Túnel dividido y lo que una VPN alcanza

Con túnel completo, todo el tráfico del equipo remoto, incluido el de internet, viaja por la VPN y sale por los controles de la empresa. Con túnel dividido (split tunneling), solo el tráfico hacia las redes de la empresa va por la VPN; lo demás sale directo por la red local de la persona.

El dividido ahorra ancho de banda y es cómodo, pero tiene un costo: el portátil queda con un pie en la red de la empresa y otro en una red doméstica o pública, y el tráfico que no pasa por la empresa no lo ve el filtrado ni la inspección. Si ese equipo se compromete, el túnel es el puente hacia dentro. No es un defecto en sí mismo; es una decisión que exige compensarla, por ejemplo con una verificación de postura (comprobar que el equipo tiene protección y actualizaciones antes de dejarlo entrar).

La tabla perfiles dice, para cada grupo de acceso remoto, si el túnel es dividido y si se exige verificar la postura del equipo. Un perfil con túnel dividido y sin verificación de postura es el caso que más debe preocupar: el equipo puede estar en cualquier estado y tiene un camino directo hacia dentro.

Una VPN no debería poner al usuario «dentro de la red»: debería ponerlo delante de los servicios que necesita. Lo decide el conjunto de reglas de la VPN (acl_vpn), una regla por grupo y por servicio. Cuando una regla da a un grupo todo un segmento con cualquier servicio, el alcance de la VPN es el de la red entera.

Busca la regla de un grupo externo cuyo destino sea toda la red y cuyo servicio sea cualquiera.

En el túnel dividido, la lista de rutas que el servidor entrega al equipo es lo que define qué va por la VPN. Esa lista también es un mapa de lo que la VPN ve: cada ruta es una red a la que el equipo remoto puede intentar llegar. La tabla rutas_entregadas las lista por perfil.

El perfil de contratistas recibe rutas hacia la zona de gestión y hacia la base de datos, y su regla le da toda la red. Nadie lo diseñó así: se fue ampliando caso por caso. El recorte sigue el mismo orden que cualquier permiso: primero qué necesita de verdad ese grupo, luego una regla por servicio, luego retirar la amplia.