Cómo configurar IPsec para tu red privada de Simbase
IPsec crea un túnel site-to-site cifrado y bidireccional entre el gateway dedicado de tu red privada y un concentrador VPN en tu lado: tu red corporativa o una VPC en la nube. Con el túnel activo, el tráfico entre ambas redes va cifrado y autenticado, así que las SIM pueden acceder a recursos de tu red y tu red puede llegar a las SIM.
Para la arquitectura de las redes privadas y la configuración de WireGuard, consulta Redes privadas y configuración de WireGuard.
Descripción general
La mayoría de los despliegues IoT usan un servidor de aplicaciones con una dirección IP pública, al que los dispositivos envían datos por internet. Un localizador GPS que informa de su ubicación cada cinco minutos es el caso típico, y no necesita ningún túnel.
IPsec es para despliegues que necesitan lo contrario: una ruta privada entre tu propia red y la subred en la que están tus SIM. Con el túnel activo, las SIM pueden llegar a servidores que nunca has expuesto a internet, y tu red puede llegar a las SIM.
El ajuste Remote network de la fase 2 decide cuánto tráfico sigue esa ruta. Con 0.0.0.0/0, todo lo que envían las SIM pasa por el túnel: tu propio gateway de internet gestiona su acceso a internet y controlas cada paquete que entra y sale. Con una subred concreta, solo el tráfico destinado a esa red usa el túnel, y el resto sale a internet por el gateway de Simbase como siempre.
El diagrama siguiente muestra el caso 0.0.0.0/0, con todo el tráfico de las SIM enrutado a la red del cliente.
Configurar un túnel IPsec
Antes de configurar el túnel, despliega tu red privada y ten listo un concentrador VPN. Los pasos básicos son:
Despliega una red privada. Consulta Redes privadas y configuración de WireGuard.
Despliega un concentrador VPN con una dirección IP pública en tu red corporativa o en la nube. Simbase recomienda pfSense si todavía no tienes uno.
Configura el túnel IPsec en el panel de Simbase.
Configura el túnel IPsec en tu concentrador VPN con los mismos ajustes.
Prueba el túnel en un entorno de pruebas antes de usarlo en producción. Los pasos exactos dependen de la marca y el software de tu concentrador, así que consulta su documentación. En instalaciones más grandes o complejas, cuenta con un ingeniero de redes.
Configurar IPsec (panel de Simbase)
General
| Ajuste | Descripción |
|---|---|
Key exchange version | Negocia el túnel. IKEv2 es más rápido y seguro que IKEv1, y es preferible si tu concentrador lo admite. Si tienes dudas, elige auto. |
Simbase IP address | La dirección IP del concentrador VPN de Simbase. Anótala: la necesitarás al configurar tu lado. |
Remote IP address | La dirección IPv4 pública de tu concentrador VPN. |
Pre-shared key | Autentica los dos extremos del túnel. Usa una clave larga y aleatoria, o copia la propuesta. Evita los caracteres especiales. ¡No la compartas nunca! Cualquiera con esta clave puede comprometer el túnel. |
Key exchange version
Simbase IP address
Remote IP address
Pre-shared key
Fase 1 (intercambio de claves)
| Ajuste | Descripción |
|---|---|
Encryption algorithm | Cifra el tráfico del intercambio de claves. Se recomienda AES128-GCM (128 bits) por su equilibrio entre seguridad y rendimiento. |
Hash algorithm | Verifica la integridad del tráfico del intercambio de claves. Se recomienda SHA256. SHA1 se considera en general inseguro y conviene evitarlo. |
DH group key | Grupo Diffie-Hellman para el intercambio de claves. Se recomienda DH Group 14 (2048 bits). |
Lifetime | Duración de la sesión de fase 1 antes de renegociar, en segundos. 28800 es un valor predeterminado razonable. Pon un extremo en este valor y el otro al menos un 10% más alto (p. ej., 31680) para evitar solapamientos. Rango: 20000–86400 segundos. |
Dead peer detection | Comprueba que el peer sigue activo mediante intercambios IKEv2 INFORMATIONAL o mensajes IKEv1 R_U_THERE. Solo se ejecuta si no se ha recibido ningún paquete IKE o ESP/AH durante el retardo configurado. Si tienes dudas, ponlo en disabled. |
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Dead peer detection
Fase 2 (sesión de datos)
| Ajuste | Descripción |
|---|---|
SIM network | La subred que usan tus SIM. Es fija y no se puede cambiar. |
Remote network | La subred de tu lado del túnel, en notación CIDR. Ponla en 0.0.0.0/0 para enrutar todo el tráfico de las SIM a tu red. |
ESP | Encapsulating Security Payload: se encarga del cifrado y la autenticación del tráfico del túnel. No se puede cambiar. |
Encryption algorithm | Cifra el tráfico del túnel. Se recomienda AES128-GCM (128 bits). |
Hash algorithm | Verifica la integridad del tráfico del túnel. Se recomienda SHA256. SHA1 se considera en general inseguro y conviene evitarlo. |
DH group key | Grupo Diffie-Hellman para la sesión de datos. Se recomienda DH Group 14 (2048 bits). |
Lifetime | Duración de la sesión de datos antes de que caduque la Child SA, en segundos. Debe ser mayor que el tiempo de rekey. Pon un extremo en este valor y el otro al menos un 10% más alto, por ejemplo 5400, para evitar solapamientos. Rango: de 1800 a 7200 segundos. |
SIM network
Remote network
ESP
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Configurar IPsec (tu lado)
Cómo configures IPsec en tu lado depende de tu concentrador. La demo siguiente muestra el proceso en pfSense.
Preguntas frecuentes
Sí. El túnel termina en el gateway dedicado de tu red privada, así que despliega primero la red y asígnale SIM. Consulta Redes privadas y la configuración de WireGuard.
Black, Green y Red: gateways de EE. UU. y la UE. Blue y Yellow: solo gateways de la UE
Sí. Los túneles se facturan por túnel y por día, además de la red privada a la que se conecta el túnel. Consulta Conceptos facturables.
Cualquiera compatible con IPsec estándar, como Cisco ASA, Palo Alto y Fortinet. Simbase recomienda pfSense si todavía no tienes uno.
Artículos relacionados
Redes privadas y configuración de WireGuard: la arquitectura con gateway dedicado y la configuración de WireGuard
VPN: cuándo merece la pena la complejidad adicional de una VPN
Network Address Translation (NAT): qué significa para el IoT
IP públicas: para acceder desde fuera a una sola SIM sin red privada
Comprobar la compatibilidad: comprueba que tus dispositivos son compatibles antes del despliegue
© 2026 Simbase. Todos los derechos reservados.