¿Qué es una VPN de acceso remoto (RAV)?

La VPN de acceso remoto (RAV) es un servicio de VPN que permite a un usuario remoto establecer un túnel seguro y cifrado desde su propio dispositivo hasta una red empresarial, en lugar de conectar dos redes entre sí. El servicio autentifica al usuario, cifra todo el tráfico en tránsito y permite que el dispositivo acceda a los recursos internos como si estuviera conectado localmente.

Puntos clave

• RAV conecta el dispositivo de un usuario remoto —y no dos sedes— a la empresa.
• El cliente se autentica y, a continuación, canaliza el tráfico a una pasarela o a un dispositivo de sucursal.
• IPsec y DTLS/SSL son los dos protocolos de túnel más habituales que se utilizan en la actualidad.
• Una puerta de enlace necesita una dirección IP pública estática y certificados para finalizar las sesiones.
• ZTNA sustituye cada vez más el acceso RAV genérico por políticas específicas para cada aplicación.

En esta página: Por qué es importante · Cómo funciona · Tipos · RAV y Versa · Preguntas frecuentes

¿Por qué es importante el RAV?

Antes de que existieran las VPN de acceso remoto, acceder a las aplicaciones internas desde fuera de la oficina solo era posible mediante líneas de acceso telefónico o, de lo contrario, no había acceso alguno. RAV resolvió este problema permitiendo que cualquier usuario autenticado, desde cualquier lugar de Internet, abriera un túnel cifrado directamente a la red corporativa: la tecnología que hizo que el teletrabajo fuera viable desde el punto de vista operativo mucho antes de que se convirtiera en una expectativa generalizada.

Sigue siendo importante porque sigue siendo la forma predeterminada en que muchas organizaciones amplían el acceso a nivel de red a ordenadores portátiles, contratistas y dispositivos de campo. Un servicio RAV correctamente configurado protege los datos en tránsito a través de redes no fiables y centraliza la autenticación. La desventaja —y la razón por la que las arquitecturas más recientes lo están sustituyendo— es que el RAV clásico suele otorgar un amplio acceso a nivel de red una vez conectado, más acceso del que la mayoría de las sesiones realmente necesitan.

¿Qué es RAV?

Una VPN de acceso remoto tiene dos extremos: un cliente en el ordenador portátil, el teléfono o la tableta del usuario, y una pasarela situada en el perímetro de la red de la empresa. El cliente autentica al usuario —mediante una contraseña local, una autenticación LDAP/Active Directory, un proveedor de identidad SAML o un certificado— y establece un túnel con la pasarela. Una vez establecido el túnel, el tráfico del cliente se cifra y se transmite a la pasarela, que lo descifra y lo reenvía a la red interna como si el dispositivo estuviera conectado localmente.

Existen dos modelos de política que controlan el tráfico no corporativo. El «túnel completo» envía todo el tráfico, incluida la navegación general por Internet, a través del túnel hasta la pasarela. El «túnel dividido» envía a través del túnel únicamente el tráfico destinado a recursos internos, mientras que el tráfico de Internet sale a nivel local, lo que reduce la carga de la pasarela a costa de una inspección centralizada de dicho tráfico.

Tipos de RAV

Hay dos tecnologías de túnel que predominan. La VPN de acceso remoto IPsec crea un túnel en la capa IP, autenticado y cifrado mediante IKE y ESP; es eficiente y resulta muy adecuada para software de cliente de túnel completo y conexión permanente. La VPN SSL/TLS (incluidas las variantes basadas en DTLS) establece el túnel a través de los mismos puertos que ya utiliza el tráfico web, lo que permite atravesar cortafuegos restrictivos de forma más fiable y admite tanto clientes instalados como, en algunos productos, acceso sin cliente, únicamente a través del navegador.

Existe un tercer modelo que está desplazando cada vez más a ambos: el acceso remoto basado en ZTNA, que prescinde por completo del túnel a nivel de red y, en su lugar, gestiona el acceso por aplicación tras verificar continuamente la identidad del usuario y el estado del dispositivo. Mientras que el RAV clásico integra un dispositivo remoto en la red, el ZTNA nunca extiende la confianza a nivel de red, sino que autoriza una conexión de aplicación cada vez.

RAV y Versa

Versa Ofrece acceso remoto mediante VPN como servicio adicional con licencia en dispositivos VOS, configurado a través de una plantilla de servidor de acceso remoto (RAS) y un perfil de cliente de punto final de « Versa ». Para habilitarlo se requiere un puerto WAN con una IP pública estática y un nombre de dominio completo (FQDN), además de certificados públicos de CA cargados, tal y como se configura en «Configurar un servicio de cliente de punto final (VPN de acceso remoto)». La plantilla del cliente de punto final define la autenticación (local, LDAP o SAML), los ajustes de DNS enviados a los clientes y las reglas de seguridad del cliente que se aplican en función de la ubicación, la dirección, el dispositivo o el grupo de usuarios.

El cliente de Secure Access (VSA) de Versa se conecta a través de un túnel IPsec o DTLS (solo túnel completo) y admite la autenticación de dos factores mediante una aplicación de autenticación o una contraseña de un solo uso (OTP) enviada por correo electrónico. Un conjunto de direcciones de túnel IPsec asigna una dirección IP a cada cliente, y una regla predeterminada del cortafuegos regula el tráfico del cliente VSA que entra en la red. Consulte las notas de la versión deTitan para conocer el comportamiento y las limitaciones de RAV específicas de cada versión.

Preguntas frecuentes

¿Cuál es la diferencia entre una VPN de acceso remoto y una VPN de sitio a sitio?

Una VPN de acceso remoto conecta el dispositivo de un usuario a una red empresarial. Una VPN de sitio a sitio conecta entre sí dos redes —como una sucursal y un centro de datos—, transportando el tráfico de todos los dispositivos que se encuentran detrás de cada extremo.

¿Cuál es la diferencia entre un «split tunnel» y un «full tunnel»?

El túnel completo envía todo el tráfico del cliente, incluida la navegación general por Internet, a través de la pasarela VPN. El túnel dividido envía únicamente el tráfico destinado a recursos internos a través del túnel y permite que el resto del tráfico salga localmente, lo que reduce la carga pero omite la inspección centralizada de dicho tráfico.

¿Sustituye el ZTNA a las VPN de acceso remoto?

Cada vez más, sí. El ZTNA concede acceso por aplicación tras verificar de forma continua la identidad y el estado del dispositivo, en lugar de conectar el dispositivo remoto a la red como hace una VPN clásica, lo que elimina el riesgo de movimiento lateral que genera un túnel plano a nivel de red.

¿Qué métodos de autenticación admite una VPN de acceso remoto?

Entre las opciones más habituales se incluyen un nombre de usuario y una contraseña locales, conexiones LDAP o Active Directory, y el inicio de sesión único (SSO) mediante SAML a través de un proveedor de identidad. En muchas implementaciones se añade la autenticación de dos factores, como una contraseña de un solo uso o una aplicación de autenticación, además del método principal.

¿Qué necesita una puerta de enlace para dar por finalizadas las conexiones VPN de acceso remoto?

Necesita una dirección IP pública accesible —normalmente estática— y un nombre de dominio completo (FQDN) al que se conecten los clientes, además de una cadena de certificados públicos válida para que los clientes puedan establecer un túnel fiable y autenticado antes de que fluya el tráfico.

Más información sobre RAV

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre RAV, te conviene echar un vistazo a esto a continuación.