VPN (Virtual Private Network)

Una VPN (virtual private network), o red privada virtual, es una tecnología que establece una conexión cifrada entre dos puntos a través de una red pública como internet. Crea un túnel privado que protege la confidencialidad y la integridad de los datos que viajan por él, de modo que quien intercepte el tráfico por el camino no puede leerlo.

El túnel se levanta encapsulando los datos en paquetes cifrados: el dispositivo del usuario negocia la conexión con un concentrador VPN y a partir de ahí todo lo que pasa entre los dos va cifrado. Los protocolos habituales son IPsec, SSL/TLS y OpenVPN, y cada uno tiene sus propias características.

Los dos usos que la gente busca son distintos y conviene separarlos. Uno es el acceso remoto corporativo: llegar desde casa a los servidores, las carpetas y las aplicaciones de la oficina como si se estuviera dentro. El otro es la privacidad en internet: cifrar el tráfico y ocultar la dirección IP real, que es lo que se busca al usar una wifi pública. Lo que sigue trata del primero, que es el que aparece en una auditoría.

Una VPN construye un túnel cifrado entre un dispositivo remoto y un concentrador en el borde corporativo, y una vez el túnel está levantado se trata al dispositivo como si estuviera en la red interna. Esa es su propiedad definitoria y su mayor riesgo: el acceso se concede en la capa de red, así que un cliente conectado suele alcanzar muchísimo más que la única aplicación que necesitaba. El concentrador es un equipo expuesto a internet entero, publicado para que cualquier usuario pueda llegar a él a autenticarse. Su papel no ha desaparecido, pero para el acceso de usuarios lo está desplazando ZTNA, que concede acceso a una aplicación con nombre después de comprobar la identidad y el estado del dispositivo, normalmente como parte de una plataforma SSE o SASE.

Hay dos hechos de operación que convierten a las VPN en un objetivo preferido. El primero, que el concentrador es un equipo de cara a internet, y los equipos de este tipo han sido objeto de explotación masiva: un solo fallo sin parchear en el aparato le da a un atacante un punto de apoyo en el borde de la red. El segundo, que una vez dentro del túnel el atacante hereda un acceso plano a la red, así que una credencial robada o capturada por phishing no llega a una aplicación, llega a la red interna. Desde el lado ofensivo, una VPN convierte una credencial capturada en presencia interna de un solo paso, que es exactamente el alcance lateral que elimina un intermediario por aplicación.

Evaluamos el acceso remoto como servicio expuesto y como modelo de acceso. Del servicio comprobamos el nivel de parches del concentrador, si tiene la gestión expuesta y si se exige autenticación multifactor en el túnel. Del modelo probamos a qué llega de verdad un cliente conectado, porque un acceso amplio a la red es en sí mismo un hallazgo. Cuando la intención es un enfoque zero trust, comprobamos que el acceso sea de verdad por aplicación y no una VPN con otro nombre. Esto forma parte de cómo probamos la exposición de tu acceso remoto.