IT en España: qué es una VPN site‑to‑site (sin líos)

💡 Qué es una VPN site‑to‑site (y por qué te importa)

Si has buscado “qué es VPN site to site”, seguramente te está tocando unir dos oficinas, hablar con un ISP que te lía con MPLS y SD‑WAN, o conectar tu red on‑prem con AWS/Azure sin que arda nada. Respira: una VPN site‑to‑site (también “sede a sede”) es, básicamente, un túnel cifrado entre dos redes completas, establecido por los routers o firewalls de cada lado. Así, todo lo que sale de la 192.168.x.x de tu sede A llega a la 10.0.x.x de tu sede B como si estuvieran en la misma LAN, pero pasando por Internet de forma segura.

¿Por qué esto es clave en España en 2025? Porque la fibra es barata y rápida, el teletrabajo no se ha ido, y muchos están desmantelando circuitos dedicados caros. Además, 31% de los usuarios de Internet usan algún VPN a nivel mundial, con un mercado que no para de crecer; ojo, gran parte son servicios gratuitos que no ofrecen anonimato real ni garantías serias. En empresa, el “gratis” sale carísimo: necesitas fiabilidad, cifrados actuales y soporte.

En esta guía te lo bajo a tierra: cuándo te conviene una site‑to‑site frente a acceso remoto o SD‑WAN, qué protocolos elegir (IPsec, WireGuard, OpenVPN), cómo evitar errores típicos (subredes solapadas, NAT‑T, MTU), y buenas prácticas para que no se te caiga el túnel en plena nómina. También te dejo referencias actuales del sector: por ejemplo, la orientación de VPNs modernas hacia software abierto y alto rendimiento, y señales de mercado que impactan tus decisiones técnicas.

📊 Protocolos para túneles site‑to‑site en 2025: lo que rinde y lo que cuadra

Si necesitas máxima compatibilidad con firewalls y routers de marca (Fortinet, Cisco, Sophos, MikroTik, etc.), IPsec/IKEv2 sigue siendo el rey. Es robusto, performa bien con AES‑GCM y PFS, y casi cualquier vendor lo soporta “de serie”. El pero: su puesta a punto es menos amigable, con más diales (políticas, lifetimes, NAT‑T, DPD…).

OpenVPN ha sido el “comodín” en software por años, pero la tendencia de mercado se mueve. De hecho, hay proveedores de privacidad que están despriorizando OpenVPN frente a alternativas modernas; por ejemplo, se ha anunciado la retirada progresiva de soporte a OpenVPN por parte de un actor importante a partir de enero de 2026, dando más peso a WireGuard para simplificar y acelerar las conexiones [TechRadar, 2025-08-20].

WireGuard brilla por rendimiento y simplicidad (claves públicas, menos overhead). En site‑to‑site cada vez se usa más, sobre todo en pymes y despliegues cloud‑nativos. ¿La pega? Aún no está tan universalmente “bendecido” en appliances empresariales como IPsec, y algunos equipos legacy no lo soportan. Aun así, la velocidad y la latencia suelen ser top, y el troubleshooting es menos doloroso.

Resumen rápido: si buscas compatibilidad y compliance clásico, IPsec. Si priorizas rendimiento/simplicidad y controlas el stack, WireGuard. OpenVPN queda como alternativa válida en software puro, pero el sector se está moviendo.

En paralelo, en el mundo de los servicios de consumo y privacidad, se mantiene la presión por ser abiertos y auditables. Un ejemplo reciente destaca por su enfoque open‑source y buenas velocidades, lo que refleja hacia dónde empuja el mercado a los proveedores serios [The Independent, 2025-08-20]. Ojo: esto aplica más a VPN “de persona” que a site‑to‑site empresarial, pero la tendencia tecnológica se contagia.

Conclusión de la tabla: IPsec sigue mandando en compatibilidad y madurez; WireGuard gana por rendimiento y facilidad cuando tu hardware lo soporta; OpenVPN pierde protagonismo. Decide según tu parque de equipos, compliance y SLOs.

