Redes MPLS - Hasta qué punto son seguras? Fecha de publicación: abril de 2005

Transcripción

1 Redes MPLS - Hasta qué punto son seguras? Fecha de publicación: abril de 2005 White Paper compilado para Easynet por

2 Exención de responsabilidad Este documento ha sido redactado para Easynet aunque las opiniones expresadas en él son de Analysys Research Limited. El documento se proporciona en beneficio de Easynet y ningún tercero puede asumir esta titularidad. Analysys ha otorgado permiso para su utilización por terceros a condición de que sea ofrecido en su integridad y no en partes o como una selección de sus contenidos. Este documento no constituye una auditoría ni una opinión legal. Analysys renuncia a cualquier responsabilidad ante terceros por daños o pérdidas resultantes de la acción, o la falta de acción, en base al contenido del presente documento, sea cual sea su causa. Nuestras opiniones no deben interpretarse como recomendaciones de inversión para nadie. Todas las cifras y proyecciones han sido producidas por Analysys Research Limited independientemente de cualquier otro tipo de trabajo específico para el cliente dentro del Grupo Analysys Mason. Analysys Research Limited reconoce que gran cantidad de términos que aparecen en este informe son propietarios; todas las marcas registradas de este tipo se reconocen y se han realizado todos los esfuerzos posibles para indicarlas siguiendo el modo de publicación con letras mayúsculas tradicional del Reino Unido. No obstante, la presencia de un término, sea cual sea su forma, no afecta a su estado legal como marca registrada. Tanto Analysys Research Limited como Easynet mantienen que se ha empleado todo el cuidado y las habilidades razonables para la compilación de la presente publicación. No obstante, tanto Analysys Research Limited como Easynet serán libres de toda responsabilidad por pérdidas o daños (incluidos daños resultantes) cualesquiera o en el modo que se presenten que surjan como resultado de la utilización de esta publicación por el cliente, sus empleados, agentes o cualquier tercero.

3 Contenido > Aumenta la preocupación de empresas y organizaciones del sector público por la vulnerabilidad de la red 4 > Las VPNs basadas en MPLS ofrecen un servicio múltiple y garantizado sobre una única infraestructura de red 6 > Las VPNs basadas en MPLS ofrecen una seguridad comparable a las VPNs tradicionales basadas en Frame Relay o ATM 8 > La seguridad en las VPNs basadas en MPLS puede mejorarse 11 > Los clientes deben examinar detenidamente lo que les ofrecen los proveedores de servicios 11

4 Aumenta la preocupación de empresas y organizaciones del sector público por la vulnerabilidad de la red La siempre creciente atención dada a la seguridad de la red refleja la medida en la que la información electrónica y los sistemas que la soportan resultan vitales en la actualidad para el funcionamiento con éxito de la organización moderna. La creación e intercambio de información digital crece exponencialmente: se enviaron más correos electrónicos en un día de 2004 que en todo el año Esta velocidad de expansión tanto en medios como en volumen de la comunicación electrónica, incluida la creciente dependencia de las transacciones empresariales de este tipo, representa un quebradero de cabeza para cualquier director de departamento de las tecnologías de la información. El reto de mantener seguras las redes y la información se vuelve incluso más complejo debido al hecho de que el auge de Internet como una de las principales rutas de comunicación implica trabajar en un entorno esencialmente abierto y liberal en comparación con el tradicional mundo cerrado de la red pública de telecomunicaciones. En consecuencia, los directores informáticos y de comunicaciones deben proteger todos los aspectos de sus redes y sistemas contra este tipo de amenazas potenciales, incluidas las aplicaciones de capa IP (a través de intranets, extranets y sobre la Internet abierta) así como las redes de transporte de área extensa (WAN), metropolitana (MAN) y local (LAN). Además de resguardarse contra los intrusos, los directores informáticos y de comunicaciones deben asegurar una disponibilidad permanente de la red implementando una estructura con capacidad de recuperación que pueda restablecer con rapidez la conectividad cuando se produzcan problemas en el enlace. Las amenazas actuales a la seguridad pueden dividirse ampliamente en tres categorías: amenazas intrusivas como la denegación de servicio (DOS, Denial Of Service), donde un atacante hace caer la red, a menudo sobrecargando un elemento clave ataques con virus que no sólo pueden desactivar unas instalaciones informáticas sino que pueden corromper permanentemente sus bases de datos la escucha ilegal, que permite a terceros obtener acceso a datos privilegiados de gran valor

