Atrás 
Este blog forma parte de la serie en curso "I&O Perspectivas", que presenta las opiniones de expertos del sector sobre el impacto de las amenazas actuales, las redes y otras tendencias en ciberseguridad.
A medida que me embarco en un puesto de Nuevo con el equipo de ingeniería de Netskope Plataforma, estoy ansioso por explorar cómo la visión de nuestra empresa da forma a la evolución de la seguridad de las redes empresariales. Este primer artículo de una serie es un testimonio de mi introspección técnica, presentando los antecedentes, los desafíos y las necesidades que condujeron a SASE, el perímetro de servicio de acceso a la seguridad.
Durante el último cuarto de siglo, las empresas han reconocido gradualmente que Internet es un medio fiable de transporte de aplicaciones. El trabajo remoto aceleró aún más este cambio, transformando el espacio de trabajo en un entorno sin fronteras. Junto con el auge de las aplicaciones de SaaS corporativo, esto ha llevado a una nueva era de conectividad.
Sin embargo, en esta nueva era , Internet se ha convertido en un vector crítico para las amenazas cibernéticas. A medida que las organizaciones dependen más de Internet para su conectividad, se enfrentan a una mayor exposición a amenazas sofisticadas, como violaciones de datos, malware y ataques de phishing. SASE surgió como respuesta a las limitaciones de los modelos tradicionales de redes y seguridad.
Con todo esto en mente, hagamos un recorrido por la historia reciente de las WAN para comprender la dirección en la que se dirigen la seguridad y las redes.
La evolución de la red de área amplia da forma a nuestro presente y futuro
En el año 2000, antes del estallido de la burbuja de Internet, Cisco Systems tenía la mayor capitalización de mercado del mundo, siendo el líder indiscutible en el sector de las redes empresariales. Los productos de seguridad en Internet fueron insignificantes en los estados de ingresos de Cisco, contribuyendo solo con una pequeña fracción de sus ventas. En general, la ciberseguridad sigue siendo un sector relativamente pequeño. Las redes corporativas e Internet solían existir como dos silos distintos, una separación que proporcionaba inherentemente seguridad sin necesidad de encriptación.
Las redes troncales de red de área amplia (WAN), que, por definición, se ejecutaban en una infraestructura física privada, dependían de líneas y protocolos punto a punto dedicados heredados, como Frame Relay y ATM.
Además, las aplicaciones en la nube no eran tan críticas para las empresas. Además del Correo electrónico, las comunicaciones electrónicas y los recursos informáticos eran principalmente privados.
Algunos de los primeros usuarios comenzaron a usar más túneles de sitio a sitio IPsec para la copia de seguridad de WAN y la descarga del tráfico de baja prioridad a través de Internet. Recuerdo haber demostrado tal implementación para una gran corporación en 2002, pero no fue más allá de una prueba de concepto. En ese momento, Internet de mejor esfuerzo no se consideraba elegible para transportar tráfico corporativo confidencial. Hoy en día, esto ha evolucionado con una calidad de servicio inteligente y una orquestación dentro de una interfaz gráfica, que representa la parte SD-WAN de SASE.
La red privada virtual (VPN) de conmutación de etiquetas multiprotocolo (MPLS), una solución genuina orientada a IP, fue la estrella en ascenso.
MPLS y VRF: Mejora del enrutamiento IP y el aislamiento de red
MPLS es un conjunto de protocolos de conmutación central diseñados para acelerar el enrutamiento IP. Combina las ventajas de IP y ATM.
Los operadores y proveedores de red desarrollaron la aplicación VPN de MPLS para proporcionar aislamiento de red en la capa 3. En una red MPLS-VPN, cada VPN es un contexto de enrutamiento privado. Los clientes compran uno o varios contextos de VPN para segregar sus entornos de enrutamiento WAN en la misma infraestructura física.
