Redundancia de canales de comunicación: Parte 3 — Entre oficinas: VPN, MPLS, fibra oscura y SD-WAN

Cuando una empresa tiene varias oficinas, almacenes o tiendas, necesitan conexión entre sí: un sistema de contabilidad común, servidor de archivos, telefonía, videovigilancia. Si una sucursal pierde la conexión con la oficina central, a menudo no puede funcionar en absoluto. Hay varias maneras de conectar los sitios, y difieren en su tolerancia a fallos.

Formas de conectar las oficinas

VPN a través de Internet

La opción más común y económica: cada oficina tiene conexión a Internet y entre los sitios se levanta un túnel cifrado.

• IPsec — protocolo estándar que soportan prácticamente todos los routers y firewalls. Adecuado cuando en los sitios hay equipos de distintos fabricantes.
• WireGuard — protocolo más sencillo de configurar con poco código, integrado en el núcleo de Linux y soportado, por ejemplo, por MikroTik RouterOS 7.

Configuración mínima de WireGuard para un túnel entre la oficina A (red 10.1.0.0/24) y la oficina B (red 10.2.0.0/24), lado A:

[Interface]
Address = 10.255.0.1/30
ListenPort = 51820
PrivateKey = <clave privada de la oficina A>

[Peer]
PublicKey = <clave pública de la oficina B>
Endpoint = 198.51.100.20:51820
AllowedIPs = 10.255.0.2/32, 10.2.0.0/24
PersistentKeepalive = 25

En el lado B la configuración es espejo. En ambos gateways debe estar habilitado el reenvío de paquetes (net.ipv4.ip_forward = 1) y el firewall debe permitir el tráfico entre la red local y el túnel.

El propio túnel VPN no es redundante: depende de los canales de Internet de ambos sitios. La tolerancia a fallos la proporcionan dos túneles a través de distintos proveedores y un mecanismo que seleccione el que funcione.

MPLS L3VPN con el operador

El operador de telecomunicaciones construye para la empresa una red virtual aislada sobre su infraestructura. La tecnología está descrita en RFC 4364 (BGP/MPLS IP VPN). Para el cliente esto se ve como una red común entre oficinas: la operadora realiza el enrutamiento dentro de ella; el cliente le transmite sus rutas o simplemente indica qué redes están en cada sitio.

Ventajas: latencias predecibles, contrato con disponibilidad garantizada, el tráfico no pasa por Internet público. Inconvenientes: es más caro que un VPN por Internet, la conexión se acuerda lentamente y toda la red depende de un solo operador. Para redundancia, MPLS a menudo se complementa con un túnel VPN a través de otro proveedor de Internet.

Fibra oscura

La empresa alquila la fibra óptica completa y coloca el equipo en ambos extremos. Esto ofrece alta velocidad y control total, pero solo está disponible donde hay fibras libres: normalmente dentro de la ciudad o entre edificios contiguos. Una fibra = una ruta, por lo que para fiabilidad se necesita una segunda línea por otra ruta o un VPN de respaldo.

SD-WAN

SD-WAN es una capa de control sobre varios canales: Internet, MPLS, red móvil. Los dispositivos en los sitios miden continuamente latencias, pérdidas y disponibilidad de cada canal, y la consola central define reglas: telefonía por el canal con menor latencia, copias de seguridad por el más barato. Las soluciones SD-WAN son mayormente comerciales y requieren equipos del mismo fabricante en todos los sitios. Para redes de dos o tres oficinas suele ser suficiente con dos túneles VPN y enrutamiento dinámico.

Cómo conmutar entre canales

Tener dos túneles no basta: el router debe entender que uno de ellos no funciona y desviar el tráfico.

• Comprobaciones de disponibilidad y rutas estáticas. El router hace comprobaciones a una dirección en el otro extremo del túnel y, en caso de fallo, elimina la ruta a través de él. Es sencillo, pero con muchas redes la configuración crece mucho.
• Enrutamiento dinámico (OSPF o BGP) sobre los túneles. Los routers intercambian rutas y eligen el camino disponible. Esto escala mejor: añadir una red en una oficina se hace automáticamente conocida en las demás. Ejemplos prácticos — BGP en Keenetic: cómo configurar el enrutamiento dinámico mediante Entware y FRR y BGP y OSPF en Keenetic: enrutamiento dinámico sin hardware corporativo.

Con dos proveedores en un sitio hay otra sutileza: la respuesta a una conexión entrante debe salir por el mismo proveedor por el que llegó la solicitud, de lo contrario la conexión no se establecerá. Cómo configurar esto se explica en el artículo MikroTik: devolver el tráfico por la misma puerta de enlace por la que llegó.

Redundancia del propio gateway: VRRP

Si en la oficina hay un solo router, su fallo desconecta el sitio independientemente del número de canales. La solución: dos routers y una dirección virtual de gateway compartida, que es la que usan por defecto los ordenadores de la oficina.

• VRRP — estándar abierto. La versión vigente, VRRP versión 3, está descrita en RFC 9568 (abril de 2024) y funciona con IPv4 e IPv6. Los routers eligen uno como principal; si deja de enviar anuncios (por defecto una vez por segundo), la dirección virtual pasa al secundario.
• HSRP — protocolo análogo de Cisco, que funciona solo en su equipo.

VRRP es soportado por MikroTik, la mayoría de routers corporativos y Linux (keepalived). Cuando se necesita conectividad de capa 2 entre dos MikroTik y dónde en lugar de VRRP sirven otras esquemas, se muestra en el artículo 🌐 «Dirección virtual» entre dos MikroTik: cuándo se necesita conectividad L2 y cómo implementarla correctamente.

Qué comprobar al desplegar

• Que los canales en cada oficina sean realmente independientes: distintos proveedores, si es posible rutas y tecnologías distintas.
• Que el router de la oficina no sea el único punto de fallo: que haya un segundo con VRRP o al menos un repuesto con la configuración lista.
• Que el tiempo de conmutación sea conocido y aceptable para la telefonía y el sistema de contabilidad.
• Que los fallos de los túneles entren en monitorización y no se detecten por las quejas de los usuarios.

Errores típicos

• Dos túneles a través del mismo proveedor. Si falla, ambos desaparecen.
• Espacios de direcciones idénticos en las oficinas (por ejemplo, 192.168.1.0/24 en todas). Al unir las redes hay que renumerar o implementar traducción de direcciones (NAT).
• Túnel sin comprobación de vida. La interfaz WireGuard está formalmente arriba, pero no circula tráfico. Sin comprobaciones y enrutamiento dinámico, el router no lo detecta.
• MPLS sin redundancia confiando en que “el operador lo garantiza”. El contrato da compensación, no conexión durante la avería.