😎 MaTitie EN ESCENA

Soy MaTitie, el que firma estas líneas. Llevo años probando VPNs y conectando sedes con más cintas americanas que un festival. Si te preocupa la privacidad, el streaming o que mañana te bloqueen tu plataforma favorita, vas por buen camino.

En España cada vez hay más bloqueos por región y plataformas que se ponen tiquismiquis con el acceso. Si buscas velocidad real, privacidad y que Netflix/Prime/lo‑que‑sea no te bailen el geoblocking, no te compliques.

👉 Prueba NordVPN aquí: 🔐 NordVPN 30 días sin riesgo. Va fino en España, es rápido y si no te convence, reembolso y a otra cosa.

Aviso de afiliación: este enlace puede generarme una pequeña comisión. Gracias por el apoyo, que la vida está cara. ❤️

💡 Site‑to‑site vs. acceso remoto vs. SD‑WAN: elige con cabeza

• VPN site‑to‑site: túnel entre redes completas. Ideal para unir oficinas (Madrid‑Valencia), o tu data center on‑prem con VPCs en AWS/Azure/GCP. Los usuarios ni se enteran: sus PCs salen por el gateway y ya.

• Acceso remoto: túnel desde el dispositivo del usuario hacia la red. Perfecto para teletrabajo y soporte, no para conectar sedes completas.

• SD‑WAN: capa de control/overlay encima de varios enlaces (fibra, 5G, backup) con selección de ruta por app, compresión, FEC, y orquestación central. Suele usar IPsec/WireGuard por debajo, pero añade inteligencia y coste de licencias.

Cuándo usar cada una:

• Dos o tres sedes fijas y estables, subredes claras y poco “baile” de políticas: site‑to‑site clásica con IPsec te servirá años.
• Muchas sucursales, apps sensibles a jitter (voz, VDI), y necesidad de failover inteligente entre ISPs: SD‑WAN empieza a merecer la pena.
• Equipos dispersos, freelos, y BYOD: acceso remoto, con MFA obligatorio.

Seguridad y realidad del mercado Que un VPN cifre no significa que sea automáticamente “seguro” si lo montas mal o si eliges servicios dudosos. Hay reportes internacionales que alertan de usos indebidos de VPNs y de cómo los gratuitos no dan anonimato real; también recuerdan que el mercado de VPN de pago es enorme y va en aumento, porque la gente busca privacidad de verdad y soporte serio. En entornos corporativos, huye de “gratis total” y asegúrate de que tu proveedor cumple con logs, auditorías y cifrados actuales.

Y ojo con las extensiones milagrosas de navegador que prometen “VPN” con un clic: recientemente se ha destapado que una extensión “legítima” de Chrome acabó actuando como spyware. Traducido: acceso al tráfico y a tu pantalla sin que te enteres. En negocio, lo sensato es tunelar en el gateway o en un agente corporativo controlado, no en un add‑on cualquiera [RedesZone, 2025-08-20].

Pro tips de despliegue (para que no te explote el lunes a las 9:00)

• Planifica direccionamiento: evita subredes solapadas (no repitas 192.168.1.0/24 en cada sede). Si ya la has liado, usa NAT sobre IPsec como parche, pero lo ideal es re‑direccionar.
• MTU/MSS clamping: si ves cortes en RDP/SMB o “cosas raras” en webapps, ajusta MSS en el túnel. El overhead del cifrado reduce el MTU efectivo.
• NAT‑T: cuando hay NAT entre medias, activa UDP/4500 además de 500. Comprueba que tu ISP no filtra.
• DPD y lifetimes: configura tiempos coherentes en ambos lados (SA lifetimes, rekey, dead peer detection) para evitar renegociaciones constantes.
• Alta disponibilidad: dos túneles en paralelo (dos ISPs, dos zonas cloud). Si puedes, ruteo dinámico (BGP/OSPF) sobre IPsec/WireGuard para no depender de rutas estáticas.
• Cloud: en Azure y AWS, usa sus gateways nativos (Azure VPN Gateway, AWS VGW o TGW). Revisa matrices de compatibilidad y cifrados soportados.

