¿Qué es un túnel de sitio a sitio?

Un túnel de sitio a sitio (S2S) es una conexión cifrada mediante IPsec o GRE entre una pasarela de Versa SASE o un dispositivo VOS y una red homóloga —un centro de datos empresarial, una pasarela de VPC o VNet en la nube, o un dispositivo de terceros—. Transporta el tráfico privado de aplicaciones e integración entre dos redes como si estuvieran conectadas directamente entre sí.

Puntos clave

• Los túneles S2S utilizan IPsec o GRE para conectar una pasarela Versa con un nodo homólogo.
• Entre los dispositivos homólogos se incluyen centros de datos, VPC/VNet en la nube y dispositivos de terceros.
• Para garantizar la alta disponibilidad (HA), se recomienda utilizar BGP con túneles redundantes en lugar de rutas estáticas.
• Concerto es compatible con las interfaces de túnel IPsec, GRE, EoGRE y Geneve.
• Las pasarelas en la nube de VOS permanecen pasivas; es siempre la sucursal la que inicia el túnel.

En esta página: Por qué es importante · Cómo funciona · Tipos · Túneles de sitio a sitio y Versa · Preguntas frecuentes

¿Por qué son importantes los túneles de sitio a sitio?

La mayor parte del tráfico empresarial sigue necesitando llegar a algún lugar que no sea la propia estructura SD-WAN: un centro de datos que aloje aplicaciones heredadas, una VPC en la nube que ejecute cargas de trabajo en producción o la nube de un socio de seguridad como Zscaler. Los circuitos privados a cada uno de esos destinos no son escalables; los túneles de sitio a sitio ofrecen la misma conectividad privada y cifrada a través del transporte habitual de Internet, sin necesidad de un cliente dedicado en el dispositivo de cada usuario, como ocurre con las VPN de acceso remoto.

Dado que un túnel de sitio a sitio suele ser la única vía de acceso a un recurso crítico, la forma en que falla es tan importante como la forma en que se conecta. Una ruta estática única no tiene forma de detectar rápidamente un fallo silencioso; la combinación de túneles redundantes con BGP y BFD permite redirigir el tráfico alrededor de una ruta inactiva en cuestión de segundos, y un segundo túnel hacia una pasarela geográficamente separada protege contra una interrupción regional en el lado del par, no solo en el enlace.

¿Qué es un túnel de sitio a sitio?

Un túnel de sitio a sitio se configura como una interfaz de túnel virtual que encapsula el tráfico mediante un protocolo punto a punto; lo más habitual es que se utilice IPsec, que autentica y cifra el tráfico, o GRE, que lo encapsula sin aplicar cifrado propio. El túnel conecta un dispositivo CPE de VOS (físico o basado en la nube) con un par: un servicio gestionado en la nube o un dispositivo de terceros que admita el mismo protocolo.

Existen dos modelos de configuración en función de la plataforma. En Versa Director, los túneles se definen en la pestaña «Túneles» de una plantilla de flujos de trabajo y, a continuación, se asocian a un dispositivo. En Concerto, un túnel de sitio a sitio se añade directamente como una interfaz de red, dentro de la categoría «Túnel de sitio a sitio» o «Túnel de sitio a sitio de subarrendatario». Los túneles también pueden basarse en rutas, en cuyo caso la tabla de enrutamiento (estática o BGP) selecciona qué túnel transporta el tráfico, o basarse en políticas, en cuyo caso unas reglas explícitas de origen/destino/puerto seleccionan el túnel; esta última opción es necesaria para algunos pares de terceros que no admiten la configuración basada en rutas.

Tipos de túneles de sitio a sitio

Las interfaces de túnel de Concerto admiten cuatro subcategorías de encapsulación: IPsec (cifrado, por defecto), GRE, EoGRE (Ethernet sobre GRE, para servicios de movilidad de pasarelas residenciales) y Geneve (tramas de capa 2 encapsuladas en UDP). Por su parte, el modelo de flujos de trabajo de Director organiza los túneles por tipo de par designado: AWS Transit Gateway (IPsec o GRE, automatizado por Director en el lado de AWS), Azure Virtual WAN (IPsec), Zscaler (IPsec o GRE; se requieren dos túneles para garantizar la redundancia), un túnel gestionado por Director entre un proveedor y un cliente ( Versa Director, que amplía las rampas de acceso SaaS, las Cloud Service Gateways y los hubs de Titan a un cliente) y «Otros», para pares IPsec genéricos de terceros, como dispositivos de Cisco, Juniper o Palo Alto.

