Redes Privadas Virtuales (VPN)

Redes Privadas Virtuales (VPN).
Definición.
Una Red Privada Virtual (VPN) es una red de información privada que hace uso de una infraestructura pública de telecomunicaciones que conecta diferentes segmentos de red o usuarios a una red principal, manteniendo la privacidad a través del uso de un protocolo de túnel o aislamiento así como de otras tecnologías que proveen seguridad. La función principal de una VPN es la de brindar conectividad a una red, a través de una red pública, brindando la integridad de la información.

Cuando se implementa una VPN, hay cuatro aspectos fundamentales que deben ser considerados: costo, desempeño, confianza y seguridad. De estas cuatro características, la seguridad es el elemento fundamental ya que sin ésta los otros elementos pueden ser inútiles; no importa qué tan barata, rápida y confiable sea una red, sin la seguridad adecuada, los riesgos pesarán más que los beneficios. Una compañía puede usar la Internet para enviar archivos a otras corporaciones; sin embargo, sin medidas y políticas de seguridad adecuadas, la información queda expuesta a ataques.En adición a los riesgos de seguridad, hay aspectos de Calidad en el Servicio (QoS) concernientes a al Internet que se deben de tratar. La calidad en el servicio se refiere al acuerdo de servicio ofrecido por un Proveedor de Servicios de Internet (ISP) a un cliente, que garantiza cierto nivel de desempeño.

Las VPN inalámbricas permiten la conexión segura a redes corporativas, a través de dispositivos móviles como pueden ser: laptop, PDA, teléfonos celulares. Dentro de este tipo de VPN’s se debe considerar la tasa de transferencia y capacidad de procesamiento por parte de los equipos. La mayor ventaja de las VPN inalámbricas es la conectividad y la movilidad para los usuarios finales.

Antecedentes y Tecnologías VPN

El concepto de VPN ha estado presente desde hace algunos años en el mundo de la redes de voz. A mediados de los 80’s, grandes portadoras fueron ofrecidas como VPN para servicios de voz, de manera que las compañías podían tener la apariencia de una red privada de voz, mientras compartían los recursos de una red mucho mayor. Este concepto se está aplicando ahora tanto para voz como para datos de la misma manera. Esencialmente una VPN es una red de datos aparentemente privada, pero la cual utiliza los recursos de un red de información mucho mayor. La Internet es la plataforma ideal para crear una VPN.

En un principio existían dos tipos básicos de tecnologías VPN, las cuales fueron la base de las VPN hoy en día: VPN confiables y VPN seguras. Las VPN híbridas, surgieron como consecuencia de un desarrollo tecnológico y de los avances de la Internet.

Antes de que la Internet se volviera universal, una VPN consistía en uno o más circuitos rentados a un proveedor de comunicaciones. Cada circuito rentado actuaba como un cable independiente, el cual era manejado por el cliente. La idea básica era que el cliente usara el circuito de la misma manera en que usaba los cables físicamente en su red local.

La privacidad con la que contaban estas VPN no era más que la que el proveedor del servicio de comunicación le otorgaba al cliente; nadie más podía usar el mismo circuito. Esto permitía a los clientes tener su propia dirección IP y políticas de seguridad independientes.

Un circuito rentado corría sobre uno o mas switch de comunicación, de los cuales, cualquiera podía ser comprometido por algún operador que tratara de monitorear el tráfico de las líneas. El cliente VPN tenía que confiar la integridad de los circuitos y de la información en el proveedor de servicio VPN; por este motivo este tipo de redes era llamada VPN confiable.

Con el paso del tiempo la Internet se volvió más popular como medio de comunicación corporativo, y la seguridad se volvió un tópico de mayor importancia. Con el antecedente de las VPN confiables, se buscaron implementaciones que no afectaran la privacidad de la información y que incluyeran la integridad de los datos enviados. Se empezaron a crear protocolos que permitieran la encripción del tráfico en algún extremo de la red, que se moviera a través de la Internet como cualquier otra información, para luego ser descifrado cuando alcanzara la red de la corporación o al destinatario.

