· Actualizado el
Red en malla privada frente a VPN tradicional: cuál necesitas
Una red en malla privada conecta cada dispositivo con los demás en directo, cifrado con WireGuard, sin pasar por una pasarela central ni abrir puertos. Una VPN tradicional concentra todo el tráfico en un servidor que descifra, filtra y reenvía. La malla gana en latencia y superficie expuesta; la VPN clásica, cuando quieres un único punto de salida controlado.
La arquitectura de las VPN tradicionales
En una configuración de VPN tradicional, un servidor central actúa como pasarela. Cuando un dispositivo cliente, como un ordenador portátil o un teléfono, quiere comunicarse con otro recurso, primero debe establecer un túnel cifrado hacia esta pasarela central. La pasarela descifra el tráfico y lo reenvía al destino. Si dos dispositivos remotos necesitan intercambiar datos, los paquetes deben viajar desde el primer dispositivo hasta el servidor central, y luego desde el servidor central al segundo dispositivo. Este patrón de enrutamiento, a menudo denominado estrella (hub-and-spoke), puede introducir una latencia significativa y crea un único punto de fallo en la pasarela central, que debe procesar todo el tráfico de la red.
Cómo funciona una red en malla privada
Una red en malla privada, como la implementada por prialo, funciona sobre una base de par a par (peer-to-peer). En lugar de enrutar todos los datos a través de un concentrador central, los dispositivos establecen conexiones cifradas directas entre sí. Al instalar el software en un Mac, un teléfono o un servidor Linux, a cada dispositivo se le asigna una dirección IP única dentro del rango compartido 100.64.x.x. Este rango forma parte del espacio de direcciones compartido definido en la norma RFC 6598, que está específicamente designado para entornos de traducción de direcciones de red de nivel de operador (CGNAT), lo que garantiza que estas direcciones privadas no entren en conflicto con los rangos estándar de las redes locales de hogares u oficinas.
La coordinación de estas conexiones se gestiona mediante un plano de control, que ayuda a los nodos a descubrir las direcciones IP públicas de los demás y a negociar rutas directas. Una vez establecida la conexión, el tráfico real del plano de datos fluye directamente entre los dispositivos utilizando el protocolo WireGuard para el cifrado. Esto significa que los datos confidenciales nunca pasan a través de un servidor intermediario, lo que preserva la privacidad y maximiza el rendimiento admitido por las conexiones físicas a internet de los dispositivos participantes.
Diferencias clave en el enrutamiento y la seguridad
Las diferencias fundamentales entre estas dos arquitecturas se pueden categorizar en varias áreas, lo que destaca cómo el enrutamiento directo altera la seguridad y el rendimiento:
- Eficiencia de la ruta: Las redes en malla enrutan los paquetes directamente entre pares, lo que reduce la latencia en comparación con el enrutamiento a través de una pasarela central distante.
- Sin puertos expuestos: Los dispositivos no necesitan puertos públicos abiertos en los cortafuegos para aceptar conexiones entrantes, ya que el mecanismo de coordinación facilita el tránsito a través de la traducción de direcciones de red (NAT) utilizando técnicas modernas de perforación de puertos (hole punching).
- Reducción del punto único de fallo: Aunque se utiliza un servidor de coordinación central para intercambiar los detalles de la conexión, el tráfico de datos real no pasa por él. Si el servidor de coordinación no está disponible temporalmente, los túneles directos existentes siguen funcionando sin interrupciones.
- Aislamiento de recursos: El acceso se puede restringir a dispositivos específicos de la malla, lo que evita un movimiento lateral más amplio en la red y reduce el radio de impacto de un nodo comprometido.
VPN con pasarela central o red en malla WireGuard: tabla comparativa
| Criterio | VPN tradicional con pasarela | Red en malla WireGuard |
|---|---|---|
| Ruta del tráfico | Siempre por el servidor central, aunque los equipos estén en la misma ciudad | Directa entre dispositivos; relay solo si la NAT lo impide |
| Puertos abiertos | El servidor expone un puerto público; los clientes, ninguno | Ninguno: todos los equipos salen hacia el plano de control |
| Quién descifra el tráfico | La pasarela lo descifra y lo reenvía | Solo el dispositivo de destino; el relay no puede leerlo |
| Punto único de fallo | La pasarela: si cae, nadie llega a nada | El plano de control solo coordina y no ve el tráfico |
| Encaja mejor para | Un único punto de salida controlado hacia Internet o una oficina | Llegar a tus propios equipos estén donde estén |
Casos de uso: cuándo basta una VPN tradicional y cuándo hace falta una malla
- Teletrabajo hacia una oficina con un solo salto: una VPN tradicional sirve si todo lo que necesitas está detrás de esa pasarela y aceptas que todo el tráfico pase por ella.
- Salir a Internet con la IP de otro país o de la empresa: es trabajo de VPN clásica; una malla conecta tus dispositivos entre ellos, no cambia tu IP de salida.
- Servidores, NAS y portátiles repartidos en varias casas y redes: la malla los une con una dirección fija 100.64.x.x cada uno, sin abrir puertos ni depender de IP fijas.
- Técnicos de un MSP que llegan a servidores de clientes tras CGNAT: la malla, con rutas de subred aprobadas por el administrador, evita exponer RDP o SSH en el router del cliente.
- Móvil que necesita el servidor de casa: la malla da el mismo resultado desde 5G o wifi, y con un cliente SSH en el móvil la sesión llega por la dirección privada.
Aplicación práctica en servidores Linux
Para los administradores de sistemas que gestionan servidores Linux junto con dispositivos clientes, la configuración de un nodo en una red en malla implica ejecutar un demonio en segundo plano que gestiona la interfaz de red virtual. Una vez activa, la interfaz enruta automáticamente el tráfico destinado al rango 100.64.0.0/10 a través de la malla cifrada. Por ejemplo, la verificación del estado del nodo local y sus conexiones activas con los pares se puede realizar mediante herramientas de línea de comandos estándar:
prialo statusEste comando muestra las conexiones activas con los pares, sus direcciones 100.64.x.x asignadas y los intercambios criptográficos actuales, lo que garantiza que los administradores puedan verificar la conectividad directa. Al utilizar esta estructura en malla, los equipos pueden acceder de forma segura a servicios de administración remotos, como puertos SSH o de bases de datos, sin exponer dichos servicios a la internet pública ni configurar reglas de cortafuegos complejas.
Preguntas frecuentes
¿Una red en malla privada sustituye a la VPN de la empresa?
Una red en malla privada sustituye a la VPN de la empresa cuando el objetivo es llegar a equipos concretos: servidores, paneles internos, bases de datos. No la sustituye si lo que buscas es que todo el tráfico de Internet salga por un punto controlado, porque la malla no cambia tu IP de salida.
¿Por qué una red en malla no necesita abrir puertos?
Una red en malla no necesita abrir puertos porque cada dispositivo inicia él la conexión hacia el plano de control y hacia los demás nodos, usando STUN para descubrir su dirección pública. Nadie espera conexiones entrantes; cuando la NAT impide el camino directo, un relay reenvía paquetes que no puede descifrar.
¿El plano de control de la malla ve mi tráfico?
El plano de control de la malla no ve el tráfico: solo coordina quién es quién, reparte direcciones 100.64.x.x y claves públicas y anota cuándo se conecta cada dispositivo. El contenido viaja cifrado con WireGuard entre los dos extremos, y si pasa por un relay este reenvía lo que no puede leer.
¿Prefieres tu propio servidor? Guía del paquete autoalojado de prialo