Cuando la mayoría oye "VPN" piensa en la que instalan en su laptop para conectarse a la empresa desde casa: la enciendes, te conectas, la apagas. Esa es una VPN de acceso remoto, de una persona. Existe otra clase, distinta y para otro problema: la VPN site-to-site, que no conecta a una persona sino a dos oficinas enteras, de forma permanente y automática. Es lo que hace que una sucursal y la matriz se comporten como una sola red local, aunque estén en ciudades distintas.
Cómo funciona, sin misterio
En cada oficina hay un equipo de borde —un router o, mejor, un firewall— que tiene una conexión a internet. La VPN site-to-site establece un túnel cifrado permanente entre esos dos equipos a través del internet público. Todo lo que viaja por ese túnel va cifrado (normalmente con IPsec), así que aunque cruza la internet abierta, nadie en el camino puede leerlo.
La magia práctica es esta: una vez levantado el túnel, los equipos de la oficina A pueden hablar con los de la oficina B usando sus direcciones de red privada, como si estuvieran en el mismo edificio. Una PC en la sucursal abre un archivo del servidor de la matriz sin saber que ese servidor está a 500 kilómetros. Y —esto es lo importante— el usuario no configura nada, ni enciende ni apaga nada. El túnel está siempre ahí, entre los dos firewalls. Es transparente.
Para qué sirve de verdad
- Compartir recursos centralizados. Un servidor de archivos, un sistema administrativo o una base de datos que vive en la matriz, accesible desde todas las sucursales sin exponerlo a internet.
- Ver dispositivos entre sitios. Cámaras de videovigilancia de una ubicación monitoreadas desde otra; impresoras, controles de acceso, equipos de una planta consultados desde la oficina central.
- Respaldos entre oficinas. Enviar copias de seguridad de un sitio a otro por el túnel, como parte de una estrategia de continuidad.
- Unificar servicios. Telefonía IP, directorio de usuarios, sistemas internos: todo funciona como si las oficinas fueran una sola red.
VPN site-to-site vs acceso remoto: no compiten
No es que una sea mejor. Resuelven cosas distintas. La de acceso remoto conecta a una persona móvil (el vendedor en un hotel, alguien en home office) a la red de la empresa. La site-to-site conecta ubicaciones fijas entre sí de forma permanente. Muchas empresas usan las dos: site-to-site para unir sus oficinas, y acceso remoto para su gente en movimiento. Y para arquitecturas más modernas de acceso, conviene conocer también el enfoque de confianza cero (ZTNA), que replantea la idea de "entrar a la red".
Lo que hay que cuidar
Una VPN site-to-site depende de la conexión a internet de ambos sitios: si una se cae, el túnel se cae. Por eso, para sitios críticos, se considera redundancia de enlace. También depende de que los firewalls de ambos extremos estén bien configurados y actualizados —el túnel es tan seguro como los equipos que lo sostienen—. Y requiere un diseño de direccionamiento coherente: las dos oficinas no pueden usar el mismo rango de red privada, o se confundirían. Nada de esto es complicado con un buen diseño; todo es un desastre sin él. Montar esto bien es justo lo que ofrece un servicio de conectividad híbrida y VPN site-to-site.