· Actualitzat el
Xarxa de malla privada o VPN tradicional: quina necessites
Una xarxa de malla privada connecta cada dispositiu amb els altres en directe, xifrat amb WireGuard, sense passar per una passarel·la central ni obrir ports. Una VPN tradicional concentra tot el trànsit en un servidor que desxifra, filtra i reenvia. La malla guanya en latència i superfície exposada; la VPN clàssica, quan vols un únic punt de sortida controlat.
L'arquitectura de les VPN tradicionals
En una configuració de VPN tradicional, un servidor central actua com a passarel·la. Quan un dispositiu client, com ara un ordinador portàtil o un telèfon, es vol comunicar amb un altre recurs, primer ha d'establir un túnel xifrat cap a aquesta passarel·la central. La passarel·la desxifra el trànsit i el reenvia a la destinació. Si dos dispositius remots han d'intercanviar dades, els paquets han de viatjar des del primer dispositiu fins al servidor central, i després des del servidor central al segon dispositiu. Aquest patró d'encaminament, sovint anomenat estrella (hub-and-spoke), pot introduir una latència significativa i crea un único punt de fallada a la passarel·la central, que ha de processar tot el trànsit de la xarxa.
Com funciona una xarxa de malla privada
Una xarxa de malla privada, com la que implementa prialo, funciona sobre una base de parell a parell (peer-to-peer). En lloc d'encaminar totes les dades a través d'un concentrador central, los dispositius estableixen connexions xifrades directes entre si. En instal·lar el programari en un Mac, un telèfon o un servidor Linux, a cada dispositiu se li assigna una adreça IP única dins del rang compartit 100.64.x.x. Aquest rang forma part de l'espai d'adreces compartit definit a la norma RFC 6598, que està específicament dissenyat per a entorns de traducció d'adreces de xarxa de nivell d'operador (CGNAT), cosa que garanteix que aquestes adreces privades no entrin en conflicte amb els rangs estàndard de les xarxes locals de lars o oficines.
La coordinació d'aquestes connexions es gestiona mitjançant un pla de control, que ajuda els nodes a descobrir les adreces IP públiques dels altres i a negociar rutes directes. Una vegada establerta la connexió, el trànsit real del pla de dades flueix directament entre els dispositius utilitzant el protocol WireGuard per al xifrat. Això vol dir que les dades confidencials mai no passen a través d'un servidor intermediari, cosa que preserva la privadesa i maximitza el rendiment admès per les connexions físiques a internet dels dispositius participants.
Diferències clau en l'encaminament i la seguretat
Les diferències fonamentals entre aquestes dues arquitectures es poden categoritzar en diverses àrees, destacant com l'encaminament directe altera la seguretat i el rendiment:
- Eficiència de la ruta: Les xarxes de malla encaminen els paquets directament entre parells, cosa que redueix la latència en comparació amb l'encaminament a través d'una passarel·la central distant.
- Sense ports exposats: Els dispositius no necessiten ports públics oberts als tallafocs per acceptar connexions entrants, ja que el mecanisme de coordinació facilita el trànsit a través de la traducció d'adreces de xarxa (NAT) utilitzant tècniques modernes de perforació de ports (hole punching).
- Reducció del punt únic de fallada: Tot i que s'utilitza un servidor de coordinació central per intercanviar els detalls de la connexió, el trànsit de dades real no hi passa. Si el servidor de coordinació no està disponible temporalment, els túnels directes existents continuen funcionant sense interrupcions.
- Aïllament de recursos: L'accés es pot restringir a dispositius específics de la malla, evitant un moviment lateral més ampli per la xarxa i reduint el radi d'impacte d'un node compromès.
VPN amb passarel·la central o xarxa de malla WireGuard: taula comparativa
| Criteri | VPN tradicional amb passarel·la | Xarxa de malla WireGuard |
|---|---|---|
| Ruta del trànsit | Sempre pel servidor central, encara que els equips siguin a la mateixa ciutat | Directa entre dispositius; relay només si la NAT ho impedeix |
| Ports oberts | El servidor exposa un port públic; els clients, cap | Cap: tots els equips surten cap al pla de control |
| Qui desxifra el trànsit | La passarel·la el desxifra i el reenvia | Només el dispositiu de destinació; el relay no pot llegir-lo |
| Punt únic de fallada | La passarel·la: si cau, ningú no arriba a res | El pla de control només coordina i no veu el trànsit |
| Encaixa millor per a | Un únic punt de sortida controlat cap a Internet o una oficina | Arribar als teus propis equips siguin on siguin |
Casos d'ús: quan n'hi ha prou amb una VPN tradicional i quan cal una malla
- Teletreball cap a una oficina amb un sol salt: una VPN tradicional serveix si tot el que necessites és darrere d'aquella passarel·la i acceptes que tot el trànsit hi passi.
- Sortir a Internet amb la IP d'un altre país o de l'empresa: és feina de VPN clàssica; una malla connecta els teus dispositius entre ells, no canvia la teva IP de sortida.
- Servidors, NAS i portàtils repartits en diverses cases i xarxes: la malla els uneix amb una adreça fixa 100.64.x.x cadascun, sense obrir ports ni dependre d'IP fixes.
- Tècnics d'un MSP que arriben a servidors de clients darrere de CGNAT: la malla, amb rutes de subxarxa aprovades per l'administrador, evita exposar RDP o SSH al router del client.
- Mòbil que necessita el servidor de casa: la malla dóna el mateix resultat des de 5G o wifi, i amb un client SSH al mòbil la sessió arriba per l'adreça privada.
Aplicació pràctica en servidors Linux
Per als administradors de sistemes que gestionen servidors Linux juntament amb dispositius clients, la configuració d'un node en una xarxa de malla implica executar un dimoni en segon pla que gestiona la interfície de xarxa virtual. Una vegada activa, la interfície encamina automàticament el trànsit destinat al rang 100.64.0.0/10 a través de la malla xifrada. Per exemple, la verificació de l'estat del node local i les seves connexions actives amb els parells es pot realitzar mitjançant eines de línia d'ordres estàndard:
prialo statusAquesta ordre mostra les connexions actives amb els parells, les seves adreces 100.64.x.x assignades i els intercanvis criptogràfics actuals, garantint que els administradors puguin verificar la connectivitat directa. En utilitzar aquesta estructura en malla, els equips poden accedir de forma segura a serveis d'administració remots, com ara ports SSH o de bases de dades, sense exposar aquests serveis a la internet pública ni configurar regles de tallafocs complexes.
Preguntes freqüents
Una xarxa de malla privada substitueix la VPN de l'empresa?
Una xarxa de malla privada substitueix la VPN de l'empresa quan l'objectiu és arribar a equips concrets: servidors, panells interns, bases de dades. No la substitueix si el que busques és que tot el trànsit d'Internet surti per un punt controlat, perquè la malla no canvia la teva IP de sortida.
Per què una xarxa de malla no necessita obrir ports?
Una xarxa de malla no necessita obrir ports perquè cada dispositiu inicia ell la connexió cap al pla de control i cap als altres nodes, fent servir STUN per descobrir la seva adreça pública. Ningú no espera connexions entrants; quan la NAT impedeix el camí directe, un relay reenvia paquets que no pot desxifrar.
El pla de control de la malla veu el meu trànsit?
El pla de control de la malla no veu el trànsit: només coordina qui és qui, reparteix adreces 100.64.x.x i claus públiques i anota quan es connecta cada dispositiu. El contingut viatja xifrat amb WireGuard entre els dos extrems, i si passa per un relay aquest reenvia el que no pot llegir.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo