Lista de Verificación para Configuración de VPN Sitio a Sitio (Cloud ↔ Local)

Descripción General de la Arquitectura

Conecta redes locales a VPC en la nube mediante túneles IPsec cifrados que terminan en puertas de enlace VPN de la nube y dispositivos de puerta de enlace del cliente.

Paso a Paso (Terminología de AWS; Adaptable a Azure/GCP)

1. Puerta de Enlace VPN de la Nube

• Crea una Puerta de Enlace Privada Virtual (VGW) o Puerta de Enlace de Tránsito (TGW) por región.
• Conéctala a las VPC de destino. Anota las IP públicas asignadas.

2. Puerta de Enlace del Cliente (Local)

• Define el objeto Puerta de Enlace del Cliente: IP pública del cortafuegos/enrutador local (se prefiere IP estática).
• Una por dispositivo/ubicación física.

3. Conexión VPN (Túnel)

• Crea una Conexión VPN que vincule VGW/TGW ↔ Puerta de Enlace del Cliente.
• Elige enrutamiento Estático o BGP. Se prefiere BGP para conmutación por error y propagación de rutas.
• Configura IPsec: IKEv2, AES-256, SHA-256, Grupo DH 14+, PFS habilitado.
• Genera una Clave Compartida Previamente (o sube un certificado).
• Descarga el archivo de configuración para la CLI específica del proveedor (Cisco ASA, Palo Alto, FortiGate, Juniper, Ubiquiti, etc.).

4. Configuración del Dispositivo Local

• Aplica la configuración descargada: interfaz de túnel, mapa criptográfico, ACL, exenciones NAT.
• Habilita Detección de Par Muertos (DPD) / keepalives.
• Configura Clampado de MSS TCP (1350–1380) para evitar fragmentación.

5. Enrutamiento y Seguridad

• Tablas de enrutamiento de VPC: agrega una ruta CIDR local → VGW/TGW.
• Local: agrega una ruta CIDR de nube → interfaz de túnel.
• Grupos de seguridad / NACL / políticas de cortafuegos: permite los puertos requeridos (por ejemplo, 3389, 22, 443, 1433, replicación de AD).

6. Validación y Monitoreo

• ping / traceroute desde local hacia la instancia de nube (IP privada).
• Verifica el estado BGP Establecido; propagación de rutas en ambos sentidos.
• Habilita CloudWatch / Azure Monitor / Cloud Logging para estado del túnel, rendimiento y errores de repetición.
• Configura alertas: túnel caído > 1 min, ancho de banda > 80 % de capacidad.

Errores Comunes

• CIDR superpuestos (usa bloques RFC1918 únicos o NAT)
• Enrutamiento asimétrico (asegúrate de que la ruta de regreso coincida)
MTU desigual (configura 1400–1450 en la interfaz de túnel)
• Un solo túnel = punto único de falla; implementa dos túneles por conexión (predeterminado de AWS).