Usamos cookies técnicas y, si lo aceptas, de analítica (Google Analytics 4) para
mejorar el sitio. Hasta entonces no se instalan cookies de analítica.
Más información en la política de cookies.
En cuanto tu infraestructura vive en más de un sitio, necesitas unir las sedes de forma segura y con buen rendimiento. Hay tres enfoques.
VPN site-to-site: un túnel cifrado entre dos redes. Sencilla, probada, ideal para unir pocos sitios fijos.
SD-WAN: gestiona varias conexiones a la vez (fibra, otra fibra, 5G), elige la mejor para cada tráfico y conmuta si una cae. Para quien necesita resiliencia y varias líneas.
Redes overlay (VXLAN, WireGuard mesh): tratan sedes distintas como una sola red plana; encajan con el SDN de Proxmox y con clústeres repartidos.
La decisión depende de cuántas sedes, qué resiliencia necesitas y si quieres una red única o túneles punto a punto.
Mientras toda tu infraestructura vive en un sitio, la red es un problema resuelto. El día que aparece un segundo sitio —abres una delegación, montas un CPD secundario para disaster recovery, o simplemente tienes la oficina y el datacenter separados— surge una pregunta nueva: cómo unir esas ubicaciones de forma que se comporten como una sola red, sin exponer nada a Internet y con un rendimiento que no ahogue las aplicaciones.
No hay una única respuesta. Hay tres enfoques, cada uno pensado para un escenario distinto, y elegir mal significa o quedarse corto (una VPN simple para algo que pedía resiliencia) o pasarse de complejidad (una SD-WAN para unir dos sitios fijos que no la necesitan). Este artículo explica los tres —VPN site-to-site, SD-WAN y redes overlay—, qué problema resuelve cada uno y cómo encajan con un cloud privado sobre Proxmox.
VPN site-to-site: el túnel de toda la vida
Es la forma clásica y sigue siendo la correcta para muchos casos. Una VPN site-to-site establece un túnel cifrado entre las redes de dos sedes, de router a router (o de firewall a firewall). Todo el tráfico entre las dos ubicaciones viaja por ese túnel, cifrado, de modo que las dos redes se comportan como si estuvieran conectadas directamente, aunque por debajo crucen Internet.
Sus virtudes son la sencillez y la madurez: es tecnología probada durante décadas (IPsec, o el más moderno y ligero WireGuard), la entienden todos los equipos de red, y para unir dos o tres sitios fijos hace exactamente lo que se le pide sin complicaciones.
Sus límites aparecen al escalar. Con muchas sedes, la topología se complica: si quieres que todas hablen con todas, el número de túneles crece deprisa (una malla de N sedes son N×(N-1)/2 túneles). Y una VPN site-to-site básica usa una sola conexión a Internet: si esa línea cae o se satura, el túnel cae o va lento, sin plan B automático. Para pocos sitios y una conexión fiable, perfecto. Para más exigencia, se queda corta.
Cuándo VPN site-to-site: pocas sedes fijas, una conexión a Internet decente por sitio, y ganas de simplicidad. Es el punto de partida sensato, y muchas veces el punto final.
SD-WAN: cuando una sola línea no basta
La SD-WAN (Software-Defined WAN) aparece para resolver justo lo que la VPN simple no cubre: gestionar varias conexiones a la vez de forma inteligente. En lugar de depender de una única línea, una sede con SD-WAN puede tener varias —fibra de un operador, fibra de otro, 5G de respaldo— y el sistema decide, en tiempo real, por cuál mandar cada tipo de tráfico.
Lo que aporta:
Resiliencia automática: si una línea cae, el tráfico salta a otra sin intervención. La videollamada no se corta, la aplicación no se cae.
Uso inteligente del ancho de banda: puede mandar el tráfico crítico (voz, aplicaciones de negocio) por la línea buena y el resto por la secundaria, o repartir carga entre varias.
Gestión centralizada: las políticas de toda la red WAN se definen en un punto y se aplican a todas las sedes, en vez de configurar router a router.
La contrapartida es la complejidad y, a menudo, el coste: la SD-WAN es más máquina de la que muchas organizaciones necesitan, y algunas soluciones vienen con licencias y appliances de cierto precio. Montarla para unir dos oficinas con una fibra cada una es matar moscas a cañonazos.
Cuándo SD-WAN: varias sedes que necesitan resiliencia real (no pueden permitirse que la caída de una línea las deje aisladas), múltiples conexiones por sitio que quieres aprovechar, o una WAN suficientemente grande como para que gestionarla de forma centralizada sea una ventaja de verdad.
Redes overlay: tratar varias sedes como una sola red
El tercer enfoque cambia la perspectiva. En lugar de «túneles que conectan redes separadas», una red overlay construye una red virtual única por encima de la física, de modo que máquinas en sedes distintas se ven como si estuvieran en la misma red local, con el mismo direccionamiento, ignorando la geografía.
Las tecnologías habituales:
VXLAN: encapsula tráfico de nivel 2 sobre nivel 3, permitiendo «estirar» una red entre ubicaciones. Es lo que usa el SDN integrado de Proxmox para crear zonas que abarcan varios nodos, y puede extenderse entre sedes.
