Xarxes de malla privades enfront de les VPN tradicionals
Una explicació de com les xarxes de malla privades encaminen el trànsit directament entre dispositius en comparació amb les VPN tradicionals.
Les xarxes privades virtuals (VPN) s'han utilitzat històricament per connectar usuaris remots amb la xarxa d'una oficina central o per encaminar el trànsit d'internet a través d'un servidor proxy segur. No obstant això, l'arquitectura d'aquestes xarxes tradicionals introdueix rutes d'encaminament específiques que poden no ser òptimes per a la comunicació directa de dispositiu a dispositiu. Una xarxa de malla privada ofereix una topologia alternativa en establir connexions directes i xifrades entre nodes individuals sense dependre d'una passarel·la central per retransmetre el trànsit. Aquest canvi estructural respon als requisits moderns en què les càrregues de treball es distribueixen en múltiples entorns, incloent ordinadors locals, servidors al núvol i dispositius mòbils.
L'arquitectura de les VPN tradicionals
En una configuració de VPN tradicional, un servidor central actua com a passarel·la. Quan un dispositiu client, com ara un ordinador portàtil o un telèfon, es vol comunicar amb un altre recurs, primer ha d'establir un túnel xifrat cap a aquesta passarel·la central. La passarel·la desxifra el trànsit i el reenvia a la destinació. Si dos dispositius remots han d'intercanviar dades, els paquets han de viatjar des del primer dispositiu fins al servidor central, i després des del servidor central al segon dispositiu. Aquest patró d'encaminament, sovint anomenat estrella (hub-and-spoke), pot introduir una latència significativa i crea un único punt de fallada a la passarel·la central, que ha de processar tot el trànsit de la xarxa.
Com funciona una xarxa de malla privada
Una xarxa de malla privada, com la que implementa prialo, funciona sobre una base de parell a parell (peer-to-peer). En lloc d'encaminar totes les dades a través d'un concentrador central, los dispositius estableixen connexions xifrades directes entre si. En instal·lar el programari en un Mac, un telèfon o un servidor Linux, a cada dispositiu se li assigna una adreça IP única dins del rang compartit 100.64.x.x. Aquest rang forma part de l'espai d'adreces compartit definit a la norma RFC 6598, que està específicament dissenyat per a entorns de traducció d'adreces de xarxa de nivell d'operador (CGNAT), cosa que garanteix que aquestes adreces privades no entrin en conflicte amb els rangs estàndard de les xarxes locals de lars o oficines.
La coordinació d'aquestes connexions es gestiona mitjançant un pla de control, que ajuda els nodes a descobrir les adreces IP públiques dels altres i a negociar rutes directes. Una vegada establerta la connexió, el trànsit real del pla de dades flueix directament entre els dispositius utilitzant el protocol WireGuard per al xifrat. Això vol dir que les dades confidencials mai no passen a través d'un servidor intermediari, cosa que preserva la privadesa i maximitza el rendiment admès per les connexions físiques a internet dels dispositius participants.
Diferències clau en l'encaminament i la seguretat
Les diferències fonamentals entre aquestes dues arquitectures es poden categoritzar en diverses àrees, destacant com l'encaminament directe altera la seguretat i el rendiment:
- Eficiència de la ruta: Les xarxes de malla encaminen els paquets directament entre parells, cosa que redueix la latència en comparació amb l'encaminament a través d'una passarel·la central distant.
- Sense ports exposats: Els dispositius no necessiten ports públics oberts als tallafocs per acceptar connexions entrants, ja que el mecanisme de coordinació facilita el trànsit a través de la traducció d'adreces de xarxa (NAT) utilitzant tècniques modernes de perforació de ports (hole punching).
- Reducció del punt únic de fallada: Tot i que s'utilitza un servidor de coordinació central per intercanviar els detalls de la connexió, el trànsit de dades real no hi passa. Si el servidor de coordinació no està disponible temporalment, els túnels directes existents continuen funcionant sense interrupcions.
- Aïllament de recursos: L'accés es pot restringir a dispositius específics de la malla, evitant un moviment lateral més ampli per la xarxa i reduint el radi d'impacte d'un node compromès.
Aplicació pràctica en servidors Linux
Per als administradors de sistemes que gestionen servidors Linux juntament amb dispositius clients, la configuració d'un node en una xarxa de malla implica executar un dimoni en segon pla que gestiona la interfície de xarxa virtual. Una vegada activa, la interfície encamina automàticament el trànsit destinat al rang 100.64.0.0/10 a través de la malla xifrada. Per exemple, la verificació de l'estat del node local i les seves connexions actives amb els parells es pot realitzar mitjançant eines de línia d'ordres estàndard:
prialo statusAquesta ordre mostra les connexions actives amb els parells, les seves adreces 100.64.x.x assignades i els intercanvis criptogràfics actuals, garantint que els administradors puguin verificar la connectivitat directa. En utilitzar aquesta estructura en malla, els equips poden accedir de forma segura a serveis d'administració remots, com ara ports SSH o de bases de dades, sense exposar aquests serveis a la internet pública ni configurar regles de tallafocs complexes.