Dos puertas VPN en serie: qué decide realmente cada una

Encadenar dos VPN se vende normalmente como cifrado adicional, que es lo menos interesante que hace. El producto real es una segunda decisión de autorización, tomada por un propietario distinto sobre un conjunto de recursos distinto. Si ambas etapas aceptan la misma credencial y alcanzan los mismos destinos, la puerta interior es decoración con latencia extra. Decidir si esa segunda decisión vale su coste operativo empieza por nombrar qué verifica realmente cada puerta.

Un túnel, luego una segunda decisión

La puerta exterior responde a una pregunta amplia: ¿es este un dispositivo de empleado aprobado y puede alcanzar la red interna general. La puerta interior responde a una más estrecha: ¿lleva esta identidad el derecho de mantenimiento y puede alcanzar estos puntos finales de gestión concretos. Son preguntas distintas con propietarios distintos, y ninguna implica la otra. Que exista un camino por ambas etapas no es autoridad para usar lo que está detrás de la segunda. Llegar a la entrada lejana demuestra que una ruta funciona, y nada más.

El principio es viejo y todavía se ignora: la ubicación en la red no argumenta nada por sí misma. Resumen de la arquitectura de confianza cero del NIST lo dice claramente, rechazando la confianza implícita que se deriva de dónde vino una conexión o de quién es dueño de la red. Aplicado aquí, llegar a la entrada interior es una condición previa para sus recursos, nunca el permiso para usarlos.

Anote qué verifica cada puerta

Para cada etapa, registre la identidad que comprueba, los destinos que permite y las condiciones en las que se puede omitir. La puerta exterior puede permitir legítimamente servicios internos ordinarios más el receptor de la puerta interior, y nada más. La puerta interior puede exigir una declaración de rol y permitir solo las direcciones de gestión nombradas en el registro de cambios. La aplicación del extremo lejano conserva la última palabra sobre qué operaciones puede realizar ese rol, así que la cadena añade una puerta sin sustituir la autorización de la aplicación.

Dos omisiones rompen el diseño en silencio. Si el dominio exterior ya alcanza directamente cada destino sensible, la puerta interior es opcional en lugar de obligatoria. Si un receptor público o una segunda ruta privada ofrece el mismo acceso, el camino previsto es una opción entre varias. Asigne también un propietario a cada conjunto de reglas y haga que su contrato nombre los servicios de destino, las identidades de origen permitidas, el DNS privado, la traducción de direcciones y quién responde cuando falla la entrega. Una dirección de confianza en la red exterior nunca debe sustituir la autorización del dominio interior.

Pruebe los casos de denegación, no el camino feliz

Una conexión correcta por ambas puertas demuestra muy poco, porque ese es el caso que todos probaron durante el despliegue. Los casos interesantes son aquellos en los que una etapa pasa y la otra rechaza. Tres de ellos cubren la mayor parte del riesgo, y cada uno tiene un resultado esperado que puede comprobarse en lugar de discutirse.

Con el acceso general aprobado y el rol sensible ausente, el trabajo ordinario debe continuar mientras se deniega el destino sensible. Apruebe ambas etapas y el conjunto alcanzable debería ser los puntos finales de mantenimiento nombrados en el registro de cambios, nada más amplio. Con el derecho revocado a mitad de sesión, la política de sesión acordada debe surtir efecto sin desmontar el acceso general no relacionado. Si esa revocación termina una sesión existente de inmediato o en la siguiente reautenticación es una decisión de política que el contrato ya debería contener. Quien escribió los casos de aceptación no es la persona que debería interpretarlos durante un incidente.

curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"

Cuente las dependencias que añadió

Cada etapa extra añade un componente que puede fallar y una ruta que debe anidarse correctamente dentro del túnel exterior. Durante un fallo parcial, el camino exterior sigue en pie mientras el interior es inalcanzable, así que el usuario ve un icono de VPN saludable junto a un servicio que nunca responde.

Compruebe las rutas y las reglas de bloqueo bajo fallo, no solo en el caso normal. Una ruta por defecto empujada por el túnel exterior puede capturar la dirección de la propia puerta interior, lo que convierte la segunda etapa en una conexión que se establece y luego cae. Registre qué debe permanecer bloqueado mientras el túnel interior no está, porque una caída accidental a su alrededor es peor que una interrupción limpia. Use la misma forma de sonda en ambos saltos, para que cada uno se mida en lugar de suponerse. Dos indicadores de conectado no establecen ni anidamiento ni aislamiento.

Qué no puede comprarle la segunda puerta

Pregunte si las dos puertas comparten una credencial, una autoridad de certificación o un plano de gestión. Donde lo hacen, también comparten sus modos de fallo más importantes, y la segunda etapa cuesta más que la independencia que parece añadir. Sesiones criptográficas separadas no crean controles administrativos separados.

Mantenga la puerta interior mientras imponga un requisito que pueda enunciar y probar, como un rol que el dominio exterior nunca comprueba. Elimínela cuando su única tarea sea reautenticar la misma identidad contra los mismos destinos. En cualquier caso, registre el requisito, el propietario y el comportamiento ante fallos juntos, para que la próxima revisión discuta el requisito y no el diagrama.