OpoSERGASQué cubre el tema y dónde se confunde
En el programa específico de Técnico especialista de sistemas y TI (C1), las VPN están en el tema 23 del Anexo II del DOG núm. 126, de 5 de julio de 2021: «Seguridad en entornos de red privados. Servicios de directorio. Gestión de identidades. Single sign-on. Acceso remoto. VPN. Protección de la seguridad en los diferentes elementos de la infraestructura TIC». El enunciado no nombra IPsec, OpenVPN ni WireGuard, pero son la base para resolver las preguntas de VPN. Las dudas típicas: tipos de VPN, AH frente a ESP, modos de IPsec, puertos de IKE y NAT-T, split tunneling y requisitos del ENS.
Cómo cae este tema en el examen
En el banco de OpoSERGAS hay más de 60 preguntas de este tema. Tenemos clasificadas 4 preguntas de exámenes oficiales: 2 de OPE 2025 · Específica (resp. provisionales, es decir, con plantilla provisional) y 2 de otros exámenes oficiales de TI incluidos en el banco: 1 de TI Superior (A1) · Mar 2025 y 1 de TI Superior (A1) · Xuñ 2026. De las más de 700 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 27,3 % fueron fallos.
Según nuestro temario, las dos preguntas clasificadas del examen del 24/10/2026 son casos prácticos: un usuario conectado por VPN que no llega a su impresora local pero sí a los sistemas del hospital, y qué solución permite a una empresa externa acceder de forma segura a servidores internos.
Las dudas que más confunden
¿Qué diferencia hay entre una VPN site-to-site y una de acceso remoto?
La site-to-site une dos redes completas a través de pasarelas (gateways) y los equipos no necesitan cliente; la de acceso remoto conecta a un usuario individual con la red corporativa mediante un cliente instalado en su dispositivo. Si el enunciado habla de «una empresa externa que accede desde sus oficinas», piensa en una VPN entre redes; si habla de teletrabajo, en acceso remoto. Para la comparativa de tecnologías completa tienes la guía de VPN: IPsec, SSL/TLS y WireGuard.
¿Qué protocolo de IPsec cifra: AH o ESP?
Cifra ESP. El ESP se identifica con el número de protocolo IP 50 y ofrece confidencialidad, autenticación del origen e integridad; el AH es el protocolo IP 51 y está diseñado para autenticar, no para cifrar. La RFC 4301 añade que la mayoría de los requisitos de seguridad se cubren con ESP por sí solo.
¿Qué se protege en modo transporte y qué en modo túnel?
Según la RFC 4301, en modo transporte AH y ESP protegen sobre todo los protocolos de la capa superior; en modo túnel se aplican a paquetes IP completos que viajan encapsulados. En la práctica, el modo túnel es el de las pasarelas que unen redes, porque el paquete original queda dentro de otro con la dirección de la pasarela.
¿Existen «fase 1» y «fase 2» en IKEv2?
Son la terminología de IKEv1. La RFC 7296 (IKEv2) llama a las primeras fases «IKE_SA_INIT» e «IKE_AUTH»: normalmente son cuatro mensajes que establecen la SA de IKE y la primera SA hija (Child SA); después hay intercambios CREATE_CHILD_SA e INFORMATIONAL. La propia RFC 7296 dice que IKE_SA_INIT e IKE_AUTH son lo que en IKEv1 se llamaba fase 1, y que parte de la función de CREATE_CHILD_SA era la fase 2 de IKEv1.
¿Qué hacen los puertos UDP 500 y 4500, y qué puerto usa ESP?
ESP no usa puerto, porque no es TCP ni UDP: es un protocolo IP. IKE escucha normalmente en UDP 500 y puede usar también UDP 4500 (RFC 7296). Para atravesar un NAT, la RFC 3948 encapsula los paquetes ESP en UDP y deja fuera a AH, pues la protección de las direcciones IP externas de AH es incompatible con el NAT.
¿Qué distingue a una VPN SSL/TLS, a OpenVPN y a WireGuard?
Una VPN «SSL» se apoya en TLS (la RFC 8446 define la versión 1.3) y suele publicarse en TCP 443, el puerto por defecto de HTTPS, lo que simplifica el paso por cortafuegos y NAT. OpenVPN usa TLS para autenticar; según su manual de referencia, el puerto por defecto es el 1194 (asignación oficial de IANA), admite TCP y UDP, y sus dispositivos virtuales son TUN (IP, nivel 3) y TAP (Ethernet, nivel 2). WireGuard encapsula en UDP con ChaCha20Poly1305 y, según su whitepaper, puede implementarse en Linux en menos de 4.000 líneas.
¿Qué es el split tunneling?
Es una opción del cliente VPN, no un protocolo. Con el túnel completo todo el tráfico del equipo va por la VPN; con split tunneling solo va por ella el tráfico de ciertas redes. En OpenVPN, la opción redirect-gateway redirige todo el tráfico saliente por la VPN. Un usuario en túnel completo puede acceder al hospital y perder su impresora local, porque el tráfico hacia la red doméstica también se envía al túnel, salvo que el cliente lo permita.
¿Qué exige el ENS para la VPN y el acceso remoto?