Cumplimiento y registros Si trabajas con datos sensibles (salud, financiero, legal), documenta políticas: cifrados (AES‑GCM, Chacha20‑Poly1305), longitud de claves, PFS con Diffie‑Hellman grupo fuerte, rotación de claves, quién accede a qué subred. Y logs: guarda eventos de túnel (up/down) y de ruteo para auditoría y forense. Esto no es “para espiar” a nadie, es para poder explicar qué pasó cuando algo falla.

Tendencias 2025 que influyen en tu elección

• Empuje hacia protocolos modernos. Algunos proveedores están aparcando OpenVPN para simplificar y ganar rendimiento con WireGuard [TechRadar, 2025-08-20].
• Transparencia y open‑source como valor. Revisiones recientes ponen en valor los clientes abiertos y con buen rendimiento, porque la confianza importa [The Independent, 2025-08-20].
• Más controles en plataformas y contenidos por geolocalización, lo que empuja a usuarios y empresas a gestionar mejor su salida a Internet y su postura de privacidad.

🙋 Preguntas frecuentes

❓ ¿En qué se diferencia una VPN site‑to‑site de una de acceso remoto?
💬 La site‑to‑site conecta redes completas a nivel de gateway (sede con sede o con la nube), transparente para los usuarios. La de acceso remoto conecta dispositivos individuales a una red y requiere cliente en el equipo.

🛠️ ¿WireGuard ya es “apto empresa” para túneles entre sedes?
💬 Sí, rinde de lujo y es sencillo. Eso sí, valida que tus firewalls/appliances lo soporten y que tu equipo de compliance esté cómodo. Si dependes de compatibilidad universal, IPsec sigue siendo la apuesta segura.

🧠 ¿Es buena idea tirar de una extensión de navegador para “hacer de VPN” corporativa?
💬 No. Las extensiones han llegado a comportarse como spyware en casos recientes, y no te dan control de red ni políticas finas. En empresa, túnel en el gateway o en un agente gestionado por IT, y a dormir tranquilo.

🧩 Notas finales…

Una VPN site‑to‑site bien montada te da continuidad entre sedes con costes contenidos y sin locuras. Elige protocolo según tus constraints: IPsec para compatibilidad y compliance; WireGuard si controlas el stack y quieres rendimiento. Evita “atajos” tipo extensiones de navegador y define desde el minuto uno direccionamiento, MTU/MSS, lifetimes y HA. Tendencias de 2025 apuntan a más simplicidad y software abierto, pero sin perder de vista soporte y gobernanza.

📚 Lecturas recomendadas

Aquí tienes 3 artículos recientes que amplían el contexto:

🔸 What is geo-blocking?
🗞️ Fuente: Computer Weekly (TechTarget) – 📅 2025-08-20
🔗 Leer artículo

🔸 Attention, cette extension Chrome fait des captures d’écran à votre insu
🗞️ Fuente: 01net – 📅 2025-08-20
🔗 Leer artículo

🔸 Reprenez le chemin de l’école ou du bureau en toute sécurité avec l’offre ExpressVPN 2 ans (-61 %)
🗞️ Fuente: CNET France – 📅 2025-08-20
🔗 Leer artículo

😅 Un pequeño autobombo (si no te importa)

Seamos sinceros: casi todos los comparadores ponen a NordVPN arriba por algo. En Top3VPN nos cuadra por rendimiento, estabilidad y acceso real a streaming.

• Es rápido. Es fiable. Funciona en casi todas partes.
• Sí, no es el más barato, pero si valoras privacidad y velocidad, merece la pena.
• Tiene 30 días de garantía: lo pruebas y, si no te convence, reembolso sin preguntas.

📌 Aviso legal

Este contenido combina información pública con apoyo de IA. Es divulgativo y para debate; puede contener imprecisiones. Verifica los detalles clave antes de tomar decisiones técnicas o de compra.

Enlaces citados en el texto:

• Revisión de un proveedor orientado a privacidad y rendimiento abierto [The Independent, 2025-08-20].
• Cambio de rumbo en protocolos soportados, con foco en WireGuard [TechRadar, 2025-08-20].
• Riesgos de extensiones tipo “VPN” en navegador que terminaron como spyware [RedesZone, 2025-08-20].