¿Qué es una clave precompartida?

Una clave precompartida (PSK) es una cadena secreta que se configura manualmente en ambos extremos de una conexión IKE o IPsec para que cada nodo pueda demostrar su identidad al otro. Es el método de autenticación IKE más sencillo: sin autoridad de certificación, sin inscripción, solo una cadena coincidente que ambas partes ya conocen.

Puntos clave

• Un PSK es un secreto compartido que autentica ambos extremos de un túnel IKE.
• Es la alternativa más sencilla a la autenticación basada en certificados (PKI).
• Ambos pares deben configurar la misma clave; de lo contrario, la negociación fracasará por completo.
• Los PSK son adecuados para enlaces pequeños o puntuales; los certificados se adaptan mejor a flotas.
• Versa Los campos PSK no admiten varios caracteres especiales; lo más seguro es evitarlos " < > # / { }.

En esta página: Por qué es importante · Cómo funciona · Tipos · PSK y Versa · Preguntas frecuentes

¿Por qué es importante un PSK?

Cada túnel IKE —el canal de control que subyace a una VPN IPsec— debe responder a una pregunta antes de transmitir cualquier tráfico: ¿es el dispositivo del otro extremo quien dice ser? Una PSK responde a eso con el mecanismo más sencillo posible: un secreto que ambas partes ya conocen. Sin autoridad de certificación, sin registro, sin ciclo de vida que gestionar, lo que convierte a las PSK en la forma más rápida de establecer un túnel y explica por qué siguen siendo habituales para enlaces a pasarelas de terceros, entornos de laboratorio y conexiones en las que una PKI resultaría desproporcionada respecto a la necesidad.

La disyuntiva es de carácter operativo, no criptográfico: una PSK es un secreto estático que se distribuye y se renueva manualmente, y una filtración deja expuestos todos los túneles que la comparten hasta que alguien renueve la clave en todas partes. Saber cuándo es más adecuado utilizar una PSK —y cuándo merece la pena asumir el coste de configuración de un certificado— es una decisión fundamental en cualquier implementación de VPN o SD-WAN.

¿Qué es un PSK?

Una PSK se configura como parte de los parámetros de autenticación de un par IKE en ambos extremos de un túnel: cada lado presenta su clave (normalmente la misma cadena, aunque es posible que las claves locales y del par sean asimétricas), e IKE deriva el material de clave que demuestra que cada par posee el secreto, sin enviar la clave en sí misma por la red. Esto ocurre durante el intercambio de autenticación de IKE, antes de que se establezca la asociación de seguridad IPsec que protege el tráfico de datos.

Dado que la clave es simétrica, ambos administradores deben introducir exactamente la misma cadena; de lo contrario, el intercambio falla por completo y no se concede ningún crédito parcial. Las PSK funcionan tanto con IKEv1 como con IKEv2 y suelen ir acompañadas de un tipo de identidad —una dirección IP, un nombre de dominio completo (FQDN) o una dirección de correo electrónico— que identifica qué clave debe comprobarse.

Tipos de implementación de PSK

La PSK «por par» (única) asigna una clave distinta a cada túnel o par de dispositivos —el modelo más seguro, ya que la filtración de una clave solo pone en riesgo una conexión, a costa de tener que gestionar más claves secretas—. La PSK «de grupo» (compartida) reutiliza una misma clave en muchos dispositivos, lo que resulta más rápido de implementar pero más arriesgado: una sola filtración pone en riesgo a todos los pares que la utilizan —una compensación habitual durante las fases de prueba o la incorporación masiva, que posteriormente se sustituye por claves únicas o certificados—. La PSK de sitio a sitio autentica un túnel fijo y de larga duración entre dos puertas de enlace. La PSK de acceso remoto autentica un túnel iniciado por el cliente y, a menudo, se combina con un método a nivel de usuario como EAP, ya que un secreto a nivel de dispositivo por sí solo no identifica a la persona que hay detrás.

PSK y Versa

Los dispositivos VOS admiten PSK como uno de los dos métodos de autenticación IKE, junto con los certificados, y se pueden configurar de forma independiente para la autenticación local y la autenticación entre pares en un Perfil de VPN IPsecpestaña «IKE». Cada parte asocia su clave a un tipo de identidad —correo electrónico, FQDN o IP— y el campo rechaza determinados caracteres especiales. La documentación del perfil de Versano es del todo coherente en este aspecto: sus nombres en texto " < > # /, mientras que su tabla de caracteres especiales también indica { } como no permitido – y, de forma contradictoria, marca / según esté permitido. Hasta que se resuelva en la fuente, genera claves que eviten las ocho (" < > # / { }). La autenticación PSK también aparece en el túnel de sitio a sitio nivel para tipos de pares como AWS Transit Gateway, Azure Virtual WAN, Zscaler y los túneles gestionados por Versa Director, en los que las claves de túnel primaria y secundaria pueden introducirse directamente o dejarse para más adelante, en función de los datos de vinculación de cada dispositivo en el momento de la implementación. Durante configuración inicial del dispositivo, el modo de autenticación IKE de una organización —PSK o PKI— determina cómo se autentican inicialmente los dispositivos de las sucursales ante el controlador, lo que lo convierte en una de las primeras decisiones que hay que tomar en una implementación.

Preguntas frecuentes

¿Cuál es la diferencia entre una clave PSK y un certificado para la autenticación IKE?

Una clave secreta precompartida (PSK) es un secreto compartido que ambos pares ya poseen; un certificado está firmado por una autoridad de certificación (CA) de confianza, lo que acredita la identidad sin revelar una cadena de caracteres compartida. Los certificados se pueden ampliar y renovar de forma más segura en grandes flotas; las claves secretas precompartidas (PSK) son más rápidas de configurar para implementaciones pequeñas.

¿Es el PSK lo suficientemente seguro para las VPN de producción?

Una clave precompartida (PSK) larga, aleatoria y única para cada túnel es criptográficamente segura, pero el riesgo operativo radica en su distribución y rotación a gran escala: una clave filtrada o reutilizada compromete todos los túneles que la comparten. En muchas implementaciones se utilizan claves precompartidas para entornos de prueba o enlaces pequeños, y certificados para el conjunto de la flota.

¿Qué caracteres no están permitidos en una clave PSK?

Evita estos ocho caracteres: comillas, corchetes angulares, el símbolo de almohadilla, la barra, la barra invertida y las llaves – " < > # / { }. La propia documentación de Versapresenta contradicciones en cuanto a la barra inclinada (el texto la prohíbe, mientras que la tabla de caracteres la permite), por lo que lo más seguro es omitirla. Se permiten letras, números y la mayoría de los demás caracteres.

¿Puedo utilizar una clave PSK para algunos túneles y certificados para otros?

Sí. El método de autenticación se configura por cada perfil de VPN IPsec, y la autenticación local y la del par pueden incluso utilizar métodos diferentes dentro de un mismo perfil, por lo que una organización puede combinar túneles autenticados mediante PSK y mediante certificado según sea necesario.

¿Qué ocurre si el PSK no coincide en ambos extremos?

La autenticación IKE falla y el túnel nunca se establece: no se crea ninguna asociación de seguridad, por lo que no pasa tráfico. No hay coincidencia parcial; las cadenas configuradas deben ser idénticas (salvo en el caso de configuraciones asimétricas de claves locales/entre pares) en ambos pares.

Más información sobre PSK

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre PSK, te conviene echar un vistazo a esto a continuación.