5

6 Las VPNs basadas en MPLS ofrecen un servicio múltiple y garantizado sobre una única infraestructura de red Las IP VPNs (Redes privadas virtuales IP) se están incorporando rápidamente a la estrategia de la mayoría de las empresas en red. Los directores corporativos de comunicaciones las ven como una manera de simplificar la gestión de la conectividad en sus redes multi emplazamiento así como para reducir los costes de la red troncal. Una IP VPN ofrece de manera efectiva a los clientes de una empresa una red privada que conecta simultáneamente una serie de extremos entre sí, aunque en lugar de requerir una costosa inversión en su infraestructura dedicada, una IP VPN opera sobre una red compartida gestionada por un operador de telecomunicaciones. A medida que garantizar la seguridad de la información se convierte en una tarea cada vez más compleja, los directores informáticos y de comunicaciones necesitan asegurarse que al migrar su infraestructura de red de área extensa y metropolitana a un entorno de red compartido, no aumentarán la vulnerabilidad de sus redes y sistemas. Para lograrlo, se ha desarrollado la conmutación MPLS (multi-protocol label switching) para resolver algunas de las debilidades potenciales que plantea la seguridad de IP. Comparadas con las redes IP puras, que requieren largos periodos de tiempo para reconfigurar y reconstruir tablas de enrutamiento, los trayectos conmutados por etiquetas (LSPs, Label Switched Paths) de MPLS pueden configurarse por adelantado para desviar el tráfico en caso de que se produzcan problemas en un trayecto primario, y ofrecer así una recuperación en 50-80ms. The pier es un minorista con 600 empleados y 100 PCs distribuidos en 40 sedes. En la actualidad, la empresa está desplegando una VPN basada en MPLS, y migrando desde una infraestructura conmutada RDSI para la transferencia de datos privados desde la sede a las 35 tiendas del Reino Unido e Irlanda y otra de marcación analógica para la conectividad con Internet. Un aspecto clave para seleccionar una solución VPN basada en MPLS fue su capacidad de recuperación y la seguridad que ofrece. Ejemplo 1: Caso práctico 1 The Pier [basado en una entrevista con Analysys Research] MPLS es una técnica que permite crear trayectos virtuales sobre una red enrutada, de un modo similar al funcionamiento de las redes ATM y Frame relay, mientras se mantiene la flexibilidad de IP en la omnipresente gestión del direccionamiento. Utiliza una combinación de etiquetado por paquetes con conmutación punto a punto orientada a conexiones para añadir más seguridad además de la capacidad de implementar garantías de ingeniería de tráfico y Calidad de Servicio (QoS). MPLS puede por tanto utilizarse como un modo de priorizar paquetes de datos para entregar distintos niveles de rendimiento, dando prioridad a aplicaciones que requieran una gran clase de servicio, como la telefonía sobre IP, sobre otras como el correo electrónico que no requieren este tipo de garantías. Es más, también puede reforzarse la capacidad de recuperación de la red MPLS para impedir caídas cuando se produzcan fallos de conectividad.

7 Ejemplo 2: arquitectura de red de una IP VPN basada en MPLS [Fuente: Analysys Research, 2005] Tal y como se ilustra en el ejemplo 2, los routers de extremo del proveedor de servicio mantienen las tablas de enrutamiento virtual para cada sede del cliente conectada a ellos, y distribuirán estas tablas a otros routers de extremo en la misma IP VPN. Los routers de red troncal no tienen que mantener tablas de enrutamiento independientes, lo que hace al sistema lo suficientemente escalable para grandes redes troncales. No obstante, todos los routers o conmutadores de la red deben ser compatibles con MPLS y capaces de leer e interpretar las etiquetas MPLS para que funcione.

