He estado viendo tanta gente luchando con IPSec y muchas otras tecnologías VPN seguras. Yo, por ejemplo, siempre he usado OpenVPN, con resultados hermosos, simples y versátiles. Lo he usado en enrutadores DD-WRT, grandes servidores y teléfonos Android, por nombrar algunos.
¿Podría alguien explicarme lo que me estoy perdiendo? ¿Hay alguna desventaja en OpenVPN que desconozco? ¿IPSec y sus amigos ofrecen alguna característica increíble que no conocía? ¿Por qué no todos usan OpenVPN?
Respuestas:
En mi humilde opinión, la mayor desventaja de OpenVPN es que no es interoperable con la gran mayoría de los productos de los proveedores de redes de "grandes nombres". Los productos de seguridad y enrutador de Cisco y Juniper no lo admiten: solo admiten IPsec y VPN SSL patentadas. Palo Alto, Fortinet, Check Point, etc., tampoco lo admiten. Entonces, si su organización / empresa quiere configurar una VPN extranet de sitio a sitio para otra compañía y solo tiene un dispositivo OpenVPN, probablemente no tendrá suerte.
Dicho esto, algunas compañías de hardware y software de red están comenzando a adoptar OpenVPN. MikroTik es uno de ellos. Ha sido compatible desde RouterOS 3.x:
http://wiki.mikrotik.com/wiki/OpenVPN
Además, durante mucho tiempo, la única forma de ejecutar un cliente OpenVPN en iOS de Apple requirió jailbreak. Esto ya no es así:
https://itunes.apple.com/us/app/openvpn-connect/id590379981?mt=8
En general, la situación está mejorando. Sin embargo, sin que proveedores como Cisco y Juniper lo implementen en sus productos, no puedo ver que las grandes empresas lo adopten sin enfrentar problemas de interoperabilidad.
IPSEC es estándar. Casi todos los proveedores de redes lo admiten. No puede lograr el mismo nivel de interoperabilidad entre enrutadores con OpenVPN.
Como dijo David, no hay nada malo con OpenVPN para una solución VPN de cliente. Para las soluciones de infraestructura o VPN de sitio a sitio, elegiría IPSEC VPN.
Una de las desventajas es que en un entorno corporativo a algunos gerentes no les gusta confiar en software de código abierto.
Personalmente, no veo nada malo con OpenVPN para una solución VPN de usuario.
IPSEC se puede implementar en hardware (o más bien en el elemento de cifrado de IPSEC) y, por lo tanto, es útil cuando desea transferir una gran cantidad de datos a través de una VPN y no quiere sacrificar la potencia de la CPU en las estaciones de usuario final.
OpenVPN tiene una implementación más segura (espacio de usuario frente a kernel).
Funciona mejor con firewalls y NAT (no es necesario garantizar NAT-T) y es difícil de filtrar.
Es mucho menos complicado que IPsec
OpenVPN no tiene ciertas certificaciones regulatorias, como el soporte FIPS 140-2.
El único inconveniente técnico de OpenVPN que veo es que, en comparación con sus competidores, el sistema introduce una gran latencia en los enlaces VPN . Actualización: He descubierto que esto fue un error no con OpenVPN en general, sino solo con mis pruebas. Cuando OpenVPN se ejecuta en el protocolo TCP, los gastos generales de TCP hacen que OpenVPN sea un poco más lento. L2TP utiliza puertos y protocolos fijos para la interoperabilidad y, por lo tanto, no hay ninguna característica para ejecutarlo en TCP. Openvpn en UDP parece ser más rápido para muchos otros usuarios.
La única otra ventaja al usar PPTP / L2TP / Ipsec es que me ha resultado más fácil configurarlo en una máquina Windows o un iPhone sin instalar ningún software adicional del lado del cliente. YMMV.
Es posible que desee leer esta página
Prefiero IPSec casi siempre porque estoy familiarizado con él y siempre funciona. Al estar basado en estándares, es compatible con casi todo, desde teléfonos y tabletas hasta máquinas con Windows y Linux, y tiene características útiles como soporte NAT y detección de pares muertos.
Para su información, uso principalmente Openswan en Linux.
Una de las principales razones de seguridad que preferimos IPSec es la rotación de las claves de sesión. OpenVPN puede haber implementado esto (pero no lo veo). Esto significa que un atacante que captura datos pasivamente a largo plazo no puede forzar de forma bruta todo el registro de comunicación a la vez, pero solo el valor de cada clave de sesión individual.
OpenVPN tiene un diseño de radios, por lo que toda la comunicación debería enrutarse a través del servidor principal. Tinc-VPN puede enrutar entre diferentes sitios. Puedes leer este blog: http://www.allsundry.com/2011/04/10/tinc-better-than-openvpn/