Tanto Daniel como John dieron muy buenas respuestas a su pregunta; Solo agregaré algunas cosas prácticas que me vienen a la mente cuando leo la pregunta.
Tenga en cuenta que mucha discusión sobre la seguridad de las VPN MPLS se produce a través de la confianza que normalmente se brinda a Frame Relay y VPN de ATM .
¿Es seguro MPLS?
En última instancia, la cuestión de la seguridad se reduce a una pregunta no formulada, que es "¿En quién confía con sus datos críticos para el negocio?"
- Si la respuesta es "nadie", debe superponer sus datos a través de una VPN encriptada
- Si confía en su proveedor de VPN MPLS , entonces no hay necesidad de cifrar sus datos
¿Por qué no ejecutar una VPN sobre MPLS también?
Según el uso más común, MPLS es una VPN, pero es una VPN sin cifrar. Supongo que te refieres a una VPN encriptada, como PPTP , IPSec o SSL VPN cuando mencionas "VPN". Sin embargo, si necesita un cifrado fuerte , integridad de datos o autenticación dentro de la VPN, rfc4381 MPLS VPN Security, la Sección 5.2 recomienda el cifrado dentro de MPLS VPN .
Sin embargo, las VPN encriptadas no están exentas de problemas; generalmente sufren de:
- Gastos adicionales para la infraestructura.
- Limitaciones de rendimiento / escalabilidad (debido a complejidades en el cifrado HW)
- Gastos adicionales por personal / capacitación
- Aumento del tiempo medio de reparación al depurar problemas a través de la VPN encriptada
- Aumento de la sobrecarga administrativa (es decir, mantenimiento de PKI )
- Dificultades técnicas, como un menor TCP MSS y, a menudo, problemas con PMTUD
- Enlaces menos eficientes, porque tiene la sobrecarga de encapsulación de la VPN encriptada (que ya está dentro de la sobrecarga de la VPN MPLS )
¿Nadie puede espiar el tráfico?
Sí, las escuchas son muy posibles, independientemente de si crees que puedes confiar en tu proveedor. Citaré de rfc4381 MPLS VPN Security, Sección 7 :
En lo que respecta a los ataques desde el núcleo de MPLS, todas las clases de VPN [sin cifrar] (BGP / MPLS, FR, ATM) tienen el mismo problema: si un atacante puede instalar un sniffer, puede leer información en todas las VPN, y si el atacante tiene acceso a los dispositivos principales, puede ejecutar una gran cantidad de ataques, desde falsificación de paquetes hasta la introducción de nuevos enrutadores pares. Hay una serie de medidas de precaución descritas anteriormente que un proveedor de servicios puede usar para reforzar la seguridad del núcleo, pero la seguridad de la arquitectura de VPN IP BGP / MPLS depende de la seguridad del proveedor de servicios. Si no se confía en el proveedor de servicios, la única forma de proteger completamente una VPN contra ataques desde el "interior" del servicio VPN es ejecutar IPsec en la parte superior, desde los dispositivos CE o más allá.
Mencionaré un punto final, que es solo una pregunta práctica. Uno podría argumentar que no tiene sentido usar una VPN MPLS , si va a usar una VPN encriptada a través del servicio básico de Internet; No estaría de acuerdo con esa noción. Las ventajas de una VPN encriptada a través de MPLS VPN están trabajando con un solo proveedor:
- Mientras soluciona problemas (de principio a fin)
- Para garantizar la calidad del servicio.
- Prestar servicios