Descripción de las opciones de VPN de acceso remoto
IPSec VPN
La VPN de IPSec es un protocolo de capa 3 que se comunica mediante el protocolo IP 50, carga útil de seguridad encapsuladora (ESP). También es posible que necesite el puerto UDP 500 para Internet Key Exchange (IKE) para gestionar claves de cifrado y el puerto UDP 4500 para IPSec NAT-Traversal (NAT-T). A veces, si los puertos UDP están bloqueados, los dispositivos VPN intentan utilizar el puerto TCP 500 y el puerto TCP 4500.
Debido a las variables de la configuración de fase 1 y fase 2, puede ser difícil obtener dos proveedores diferentes para establecer un túnel estable y escalable. Además, algunos proveedores pueden admitir sólo túneles basados en políticas o basados en rutas. La mejor práctica es utilizar el mismo proveedor en ambos extremos del túnel de IPSec.
La VPN de IPSec tiene los siguientes prs y cons.
- Rápido para desplegar
- Cifrado y autenticación incorporados
- Los túneles de sitio a sitio pueden permanecer siempre que haya flujos de tráfico interesantes en los enlaces.
- Los algoritmos de seguridad se refrescan a lo largo del tiempo
- Puede establecer conectividad a través de las conexiones de Internet existentes
- IKEv2 permite un mejor soporte para casos de uso de conectividad de la nube pública y NAT-T
- Los problemas de interoperabilidad hacen que sea difícil obtener conectividad estable
- Requiere hardware dedicado, clientes de software o ambos para permitir la conectividad
- Dado que toda la carga útil está cifrada, la detección de MTU de ruta debe estar activada para garantizar que los paquetes no se fragmenten.
- La complejidad del protocolo puede dificultar la resolución de problemas
- Se requiere el filtro de listas o rutas de acceso para restringir el acceso a la red
SSL VPN
Las VPN SSL funcionan en la capa 4 de OSI, la capa de aplicación. Como resultado, los clientes y servidores se pueden conectar entre sí de forma más sencilla. El puerto TCP 443 está abierto en varios servidores web en Internet, y la mayoría de los firewalls basados en red permiten el puerto TCP 80 (HTTP) y el puerto TCP 443 (HTTPS/SSL) para activar el tráfico basado en Web.
La VPN SSL tiene los siguientes prs y cons.
- No se requiere software de cliente
- SSL/TLS se estandariza entre la mayoría de proveedores y aplicaciones
- Soportado por la mayoría de exploradores web
- Los certificados del servidor se pueden gestionar centralmente
- Puede crear túneles a aplicaciones específicas en lugar de a toda la red
- Autenticación de usuario opcional (frente a la incorporación de IPSec)
- Puede acceder solo a aplicaciones basadas en web a menos que active controles de Java/ActiveX.
- Puede ser un proceso intensivo, lo que puede producir un bajo rendimiento en cargas elevadas
- Permitir funciones de colocación de túneles VPN con frecuencia, que pueden aprovechar los piratas informáticos y la configuración de seguridad de exploradores web débil.