8 Las VPNs basadas en MPLS ofrecen una seguridad comparable a las VPNs tradicionales basadas en Frame Relay o ATM Dado que MPLS opera en la capa 3, es decir, la misma que IP, las empresas tienen más preocupaciones acerca de las vulnerabilidades potenciales de esta infraestructura y los riesgos de intrusiones desde Internet que suele compartir la conexión de acceso con la VPN. Las preocupaciones más habituales incluyen: si MPLS puede separar completamente los datos y rutas entre clientes de la empresa y un entorno compartido cómo los datos y las rutas pueden llegar sin obstáculos y fiablemente a todos los extremos si la red es vulnerable a ataques de denegación de servicio (DoS) desde Internet dado que las redes MPLS pueden proporcionar todo tipo de servicios sobre la misma infraestructura de red, incluidos tanto el tráfico de datos privado como el de Internet En la práctica, las VPNs basadas en MPLS ofrecen una seguridad de red comparable o incluso mayor que la de las VPNs tradicionales basadas en Frame Relay o ATM, las cuales también operan sobre un entorno de red compartido. Una serie de características de las redes MPLS permiten que los requisitos de seguridad básicos de las empresas queden garantizados si un proveedor de servicios sigue las recomendaciones estándar para proteger a la red MPLS del exterior. Ejemplo 3: Estudio práctico 2 Servicio de bomberos y rescate Real de Berkshire [basado en una entrevista con Analysys Research] El Servicio de Bomberos y Rescate Real de Berkshire es una organización pública con 700 empleados y 300 PCs distribuidos por 20 sedes. Se actualizó a una red VPN basada en MPLS hace dos años desde una red privada sobre líneas dedicadas con infraestructura de backup RDSI y conmutada. Aunque su infraestructura tradicional era robusta, sólo ofrecía un ancho de banda limitado y resultaba cara de gestionar. La migración a una IP VPN aportó más ancho de banda y permitió la adopción de servicios de voz y datos convergentes para reducir costes. La red VPN ofrece transferencia de datos privados (más administrativos que operativos), VoIP y acceso a Internet, Este último, además del tráfico de voz entrante y saliente son proporcionados centralmente desde la sede sobre una arquitectura virtual de interconexión radial (hub and spoke). La organización está plenamente satisfecha con las características de seguridad de su VPN basada en MPLS gestionada. Cuando se utiliza para gestionar flujos de tráfico IP, MPLS toma los paquetes IP y los encapsula dentro de un nuevo encabezado MPLS (Ejemplo 4). La cabecera MPLS consiste en una etiqueta de 32 bits y se añade a cada paquete a medida que llega al extremo de la red MPLS. La etiqueta garantiza que los paquetes se reenvíen sobre rutas predeterminadas que proporcionen los niveles de Calidad de Servicio requeridos y se retira cuando los paquetes salen de la red MPLS, típicamente justo antes de su entrega al destino final sobre la red de acceso local.

9 Enrutamiento y separación de tráfico Ejemplo 4: Cómo gestiona MPLS los flujos de tráfico [Fuente: Analysys Research, 2005] Para aumentar todavía más la seguridad de extremo a extremo de la red, también puede utilizarse el cifrado de paquetes independientes (por ejemplo, IP-Sec) para proteger el tráfico sobre la conexión de acceso si el valor de los datos transportados lo merece. Sobre el entorno de red compartido, los datos de tráfico de la VPN de cada cliente se mantienen independientes. Al mantener la separación entre los planes de direccionamiento, las tablas de enrutamiento y el tráfico, la arquitectura de red MPLS no permite que un cliente penetre en la VPN de otro. Las redes basadas en MPLS logran el enrutamiento utilizando routers de partición (partitioning), asignando una instancia de Enrutamiento y Reenvío Virtual (VRG, Virtual Forwarding and Routing) a cada VPN. Únicamente los paquetes con esta VRF pueden entregarse a destinos de la VPN ya que se utilizan tablas de enrutamiento y reenvío independientes para cada VPN. La etiqueta que incluye la VRF se añade al paquete basándose en la interfaz física en la que haya llegado al router de extremo del proveedor. La red MPLS aparece para el paquete como un salto (hop) único, y los routers MPLS sólo tienen que referirse a la cabecera MPLS para seleccionar su ruta. La penetración en VPNs MPLS no es posible ya que un paquete sólo puede entrar en una VPN a través de una interfaz que esté asociada esa red.

