Mesh VPN: Parte 1 — ¿Qué es una red mesh sobre WireGuard y cuándo se necesita?

Mesh VPN — es una red privada en la que los dispositivos se conectan entre sí directamente, y no a través de un único servidor central. El portátil, el servidor doméstico, el equipo de oficina y el teléfono se ven entre sí por direcciones internas, estén donde estén, y el tráfico entre ellos sigue la ruta más corta. La mayoría de los servicios modernos de este tipo — Tailscale, NetBird, Headscale — están construidos sobre el protocolo WireGuard.

VPN clásico: esquema «estrella»

El VPN habitual funciona como una estrella: en el centro hay un servidor al que se conectan los clientes. Cualquier tráfico —incluso entre dos clientes en habitaciones contiguas— pasa por el centro. Este esquema tiene tres puntos débiles:

• Latencia. Si el servidor está en Moscú y dos empleados en Novosibirsk, su tráfico entre sí cruza el país dos veces.
• Cuello de botella. El ancho de banda está limitado por el canal y la CPU de un único servidor.
• Punto único de fallo. Si el servidor no está disponible, toda la red deja de funcionar.

Además, en cada cliente hay que introducir manualmente claves y rutas, y en el servidor abrir un puerto.

Cómo funciona una red en malla

En una red en malla los datos van directamente entre dispositivos. Pero no prescinde totalmente de un centro: este se encarga de la gestión, no del transporte del tráfico. Normalmente en el sistema hay tres roles.

Servidor de coordinación (plano de control). Guarda la lista de dispositivos y sus claves públicas de WireGuard, verifica quién ha entrado en la red, proporciona a cada dispositivo información sobre los demás participantes y las reglas de acceso. Por él no pasa el tráfico de usuario. Con Tailscale ese servidor funciona en la nube de la empresa; con NetBird y Headscale se puede desplegar localmente.

Mecanismo de paso a través de NAT. La mayoría de los dispositivos están detrás de routers domésticos y de oficina sin dirección pública. Para que dos de esos dispositivos se conecten directamente, mediante servidores auxiliares averiguan sus direcciones externas y envían paquetes simultáneamente el uno hacia el otro —así los routers en ambos extremos permiten la conexión. En NetBird para esto se usan los protocolos ICE y STUN y un servicio separado llamado Signal, por el que tampoco pasa el tráfico.

Retransmisores. A veces no es posible establecer una conexión directa —por ejemplo, con un NAT estricto del operador móvil o un firewall corporativo muy restrictivo. Entonces el tráfico va a través de un retransmisor: en Tailscale son los servidores DERP, en NetBird el servicio Relay. Los datos siguen estando cifrados de dispositivo a dispositivo: según la documentación de Tailscale, las claves privadas no abandonan el dispositivo, por lo que el servidor DERP solo reenvía paquetes ya cifrados y no puede descifrarlos.

De aquí una aclaración importante: la red en malla no «funciona sin un centro». Las conexiones directas ya establecidas sobrevivirán a una indisponibilidad temporal del servidor de coordinación, pero no se puede añadir un nuevo dispositivo ni cambiar las reglas sin él. Si el servidor de coordinación es suyo, usted es responsable de su disponibilidad.

Por qué WireGuard

WireGuard es un protocolo VPN integrado en el núcleo de Linux y disponible en los principales sistemas. Para redes en malla resulta conveniente por varias razones:

• Modelo simple. Cada dispositivo se describe por un par de claves y una lista de direcciones accesibles a través de él. Al servicio de coordinación le basta con distribuir estos datos; el resto lo hace WireGuard.
• Código reducido y criptografía moderna fija sin elección de algoritmos, que con frecuencia se configura mal en protocolos antiguos.
• Funciona sobre UDP y recupera la conexión rápidamente al cambiar de red, por ejemplo cuando un teléfono pasa de Wi-Fi a datos móviles.

El rendimiento de WireGuard en la práctica depende de la CPU, la red y la implementación (en el kernel o en espacio de usuario), por lo que no conviene esperar cifras universales del tipo «N veces más rápido que OpenVPN»: lo recomendable es comparar en su propio equipo.

Qué aporta el enfoque en malla

• Ruta corta para el tráfico. Dos dispositivos en la misma ciudad se comunican directamente, no a través de un servidor al otro lado del país.
• No hay cuello de botella en la transmisión de datos: cada conexión utiliza solo los canales de los dos participantes.
• Conexión sencilla. Un dispositivo nuevo entra en la red mediante una cuenta o una clave de autorización, sin editar manualmente las configuraciones en los demás nodos.
• No hacen falta direcciones públicas ni reenvío de puertos. Esto lo resuelve el mecanismo de paso a través de NAT.
• Reglas de acceso centralizadas. El servidor de coordinación distribuye a los dispositivos políticas como «el departamento de contabilidad solo ve el servidor 1C».

Limitaciones

• Dependencia del servidor de coordinación. En servicios en la nube, depende de otra empresa, sus tarifas y su disponibilidad; en soluciones autogestionadas, de su administración.
• Los retransmisores ralentizan. Si no se pudo establecer una conexión directa, la velocidad queda limitada por el retransmisor.
• No es para todo el tráfico. La VPN en malla conecta dispositivos entre sí. Para encaminar todo el tráfico de Internet por un punto concreto se necesita una función adicional —por ejemplo, un nodo de salida (exit node) en Tailscale.
• Atención a las políticas de acceso. Por defecto muchos servicios permiten que todos los dispositivos vean a todos; en una empresa casi siempre conviene restringirlo.

Cuándo se necesita una VPN en malla

• Acceso remoto a varias ubicaciones: oficina, almacén, ordenadores domésticos de empleados, servidores con diferentes proveedores.
• Acceso a servidores sin puertos abiertos. SSH, paneles de administración y bases de datos accesibles solo para participantes de la red.
• Equipo pequeño sin administrador de red, que necesita un VPN listo para usar.
• Vinculación de la nube y la oficina, cuando un túnel clásico entre routers es excesivo.

Cuándo mesh no es la mejor opción: si solo hay que conectar dos oficinas con direcciones permanentes, es más sencillo un túnel entre routers; si se necesita control total sobre cada parámetro, la configuración manual de WireGuard puede ser preferible. Un ejemplo de otro enfoque para la misma tarea — red propia en VPNCloud.

Cómo elegir una solución

A cada opción se dedica una parte separada del ciclo.