN corporativas: acceso remoto seguro y confianza cero

Una pasarela VPN corporativa proporciona a los empleados o a las sucursales una vía cifrada para acceder a la red de una organización. Sigue siendo útil para los sistemas que necesitan conectividad a nivel de red, pero el cifrado es solo una parte del acceso seguro. Las comprobaciones de identidad, la gestión de dispositivos, la aplicación de parches y los límites sobre los recursos a los que puede acceder cada conexión son igual de importantes.

La pregunta práctica al elegir una solución es: ¿quién necesita acceder a qué recursos, desde qué dispositivos y cómo contendrá la organización una cuenta comprometida? Empiece por ahí antes de comparar dispositivos, servicios en la nube o cifras destacadas de rendimiento.

VPN de acceso remoto y VPN de sitio a sitio

Una VPN de acceso remoto conecta un dispositivo individual con el entorno de la organización. Una VPN de sitio a sitio conecta redes, como las de una sucursal y un centro de datos. Estas configuraciones resuelven problemas distintos y deben tener políticas de acceso diferentes. Una conexión de sucursal no debería otorgar automáticamente a todos los dispositivos acceso ilimitado a todas las aplicaciones.

Las soluciones basadas en IPsec y TLS son opciones habituales, pero el nombre del protocolo, por sí solo, no determina la seguridad de una implementación. La configuración, las versiones de software compatibles, la gestión de certificados y la respuesta del proveedor ante las vulnerabilidades influyen en el resultado.

Incorpore las comprobaciones de identidad y dispositivos al diseño

Exija autenticación multifactor para el acceso remoto y, cuando sea posible, prefiera métodos resistentes al phishing. Separe el acceso de los administradores del uso habitual de los empleados, retire los permisos sin demora cuando el personal deje la organización y limite a los usuarios a los recursos que necesitan para desempeñar sus funciones. Los dispositivos gestionados también permiten a la organización controlar mejor las actualizaciones, la protección de los dispositivos y los datos locales.

Estos controles deben mantenerse una vez establecida la conexión. Un usuario autenticado aún puede tener un dispositivo comprometido o permisos demasiado amplios. La segmentación de la red y la autorización a nivel de aplicación ayudan a evitar que una sesión comprometida permita moverse sin restricciones por el entorno.

VPN y acceso de confianza cero

La confianza cero es un enfoque arquitectónico, no un producto único que garantice la seguridad de una red. NIST SP 800-207 describe un enfoque centrado en los recursos y las decisiones de acceso, en lugar de en la confianza implícita basada en la ubicación dentro de la red. Un túnel VPN puede formar parte de ese entorno, pero conectarse a través de una pasarela no debería considerarse autorización suficiente.

El acceso centrado en las aplicaciones puede reducir la necesidad de exponer una amplia red interna a los usuarios remotos. Puede ser más adecuado para algunas aplicaciones web, mientras que los sistemas heredados o la conectividad de sucursales aún pueden necesitar un túnel de red. La guía del UK NCSC sobre ZTNA ofrece un marco útil para evaluar esa transición. Las organizaciones pueden adoptar un enfoque mixto mientras sustituyen las dependencias más antiguas.

Evalúe el rendimiento en condiciones realistas

Compare el rendimiento con cifrado, las sesiones simultáneas, la velocidad de establecimiento de conexiones y el comportamiento de la conmutación por error con los ajustes de seguridad que prevea utilizar. La velocidad bruta de la interfaz no equivale al rendimiento útil con cifrado. Ninguna capa de red puede garantizar una latencia nula: el cifrado, el enrutamiento, la congestión y la distancia física contribuyen a la latencia.

Pruebe las aplicaciones importantes para la empresa, incluidas las llamadas, las transferencias de archivos y los sistemas interactivos. Un diseño que gestiona sin problemas la transferencia de un archivo grande puede ofrecer una experiencia deficiente durante una videollamada con mucho tráfico. Incluya una prueba de conmutación por error para que el equipo entienda qué ocurre con las sesiones activas cuando falla una pasarela o una conexión.

Considere la pasarela un sistema crítico

Las pasarelas expuestas a Internet necesitan un responsable claramente designado, una versión de software con soporte y un proceso rápido de aplicación de parches. Restrinja las interfaces de administración, supervise los eventos de acceso y mantenga una vía de recuperación probada. La guía conjunta de CISA sobre la seguridad moderna del acceso a la red explica por qué las organizaciones deberían reevaluar los diseños tradicionales de acceso remoto junto con los enfoques más recientes.

Planifique la renovación de certificados, las copias de seguridad de la configuración y el acceso de emergencia antes de que se produzca una interrupción. Los equipos redundantes solo son útiles si también se tienen en cuenta las dependencias relacionadas, como los servicios de identidad, la alimentación eléctrica y las conexiones a Internet. Los servicios gestionados pueden reducir la carga operativa, pero la organización sigue necesitando responsabilidades claras y visibilidad de los cambios y los incidentes.

Cómo elegir un enfoque sostenible

Mantenga una VPN corporativa cuando sea necesaria la conectividad de red y utilice un acceso más limitado a las aplicaciones cuando se ajuste mejor a la tarea. El diseño más sólido combina el método de conexión adecuado con controles de identidad eficaces, segmentación y mantenimiento continuo. Una suscripción a una VPN para consumidores tiene otra finalidad y no debería presentarse como sustituto del acceso gestionado a los sistemas de la empresa.