VPN mesh · WireGuard · Redes
Una VPN mesh intenta conectar los dispositivos directamente entre sí en lugar de obligar a que todo el tráfico pase por un único servidor VPN central. Para conseguirlo necesita descubrir pares, intercambiar información de conectividad y atravesar NAT cuando sea posible.
- Diferencia entre hub-and-spoke y mesh.
- Qué hacen el plano de control y el plano de datos.
- Cómo se establecen enlaces directos detrás de NAT.
- Por qué existen relays aunque el diseño sea peer-to-peer.
Modelo clásico
Una VPN tradicional suele tener un punto central
En un diseño hub-and-spoke, los clientes se conectan a un servidor o gateway VPN. Para llegar a otro recurso, el tráfico pasa por ese nodo central.
Este modelo es fácil de razonar y controlar, pero el gateway puede convertirse en cuello de botella o añadir latencia cuando los endpoints están lejos del servidor.
Mesh
En una VPN mesh, los nodos intentan hablar directamente
Una red mesh crea relaciones entre pares. Si PC A necesita conectarse con PC B, el sistema intenta establecer un túnel cifrado directo entre ambos en vez de enviar todos los paquetes por un concentrador central.
No significa que todos los nodos deban enviar tráfico a todos los demás todo el tiempo. Significa que la plataforma puede construir rutas directas entre los pares que necesitan comunicarse, sujetas a políticas de acceso.
Coordinación
El plano de control ayuda a que los dispositivos se encuentren
Para crear enlaces directos, los dispositivos necesitan saber qué pares existen, qué claves utilizar, qué endpoints probar y qué políticas permiten la comunicación.
Ese trabajo suele pertenecer al plano de control. Un servicio de coordinación puede autenticar dispositivos y distribuir metadatos sin transportar necesariamente el contenido de cada sesión.
Una VPN mesh puede usar un servicio central para autenticación y descubrimiento mientras los paquetes de datos viajan directamente entre pares.
Tráfico
El plano de datos transporta los paquetes cifrados
Una vez que dos nodos conocen la información necesaria, intentan crear un canal cifrado. Productos como Tailscale utilizan WireGuard para proteger esas conexiones.
El servicio de coordinación no necesita descifrar el contenido de una conexión WireGuard entre endpoints. La criptografía del túnel protege los paquetes entre los pares.
Internet real
El reto principal es atravesar NAT y firewalls
En casa, una laptop suele tener una IP privada detrás de un router. Un teléfono puede estar detrás del NAT del operador. Ninguno de los dos tiene necesariamente un puerto público estable al que el otro pueda conectarse.
Las plataformas mesh utilizan técnicas de NAT traversal para descubrir endpoints y crear una ruta directa, habitualmente mediante UDP, sin requerir que configures manualmente port forwarding para cada dispositivo.
El éxito depende del tipo de NAT y de las políticas de las redes intermedias.
Fallback
Si la conexión directa falla, entra un relay
Una red empresarial, hotspot o CGNAT restrictivo puede impedir el enlace P2P. En ese caso, una VPN mesh puede usar un servidor relay para transportar paquetes cifrados entre los nodos.
En Tailscale, por ejemplo, existen conexiones directas, DERP relayed y Peer Relay. Las tres mantienen cifrado WireGuard de extremo a extremo; lo que cambia principalmente es el camino y el rendimiento.
El relay puede ver que transporta tráfico entre nodos, pero el contenido continúa protegido por el túnel de extremo a extremo.
Más allá del cliente
Una VPN mesh también puede conectar redes completas
Un nodo puede anunciar rutas hacia una LAN o VPC y actuar como gateway para dispositivos que no ejecutan el cliente. En Tailscale esto se denomina subnet router.
También puede existir un exit node que enruta el tráfico general de Internet de otros clientes. Son funciones diferentes: una anuncia redes privadas específicas y la otra actúa como salida.
Modelo de acceso
Mesh no debería significar “todos acceden a todo”
Una plataforma mesh moderna debe combinar cifrado con políticas. Aunque dos dispositivos pertenezcan a la misma red virtual, puedes limitar qué usuarios o nodos acceden a determinados puertos y servicios.
Esto permite un enfoque de mínimo privilegio mucho más granular que una VPN tradicional en la que conectarse al gateway equivale a entrar a una subred completa.
Latencia
Las conexiones directas suelen ser la ruta más eficiente
Si dos dispositivos pueden comunicarse P2P, evitan el desvío por un gateway distante. Esto puede reducir latencia y evitar que un único servidor central limite el ancho de banda agregado.
Cuando la conexión usa relay, el rendimiento dependerá de la ubicación, capacidad y ruta hasta ese relay. Por eso conviene comprobar si un enlace está siendo directo cuando necesitas transferencias grandes.
Aplicaciones
¿Dónde es útil una VPN mesh?
SSH, paneles y bases privadas desde cualquier red.
Conectar laptops y teléfonos sin port forwarding.
Unir VMs en distintos proveedores mediante direcciones privadas.
Conectar subredes sin una VPN hub central única.
Administrar nodos distribuidos bajo políticas de identidad.
Acceder a entornos y APIs privadas desde equipos autorizados.
Si quieres ver cómo una implementación concreta usa estos conceptos, lee Qué es Tailscale y para qué sirve.