¿Qué es IPsec?

Publicado el 13 de agosto de 2026

← Todos los términos del glosario Ir a la letra I

La Seguridad del Protocolo de Internet (IPsec) es un conjunto de protocolos basado en estándares que autentica y cifra los paquetes IP, creando túneles seguros a través de redes no fiables. Es el motor que impulsa la mayoría de las VPN de sitio a sitio, los túneles de acceso remoto y las superposiciones SD-WAN, incluidas las de Versa.

Puntos clave

  • IPsec garantiza la confidencialidad, la integridad y la autenticación en la capa IP.
  • El protocolo ESP se encarga del cifrado y la autenticación; el protocolo IKE se encarga de la negociación de claves y de las asociaciones de seguridad.
  • El modo túnel protege los paquetes completos; el modo de transporte solo protege la carga útil.
  • Las implementaciones modernas utilizan IKEv2 con AES-GCM y grupos Diffie-Hellman robustos.
  • VersaLa estructura SD-WAN cifrada y los túneles de sitio a sitio de la empresa funcionan con IPsec.

En esta página: Por qué es importanteCómo funcionaTiposIPsec y VersaPreguntas frecuentes

¿Por qué es importante IPsec?

Casi todas las conexiones privadas que atraviesan la red pública de Internet dependen de IPsec. Las sucursales se conectan a los centros de datos a través de túneles IPsec; las VPC en la nube se conectan con redes locales a través de pasarelas IPsec; y las estructuras SD-WAN cifran todas las rutas mediante este protocolo. Al funcionar en la capa IP, IPsec protege todo el tráfico que se transmite por encima de ella —cualquier aplicación, cualquier protocolo de transporte— sin que sea necesario modificar las aplicaciones.

Su importancia radica también en que se trata de un estándar abierto. Los dispositivos IPsec de distintos proveedores son interoperables, razón por la cual sigue siendo el denominador común a la hora de conectar un dispositivo de sucursal a la pasarela VPN de un proveedor de servicios en la nube, al cortafuegos de un socio o al servicio de un operador. Cuando los arquitectos necesitan un transporte cifrado que sea independiente del proveedor, auditable y con aceleración por hardware en la mayoría de las plataformas, IPsec sigue siendo la respuesta por defecto, tres décadas después de la publicación de sus primeros RFC.

¿Qué es IPsec?

IPsec es una familia de protocolos que funcionan conjuntamente. El protocolo ESP (Encapsulating Security Payload) se encarga del trabajo diario: cifra el contenido de los paquetes y verifica que no hayan sido manipulados durante la transmisión. El protocolo IKE (Internet Key Exchange) es el canal de control: los dos extremos se autentican mutuamente —mediante certificados o una clave precompartida—, negocian los algoritmos de cifrado y establecen las claves de sesión, que se renuevan periódicamente sin interrumpir el tráfico.

El estado negociado entre dos puntos finales es una asociación de seguridad (SA): un acuerdo sobre algoritmos, claves y duraciones. Los datos circulan por el túnel solo una vez que las SA están establecidas, y características como el secreto perfecto hacia adelante garantizan que, incluso si una clave se viera comprometida en el futuro, no sería posible descifrar sesiones anteriores.

Tipos de IPsec

Existen dos modos de encapsulación. El modo túnel envuelve todo el paquete original dentro de uno nuevo cifrado; es el estándar para las VPN de sitio a sitio, ya que oculta el direccionamiento interno. El modo de transporte cifra únicamente la carga útil y conserva la cabecera original; se utiliza principalmente para la protección de host a host.

Todavía hay dos generaciones de intercambio de claves en uso. IKEv1 es un protocolo heredado, pero muy extendido; IKEv2 es el estándar moderno: más rápido de establecer, más resistente a los cambios en la red y la opción predeterminada adecuada para nuevas implementaciones. La elección de los algoritmos de cifrado completa el panorama: el AES en modo GCM (cifrado e integridad en una sola pasada) ha sustituido en gran medida al AES-CBC con un hash independiente, y la selección de grupos de Diffie-Hellman determina la solidez del intercambio de claves.