10 Ocultación de infraestructura de núcleo y resistencia a ataques Los proveedores de servicios de IP VPN ocultan todos los elementos de núcleo de la infraestructura de red de terceros externos, incluido el acceso por Internet o por cualquier VPN conectada, ya sea filtrando paquetes u ocultando la información del núcleo de la red 1. Al garantizar que los routers de núcleo de red no sean accesibles desde fuera de ésta, los proveedores de servicios pueden impedir la perpetración de ataques de denegación de servicio (DoS). La separación del núcleo MPLS y las redes VPN imposibilita enviar tráfico directamente desde la VPN al router de núcleo. No obstante, incluso con una configuración adecuada del router, si no se implanta el enrutamiento estático entre el router de extremo del proveedor de servicios y el del cliente, la VPN puede conocer la interfaz peer del router de extremo del proveedor de servicios. En este caso, dicho router de extremo es potencialmente vulnerable a un ataque de denegación de servicio (DoS) desde dentro de una VPN que podría afectar a otras VPNs del mismo router. No obstante, la gravedad de este ataque de denegación de servicio (DoS) resulta limitada ya que la VPN no tiene capacidad para llegar al procesador del router de extremo del proveedor de servicios. Por tanto, es probable que el ámbito del ataque se limite al propio cliente. 1 La única excepción es cuando se accede a Internet a través de la red MPLS. No obstante, en esta situación el cliente no revela más de su estructura de direccionamiento que lo que haría con un servicio de Internet normal. Crawford and Company es un proveedor internacional de soluciones de gestión de reclamaciones ante compañías de seguros con más de empleados en todo el mundo. En el Reino Unido, la empresa cuenta con más de empleados en 30 sedes y soporta PCs. Se encuentra en proceso de finalizar la migración de su red Frame Relay británica a una VPN IP basada en MPLS. La empresa requiere una infraestructura segura y con capacidad de recuperación para soportar sus aplicaciones empresariales y servidores de correo electrónico alojados centralmente y está plenamente satisfecha con el hecho de que su nueva VPN IP basada en MPLS le esté proporcionando el mismo nivel de seguridad que su antigua VPN Frame Relay dado que las dos redes operan sobre una infraestructura compartida. Además, la empresa está aprovechando que la red MPLS sea de interconexión total (fully meshed) para cambiar la manera en la que ofrece algunos de sus servicios informáticos. El acceso a Internet se proporciona ahora sobre cinco pasarelas independientes (aunque para ello, las sedes más pequeñas siguen utilizando la oficina central sobre una arquitectura de interconexión radial [hub & spoke]) y la empresa planea reconfigurar su arquitectura de Lotus Notes para aprovechar la red de interconexión total. Ejemplo 5: Caso práctico 3 Crawford and Company [basado en una entrevista con Analysys Research] Resistencia al spoofing Los entornos MPLS son seguros contra el spoofing de etiquetas dado que la interfaz entre el router de extremo del cliente y el del proveedor de servicios es IP puro sin etiquetas. Éstas se añaden dentro del router de extremo del proveedor de servicios basándose en la interfaz física en la que se reciben los paquetes; los paquetes recibidos del exterior con etiquetas sometidas a spoofing serán ignorados.

