IPsec es el conjunto de estándares con el que los cortafuegos suelen unir dos sedes por internet. Aquí está lo que hace cada pieza (IKE, ESP, modo túnel), qué recomienda hoy la guía del NIST y por qué suele fallar una VPN recién montada.
Foto: Markus Winkler, en Pexels
IPsec no es un programa ni un producto: la guía SP 800-77 del NIST lo describe como un marco de estándares abiertos para que las comunicaciones por redes IP sean privadas. Trabaja en la capa de red, de modo que protege el tráfico sin que las aplicaciones tengan que saber nada. Es la opción habitual en los cortafuegos para las VPN entre sedes.
La guía del NIST recoge tres formas de montarlo:
| Arquitectura | Qué une | Ejemplo |
|---|---|---|
| Pasarela a pasarela | Dos redes | La oficina central y una sucursal, con un cortafuegos en cada una |
| Acceso remoto | Un equipo con una red | Un portátil que entra en la red de la empresa desde fuera |
| Equipo a equipo | Dos equipos | Dos servidores que se comunican entre sí |
Para el acceso remoto hay más alternativas, que se comparan en la guía de ZTNA o VPN. Donde IPsec sigue siendo lo habitual es en la primera fila.
Lo que confunde al configurarlo es que son dos fases con protocolos distintos: una para ponerse de acuerdo y otra para mover los datos.
Lo que acuerdan se guarda en una asociación de seguridad (SA). Por eso, en los menús de los cortafuegos verás «IKE SA» e «IPsec SA», o «fase 1» y «fase 2».
| Modo | Qué protege | Qué se ve desde fuera |
|---|---|---|
| Túnel | El paquete original entero, con su cabecera IP | Solo la cabecera nueva, con los dos extremos del túnel |
| Transporte | Lo que transporta el paquete | La cabecera IP original, con el origen y el destino reales |
Según el NIST, el modo túnel sirve para todas las arquitecturas de la tabla de arriba, y oculta además quién habla realmente con quién, el protocolo y los puertos. Una VPN entre sedes va en modo túnel.
La guía del NIST, publicada en 2020, es de Estados Unidos, pero sus recomendaciones son una buena referencia para saber si una VPN se ha quedado antigua.
| Dato | Usar | No usar |
|---|---|---|
| Versión de IKE | IKEv2 | IKEv1 en instalaciones nuevas; las que ya existen, a pasar a IKEv2 cuando sea posible |
| Cifrado e integridad | AES-CBC con HMAC-SHA-2, o AES-GCM | 3DES, MD5, SHA-1 |
| Grupo Diffie-Hellman | Grupo 14 o de curva elíptica (19, 20 o 21) | Grupos 2 y 5 |
| Protocolo | ESP | AH |
Si estás en una Administración o en un sector regulado, la referencia que manda puede ser otra, como la del ENS en España. Comprueba la que te aplica.
La clave compartida (PSK) es lo más fácil de configurar, y por eso se usa tanto. El NIST avisa de sus dos problemas: todos los que la conocen pueden hacerse pasar por cualquier otro del grupo, y es vulnerable a ataques de diccionario. Si la usas, tiene que ser muy aleatoria, con al menos 112 bits de seguridad; no vale una contraseña que se pueda recordar. Y añade que los administradores suelen elegirlas débiles.
La alternativa son los certificados, que dan más trabajo porque hay que emitirlos y renovarlos.
La guía del NIST dedica un capítulo a los problemas habituales. Estos son los que más afectan a una instalación con cortafuegos:
Cuando uno de los extremos está detrás de NAT, IKE lo detecta y pasa al puerto UDP 4500, como define el RFC 3947, y ESP viaja encapsulado en UDP por ese mismo puerto. Si además tu operador te tiene detrás de CGNAT, el extremo no podrá recibir conexiones, algo que se explica en la guía de NAT.
El propio NIST recuerda que una VPN reduce los riesgos de usar una red insegura, pero no los elimina: la implementación puede tener fallos que un atacante aproveche, y añade componentes que afectan a la disponibilidad.
Además, un túnel une dos redes, y de ahí a que todo lo de un lado llegue a lo del otro solo hay una regla. Esto último es criterio de esta web, no del NIST: si un equipo de la sucursal se infecta, el túnel es un camino hacia la central, así que conviene filtrar lo que pasa por él igual que el resto del tráfico y separar con VLAN lo que no tiene por qué hablar.
Tu cortafuegos también tendrá su propio límite: la ficha da una cifra de IPsec y un número máximo de túneles. Las de los principales fabricantes están en sus guías, como las de FortiGate o Zyxel.
IKE usa los puertos UDP 500 y 4500. El tráfico ESP va como protocolo IP 50 o, si hay NAT por medio, encapsulado en UDP por el puerto 4500. La guía del NIST señala el bloqueo de los puertos 500 y 4500 como el problema de red más común al montar IPsec.
No para instalaciones nuevas. La guía SP 800-77 del NIST dice que IKEv1 no debe usarse en despliegues nuevos y que los existentes deben pasarse a IKEv2 cuando sea posible.
El modo túnel cifra el paquete original entero, cabecera incluida, y le pone una cabecera IP nueva, así que sirve para unir redes. El modo transporte protege lo que transporta el paquete, pero deja visible la cabecera IP original.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
