La tunelización dividida es un concepto de red informática que permite a un usuario acceder a dominios de seguridad diferentes , como una red pública (por ejemplo, Internet) y una red de área local o una red de área amplia al mismo tiempo, utilizando las mismas conexiones de red o diferentes. Este estado de conexión suele facilitarse mediante el uso simultáneo de un controlador de interfaz de red LAN (NIC), una NIC de radio, una NIC de LAN inalámbrica (WLAN) y una aplicación de software cliente VPN sin el beneficio de un control de acceso .
Por ejemplo, supongamos que un usuario utiliza un cliente de software VPN de acceso remoto que se conecta a una red del campus mediante una red inalámbrica de hotel . El usuario con la tunelización dividida habilitada puede conectarse a servidores de archivos , servidores de bases de datos , servidores de correo y otros servidores en la red corporativa a través de la conexión VPN. Cuando el usuario se conecta a recursos de Internet ( sitios web , sitios FTP , etc.), la solicitud de conexión sale directamente por la puerta de enlace proporcionada por la red del hotel. Sin embargo, no todas las VPN permiten la tunelización dividida. Algunas VPN con tunelización dividida incluyen Private Internet Access (PIA), ExpressVPN , Surfshark y NordVPN [1]
La tunelización dividida a veces se clasifica según su configuración. Un túnel dividido configurado para tunelizar solo el tráfico destinado a un conjunto específico de destinos se denomina túnel de inclusión dividida . Cuando se configura para aceptar todo el tráfico excepto el tráfico destinado a un conjunto específico de destinos, se denomina túnel de exclusión dividida . [2] [3] [4]
Una ventaja de utilizar túnel dividido es que alivia los cuellos de botella y conserva el ancho de banda, ya que el tráfico de Internet no tiene que pasar por el servidor VPN.
Otra ventaja es que, en el caso de que un usuario trabaje en las instalaciones de un proveedor o socio y necesite acceder a los recursos de red de ambas redes, la tunelización dividida evita que el usuario tenga que conectarse y desconectarse continuamente.
Una desventaja es que cuando se habilita la tunelización dividida, los usuarios pasan por alto la seguridad a nivel de puerta de enlace que podría estar implementada dentro de la infraestructura de la empresa. [5] Por ejemplo, si hay filtrado web o de contenido implementado, esto es algo que generalmente se controla a nivel de puerta de enlace, no en la PC cliente.
Los ISP que implementan el secuestro de DNS rompen la resolución de nombres de direcciones privadas con un túnel dividido.
Una variante de este túnel dividido se denomina túnel dividido "inverso". De manera predeterminada, todos los datagramas ingresan al túnel, excepto las direcciones IP de destino permitidas explícitamente por la puerta de enlace VPN. Los criterios para permitir que los datagramas salgan de la interfaz de red local (fuera del túnel) pueden variar de un proveedor a otro (es decir, puerto, servicio, etc.). Esto mantiene el control de las puertas de enlace de red en un dispositivo de políticas centralizado, como el terminador VPN. Esto se puede aumentar con tecnologías de aplicación de políticas de punto final, como un firewall de interfaz en el controlador de interfaz de red del dispositivo de punto final, un objeto de política de grupo o un agente antimalware . Esto está relacionado de muchas maneras con el control de acceso a la red (NAC). [6]
Una forma de túnel dividido que deriva las direcciones IP que se incluirán o excluirán en tiempo de ejecución en función de una lista de reglas y políticas de nombres de host . [Túnel dividido dinámico] (DST) [7]
El contenido IPv6 interno se puede alojar y presentar a los sitios a través de un rango de direcciones locales único en el nivel de VPN, mientras que se puede acceder al contenido IPv4 e IPv6 externo a través de enrutadores del sitio.