11 La seguridad en las VPNs basadas en MPLS puede mejorarse Mientras la mayoría de las VPNs basadas en MPLS proporcionan una base excelente de características de seguridad de red, las empresas con fuertes requisitos de este tipo pueden aumentarlas con la implementación de una serie de opciones adicionales de configuración de red, arquitectura y cifrado de datos. Arquitectura de red con acceso VPN y a Internet independientes Para reducir todavía más el potencial de ataques de denegación de servicio desde Internet, las empresas pueden desplegar una arquitectura de red en la que se separe el acceso para las VPNs y el de Internet, ya sea físicamente mediante la utilización de routers independientes, o lógicamente, separando ambos tipos de tráfico en el router y las líneas de acceso. La seguridad aumentará si la separación se realiza físicamente, mediante routers independientes para la VPN que no puedan caer ante ataques procedentes de Internet; no obstante, esto también aumentará el coste. Cifrado de datos Con el fin de garantizar la confidencialidad, integridad y autenticidad de los datos, las empresas pueden desplegar tecnologías criptográficas adicionales de extremo de cliente a extremo de cliente como la seguridad IP (IP Sec) en combinación con la VPN basada en MPLS ya que MPLS e IPSec son tecnologías complementarias que trabajan bien juntas. Los clientes deben examinar detenidamente lo que les ofrecen los proveedores de servicios En resumen, y tal y como puede apreciarse en el Ejemplo 6, las VPNs basadas en MPLS pueden ofrecer una seguridad comparable, e incluso superior, a la de las VPNS tradicionales basadas en Frame Relay o ATM. MPLS ATM-FR Enrutamiento y separación Sí Sí de tráfico Ocultación del núcleo de la Sí Sí infraestructura Resistencia ante ataques Sí Sí Resistencia a spoofing de Sí Sí etiquetas Cifrado de datos Opcional Opcional Ejemplo 6: comparación entre VPNs basadas en MPLS y VPNs basadas en ATM/FR [Fuente: Analysys Research, 2005] Aún así, la utilización de cualquier red VPN compartida requiere un determinado nivel de confianza en el proveedor de servicios. Además, MPLS es un desarrollo relativamente nuevo en la entrega de servicios gestionados, si bien es cierto que las grandes corporaciones y organizaciones del sector público están adoptando esta tecnología con rapidez. Cualquier organización que esté considerando la posibilidad de pasar de VPNs tradicionales basadas en Frame Relay o ATM a VPNs basadas en MPLS debe por tanto valorar las capacidades del proveedor de servicios en una serie de áreas: Qué enfoque toma el proveedor de servicios para asegurar su núcleo de red, así como sus centros de datos y de conmutación? Si se requieren niveles de seguridad muy altos, ofrece el proveedor de servicios IPSec sobre MPLS para la VPN? Puede utilizarse un router de extremo del proveedor de servicios que no soporte el acceso a Internet?

12 Easynet Ltd London Office 1 Brick Lane, Londres, E1 6PU Tel: Fax: solutions@uk.easynet.net URL: Easynet Belgium Gulledelle 92, 1200 Bruselas, Bélgica Tel: info@be.easynet.net URL: Easynet France SA 69 rue Beaubourg, París, Francia Tel: info@fr.easynet.net URL: Easynet GmbH Harburger Schlossstr. 1, D Hamburgo, Alemania Tel: info@de.easynet.net URL: Easynet Italia S.p.A. Viale Fulvio Testi, Milán, Italia Tel: sales@it.easynet.net URL: Easynet Netherlands Joop Geesinkweg AV Ámsterdam Tel: +31 (0) info@nl.easynet.net URL: Easynet España, S.A.U. C/ Albasanz, 71 2ª Planta Madrid Tel: +34 (91) info@es.easynet.net URL: Easynet AG Hardturmstrasse Zurich, Suiza Tel: info@ch.easynet.net URL: Easynet la empresa paneuropea líder en redes de banda ancha Nótese que cualquier figura que se cite está sujeta a contrato y que ninguna parte del contenido del presente documento puede entenderse como vinculante para Easynet o cualquier empresa asociado salvo que así se confirme mediante la emisión de un documento contractual formal o un Formulario de pedido. Easynet no acepta ninguna responsabilidad por la precisión de la información ni por los errores u omisiones que pueda contener este documento.