En el Wi-Fi de la oficina y aun así te piden la VPN? Esta es la razón

El portátil está en el SSID corporativo, el aviso de certificado se ha aceptado, y una aplicación web sigue pidiendo la VPN. Parece trabajo doble, y a veces lo es. Los dos inicios de sesión suelen imponer decisiones distintas, y la única forma de saber si el segundo se gana su sitio es preguntar qué cambia.

Unirse a una red es una decisión de admisión

Un despliegue 802.1X responde a una pregunta: ¿puede este dispositivo o usuario conectarse a esta red? El punto de acceso pasa las credenciales a un servidor RADIUS, y la respuesta puede llevar atributos que sitúan la sesión en una VLAN concreta o aplican un filtro. Eso es admisión y segmentación, no autorización para ninguna aplicación concreta.

Una vez admitida la sesión, el enlace inalámbrico se cifra entre el cliente y el punto de acceso. La protección termina ahí, en el borde de la red cableada.

Todo lo que hay más allá de ese punto es enrutamiento ordinario dentro del edificio, con el alcance interno que el segmento permita.

Qué protege realmente EAP-TTLS

EAP-TTLS construye un túnel TLS durante la autenticación y ejecuta un método interno dentro de él. El método interno suele ser PAP, y su aparición en un diseño no significa que la contraseña cruce el aire en texto claro, porque es el túnel TLS el que la transporta. El cliente sigue teniendo que verificar la identidad del servidor y confiar en la CA correcta, y un SSID conocido no es esa verificación. Lea la elección del método interno como un formato de credenciales, no como una afirmación sobre el cifrado exterior.

Esto es un intercambio de autenticación, no un túnel de datos para el tráfico posterior del portátil.

Cuando la autenticación termina, el túnel TLS desaparece y los paquetes del cliente viajan por el segmento admitido. Confundir ambos es la raíz de la creencia de que el cifrado Wi-Fi ya hace el trabajo de la VPN.

La VPN es una segunda decisión, más estrecha

Una VPN responde a otra pregunta: ¿a qué recursos privados puede llegar esta identidad, y en qué condiciones? Termina en una pasarela con su propia política, sus propias comprobaciones de identidad y a menudo sus propios requisitos de estado del dispositivo. El conjunto alcanzable tras levantar el túnel suele ser menor que la red interna del edificio y específico del rol.

Por eso un rol de mantenimiento puede ser admitido en el Wi-Fi como todos los demás y aun así necesitar un túnel para llegar a una subred de gestión. La decisión del Wi-Fi se tomó en el punto de acceso; esta se toma en la pasarela.

Ambas etapas pueden estar cifradas y aun así aplicar políticas no relacionadas.

Dónde se rompe la confianza basada en la ubicación

Tratar la red de la oficina como implícitamente fiable falla por una razón sencilla: la ubicación de red es una propiedad de la conexión, no de la persona. La guía de confianza cero de NIST lo dice directamente, y por eso el acceso a los recursos se decide por petición y no por edificio. Cualquiera que se una al mismo SSID hereda la misma ubicación. También por eso un portátil comprometido en la red del personal merece el mismo escepticismo que uno en la red de invitados.

La consecuencia práctica es que la autorización de aplicaciones sigue teniendo que existir. Una VPN que concede toda una subred, más una aplicación que confía en cualquier petición de esa subred, está a una credencial de un mal día.

Ninguna de las dos capas sustituye a la otra, porque responden preguntas en ámbitos distintos.

Cómo saber si el segundo inicio de sesión se gana su sitio

Pregunte al propietario de la red dos cosas: qué pasa a ser alcanzable cuando la VPN se conecta, y qué condiciones de identidad o de dispositivo se comprueban para permitirlo. Luego verifique las respuestas probando qué responde en realidad. Si el túnel no cambia ni el alcance ni la garantía, puede ser una costumbre operativa más que un control, y esa es una decisión del propietario, no algo que un usuario deba sortear.

Busque también rutas directas no previstas, porque un recurso alcanzable sin el túnel hace que el túnel sea decorativo.

Documente cada frontera y su propósito, y la siguiente persona no tendrá que adivinar por qué hay dos inicios de sesión.