¿Qué es IPsec y cómo funciona este protocolo?

11min

¿Has oído hablar de IPsec alguna vez? Quizás no y, aún así, es uno de los pilares que nos permite navegar y trabajar con tranquilidad. Hoy vamos a explicarte cómo viaja tu información de forma segura gracias al Protocolo de Seguridad de Internet. Si no sabes en qué consiste, en este post podrás despejar tus dudas.

¿Qué es IPsec o Internet Protocol Security?

IPsec es un protocolo dedicado a la seguridad de las comunicaciones en redes. Acrónimo de Internet Protocol Security, consiste en un conjunto de normas y procedimientos que se han diseñado para proteger las comunicaciones en redes IP. Su misión principal es triple: ofrecer autenticación, asegurar la integridad de lo que enviamos y garantizar un cifrado robusto de los datos.

En nuestro día a día profesional, especialmente cuando usamos una VPN, esta tecnología se torna esencial. Gracias a ella, podemos garantizar que los paquetes que transmitimos por Internet se mantengan confidenciales y además que nadie los haya alterado en el tránsito. De todos modos, los usos van mucho más allá de las VPN, ya que se utiliza para garantizar comunicaciones en muchos contextos como la protección de datos comunicados entre dispositivos, entre centros de datos, etc.

Si nos ponemos un poco más técnicos, IPsec es una extensión del protocolo IP que añade seguridad directamente en la denominada capa de red del modelo OSI.

Seguro que te suenan protocolos como SSL / TLS, que son los que usamos en la web segura cuando se transmite el contenido por HTTPS. Pues bien, a diferencia de este protocolo, que actúa en capas superiores, mediante IPsec se protegen todos los datos que circulan entre dispositivos, ya sean routers, firewalls o los propios equipos finales. Además, la protección ocurre sin que nosotros, como usuarios, tengamos que intervenir y sin que nuestras aplicaciones necesiten cambios en absoluto.

Lo mejor de todo es que está adaptado a infraestructuras clásicas y modernas, ya que podemos implementarlo tanto en redes IPv4 como en las nuevas IPv6. Su gran ventaja es que nos permite establecer canales seguros entre distintos puntos, sin importar qué software estés usando en cada extremo, lo que añade un punto extra de versatilidad y protección.

Índice

¿Cómo funciona el protocolo IPsec?

Para que IPsec haga su «magia», nos apoyamos en una serie de procesos y «subprotocolos» que trabajan en equipo para realizar distintos tipos de tareas, como autenticarnos, intercambiar claves y asegurar que cada paquete llegue a su destino sano y salvo.

Para entender mejor el funcionamiento vamos a repasar sus aspectos más importantes en los siguientes puntos.

El proceso de autenticación de los extremos de la conexión

La autenticación es un proceso fundamental en IPsec, ya que permite estar seguros de quién está al otro lado. Durante este proceso verificamos la identidad de los dispositivos usando claves precompartidas, certificados digitales o incluso credenciales de usuario. Este es un procedimiento esencial porque evita que un intruso intente hacerse pasar por alguien que no es.

El cifrado de datos para garantizar la confidencialidad

Una vez que ya sabemos con quién estamos hablando en la transmisión, pasamos a la fase de cifrado. Para ello se usan algoritmos simétricos muy potentes, como AES o 3DES que permiten ocultar la información y evitar que pueda ser leída por otras personas. Al estar cifrada la información, si alguien pudiera interceptar nuestros paquetes, solo vería ruido, ya que no podrá leer nada sin la clave correcta.

El intercambio de claves mediante el protocolo IKE

Para que todo esto pueda llevarse a cabo también existe un proceso de intercambio de claves, donde entra en juego el protocolo IKE, siglas de Internet Key Exchange. Este protocolo se encarga de negociar los parámetros de seguridad, desempeñando tareas como la elección de los algoritmos y el tiempo durante el cuál serán válidas las claves, antes de que tengamos que renovarlas.

