Objetivo
Evitar diseños que confundan acceso de personas con interconexión permanente de infraestructura.
Contexto
Una VPN de usuario conecta temporalmente un dispositivo o persona con recursos autorizados. Una VPN sitio a sitio une redes mediante gateways y suele operar de forma continua.
Ambas cifran tráfico, pero cambian la autenticación, rutas, monitoreo y superficie de acceso. La elección debe seguir el caso de uso y no sólo la disponibilidad del equipo.
Puntos clave
- El acceso de usuario requiere identidad individual y MFA.
- La VPN entre sedes autentica gateways y controla subredes anunciadas.
- El túnel no reemplaza políticas de firewall ni segmentación.
- Rutas superpuestas y DNS son causas frecuentes de fallas.
- Disponibilidad y capacidad deben monitorearse en ambos extremos.
Recomendaciones
- Documentar usuarios, sedes, aplicaciones y flujos necesarios.
- Elegir autenticación, cifrado y políticas compatibles.
- Definir rutas, DNS, segmentación y acceso mínimo.
- Probar caída, reconexión y alternativas operativas.
- Registrar cambios, responsables y métricas del túnel.
Riesgos y advertencias
- Una VPN amplia puede extender un incidente entre redes.
- Credenciales compartidas eliminan trazabilidad individual.
- Conectar sedes sin controlar rutas puede exponer servicios inesperados.
Cómo validar el resultado
- Cada usuario o red alcanza sólo destinos autorizados.
- La autenticación y revocación funcionan según el diseño.
- Las alertas detectan caída, degradación y cambios de estado.
Buenas prácticas
Tratar la VPN como una ruta controlada, no como confianza total. Revisar permisos, cifrado y cuentas con la misma disciplina que otros accesos críticos.
Próximos pasos
Dibujar el flujo requerido y comparar dos escenarios con reglas, autenticación, dependencia y recuperación.