El tráfico cifrado o encriptado actúa como si estuviera en un túnel entre dos redes. Aún cuando un atacante pudiera ver o interceptar el tráfico, no podría leerlo y no le haría cambios sin que el destinatario se percatara de ello. Las redes que eran construidas usando elementos de encripción se llamaban VPN seguras. La razón principal por la que las empresas usan VPN seguras es que de esta forma pueden transmitir información sensible a través de la Internet, sin preocuparse por quién pudiera verla.

Una VPN segura podía ser complementaria de una VPN confiable, creando así un tercer tipo llamado VPN híbrido. Las partes seguras de una VPN híbrida pueden ser controladas por los clientes o por el proveedor, siendo el último quien maneja la parte confiable de la VPN o para efectos de entendimiento la conexión hacia la Internet.

Las VPN seguras y las VPN confiables tienen diferentes propiedades. Las VPN seguras proveen seguridad pero no aseguran los canales. El tipo de VPN confiables asegura algunas propiedades del canal como calidad del servicio (QoS), pero no brindan seguridad ante mirones. Debido a estas debilidades y cualidades, las VPN híbridas comenzaron a surgir.

Para que una VPN pueda ser llamada segura debe de cumplir con ciertos requerimientos:

· Todo el tráfico en una VPN segura debe estar encriptado y autentificado. · Las propiedades de seguridad deben ser acordadas por todas las partes de la VPN. · Nadie fuera de la VPN puede afectar las propiedades de la VPN. Debe ser imposible para un atacante cambiar las propiedades de seguridad de cualquier parte de la VPN

De igual forma las VPN confiables tienen ciertos requerimientos:

Nadie más que el proveedor VPN puede afectar o modificar el canal en la VPN.· El direccionamiento y el ruteo usado en una VPN confiable, deberán ser establecidos antes que la VPN sea creada

Para las VPN híbridas, se deberán definir claramente los límites de las direcciones de una VPN segura dentro de una VPN confiable. Una VPN segura puede ser un subconjunto de un VPN confiable, por ejemplo si un departamento emplea su propia VPN segura sobre las VPN confiable corporativa.
Los proveedores de servicios ofrecen VPN confiables con adaptabilidad a redes de capa-3 MPLS.
Con las tecnologías VPN seguras y confiables como antecedente, y con una amplia mejora en los protocolos y medidas de seguridad, surgen las VPN definidas en cuatro principales escenarios:

VPN Intranet: este tipo de redes es creado entre una oficina central y una o varias oficinas remotas. El acceso viene del exterior. Se utiliza este tipo de VPN cuando se necesita enlazar a los sitios que son parte de una compañía.

VPN Acceso Remoto: este escenario es el que se crea entre la(s) oficinas centrales y los usuarios situados remotamente, ya sea a través de dispositivos móviles o terminales fijas. Con el cliente

VPN instalado en un dispositivo, el usuario es capaz de conectarse a la red corporativa, no importa donde se encuentre.

VPN Extranet: esta implementación VPN se forma entre dos organizaciones diferentes, o bien entre una corporación y sus proveedores o clientes. Se puede implementar una VPN Extranet mediante acuerdo entre miembros de distintas organizaciones.

VPN internas: con la migración hacia redes inalámbricas, como 802.11, es necesario incrementar las medidas de seguridad en un corporación. Actualmente se puede implementar una VPN interna cuando se tiene una LAN inalámbrica. En este caso la red pública es el espectro de frecuencia que se ocupa para comunicar un punto de acceso (AP) y un dispositivo móvil. Muchos de los ataques son ejecutados desde el interior de las corporaciones, por los que una VPN interna elimina la posibilidad de que un usuario o invitado malintencionado logre accesar al servidor principal sin tener los permisos necesarios.

Protocolos de Túnel.