Túneles de sitio a sitio y Versa

Configurar un túnel de sitio a sitio en Director implica crearlo en la pestaña «Túneles» de una plantilla de flujos de trabajo, seleccionando un tipo de par, un protocolo de túnel, una red WAN/LAN y un VRF de LAN, para luego asociar la plantilla a un dispositivo; los campos específicos de cada par incluyen los números AS de BGP, las claves PSK y el direccionamiento NAT. En Concerto, se obtiene el mismo resultado añadiendo una interfaz de túnel de sitio a sitio directamente en «Interfaces de red», configurando los parámetros de IKE/IPsec y seleccionando el tipo de túnel basado en rutas o en políticas.

VersaLa guía de integración de SD-WAN y SSE explica paso a paso cómo implementar túneles de sitio a sitio desde una sucursal VOS hasta una VOS Cloud Gateway (VCG) —el punto de aplicación de SSE— en topologías con CPE único o doble y con WAN única o doble. Los VCG de VOS ejecutan IKE en modo pasivo por diseño, por lo que la sucursal siempre inicia el túnel. Se recomienda utilizar BGP combinado con BFD como mecanismo de conmutación por error en túneles redundantes, y un segundo túnel hacia un VCG geográficamente separado añade resiliencia frente a una interrupción regional del servicio.

Preguntas frecuentes

¿Cuál es la diferencia entre un túnel de sitio a sitio IPsec y uno GRE?

IPsec autentica y cifra el tráfico del túnel; GRE solo lo encapsula, sin aplicar ningún cifrado por sí mismo. Algunos tipos de nodos, como AWS Transit Gateway y Zscaler, admiten cualquiera de los dos protocolos, y en ocasiones se combina GRE con un túnel IPsec independiente para garantizar un transporte protegido.

¿Debería un túnel de sitio a sitio utilizar enrutamiento estático o BGP?

Se recomienda utilizar BGP, junto con BFD, siempre que existan túneles redundantes, ya que detecta una ruta fallida y redirige el tráfico automáticamente, normalmente en un plazo de entre 15 y 18 segundos por defecto. El enrutamiento estático funciona para un único túnel, pero no permite una conmutación por error tan fluida a través de múltiples rutas.

¿Qué tipos de nodos de enlace admite Versa para los túneles de sitio a sitio?

El modelo de flujos de trabajo de Director es compatible con AWS Transit Gateway, Azure Virtual WAN, Zscaler, un par gestionado por Director (entre el Director del proveedor y el Director del cliente) y un tipo genérico «Otros» para dispositivos IPsec de terceros, como Cisco, Juniper o Palo Alto. Por su parte, Concerto organiza los túneles por IPsec, GRE, EoGRE o Geneve.

¿Cuál es la diferencia entre un túnel basado en rutas y uno basado en políticas?

Un túnel basado en rutas permite que la tabla de enrutamiento —ya sea estática o BGP— decida qué túnel transporta el tráfico. Por el contrario, un túnel basado en políticas compara el tráfico con reglas explícitas de origen, destino y puerto. La configuración basada en políticas es necesaria para algunos pares de terceros heredados, como los dispositivos Cisco ASA más antiguos.

¿Por qué un VOS Cloud Gateway nunca inicia un túnel de sitio a sitio?

Las puertas de enlace en la nube de VOS funcionan, por diseño, en modo pasivo IKE, por lo que esperan a que la sucursal inicie la negociación IPsec en lugar de iniciarla ellas mismas. La sucursal VOS tampoco debe estar configurada en modo pasivo, ya que, de lo contrario, ninguna de las dos partes establecerá nunca el túnel.

Más información sobre los túneles de sitio a sitio

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre túneles de sitio a sitio, te conviene echarles un vistazo a continuación.