Un prefijo público para los clientes VPN: qué es lo que realmente rompe

Un grupo de clientes elegido porque los números parecen ordenados es una ruta esperando a ser instalada. El prefijo no tiene que ser privado para que la VPN funcione, y usar un bloque que pertenece a otro tampoco expone automáticamente a tus usuarios a internet. Lo que hace es que esas direcciones signifiquen algo distinto mientras el túnel está activo, y luego signifiquen otra cosa cuando cae. Recorre las cinco comprobaciones siguientes en orden y detente donde la respuesta sea «asignado en otro sitio».

Asignar no es anunciar

Poner una dirección en una interfaz de túnel no la anuncia a internet. La accesibilidad pública necesita una ruta, un camino autorizado y un proveedor dispuesto a transportarla, y nada de eso aparece porque un cliente haya recibido la dirección de un grupo. La política del cortafuegos y la autorización del host son otra vez decisiones separadas.

Por eso el riesgo no es lo que la mayoría supone. El prefijo prestado no hace accesibles a tus clientes; hace que los destinos de otra persona no sean accesibles desde tus clientes, lo que es un fallo distinto con un propietario distinto. Nadie es atacado y ningún anuncio se escapa. Un usuario simplemente no puede abrir un sitio que ayer funcionaba, y el servicio de asistencia no tiene motivo para sospechar del grupo de la VPN.

La distinción importa al elegir un grupo. Si tu única preocupación fuera la exposición a internet, un bloque público parecería seguro porque nada lo anuncia. La preocupación es la ruta local que el cliente instala para ese prefijo, y esa ruta se instala tanto si alguien más puede verla como si no.

Qué captura realmente la ruta del cliente

Cuando el túnel se levanta, el cliente recibe una ruta para el prefijo del grupo, y esa ruta gana a la ruta por defecto para cada destino dentro de él. Una petición a un host legítimo de ese bloque ahora va a la VPN en lugar de a internet. Que falle, se cuelgue o llegue al servidor equivocado depende de lo que haga tu lado con ella.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Ejecuta la consulta con el túnel levantado y de nuevo con él caído. La dirección significa una cosa en el primer caso y algo completamente distinto en el segundo, y cualquier aplicación que haya cacheado una conexión o una resolución de nombre durante esa transición se comportará de forma inconsistente. Esa inconsistencia es más difícil de soportar que un fallo limpio, porque depende del momento. Un usuario que se reconecta en el momento equivocado tiene una experiencia distinta de la de quien no lo hace.

También por eso una dirección IP conocida no es prueba de identidad. Mantén la validación de certificado y de nombre de servidor para el destino real, porque la dirección numérica a la que llegaste hace cinco minutos puede pertenecer ahora a otra conversación.

Compara el grupo con todas las redes que conozcas

RFC 1918 reserva tres bloques para uso privado: 192.168.0.0/16, 172.16.0.0/12 y 10.0.0.0/8. Millones de organizaciones separadas los reutilizan, así que privado es una afirmación sobre la asignación y nunca una promesa de que nadie más eligió los mismos números.

Compara el grupo candidato con las LAN de oficina, las VPC de la nube, otros grupos de VPN, los enlaces de socios y los rangos que los trabajadores remotos probablemente tengan en casa. El caso doméstico no es motivo para inventar un prefijo extraño; es motivo para mantener el grupo pequeño y documentado.

Coordina la asignación con quien posee el enrutamiento y registra el camino de vuelta en el mismo lugar. Un grupo al que nadie puede enrutar de vuelta es un grupo que se redescubrirá durante una incidencia. Pon el grupo en el mismo documento que los rangos de los sitios, no en una configuración de cliente que solo ha editado una persona. El documento es lo que hace evitable la siguiente colisión.

Cuándo el direccionamiento público es la respuesta correcta

Las organizaciones con espacio global asignado correctamente pueden sin duda construir un grupo de VPN con direcciones públicas, y algunas lo hacen a propósito para evitar la traducción. Ese diseño sigue necesitando enrutamiento, validación de origen, reglas de acceso y autenticación de clientes; la asignación no aporta nada de eso.

Lo que sí aporta es unicidad, la propiedad de la que carece el prefijo prestado. Si posees el bloque, la ruta que instala tu cliente apunta a direcciones que son genuinamente tuyas, y el significado no cambia cuando el túnel cae.

No añadas NAT automáticamente para compensar una elección de grupo. Un diseño privado enrutado con rutas de vuelta explícitas es más limpio que una traducción aplicada porque el direccionamiento nunca se planificó, y IPv6 necesita su propio plan deliberado en lugar de una copia de los supuestos de IPv4.

Retira un grupo malo sin perder el acceso

Si el grupo ya está desplegado, haz inventario antes de cambiarlo: reservas de direcciones, rutas instaladas, registros DNS que resuelven dentro del bloque, ámbitos del cortafuegos y las aplicaciones que dependen de ellos. Después programa el cambio con el mismo cuidado que cualquier otro cambio de enrutamiento. Anúncialo a las personas que lo notarán, porque sus sesiones caerán cuando el grupo se mueva. Un cambio silencioso en el direccionamiento de los clientes genera tiques de soporte que parecen no tener relación con el trabajo.

Conserva un camino de recuperación que no dependa del grupo que estás retirando, porque el momento en que lo retiras es el momento en que tu acceso remoto puede desaparecer con él. Valida después ambas direcciones: los destinos privados previstos siguen funcionando, y los destinos de internet que antes se capturaban ahora resuelven a sus verdaderos propietarios.

Lo que quieres es un grupo que el equipo de red pueda asignar, enrutar y retirar como una sola cosa coherente. Un formato de dirección por sí solo no establece ni seguridad ni conectividad.