Usando una combinación de encripción, autentificación, túnel y control de acceso, una VPN proporciona a los usuarios un método seguro de acceso a los recursos de las redes corporativas. La implementación de una VPN involucra dos tecnologías:

un protocolo de túnel y un método de autentificación de los usuarios del túnel

Cuatro diferentes protocolos de túnel son los más usados para la construcción de VPN sobre la Internet:

· Protocolo de túnel punto - punto (PPTP).·Envío de capa 2 (L2F)· Protocolo de túnel de capa 2 (L2TP)Protocolo de seguridad IP (IPSec)


La razón de la diversidad de protocolos es porque las empresas que implementan VPN’s tienen requerimientos diferentes. Por ejemplo: enlazar oficinas remotas con el corporativo, o ingresar de manera remota al servidor de la organización.

Los protocolos PPTP, L2F y L2TP se enfocan principalmente a las VPN de acceso remoto, mientras que IPSec se enfoca mayormente en las soluciones VPN de sitio – sitio.

El protocolo PPTP ha sido ampliamente usado para la implementación de VPN’s de acceso remoto.

El protocolo más común que se usa para acceso remoto es el protocolo de punto - punto (PPP);

PPTP se basa en la funcionalidad de PPP para proveer acceso remoto que puede estar dentro de un túnel a través de la Internet hacia su destino. PPTP encapsula los paquetes PPP usando una versión modificada del encapsulado genérico de ruteo (Generic Routing Encapsulation GRE), lo que da al protocolo PPTP la flexibilidad de manejo de otros protocolos como: intercambio de paquetes de Internet (IPX) y la interfaz gráfica de sistema básico de entrada / salida de red NetBEUI.

PPTP está diseñado para correr en la capa 2 del sistema OSI (Open System Interconnection) o en la capa de enlace de datos. Al soportar comunicaciones en la capa 2, se permite transmitir protocolos distintos a los IP sobre los túneles. Una desventaja de este protocolo es que no provee una fuerte encripción para proteger la información y tampoco soporta métodos de autentificación basados en tokens.

L2F fue diseñado como protocolo de túnel de tráfico desde usuarios remotos hacia los corporativos. Una diferencia entre PPTP y L2F es que el túnel creado por L2F no es dependiente en IP, y le permite trabajar directamente con otro tipo de redes como frame relay o ATM. Al igual que PPTP, L2F emplea PPP para la autentificación del usuario remoto. L2F permite túneles para soportar más de una conexión. L2TP es un protocolo de capa 2, y permite a los usuarios la misma flexibilidad que PPTP para manejar protocolos diferentes a los IP, como IPX y NetBEUI. L2TP es una combinación de PPTP y L2F, y puede ser implementado en diferentes topologías como Frame Relay y ATM.

Para proveer mayor seguridad con la encripción, se pueden emplear los métodos de encripción de IPSec. La recomendación es que para procesos de encripción y manejo de llaves criptográficas en ambientes IP, el protocolo IPSec sea implementado de manera conjunta.

IPSec nació con la finalidad de proveer seguridad a los paquetes IP que son enviados a través de una red pública, trabaja principalmente en la capa 3. IPSec permite al usuario autentificar y/o cifrar cada un de los paquetes IP.

Al separar las aplicaciones de autentificación y encripción de paquetes, se tienen a dos formas deferentes de usar IPSec llamadas modos. En el modo de transporte sólo el segmento de la capa de transporte de un paquete IP es autentificado y encriptado. En el otro modo llamado de túnel, la autentificación y encripción se aplica a todo el paquete. Mientras que el modo de transporte es útil en muchas situaciones, el modo de túnel provee mayor seguridad en contra de ataque y monitoreo de tráfico que pueda ocurrir sobre la Internet. A su vez este protocolo se subdivide en dos tipos de transformaciones de datos: el encabezado de autentificación (AH) y la carga de seguridad encapsulada (ESP).

Seguridad IP para sistemas de comunicación local