VPN para IoT: cuándo usarla y qué admite Simbase

Una VPN (Virtual Private Network) crea un túnel cifrado entre dos extremos. En IoT se usa sobre todo para dar a un dispositivo celular una ruta segura hacia tus servidores o tu red corporativa, como si estuviera conectado en tu oficina, aunque en realidad esté en una red móvil pública al otro lado del mundo.

Este artículo explica qué es una VPN IoT, cuándo aporta valor y qué admite Simbase. Para la configuración, consulta las guías de Redes privadas e IPsec.

Qué hace una VPN IoT

Un túnel VPN entre un dispositivo celular y un extremo remoto te ofrece:

Cifrado en tránsito. Nadie en la ruta de red puede leer el tráfico dentro del túnel.
Autenticación. Ambos extremos demuestran su identidad antes de que se levante el túnel. Los dispositivos sin credenciales válidas no pueden establecerlo.
Pertenencia lógica a la red. Con el túnel activo, el dispositivo parece estar en la red remota. Puede acceder a recursos internos por sus direcciones internas.
Control del enrutamiento. Tú decides qué tráfico pasa por el túnel y cuál va directo a internet.

Una VPN no sustituye a TLS para el cifrado a nivel de aplicación. Es una capa de transporte por debajo. La mayoría de los diseños IoT usan TLS de todos modos y añaden una VPN solo cuando hay un motivo concreto.

Cuándo merece la pena una VPN para IoT

Una VPN añade complejidad operativa y carga de CPU en el dispositivo. Elígela cuando se dé uno de estos casos:

Necesitas que los dispositivos accedan a servicios internos. Los dispositivos deben llegar a una base de datos, AD/LDAP, un broker MQTT interno u otro recurso dentro de tu red corporativa. Una VPN mete el dispositivo en esa red.
La normativa exige transporte cifrado además de TLS. Algunos sectores regulados (sanidad, administración pública, defensa) exigen que todo el tráfico entre extremos sensibles pase por un túnel cifrado, sea cual sea el cifrado de la aplicación.
Te conectas a la red de un cliente o socio. Muchos despliegues IoT B2B llevan el tráfico de la SIM a la VPN del cliente, para que su equipo de TI controle el enrutamiento y las políticas.
Quieres centralizar en un único extremo interno. Un extremo VPN central es útil cuando muchos dispositivos tienen que llegar a un único servicio interno que no quieres exponer públicamente.
Quieres una IP de origen fija para el tráfico de los dispositivos. Un concentrador VPN hace que todo el tráfico de los dispositivos salga con una sola IP de origen, lo que facilita las listas de permitidos en los sistemas de tus socios.

Cuándo una VPN no es la respuesta

Solo necesitas cifrado. TLS ya lo resuelve para HTTPS, MQTTS y cualquier otro protocolo de aplicación moderno.
El dispositivo solo habla con API públicas. Una VPN no aporta nada.
Necesitas acceso entrante a un solo dispositivo. Una IP pública es más sencilla que una VPN.
Quieres ocultar la ubicación del dispositivo. Los operadores móviles siempre saben dónde está el dispositivo, y una VPN no cambia eso.

Qué admite Simbase

Simbase admite dos protocolos VPN site-to-site, configurados a nivel de la pasarela de red. Un tercer conector, NAT, da a las SIM una IP pública sin túnel:

Protocolo	Ideal para	Guía de configuración
IPsec	Despliegues en producción que necesitan acceso remoto y comunicación bidireccional	Configurar IPsec
WireGuard	Acceso ocasional a dispositivos, prototipos y despliegues pequeños	Configurar WireGuard

Protocolo

IPsec
WireGuard

Ambos se configuran una sola vez en el lado de Simbase. El tráfico de tu flota pasa por el túnel sin configuración por dispositivo, algo mucho más sencillo de operar que instalar un cliente VPN en cada dispositivo.

Usa IPsec cuando los dispositivos deban estar accesibles desde tu red de forma continua, cuando el tráfico vaya en ambos sentidos o cuando lo integres con equipos VPN que tu equipo de TI ya gestiona (Cisco ASA, Palo Alto, Fortinet y similares). Es la opción estándar para producción.

Usa WireGuard cuando necesites acceder a los dispositivos de vez en cuando y no de forma continua, para mantenimiento, diagnóstico o descarga de logs. Se pone en marcha más rápido y es más fácil de depurar, por lo que también encaja bien en prototipos.

VPN en el dispositivo frente a VPN en la red

Hay dos formas de poner dispositivos "en una VPN":

Enfoque	Qué	Cuándo
Nivel de red (site-to-site de Simbase)	La pasarela de Simbase termina la VPN hacia tu red. Los dispositivos envían tráfico con normalidad; el enrutamiento ocurre más arriba en la red.	La mayoría de las flotas IoT. Operación más sencilla, sin gestión de certificados por dispositivo, funciona con cualquier dispositivo.
Nivel de dispositivo (cliente en el dispositivo)	Cada dispositivo ejecuta su propio cliente VPN (OpenVPN, WireGuard, etc.).	Cuando los dispositivos deben llegar a redes a las que Simbase no tiene túnel, cuando importa la autenticación individual de cada dispositivo o cuando no puedes usar el site-to-site de Simbase.

Enfoque

Nivel de red (site-to-site de Simbase)
Nivel de dispositivo (cliente en el dispositivo)

Preguntas frecuentes

No, si solo buscas confidencialidad. TLS ya protege los datos en tránsito. Añade una VPN cuando necesites conectar redes, cumplir un requisito normativo concreto o enviar todo el tráfico de los dispositivos por una sola IP de origen.

No. Simbase termina el túnel en la pasarela de red, así que los dispositivos envían tráfico con normalidad y el enrutamiento ocurre más arriba. Solo necesitas un cliente en el propio dispositivo si tienes que llegar a una red a la que Simbase no tiene túnel, o si cada dispositivo necesita su propia identidad.

IPsec para despliegues en producción en los que los dispositivos necesitan acceso remoto continuo y comunicación bidireccional, sobre todo si tu equipo de TI ya gestiona equipos IPsec. WireGuard para acceso ocasional, mantenimiento, diagnóstico o prototipos.

Algo. El cifrado añade sobrecarga por paquete y enrutar por un túnel añade latencia frente a ir directo a internet. Para la mayoría de los patrones de tráfico IoT el impacto es insignificante, pero conviene tenerlo en cuenta en despliegues de alto rendimiento o sensibles a la latencia.