Seguridad

Introducción

Después de haber tratado con el inseguro FTP, es hora de conocer a sus sucesores protegidos.
A menudo surge confusión: muchos creen que FTPS y SFTP son lo mismo.
En realidad son dos protocolos completamente distintos — con historias y principios de funcionamiento diferentes.

¿Qué es FTPS? (FTP + Seguridad)

FTPS (FTP sobre SSL/TLS) — es una evolución directa del FTP clásico. Toma el FTP estándar y «envuelve» las conexiones en el protocolo criptográfico SSL/TLS (el mismo que protege los sitios por HTTPS).

Obtener un nuevo VPS es solo el comienzo. Por defecto el servidor no es seguro y no está listo para usarse en producción. Esta lista de verificación le ayudará paso a paso a preparar el VPS: cerrar agujeros de seguridad, habilitar actualizaciones y configurar la infraestructura básica.

1. Primera conexión y cambio de la contraseña root

Nos conectamos al servidor por SSH:

ssh root@ВАШ_IP_АДРЕС

Cambiamos la contraseña temporal por una única y compleja:

En el artículo anterior desplegamos un servidor básico de Jitsi Meet con Docker.
Ahora veremos cómo proteger su servidor, habilitar la autorización y optimizar el funcionamiento para videollamadas estables.

Авторизация: доступ только по приглашению

Por defecto Jitsi Meet permite a cualquier usuario crear salas. Para restringir el acceso — activaremos Secure Domain.

1. Abra el archivo .env y busque la sección Prosody (servidor XMPP).

   ENABLE_AUTH=1
   AUTH_TYPE=internal
   

   Aquí internal significa que los usuarios se almacenarán localmente.

   Read more

El problema de los certificados a gran escala

En artículos anteriores discutimos que OpenVPN utiliza certificados para la autenticación. Este método es fiable, pero tiene desventajas importantes:

• Incomodidad para los usuarios: Cada usuario necesita recibir e instalar su certificado manualmente.
• Complejidad de gestión: Al despedir a un empleado es necesario revocar su certificado, lo que requiere acciones adicionales.
• Falta de centralización: Cada servicio al que se necesita acceso tiene su propio sistema de autorización.

La solución a este problema es el uso de un proveedor de identidad centralizado, como Keycloak.

OpenVPN: Un estándar probado por el tiempo

Introducción

En un mundo donde la velocidad y la simplicidad de WireGuard se han convertido en el nuevo estándar, OpenVPN sigue siendo uno de los protocolos VPN más fiables y flexibles. Funciona tanto en ordenadores clásicos como en equipos de red, ofreciendo compatibilidad multiplataforma y un alto nivel de seguridad. Sin embargo, para entender cómo usarlo, es importante distinguir entre el propio protocolo y sus aplicaciones cliente.

Cuando el control es lo más importante

Servicios como Tailscale y NetBird son convenientes, pero dependen de un servidor de gestión de terceros que se encarga de la autenticación, la distribución de claves y el intercambio de información de rutas. Para quienes, por motivos de seguridad o privacidad, no quieren confiar esa función a nadie, existen dos vías: Headscale y el WireGuard “puro”.

Headscale: Tu propio Tailscale

Headscale es una implementación completamente open-source del servidor de gestión de Tailscale. Permite desplegar tu propio análogo de Tailscale en tu VPS o servidor, utilizando los clientes oficiales de Tailscale.

Cuando una VPN Zero-config — no es solo Tailscale

Aunque Tailscale se ha convertido en el estándar de la simplicidad, no es el único actor en el campo de las VPN Zero-config. ZeroTier y NetBird ofrecen funcionalidad similar, pero con importantes diferencias arquitectónicas e ideológicas.

ZeroTier: conmutador Ethernet virtual

ZeroTier es uno de los servicios pioneros y más conocidos que implementan la idea de redes mesh. Funciona según el principio de una red local virtual. En lugar de depender del protocolo WireGuard, ZeroTier utiliza su propio protocolo y crea un conmutador L2 virtual (capa 2) que une todos los dispositivos en una única red local. Cada dispositivo recibe una dirección IP de la subred virtual y puede “ver” a otros dispositivos como si estuvieran conectados al mismo conmutador físico.

¿Qué es Tailscale?

Tailscale es un servicio VPN que se presenta como una VPN sin configuración (Zero-config). Utiliza el protocolo WireGuard para crear una red en malla protegida entre todos tus dispositivos. La diferencia clave respecto a otras soluciones es la simplicidad. En lugar de configurar manualmente túneles y gestionar claves, Tailscale hace todo el trabajo por ti. Solo necesitas instalar la aplicación en cada dispositivo y autenticarte.

¿Cómo funciona bajo el capó?

Cuando te autenticas, el cliente de Tailscale se comunica con el servidor de gestión (Control Plane). Este servidor, en esencia, es el “cerebro” de la red:

Evolución del acceso remoto

Los servicios VPN tradicionales, que la mayoría conocemos, funcionan según el principio “hub-and-spoke” (estrella). Esto significa que todo el tráfico desde el cliente hacia la red protegida pasa por un servidor central. Este enfoque tiene desventajas:

• Complejidad de configuración: Requiere configuración manual, reenvío de puertos y gestión de claves.
• Rendimiento: Todo el tráfico, incluso entre dos clientes remotos, debe pasar por el servidor central, lo que aumenta la latencia.
• Punto único de fallo: Si el servidor central falla, toda la red deja de funcionar.

La nueva concepción — Zero-config VPN — resuelve estos problemas utilizando una arquitectura de red mallada (mesh).

Keenetic como cliente VPN: Protección de toda la red

Cliente VPN a nivel de enrutador: ¿por qué es necesario?

Configurar un cliente VPN en cada dispositivo es una tarea tediosa. Además, muchos dispositivos (Smart TV, consolas de juegos, dispositivos IoT) no admiten esta función. Keenetic resuelve este problema actuando como cliente VPN central para toda la red. Esto permite proteger todos los dispositivos con una sola conexión, sin necesidad de instalar y configurar software en cada uno de ellos.