¿Concentrador o puerta de enlace? Dónde está el terminador VPN en tu ruta

Dos proveedores pueden llamar concentrador y puerta de enlace al mismo equipo, y ninguna de las dos palabras te dirá dónde se descifra el tráfico. Las etiquetas describen roles de despliegue y no protocolos, y los roles se solapan en todas direcciones. Lo que importa en una revisión de diseño es el dispositivo que termina el túnel, los controles a su alrededor y la ruta que sigue una petición descifrada. Decide a partir de esos tres elementos y el sustantivo de la hoja de datos deja de ser un argumento.

Dos etiquetas, una decisión

Un concentrador suele designar el sistema central que recibe y gestiona muchas conexiones a la vez, y la palabra conlleva una implicación de escala. Una puerta de enlace es el término más amplio para un extremo que une un túnel con las redes que tiene detrás, y puede describir un enrutador, un cortafuegos o un servicio gestionado. Ninguna de las dos palabras nombra un protocolo ni promete un conjunto de funciones concreto. Un mismo dispositivo puede venderse con ambos nombres por parte de dos proveedores, y por eso la discusión sobre la terminología nunca se resuelve.

Trata la etiqueta como una pista sobre el uso previsto y nada más. La decisión corresponde a las funciones que puedes verificar en la configuración, no a las palabras del folleto.

Encuentra el dispositivo que realmente termina el túnel

Sigue una conexión de cliente de fuera hacia dentro. Algo acepta el transporte, algo autentica al par, algo asigna una dirección al cliente, algo autoriza un destino y algo proporciona una ruta de vuelta. Esas cinco funciones pueden vivir en un solo dispositivo o en cinco, y la única pregunta útil es qué dispositivo hace cada una. Un enrutador aguas arriba puede transportar los paquetes externos sin descifrarlos nunca, y ese es exactamente el caso en que un diagrama de topología lleva al revisor a nombrar el equipo equivocado.

Confirma la terminación en el propio candidatoy no a partir del dibujo. Un socket a la escucha en el puerto esperado junto con una entrada de estado establecida es una prueba más sólida que un diagrama de red, y la ausencia de ambas lo es todavía más.

sudo ss -lunp | grep -E ":500|:4500"
sudo ip xfrm state
sudo traceroute -n -U -p 4500 vpn.example.com

Decide por cinco propiedades, no por el nombre del producto

Cinco propiedades separan a los candidatos, y cada una se puede responder desde la documentación y no desde el marketing. Qué roles de VPN admite esta versión, qué fuentes de identidad puede usar, qué alcance de reenvío permite, qué capacidad sostiene y cómo se comporta ante un fallo. Pide esas cinco por escrito y la etiqueta se vuelve irrelevante para la decisión.

La capacidad es la propiedad que la etiqueta de concentrador implica con más fuerza, y es la que más a menudo queda imprecisa. Los límites de concurrencia, el caudal por túnel y el caudal total son tres cifras distintas, y un dispositivo puede ser generoso en una y tacaño en otra. La alta disponibilidad es una propiedad del par y no de ninguno de los equipos, y pertenece a la pregunta de recuperación. Una etiqueta que sugiere escala no es una especificación de escala.

La recuperación forma parte de la misma conversación. Pregunta cómo llega el administrador al dispositivo cuando el túnel mismo es el componente averiado, porque una ruta fuera de banda es una decisión de diseño y no un accesorio.

Revisa las pruebas antes de la etiqueta

Un servicio actual debe evaluarse por los roles admitidos, la política de identidad, el alcance de reenvío, la capacidad y el comportamiento de recuperación, con respuestas específicas para la versión que desplegarías. Una visión general histórica puede explicar por qué existe la palabra concentrador, pero no puede decirte qué admite una versión actual.Visión general de Cisco VPNes un contexto terminológico útil precisamente por eso, y tratarla como una lista de funciones actual es como una revisión de diseño acaba mal.

Después verifica una afirmación de extremo a extremo. Elige la propiedad que más importe, como el caudal por túnel o el tiempo de conmutación por error, y pide el método de medición en lugar de la cifra. Una comprobación local rápida de lo que el dispositivo expone realmente es un comienzo razonable.

sudo ip xfrm state | grep -c '^src '
sudo swanctl --list-sas

En Linux la primera línea cuenta asociaciones de seguridad, y un túnel normalmente tiene dos, una por dirección, así que divide el recuento por dos antes de compararlo con una afirmación sobre túneles. En un host con strongSwan la segunda línea nombra los túneles directamente. El recuento de sockets no es un sustituto: IPsec NAT-T mantiene un único socket UDP 4500 compartido por todos los túneles, así que contar sockets en ese puerto devuelve cero o uno, por muchos túneles que existan. Ninguna de las dos líneas es una medición de caudal y ninguna predice el comportamiento bajo carga. Lo que te dan es la unidad por la que preguntar, y un proveedor que sabe describir el método tiene una especificación donde uno que no sabe tiene un folleto.

Escribe la ruta y las etiquetas dejan de importar

Describe la arquitectura como una lista de funciones con responsables: terminación, autenticación, asignación de direcciones, autorización, enrutamiento de vuelta, registro y recuperación. Esa descripción sobrevive a un cambio de nombre de producto, a un cambio de proveedor y a una adquisición, y ninguno de ellos actualizará tu diagrama.

Revísala contra una sesión de cliente real una vez por trimestre, porque una función puede moverse sin que nadie edite el dibujo. Las etiquetas seguirán cambiando, y la lista de responsables seguirá siendo lo que realmente explica la red.