El tráfico a través de MPLS-VPN generalmente no está encriptado y la red es de confianza. En la mayoría de los casos, estas instancias de VPN se convirtieron naturalmente en extensiones de larga distancia de las VLAN de la red de área local. Las máquinas con el mismo perfil de uso se ubicarían en los mismos segmentos de LAN y VPN.
El impacto de los SLA en la diferenciación de MPLS-VPN de los servicios de Internet
Para las empresas (o al menos para sus departamentos jurídicos), la principal métrica de calidad eran los SLA y las penalizaciones que conllevan. En otras palabras, ¿cómo pueden las sanciones ser lo suficientemente dañinas para los proveedores de servicios como para cuidar e igualar una calidad de servicio decente?
En las redes MPLS-VPN, la entrega de paquetes, los retrasos de ida y vuelta y la disponibilidad del servicio están sujetos a los SLA. Por el contrario, la mayoría de los servicios de Internet solo ofrecen SLA de tiempo de restauración o disponibilidad. Estos elementos contractuales han sido el argumento clave para que las empresas de telecomunicaciones diferencien MPLS-VPN de IPsec a través de Internet.
Los SLA no se aplican cuando el enlace se ha roto debido a un evento de fuerza mayor: desastres naturales, actos de guerra, acciones gubernamentales y pandemias, entre otros. Por ejemplo, si una excavadora corta un cable de fibra, e incluso si no se considera un evento de fuerza mayor, no importa si el servicio es Internet o MPLS-VPN. Solo hay una pequeña posibilidad de que el proveedor restaure el enlace dentro del tiempo de SLA.
Creación de redes resilientes y capaces: cumplimiento de los acuerdos de nivel de servicio en medio de limitaciones complejas
Para respaldar los SLA, la resiliencia y la gestión de la capacidad siempre han sido temas frecuentes al diseñar redes de comunicación. Estos atributos se basan fundamentalmente en garantizar que la red sea extensa, redundante, rápida y ágil para satisfacer las expectativas de los clientes en cualquier condición de red. Sin embargo, lograr esto implica navegar por un conjunto complejo de restricciones, como:
- Múltiples rutas disponibles entre dos puntos.
- Cada enlace tiene su propia gestión de capacidad.
- Las rutas de copia de seguridad deben restaurarse lo suficientemente rápido como para preservar las sesiones en curso (por ejemplo, una llamada telefónica) sin que los usuarios se den cuenta de que una ruta se cae.
- Con IP, no todas las aplicaciones (como la voz) tienen ancho de banda reservado. La red puede limitar las aplicaciones de baja prioridad durante los eventos de congestión, pero no en exceso.
Los enfoques en las redes troncales privadas como MPLS y la red de Internet compartida son, naturalmente, profundamente diferentes. Internet siempre se ha considerado el "mejor esfuerzo", mientras que MPLS-VPN garantiza la calidad del servicio. Sin embargo, los usuarios esperan que Internet ofrezca un servicio decente en la mayoría de las condiciones de la red. La competencia entre los proveedores de servicios de Internet ha impulsado mejoras en la calidad. Las técnicas y herramientas para gestionar la capacidad de Internet han avanzado significativamente
También se han invertido muchos esfuerzos en enriquecer el arsenal de técnicas de ingeniería de tráfico en protocolos IP y entornos MPLS, incluida la gestión de la capacidad en línea, las reservas de ancho de banda, las prioridades de las aplicaciones, las rutas de extremo a extremo, el redireccionamiento rápido y más.
La buena noticia es que MPLS, como tecnología troncal, es ahora el operador subyacente para todo, desde redes móviles hasta Internet, y algunos de estos esfuerzos también benefician a Internet, no solo MPLS-VPN.
El auge de Internet: de necesidad doméstica a columna vertebral corporativa
Para los consumidores, Internet rápidamente comenzó a proporcionar un uso tan valioso que pronto se convirtió en imprescindible suscribirse a un servicio de Internet en casa. Algunos de estos ejemplos incluyen el correo electrónico personal, las compras en línea, los motores de búsqueda, el contenido enciclopédico, las redes sociales