La transmisión segura de paquetes a través de la red

Con todo lo anterior podemos encapsular y transmitir los paquetes, para conseguir el objetivo final de IPsec: la transmisión segura. Además, a lo largo del camino, cada paquete es verificado meticulosamente, de modo que si se detecta que algo ha sido alterado o ha perdido su integridad, simplemente se descarta de inmediato.

Los tres protocolos principales de la arquitectura IPsec

Como hemos dicho antes, IPsec es un conjunto de protocolos que funcionan de manera coordinada para conseguir el nivel de seguridad deseado. Vamos a ver ahora con un poco más de detalle los tres protocolos fundamentales que colaboran entre sí.

Authentication Header o AH para la integridad de los datos

Con AH, siglas de Authentication Header, lo que buscamos es que nadie toque nuestros datos y los pueda manipular por el camino. Este protocolo consigue su trabajo añadiendo una cabecera con un código de verificación, lo que se conoce como un hash, creado con una clave secreta. Si algo cambia, el código no coincidirá y sabremos que el paquete ha sido manipulado durante el tránsito.

Encapsulating Security Payload o ESP para el cifrado total

Encapsulating Security Payload, o por sus siglas ESP se encarga de cifrar el contenido real de cada paquete transferido. Es el protocolo que más usamos en las configuraciones de VPN actuales, que nos ofrece una ofuscación total de los datos, de modo que, aún interceptándolos, no servirían de nada.  En palabras sencillas y para que nos entendamos, puedes considerar a AH como el sello de garantía y a ESP como la caja fuerte donde van tus datos.

Internet Security Association and Key Management Protocol o ISAKMP

Finalmente, tenemos ISAKMP (Internet Security Association and Key Management Protocol), que define el marco estructural para negociar, establecer y gestionar las Security Associations (SA), que utiliza IPsec. Es la base que define cómo AH, ESP y el protocolo IKE negocian parámetros de seguridad comunes (algoritmos, claves, lifetimes) y mantienen la sesión activa. Puedes entenderlo como una capa de gestión que permite que IKE, AH y ESP hablen el mismo idioma.

Diferencias entre los modos de funcionamiento de IPsec

IPsec puede tener diversos modos de funcionamiento y dependiendo de qué necesitemos proteger, podemos elegir entre dos modos principales.

Modo transporte para comunicaciones de extremo a extremo

Primero tenemos el modo transporte que es usado para comunicaciones de extremo a extremo. En este modo solamente ciframos la carga útil (los datos reales transferidos), pero dejamos la cabecera original a la vista.

Es el modo que se usa generalmente para proteger comunicaciones directas entre dos equipos, como una conexión entre un cliente y un servidor.

Modo túnel para la creación de redes VPN seguras

Este es el modo que está detrás de las VPN actuales. En el modo túnel, metemos el paquete original entero, lo que incluye tanto la cabecera como los datos, que luego ciframos.

Es ideal también para conectar distintos centros de datos o sedes remotas, porque oculta por completo la estructura interna de nuestra red.

Ventajas de implementar IPsec en tu red

Implementar IPsec nos trae beneficios que van mucho más allá de poner una contraseña para proteger la información. Veamos sus ventajas más importantes.

Ofrece protección robusta contra la interceptación de datos

Lo más básico es que ofrece una protección total contra la interceptación. Al cifrar todo, impedimos que terceros lean nuestra información, aunque estemos en una red pública.

Garantiza la autenticidad e integridad de cada paquete enviado

Mediante funciones hash y autenticación a las que hemos hecho referencia antes, IPsec comprueba que los datos no hayan sido alterados ni suplantados durante el trayecto. En otras palabras, este proceso nos permite comprobar que cada paquete es de quien dice ser y que no ha sido alterado.

Funciona de forma transparente para las aplicaciones del usuario

Este punto es especialmente importante, porque le otorga mucha versatilidad al protocolo y permite que sus usos sean tan amplios en la práctica. Esto se consigue porque IPsec trabaja en la capa de red, lo que significa que las aplicaciones no necesitan ser modificadas para aprovechar su seguridad. En resumen, tus aplicaciones ni se enteran y por tanto no necesitas configurarlas una por una para estar seguro.

