Opciones de conectividad y su cifrado

Hay dos familias de enlaces. La VPN por internet monta un túnel cifrado (en la práctica IPsec) sobre una red pública: el medio no es de confianza, así que el cifrado es parte del servicio. El enlace dedicado de un operador es una conexión privada entre dos sitios que no pasa por el internet público, con latencia estable y mejor capacidad, pero por sí solo no cifra lo que lleva: quien comparte la infraestructura del operador, o quien se coloque en medio del trayecto, podría leerlo. Existe cifrado de capa 2 entre dos extremos vecinos (MACsec, IEEE 802.1AE), pero protege el tramo, no la conversación de extremo a extremo, y depende de que el servicio lo ofrezca.

Consulta enlaces y compara la columna cifra_en_transito: ahí está la diferencia entre lo que la gente supone y lo que el inventario dice.

La información de más valor suele viajar por el enlace más rápido, y ese es casi siempre el dedicado. Esa combinación es la que más interesa revisar: un enlace sin cifrado que transporta datos de clientes. En la tabla enlaces está la columna carga, que dice qué viaja por cada uno. Cruza lo que no cifra con lo que lleva.

Un túnel IPsec se negocia con IKE. La versión actual, IKEv2, está definida en la RFC 7296 y reemplazó a IKEv1; los cifrados modernos con autenticación integrada, como AES en modo GCM, son los que se esperan hoy, y algoritmos antiguos como 3DES se consideran obsoletos. Un túnel de respaldo que casi nadie usa suele quedar con la configuración del día en que se montó y sin que nadie lo revise. Consulta tuneles.

El cifrado cuesta capacidad: el equipo que termina el túnel cifra y descifra cada paquete, y la capacidad contratada de una VPN por internet suele ser menor que la de un enlace dedicado. Cuando el pico de uso supera la capacidad, el tráfico se pone en cola o se descarta, y la gente reacciona moviendo cargas a otro enlace, a veces al que no cifra. Por eso el pico se mide antes de que alguien improvise.

En uso_pico hay un enlace que en la semana pidió más de lo que su capacidad permite. Calcula por cuántos megabits por segundo se pasó.

Cuando un enlace dedicado lleva datos sensibles y el operador no los cifra, la práctica habitual es superponer un túnel IPsec sobre el propio enlace dedicado: se conserva la latencia y la capacidad del enlace, y el contenido va cifrado de extremo a extremo entre los dos equipos de la empresa. El operador pasa a ver solo paquetes cifrados. Se acepta el costo de capacidad que se midió en la tarea anterior.