El Anexo II del Real Decreto 311/2022 contiene estos requisitos, que se piden por su identificador:
| Medida | Qué exige |
|---|---|
| mp.com.2 | Redes privadas virtuales cifradas cuando la comunicación discurra fuera del propio dominio de seguridad; en nivel medio se añaden algoritmos autorizados por el CCN (R1); en alto, también hardware (R2) y productos certificados (R3) |
| op.acc.4.5 | Política específica de acceso remoto, con autorización expresa |
| op.acc.6 R8 | Doble factor para el acceso desde o a través de zonas no controladas, como Internet |
| op.acc.6 R9 | Acceso remoto, en todos los niveles: autorizado, con tráfico cifrado, inhabilitado si no se usa de forma constante y con registros de auditoría |
Identificadores que no hay que mezclar
| Elemento | Identificador | Función |
|---|---|---|
| ESP | Protocolo IP 50 | Cifra y autentica |
| AH | Protocolo IP 51 | Autentica, no cifra; no apto para NAT |
| IKE | UDP 500 (y 4500) | Negocia las SA y las claves |
| NAT-T | UDP 4500 | Encapsula ESP para atravesar NAT |
| VPN TLS habitual | TCP 443 | Acceso remoto sobre TLS |
| OpenVPN | 1194 por defecto, TCP o UDP | TUN (nivel 3) o TAP (nivel 2) |
| WireGuard | UDP, puerto configurable | Criptografía fija, código reducido |
Truco para recordarlo
Regla casera, no una sigla oficial: split es «partir»: con split tunneling activado, el tráfico se parte y lo de casa (la impresora) sale por casa; con el túnel completo, todo entra en el túnel. Para los modos de IPsec, imagina una carta: en transporte cambias el contenido de dentro del sobre; en túnel metes la carta entera en un sobre nuevo con otra dirección.
Tres preguntas tipo test
1. ¿Qué protocolo de IPsec aporta confidencialidad del tráfico?
A) AH, protocolo IP 51. B) ESP, protocolo IP 50. C) IKE, UDP 500. D) Ninguno: IPsec no cifra.
Solución: B. ESP puede cifrar. AH solo autentica, IKE negocia claves y asociaciones de seguridad, y IPsec sí puede cifrar.
2. Una pasarela IPsec con ESP está detrás de un NAT y los paquetes no pasan. ¿Qué mecanismo lo resuelve?
A) Cambiar a AH. B) NAT-T, que encapsula ESP en UDP (puerto 4500). C) Abrir el puerto TCP 50. D) Cambiar de modo túnel a modo transporte.
Solución: B. La RFC 3948 define la encapsulación UDP de ESP. AH es incompatible con NAT, el 50 es un número de protocolo IP, no un puerto TCP, y cambiar de modo no resuelve el NAT.
3. En IKEv2, ¿cuántos mensajes tiene normalmente el intercambio inicial (IKE_SA_INIT e IKE_AUTH)?
A) Dos. B) Cuatro. C) Seis. D) Nueve.
Solución: B. Son dos pares de petición y respuesta, es decir, cuatro mensajes. Las cifras de seis o de otro número no corresponden a este intercambio básico de IKEv2.
Preguntas frecuentes
¿Qué protocolo de IPsec cifra el tráfico, AH o ESP?
ESP (protocolo IP 50), que puede aportar confidencialidad además de autenticación e integridad. AH (protocolo IP 51) autentica pero no cifra.
¿Cuál es el puerto de ESP?
ESP no tiene puerto: es un protocolo IP, el número 50. Los puertos UDP 500 y 4500 son de IKE y de la encapsulación UDP que se usa con NAT.
¿Qué es el split tunneling?
Una configuración del cliente VPN por la que solo parte del tráfico va por el túnel y el resto sale directo. Con el túnel completo (full tunnel) todo el tráfico, incluido el de la red local, pasa por la VPN.
¿Qué diferencia hay entre TUN y TAP en OpenVPN?
TUN encapsula paquetes IP (nivel 3) y TAP encapsula tramas Ethernet (nivel 2). Los dos extremos deben usar el mismo tipo.
¿Exige el ENS usar una VPN?
Exige redes privadas virtuales cifradas cuando la comunicación discurre fuera del propio dominio de seguridad (medida mp.com.2), y fija requisitos para el acceso remoto en op.acc.4 y op.acc.6.
Referencias
- Resolución de 18 de junio de 2021, Anexo II, tema 23 del programa específico de Técnico especialista: DOG núm. 126, de 5/07/2021.
- RFC 4301 (arquitectura de IPsec), RFC 4302 (AH), RFC 4303 (ESP), RFC 7296 (IKEv2), RFC 3948 (encapsulación UDP de ESP) y RFC 8446 (TLS 1.3), en rfc-editor.org.
- Real Decreto 311/2022, de 3 de mayo, Esquema Nacional de Seguridad, Anexo II: mp.com.2, op.acc.4.5 y op.acc.6 (R8 y R9).
- Manual de referencia de OpenVPN 2.4 (opciones port, dev y redirect-gateway) y whitepaper de WireGuard (UDP, ChaCha20Poly1305, menos de 4.000 líneas).
Sigue practicando
Consulta la oposición de Técnico de Sistemas TI, la comparativa de VPN IPsec, SSL/TLS y WireGuard y el resumen de DMZ, WAF y proxy inverso. Para practicar las preguntas de este tema, crea tu cuenta.