Facilita la creación de túneles VPN seguros entre sedes remotas

IPsec es la tecnología que nos permite crear las VPN que tienen muchas utilidades, como unir oficinas distantes de forma segura o dotarte mayor seguridad para la navegación. Esto se consigue gracias al modo túnel y al uso del protocolo ESP, que hace que IPsec se convierta en la base técnica de la mayoría de las VPN actuales.

Permite una seguridad centralizada en la capa de red del sistema

El control se integra directamente en muchos tipos de dispositivos como routers o firewalls, lo que simplifica la administración y mejora la protección global de la infraestructura, a la vez que nos facilita la vida a la hora de administrar la red.

IPsec frente a otros protocolos de seguridad

IPsec es una opción excelente para garantizar la seguridad, además de versátil, ya que se puede usar en muchos ámbitos. Pero no es el único protocolo para la seguridad, así que vamos a ver cómo se compara con otras opciones, para que sepas cuándo elegirlo.

Diferencias clave entre IPsec y SSL/TLS

Aquí la clave es dónde actúan los protocolos:

  • Usamos IPsec en la capa de red, para protegerlo todo, tal como hemos descrito.
  • En cambio, SSL/TLS vive en la capa de transporte y se centra en proteger servicios específicos, como tu navegador (HTTPS) o tu correo.

De todos modos, hay que decir que SSL suele ser más fácil de implementar, aunque IPsec es más integral.

Comparativa de rendimiento entre IPsec y WireGuard

WireGuard es un protocolo más nuevo y por tanto ha sido diseñado para que sea más eficiente y rápido.  Si se busca baja latencia y que tu CPU no sufra, WireGuard es excelente. Pero si estás en un entorno corporativo donde necesitas una configuración muy detallada y compatibilidad con equipos más amplia, entonces IPsec gana con diferencia.

Ventajas de IPsec sobre OpenVPN

OpenVPN es una alternativa muy flexible, aunque se suele preferir IPsec en redes profesionales por varias razones: viene integrado de forma nativa en casi todos los sistemas operativos, es especialmente rápido en hardware que tiene aceleración de cifrado y se ha convertido en un estándar reconocido mundialmente, lo que nos asegura que dispositivos de distintos fabricantes se entiendan perfectamente.

Relación técnica entre IPsec y L2TP

A veces verás que IPsec y L2TP trabajan juntos y son nombrados de la mano en muchas ocasiones, como L2TP/IPsec. En realidad forman un tándem bastante habitual en la seguridad de las comunicaciones, pero cada uno se dedica a una parte en concreto.

Esto es porque L2TP crea el túnel pero no cifra nada, así que tiene que usarse IPsec para que ponga la parte del cifrado y la autenticación sobre ese túnel. Ambos juntos son capaces de crear una conexión segura a través de Internet.

Preguntas frecuentes sobre IPsec y su funcionamiento

Antes de acabar queremos tratar de resolver algunas de las dudas más habituales que surgen cuando estamos empezando a conocer IPsec.

¿Es IPsec un protocolo seguro frente a las amenazas actuales?

Por supuesto, siempre que usemos sus versiones modernas, con AES e IKEv2. Es un protocolo vigente en la actualidad y considerado muy seguro. Eso sí, como siempre decimos: la seguridad depende de una buena configuración y de que todos los eslabones sean conscientes de la importancia de su parte de responsabilidad. Por ejemplo, si usamos claves débiles o algoritmos viejos estaremos en riesgo.

¿En qué capa del modelo OSI trabaja el protocolo IPsec?

Como hemos dicho, trabajamos en la capa de red esta es la capa 3 del modelo OSI. Esto es en principio una ventaja importante de IPsec, porque nos permite proteger todo el tráfico sin depender de qué aplicación estés usando.

¿Se puede utilizar IPsec con direcciones IPv4 e IPv6?

Como hemos aclarado antes es perfectamente posible usar IPsec con direcciones IPv4 e IPv6. Aunque nació para IPv4, en IPv6 se convirtió en un componente esencial. En resumen, son totalmente compatibles, así que puedes estar tranquilo tanto si tu red es clásica como si es de última generación.

Sergio Arias

Artículos relacionados

Productos relacionados: