Protocolos de Red para Diagnóstico, Túneles y Seguridad

Serie Redes Informáticas para Principiantes — Parte 8. Esta publicación continúa la Parte 1: Guía Completa de Cómo Funcionan las Redes, la Parte 2: ¿Qué Es el Modelo OSI?, la Parte 3: Dispositivos de Red Explicados, la Parte 4: CDN, VPN, QoS y TTL, la Parte 5: Redes en la Nube Explicadas, la Parte 6: El Protocolo de Internet Explicado y la Parte 7: ¿Cuáles Son los Números de Puerto Conocidos?. Cada publicación de la serie toma un tema y lo explica a fondo. Esta trata sobre tres protocolos que hacen que las redes se puedan diagnosticar, estén conectadas y sean seguras: ICMP, GRE e IPsec.

En la Parte 6 aprendiste cómo IP transporta los datos en paquetes, y cómo TCP y UDP los entregan a la aplicación correcta. Pero IP transporta más que TCP y UDP. Junto a ellos viajan protocolos que hacen trabajos muy distintos:

• ICMP reporta problemas y comprueba si se puede llegar a los dispositivos: es lo que hace funcionar ping y traceroute.
• GRE crea túneles, envolviendo un paquete dentro de otro para que pueda viajar por una red por la que de otro modo no podría.
• IPsec protege el tráfico con cifrado y autenticación, y es una de las formas más comunes en que las VPN protegen los datos que cruzan internet.

Juntos cubren tres necesidades que tiene toda red: averiguar qué está fallando, conectar redes entre sí y mantener privado el tráfico entre ellas.

No Todos los Protocolos Usan un Puerto

Antes de empezar, hay un detalle importante que distingue a estos protocolos. En la Parte 7, cada servicio tenía un número de puerto: HTTPS en el puerto TCP 443, DNS en el puerto UDP 53, etc. Los puertos pertenecen a TCP y UDP.

ICMP, GRE y los protocolos ESP y AH de IPsec no usan TCP ni UDP, así que no tienen números de puerto. En cambio, se identifican con un número de protocolo IP en el encabezado IP, que le indica al dispositivo receptor qué tipo de datos lleva el paquete:

Esto importa cuando configuras un firewall: para permitir un túnel GRE o una VPN IPsec, tienes que permitir esos protocolos, no solo abrir un puerto. (El intercambio de claves de IPsec es la excepción: funciona sobre UDP, como verás más adelante.)

ICMP: El Mensajero de la Red

El Protocolo de Mensajes de Control de Internet (ICMP) es la forma en que los dispositivos reportan problemas y comprueban si otros dispositivos están activos. ICMP no transporta tus datos; transporta mensajes sobre tus datos: “no se puede llegar a este host”, “se acabó el tiempo de este paquete”, “sí, aquí estoy”.

Todo dispositivo IP usa ICMP, y ya lo viste en acción en esta serie:

• En la Parte 1, ping comprobó si se podía llegar a example.com.
• En la Parte 4, un paquete con un TTL de 3 regresó con “Time to live exceeded”, y traceroute usó ese mismo mensaje para trazar el camino hacia un sitio web.

Mensajes ICMP Comunes

Cada mensaje ICMP tiene un tipo, y muchos tienen un código que agrega detalle:

Usar ICMP para Diagnosticar Problemas

Cuando ping recibe respuestas, sabes que el dispositivo está activo y se puede llegar a él, y los tiempos te dicen qué tan rápida es la conexión:

64 bytes from 104.20.23.154: icmp_seq=0 ttl=54 time=23.882 ms

Cuando no regresa nada, ping reporta un tiempo de espera agotado por cada solicitud. Así se ve hacer ping a una dirección donde ningún dispositivo responde:

ping -c 3 192.0.2.1

PING 192.0.2.1 (192.0.2.1): 56 data bytes
Request timeout for icmp_seq 0
Request timeout for icmp_seq 1

--- 192.0.2.1 ping statistics ---
3 packets transmitted, 0 packets received, 100.0% packet loss

Pero que se agote el tiempo no siempre significa que un dispositivo esté caído. Muchos dispositivos y firewalls bloquean ICMP a propósito, así que simplemente no responden a los ping. Si un router del camino sabe que no se puede llegar a un destino, puede enviar de regreso un mensaje de Destination Unreachable, que ping muestra como algo parecido a “Destination Host Unreachable”: una pista más específica de dónde está el problema.

¿Conviene Bloquear ICMP?

Como ICMP puede usarse para descubrir qué dispositivos existen en una red, algunos administradores lo bloquean por completo. Normalmente es un error. Bloquear todo ICMP puede romper funciones importantes de la red (por ejemplo, los mensajes que ayudan a los dispositivos a encontrar el tamaño de paquete correcto para una conexión) y hace mucho más difícil diagnosticar problemas. Es mejor permitir los mensajes ICMP esenciales y limitar cosas como responder a los ping que llegan desde internet. En las redes IPv6, ICMP (llamado ICMPv6) es todavía más esencial, porque IPv6 lo usa para encontrar los dispositivos y routers vecinos.

GRE: Crear Túneles

El Encapsulamiento Genérico de Enrutamiento (GRE) crea un túnel entre dos extremos, normalmente dos routers. Un túnel permite que dos redes se comuniquen como si estuvieran conectadas directamente, aunque haya muchas otras redes en medio.

Cómo Funciona GRE

GRE usa la encapsulación, la misma idea que has visto a lo largo de esta serie: toma un paquete completo y lo envuelve dentro de uno nuevo.

Paquete original:             [ Encabezado IP (direcciones privadas) | Datos ]

Paquete encapsulado con GRE:  [ Nuevo encabezado IP (direcciones públicas) | Encabezado GRE | Encabezado IP (privadas) | Datos ]

1. Un router de un extremo toma un paquete de su red local, con sus direcciones IP privadas.
2. Le agrega un pequeño encabezado GRE y luego un nuevo encabezado IP dirigido al router del otro extremo del túnel.
3. El paquete cruza internet como cualquier otro paquete. Los routers del camino solo ven el encabezado exterior.
4. El router del otro extremo quita el encabezado exterior y el encabezado GRE, y reenvía el paquete original a su propia red como si hubiera llegado directamente.

La palabra “genérico” del nombre es importante: GRE puede transportar casi cualquier tipo de tráfico, incluido el tráfico multicast y los protocolos de enrutamiento que usan los routers para compartir rutas entre sí. Por eso se usa mucho para conectar sitios que necesitan intercambiar información de enrutamiento.

La Gran Limitación de GRE: No Cifra

GRE no cifra nada. Envuelve los paquetes en un túnel, pero cualquiera que capture el tráfico en internet puede quitar el encabezado GRE y leer el paquete original que lleva dentro. GRE proporciona el túnel, pero no la privacidad.

Por eso GRE rara vez se usa solo a través de internet. En cambio, suele combinarse con un protocolo de seguridad, casi siempre como GRE sobre IPsec: GRE crea el túnel y transporta cualquier tipo de tráfico, e IPsec cifra todo el conjunto.

IPsec: Proteger el Tráfico

IPsec (Seguridad del Protocolo de Internet) es un conjunto de protocolos que protege el tráfico IP. Es una de las tecnologías más usadas para las VPN, sobre todo las VPN de sitio a sitio entre oficinas y la nube (consulta la Parte 4 y la Parte 5).

IPsec protege los datos de cuatro formas:

• Confidencialidad: los datos se cifran, así que quien los intercepte solo verá datos revueltos.
• Integridad: cada paquete incluye una comprobación criptográfica (un hash), así que si alguien cambia aunque sea un bit en el camino, el receptor lo sabe y lo descarta.
• Autenticación: ambos extremos demuestran quiénes son (con una clave precompartida o con certificados), así que sabes que estás conectado al verdadero gateway VPN y no a un impostor.
• Antirrepetición (anti-replay): cada paquete lleva un número de secuencia, así que un atacante no puede capturar paquetes válidos y volver a enviarlos después para repetir una acción.

AH y ESP: Los Dos Protocolos Principales de IPsec

IPsec usa dos protocolos para proteger los datos en sí:

• AH (Encabezado de Autenticación) proporciona integridad y autenticación: demuestra que el paquete es auténtico y no ha cambiado, incluida gran parte del encabezado IP. Pero no cifra nada, así que los datos siguen siendo legibles. Como AH protege las direcciones IP del encabezado, tampoco funciona a través de NAT, que cambia esas direcciones.
• ESP (Carga de Seguridad Encapsulada) proporciona cifrado para la confidencialidad y también integridad y autenticación. Como hace todo lo que necesitan la mayoría de las VPN (y funciona con NAT), ESP es el que usan hoy casi todas las VPN IPsec.

Cómo se Establece el Túnel: Fases 1 y 2 de IKE

Antes de que dos dispositivos puedan cifrar el tráfico, tienen que ponerse de acuerdo en cómo: qué algoritmos de cifrado y de integridad usar, y qué claves secretas. Enviar las claves por internet al descubierto arruinaría el propósito, así que IPsec usa el protocolo de Intercambio de Claves de Internet (IKE) para negociarlo todo de forma segura. IKE funciona sobre el puerto UDP 500 y, cuando hay NAT entre los dos extremos, IPsec cambia al puerto UDP 4500 (lo que se llama NAT traversal).

IKE funciona en dos fases:

Fase 1: Crear un canal seguro para negociar.

1. Los dos gateways VPN acuerdan la configuración de seguridad de la propia negociación, usando un marco llamado ISAKMP (Protocolo de Asociación de Seguridad en Internet y Administración de Claves).
2. Usan un intercambio de claves Diffie-Hellman: un ingenioso cálculo matemático que permite que dos dispositivos creen la misma clave secreta compartida sin enviarla nunca por la red.
3. Se autentican mutuamente con una clave precompartida o con certificados.

El resultado es un canal de administración seguro y cifrado entre los dos gateways: la asociación de seguridad (SA) de IKE. Todavía no viajan datos de los usuarios por él.

Fase 2: Negociar el túnel para los datos.

Usando el canal seguro de la Fase 1, los gateways negocian las asociaciones de seguridad de IPsec que realmente protegerán el tráfico de los usuarios: qué protocolo (ESP o AH), qué algoritmos de cifrado y de integridad, y claves nuevas. Una SA solo funciona en una dirección, así que se crea un par: una para cada dirección. Estas SA se renuevan con regularidad con claves nuevas, así que aunque una clave llegara a verse comprometida, solo expondría una pequeña cantidad de tráfico.

Cuando termina la Fase 2, los datos empiezan a fluir por el túnel cifrado. (El más reciente IKEv2 simplifica el intercambio en menos mensajes, pero mantiene la misma idea de dos pasos: primero proteger la negociación y luego establecer el túnel para los datos.)

Modo de Transporte vs. Modo de Túnel

IPsec puede proteger los paquetes de dos formas, según cuánto de cada paquete envuelva.

El modo de transporte protege solo los datos (la carga útil). El encabezado IP original se queda en su lugar, así que las verdaderas direcciones de origen y destino siguen visibles:

Paquete original:     [ Encabezado IP | Datos ]
Modo de transporte:   [ Encabezado IP | Encabezado ESP | Datos (cifrados) | Cola ESP ]

El modo de transporte se usa cuando los propios extremos son los que se comunican; por ejemplo, para proteger el tráfico directo entre dos servidores. También se usa mucho para cifrar un túnel GRE, porque GRE ya proporciona el encabezado exterior.

El modo de túnel cifra todo el paquete original, incluido el encabezado, y lo mete dentro de un paquete nuevo con un nuevo encabezado IP:

Paquete original:   [ Encabezado IP | Datos ]
Modo de túnel:      [ Nuevo encabezado IP | Encabezado ESP | Encabezado IP + Datos (todo cifrado) | Cola ESP ]

El nuevo encabezado solo muestra las direcciones de los dos gateways VPN. Quien vigile internet no puede ver las direcciones privadas originales, qué dispositivos se están comunicando ni lo que dicen. Eso hace que el modo de túnel sea la opción más segura, y es el estándar para las VPN de sitio a sitio, donde los gateways protegen el tráfico en nombre de redes completas.

Todo Junto: Una VPN para una Sucursal

Así trabajan juntos los tres protocolos cuando una sucursal se conecta de forma segura con la oficina central:

1. Fase 1 de IKE: los firewalls de las dos oficinas se contactan en el puerto UDP 500, usan Diffie-Hellman para acordar las claves y se autentican mutuamente, creando un canal de administración seguro.
2. Fase 2 de IKE: por ese canal, negocian un par de asociaciones de seguridad ESP en modo de túnel.
3. El tráfico fluye: cuando un empleado de la sucursal abre una aplicación web interna de la oficina central, el firewall de la sucursal cifra todo el paquete con ESP, lo envuelve en un nuevo encabezado IP dirigido al firewall de la oficina central y lo envía por internet. La oficina central lo descifra, comprueba su integridad y su número de secuencia, y reenvía el paquete original al servidor web.
4. GRE, si hace falta: si las oficinas también necesitan compartir información de enrutamiento o tráfico multicast, pueden usar un túnel GRE entre los firewalls y protegerlo con IPsec: GRE sobre IPsec.
5. ICMP para diagnosticar: cuando algo deja de funcionar, el equipo de redes usa ping y traceroute (ambos basados en ICMP) para comprobar si cada firewall puede llegar al otro y en qué parte del camino se pierden los paquetes.

Resumen Rápido

Lo que Sigue en esta Serie

Ya conoces los protocolos que hacen que las redes se puedan diagnosticar, estén conectadas y sean seguras. Las próximas publicaciones de la serie Redes Informáticas para Principiantes seguirán construyendo sobre estas bases. Mientras tanto, prueba ping y traceroute con algunos sitios web y fíjate cuáles responden a ICMP y cuáles no. Y si quieres una alternativa moderna y fácil de configurar a IPsec para tus propios dispositivos, revisa WireGuard, el protocolo detrás de herramientas como Tailscale.

Conclusión

ICMP es el mensajero de la red: transporta las solicitudes y respuestas de eco detrás de ping, y mensajes de error como “destino inalcanzable” y “tiempo excedido” que hacen posible diagnosticar problemas. GRE crea túneles que pueden transportar casi cualquier tráfico entre dos extremos, pero no cifra nada. IPsec agrega la seguridad: confidencialidad, integridad, autenticación y protección antirrepetición. Usa ESP para cifrar (o el poco usado AH solo para la integridad), establece sus túneles con IKE en dos fases (primero un canal seguro y luego las asociaciones de seguridad para los datos), y protege los paquetes en modo de transporte, cifrando solo la carga útil, o en el más seguro modo de túnel, cifrando todo el paquete original.

A diferencia de los servicios de TCP y UDP, estos protocolos se identifican por números de protocolo IP en lugar de puertos, así que recuerda permitirlos por protocolo cuando configures un firewall para un túnel o una VPN.

Serie Redes Informáticas para Principiantes: Parte 1: Guía Completa de Cómo Funcionan las Redes · Parte 2: ¿Qué Es el Modelo OSI? · Parte 3: Dispositivos de Red Explicados · Parte 4: CDN, VPN, QoS y TTL · Parte 5: Redes en la Nube Explicadas · Parte 6: El Protocolo de Internet Explicado · Parte 7: Números de Puerto Conocidos · Parte 8: Protocolos para Diagnóstico, Túneles y Seguridad