IPsec y Versa

IPsec es la estructura de cifrado de una implementación de red de acceso a la empresa ( Versa ). La superposición SD-WAN entre sucursales, centros y nodos controladores se ejecuta a través de rutas IPsec, y los perfiles SD-WAN de las sucursales definen la configuración de cifrado. Los túneles IPsec de sitio a sitio conectan los dispositivos VOS con pasarelas de terceros y proveedores de servicios en la nube —configurados mediante perfiles de VPN IPsec o interfaces de túnel de sitio a sitio en Concerto— y los usuarios remotos acceden a la red a través de sesiones de cliente SASE protegidas por IPsec. VOS es compatible con IKEv1 e IKEv2, la autenticación mediante certificados y claves precompartidas, las transformaciones AES-CBC y AES-GCM, y el secreto perfecto hacia adelante (PFS), con supervisión del estado de la sesión (SA) por túnel.

Preguntas frecuentes

¿Cuál es la diferencia entre las VPN IPsec y las VPN TLS/SSL?

IPsec funciona en la capa IP y protege todo el tráfico entre dos extremos de red, lo que resulta adecuado para el uso de tipo «sitio a sitio» y de túnel completo. Las VPN TLS funcionan por conexión en la capa de sesión, lo que resulta adecuado para el acceso por aplicación. Las estructuras SD-WAN utilizan IPsec; los servicios ZTNA suelen utilizar TLS.

¿Cuál es la diferencia entre IKEv1 e IKEv2?

IKEv2 establece túneles con menos mensajes, gestiona el NAT y los cambios en la red con mayor fluidez, admite métodos de autenticación modernos y es menos vulnerable durante el proceso de renovación de claves. IKEv1 solo se mantiene por motivos de compatibilidad con los pares más antiguos; los nuevos túneles deberían utilizar IKEv2 de forma predeterminada.

¿Qué es una asociación de seguridad IPsec?

Una asociación de seguridad es el acuerdo negociado entre dos puntos finales: qué algoritmos utilizan, qué claves y durante cuánto tiempo. Cada túnel mantiene asociaciones de seguridad en ambas direcciones, e IKE las actualiza antes de que caduquen para que el tráfico nunca se interrumpa.

¿Por qué utilizar AES-GCM en lugar de AES-CBC para IPsec?

AES-GCM proporciona cifrado y verificación de integridad en una sola pasada, lo que resulta más rápido y elimina el paso de hash independiente que requiere el CBC. La mayor parte del hardware moderno acelera el GCM, por lo que ofrece un mayor rendimiento con un nivel de seguridad igual o superior.

¿Qué es el secreto perfecto hacia adelante en IPsec?

El secreto perfecto hacia adelante genera cada clave de sesión de forma independiente mediante un nuevo intercambio de Diffie-Hellman. Si alguna vez se viera comprometida una clave a largo plazo, las sesiones anteriores seguirían sin poder descifrarse, lo que limita el alcance de una filtración de claves a la sesión actual.

Más información sobre IPsec

Si quieres saber más, estas son algunas fuentes en las que confiamos.

RFC 4301: Arquitectura de seguridad para IP RFC 7296: IKEv2
El documento sobre la arquitectura de la IETF: cómo encajan las SA, el ESP y las bases de datos de políticas: la referencia definitiva. El estándar actual de intercambio de claves por Internet (IKE): autenticación, negociación y renovación de claves tal y como las implementan los terminales modernos.

Si estás leyendo sobre IPsec, te conviene echar un vistazo a lo siguiente.

Intercambio de claves por Internet Carga útil de seguridad encapsulada Secreto perfecto hacia adelante
El protocolo de negociación que autentica a los pares IPsec y establece las claves con las que funcionan los túneles. El protocolo IPsec, que cifra los paquetes y garantiza su integridad dentro del túnel. La propiedad de intercambio de claves que garantiza la seguridad de las sesiones anteriores, incluso en caso de que se filtre una clave de larga duración.