A VPN (Red privada virtual) crea un túnel cifrado entre dos puntos finales. En el caso del IoT, su uso habitual consiste en proporcionar a un dispositivo móvil una ruta segura de conexión con tus servidores o tu red corporativa, como si el dispositivo estuviera conectado a tu oficina, aunque en realidad esté conectado a través de una red móvil pública al otro lado del mundo.

Este artículo explica qué es una VPN para el IoT, en qué casos aporta valor añadido y qué servicios ofrece Simbase. Para la configuración, consulta las guías específicas para cada protocolo que se encuentran en Redes privadas.

Qué hace una VPN para el IoT

Un túnel VPN entre un dispositivo móvil y un terminal remoto te ofrece:

• Cifrado en tránsito. El tráfico dentro del túnel es ilegible para cualquier entidad situada en la ruta de la red.

• Autenticación. Ambos extremos verifican su identidad antes de que se establezca el túnel. Los dispositivos que no dispongan de credenciales válidas no pueden establecer el túnel.

• Pertenencia a una red lógica. Una vez establecido el túnel, el dispositivo parece estar en la red remota. Puede acceder a los recursos internos mediante sus direcciones internas.

• Control de enrutamiento. Tú decides qué tráfico pasa por el túnel y cuál va directamente a Internet.

Una VPN no sustituye al TLS para el cifrado a nivel de aplicación. Se trata de una capa de transporte situada por debajo de este. La mayoría de los diseños de IoT utilizan el TLS en cualquier caso, y la VPN se añade por encima cuando existe un motivo concreto para ello.

Cuándo merece la pena utilizar una VPN para el IoT

Una VPN aumenta la complejidad operativa y la carga de la CPU en el dispositivo. Elígelo cuando se dé alguna de estas circunstancias:

• Tienes que hacer que los dispositivos puedan acceder a los servicios internos. Los dispositivos deben conectarse a una base de datos, a AD/LDAP, a un broker MQTT interno o a cualquier otro recurso que se encuentre dentro de la red corporativa. Una VPN permite que el dispositivo se conecte a dicha red.

• El cumplimiento normativo exige un transporte cifrado que vaya más allá de TLS. Algunos sectores regulados (sanidad, administración pública, defensa) exigen que todo el tráfico entre terminales sensibles se transmita a través de un túnel cifrado, independientemente del cifrado a nivel de aplicación.

• Te estás conectando a la red de un cliente o socio. En muchas implementaciones de IoT B2B, el tráfico de la tarjeta SIM se redirige a la VPN del cliente, de modo que es el equipo de TI del cliente el que controla el enrutamiento y las políticas.

• Estás realizando la consolidación en un único punto final de publicación. Un punto de acceso VPN central puede resultar útil cuando hay muchos dispositivos que necesitan acceder a un único servicio interno que no se desea hacer público.

• Quieres una dirección IP de origen fija para el tráfico del dispositivo. Un concentrador VPN puede hacer que todo el tráfico de los dispositivos aparezca con una única dirección IP de origen, lo que facilita la creación de listas de permitidos en los sistemas de los socios.

Cuando una VPN es no la respuesta correcta

• Solo necesitas cifrado. TLS se encarga de esto para HTTPS, MQTTS y cualquier otro protocolo de aplicación moderno.

• El dispositivo solo se comunica con las API públicas. Una VPN no aporta nada.

• Necesitas que se pueda contactar contigo a través de un único dispositivo. A Dirección IP pública es más sencillo que una VPN.

• Estás intentando ocultar la ubicación del dispositivo. Los operadores de telefonía móvil siempre saben dónde se encuentra el dispositivo, y una VPN no cambia eso.

Funciones de Simbase

Simbase admite dos protocolos VPN de sitio a sitio, que se configuran a nivel de la pasarela de red:

Ambos se configuran una sola vez desde Simbase. El tráfico de tu flota pasa por el túnel sin necesidad de realizar ninguna configuración en cada dispositivo, lo que resulta mucho más sencillo desde el punto de vista operativo que instalar un cliente VPN en cada dispositivo.

Utilizar IPsec cuando es necesario que se pueda acceder a los dispositivos desde tu red de forma continua, cuando el tráfico circula en ambas direcciones o cuando se realiza la integración con dispositivos VPN que tu equipo de TI ya gestiona (Cisco ASA, Palo Alto, Fortinet y similares). Es la opción estándar para entornos de producción.

Utiliza WireGuard cuando necesitas conectarte a los dispositivos de forma ocasional, en lugar de continua, para realizar tareas de mantenimiento, diagnósticos o extraer registros. Es más rápido de poner en marcha y más fácil de solucionar problemas, lo que también lo convierte en una buena opción para la creación de prototipos.

VPN en el dispositivo frente a VPN en la red

Hay dos formas diferentes de conectar dispositivos a una VPN:

Preguntas frecuentes

Related

• Redes privadas, Configuración de WireGuard

• Redes privadas, configuración de IPsec

• Direcciones IP públicas, para garantizar la accesibilidad entrante sin necesidad de una VPN

• APN (APN privado), para lograr una integración aún mayor en la red