Mallas WireGuard (mesh): cada nodo establece túneles WireGuard con los demás, formando una malla cifrada donde todo se ve con todo. Ligero, moderno y muy usado para unir servidores repartidos.
El overlay encaja especialmente bien en dos casos de cloud privado. Uno: clústeres o servicios repartidos entre ubicaciones que necesitan verse en la misma red plana —replicación entre sedes, un clúster estirado—. Dos: cuando quieres que el direccionamiento y las políticas de red sean coherentes en todas partes, gestionados como una sola red lógica en lugar de como islas conectadas por túneles.
Su complejidad es intermedia: más que una VPN simple, menos ceremonia que una SD-WAN comercial, y muy alineada con la filosofía de definir la red por software que ya aplica Proxmox internamente.
Las tres opciones no compiten: conviven. Lo habitual es una VPN para la delegación pequeña, SD-WAN donde hay varias líneas y overlay cuando las sedes deben verse como una sola red.
La tabla de decisión
Enfoque
Mejor para
Resiliencia multi-línea
Complejidad
VPN site-to-site
Pocas sedes fijas, simplicidad
No (una línea)
Baja
SD-WAN
Varias sedes, resiliencia crítica, varias líneas
Sí, automática
Alta
Red overlay
Clústeres/servicios repartidos, red única lógica
Según diseño
Media
Un patrón que se ve mucho en la práctica: empezar con VPN site-to-site y evolucionar según crece la necesidad. Se unen las dos primeras sedes con un túnel WireGuard, y cuando aparecen más ubicaciones o la resiliencia se vuelve crítica, se pasa a un overlay en malla o a SD-WAN. No hace falta montar la solución compleja el día uno; hace falta no quedarse en la simple cuando el escenario ya pide más.
La capa que no se puede olvidar: seguridad
Sea cual sea el enfoque, unir sedes amplía tu superficie: lo que antes era una red aislada ahora se conecta con otras. Dos principios que aplican a los tres:
Cifrado siempre. El tráfico entre sedes cruza infraestructura que no controlas. IPsec, WireGuard o el cifrado que use tu overlay: nunca en claro.
Segmentar también entre sedes. Unir dos redes no significa que todo en una deba poder hablar con todo en la otra. La microsegmentación y el principio de «denegar por defecto» aplican igual entre ubicaciones: la delegación no necesita alcanzar la base de datos del CPD, solo lo que le corresponde. Conectar no es confiar.
Preguntas frecuentes
¿Qué es mejor para unir dos sedes, IPsec o WireGuard?
Ambos sirven para una VPN site-to-site. IPsec es el estándar clásico, muy soportado por equipos de red y firewalls. WireGuard es más moderno, más ligero, más simple de configurar y con muy buen rendimiento. Para montajes nuevos, WireGuard suele ser la opción más cómoda; IPsec sigue siendo válido, sobre todo si tus equipos ya lo hablan.
¿Necesito SD-WAN o me basta con una VPN?
Si tienes pocas sedes fijas y una conexión a Internet fiable por sitio, una VPN site-to-site basta. La SD-WAN aporta cuando necesitas resiliencia automática ante la caída de una línea, tienes varias conexiones por sede que quieres aprovechar, o gestionas una WAN grande donde centralizar las políticas es una ventaja real. Para unir dos oficinas, suele ser excesiva.
¿Qué es una red overlay y cuándo la uso?
Es una red virtual única construida por encima de la física, que hace que máquinas en sedes distintas se vean como en la misma red local. Encaja cuando tienes clústeres o servicios repartidos entre ubicaciones que necesitan verse en una red plana, o cuando quieres direccionamiento y políticas coherentes en todas partes. Tecnologías: VXLAN (la del SDN de Proxmox) o mallas WireGuard.
¿Puedo estirar un clúster Proxmox entre dos sedes?
Técnicamente sí, con una red overlay que una las ubicaciones, pero hay que tener mucho cuidado con la latencia: componentes sensibles como Corosync (el quorum del clúster) sufren con latencias altas entre sedes. Para muchos casos es más robusto tener clústeres independientes por sede con replicación entre ellos que un único clúster estirado. Depende de la latencia real del enlace.
¿Hace falta cifrar si el enlace entre sedes es una línea dedicada?
Es muy recomendable de todos modos. Aunque sea una línea contratada, el tráfico cruza infraestructura de terceros. Cifrar (WireGuard, IPsec) protege ante interceptación y es un requisito de facto para datos sensibles bajo RGPD o NIS2. El coste de cifrar es bajo; el de no hacerlo, potencialmente alto.
MEF, definiciones y marco de referencia de SD-WAN.
¿Tu infraestructura se reparte entre varias ubicaciones y necesitas unirlas de forma segura y con buen rendimiento? Diseñamos contigo la conectividad entre sedes de tu cloud privado —VPN, overlay o SD-WAN según lo que de verdad necesites—. Empieza por nuestra comparativa de cloud o hablemos de tu proyecto.
¿Te ha resultado útil? Compártelo o resúmelo con IA
