¿Acceso remoto o VPN de sitio a sitio? ¿Cuál encaja?

Un empleado de viaje y una oficina sucursal necesitan túneles distintos, y elegir el equivocado produce un diseño que funciona en el laboratorio y falla el primer lunes. El acceso remoto une un dispositivo con una pasarela. El de sitio a sitio une dos pasarelas que representan redes. La lista de comprobación de abajo resuelve cuál de los dos describe realmente el requisito.

Quién marca y qué hay detrás de quien marca

En el acceso remoto, el software del portátil o del teléfono establece el túnel, y la pasarela autentica a un usuario, un dispositivo o ambos antes de asignar una dirección y rutas. En el sitio a sitio, los enrutadores, los cortafuegos o las pasarelas de nube establecen la conexión, y los dispositivos que hay detrás usan el enrutamiento ordinario en lugar de ejecutar un cliente. Esa diferencia decide quién es responsable de la disponibilidad del túnel: el dispositivo de un empleado en el primer caso, un equipo gestionado en el segundo. También decide si la autenticación describe a una persona o a una red.

Deténgase aquí si el requisito es que cada máquina de una oficina llegue a otra oficina sin configuración por dispositivo. Eso es sitio a sitio, y un montón de inicios de sesión de acceso remoto es un sustituto pobre.

Direccionamiento y la ruta de vuelta

Planifique rangos locales y remotos distintos. Dos sedes pueden usar la misma subred privada, y entonces el diseño necesita traducción o renumeración antes de que el enrutamiento sea inequívoco. Un enrutador doméstico que usa el mismo rango que la central crea el mismo problema para un trabajador remoto. La superposición es lo bastante común como para que comprobarla pertenezca a la primera conversación.

La ruta de vuelta importa tanto como la de salida. Un servidor puede recibir una petición y aun así no tener ruta de vuelta a la red del cliente.

Documente qué enrutador conoce el prefijo remoto, sobre todo con redes de nube y varias pasarelas. Un icono verde de túnel no puede responder si un destino tiene una ruta de vuelta operativa, y un ping en un solo sentido tampoco. En el acceso remoto la pasarela suele poseer la ruta del grupo; en el sitio a sitio, cada enrutador intermedio que transporta el prefijo debe coincidir. La traducción puede ocultar una ruta ausente hasta que se rompe una aplicación que incorpora direcciones.

La salida a internet es una decisión aparte

La accesibilidad privada no exige que el túnel transporte la navegación pública. Si el tráfico web ordinario sale por la pasarela es una segunda decisión, tomada por diseño y registrada en el perfil del cliente o en la configuración de la sede.

El túnel completo y el túnel dividido son respuestas a esa pregunta, no a la pregunta de acceso remoto frente a sitio a sitio. Los nombres internos necesitan un DNS adecuado en ambos diseños, porque un resolutor público no tiene respuesta para un nombre de host de oficina privada. Enviar un resolutor y enviar una ruta predeterminada son ajustes relacionados, y cambiar uno sin el otro produce fallos que parecen problemas de DNS.

Use la topología para acotar el fallo

Un portátil que se desplaza pierde el acceso en el cliente, en su cuenta o en su red local. Una sucursal entera pierde el acceso en rutas y pasarelas compartidas.

Compruebe primero el establecimiento del túnel, luego las rutas, luego el tráfico permitido, luego la resolución de nombres, luego el inicio de sesión de la aplicación, y deténgase en el primer paso que falle.ip route get 10.60.8.15 responde a la pregunta de enrutamiento antes de que lea un solo registro de aplicación. Los ajustes de cifrado no arreglan un error de permisos de un recurso compartido, y un ping que funciona no demuestra que una aplicación esté autorizada. Mantener el orden fijo evita los cambios de configuración aleatorios que convierten un fallo en tres.

Por último, mantenga las definiciones claras al leer material de proveedores: un servidor comercial de salida a internet es un servicio distinto de la pasarela privada de una empresa y no concede ningún acceso a la red de esa empresa.