Superposición y cifrado de los túneles

La base (en inglés, underlay) es la conectividad que contrata la empresa: una línea privada del proveedor (MPLS), Internet de banda ancha o un enlace móvil (LTE). La superposición (overlay) son los túneles que los bordes arman por encima de cualquiera de esas bases, y es donde se aplican el cifrado y las políticas.

Una línea privada es privada porque el proveedor la aísla de otros clientes, no porque cifre lo que lleva: los datos viajan por equipos del proveedor, que los puede ver. Muchas soluciones arman sus túneles con IPsec, pero no todas, y eso se confirma en la documentación del producto. Que el transporte sea «de confianza» no sustituye el cifrado de la superposición.

La política de la empresa exige AES-256-GCM en todo túnel, también sobre el enlace privado del proveedor. La excepción más común, y la más cara, es dejar sin cifrar el túnel que va por la línea privada «porque ya es privada».

Consulta tuneles y mira la columna cifrado.

Cifrar no basta: hay que cifrar con lo que la política manda. Un algoritmo distinto del exigido puede ser una configuración heredada que nadie revisó. La política de esta empresa fija un solo cifrado para todo túnel; cualquier otro es un hallazgo, aunque el túnel esté arriba y funcione.

Consulta tuneles y compara cada cifrado con la política.

Las claves de un túnel se renuevan cada cierto tiempo. Cuanto más dura una clave, más tráfico protege con ella y más daño hace si se compromete. La política pone un tope a esa vida y la tabla la mide en horas.

Consulta tuneles y compara vida_de_la_clave_h con el tope de politica.

Una topología radial conecta cada sucursal solo con la sede; una malla completa conecta cada sucursal con todas las demás. Si hay n bordes, una malla completa necesita n × (n − 1) / 2 túneles por transporte, y cada túnel es una clave que renovar y un registro que vigilar. Por eso la empresa fija la topología radial.

Consulta politica y toma el número de sucursales.