El Martes, 23 de Mayo de 2006 21:23, Roldyx escribió:
> Iñaki:
> No es cuestion de complejidad, operan a distintos niveles.
> Si uno quiere hacer algo pero para un empresa, algo profesional, lo mejor
> es openswan (vpn usando ipsec).
<ironic mode=on>
Vaya, entonces tendré que quitar mis instalaciones de OpenVPN y poner IPsec...
snif.
</ironic>
> Openvpn usa ssl y es mucho mas facil de integrar.
No es que sea más fácil, es que IPsec NO fue diseñado para hacer VPN's, fue
diseñado para ofrecer seguridad y autenticidad de origen en IPv6, y
posteriormente fue portado a IPv4 y aprovechado también para hacer VPN's de
manera infernal.
Luego apareció OpenSwan (FreeSwan) que es otra implementación de IPsec, más
humana pero con las mismas limitaciones.
En una ocasión tuve que crear una VPN entre dos máquinas ambas con IP
dinámica. Oí de gente que lo había hecho con FreeSwan creando scripts que
detectan el cambio de IP y modifican en consecuencia los ficheros de FreeSwan
y reinician el servicio... y de repente encontré OpenVPN, donde hacer lo que
quería era ridículamente fácil.
Para mí que algo sea más flexible significa que es mejor. No creo que nadie
pueda aportar pruebas de que IPsec es más "robusto" o estable que OpenVPN, o
de que funciona mejor, o de que da manos latencia, etc.
La única ventaja de IPsec es que es la VPN que implementan diversos routers,
nada más (que yo sepa).
En cambio desventajas de IPsec hay muchas:
- Los equipos que hacen la VPN no pueden estar detrás de un NAT, ambos
extremos deben estar directamente expuestos a internet (con esto eliminamos
ya un montón de escenarios y posibilidades).
- La configuración es infernal (que si racoon , que si setkey, varios ficheros
de configuración...).
- No vale para IP's dinamicas porque necesita valores de IP's y no sabe
consultar dominios.
No obstante estoy seguro de que mucha gente se siente más cómoda con IPsec, de
acuerdo, pero para reconocer que IPsec es mejor yo pido pruebas y
justificaciones.
PD: Las VPN's que he puesto hasta ahora con OpenVPN funcionan de fábula.
Saludos.
--
Por el bien de todos respetemos las normas de la lista:
http://wiki.debian.org/NormasLista