7.5. Accesos Remotos Seguros mediante Redes VPN (IPsec/OpenVPN)

1. El Riesgo de "Abrir Puertos" (Port Forwarding)

A menudo, la empresa fabricante de una máquina (OEM) necesita conectarse a ella de forma remota para diagnosticar una avería o actualizar el programa del PLC, evitando así costosos viajes. La solución "fácil" y tristemente común es el Port Forwarding (Mapeo de puertos). Consiste en configurar el router de la fábrica para que, si alguien desde Internet llama a un puerto específico (por ejemplo, el 3389 para el Escritorio Remoto o el 502 para Modbus), el router lo reenvíe directamente al PLC.

Esto es una irresponsabilidad extrema. Sitios web como Shodan escanean Internet constantemente buscando puertos industriales abiertos. Si abres el puerto 502 al exterior, estás permitiendo que cualquier persona en el planeta envíe comandos a tu máquina sin ni siquiera necesitar una contraseña. En ciberseguridad UF1794, la regla es estricta: las redes de control jamás deben exponerse directamente a la red pública.

2. La Solución: Virtual Private Network (VPN)

Para comunicar al técnico remoto con la planta de forma segura a través de Internet, utilizamos una VPN (Red Privada Virtual). Una VPN crea una conexión segura, conocida como "Túnel", que proporciona tres garantías fundamentales (cumpliendo el modelo CIA para proteger el AIC del entorno OT):

• Confidencialidad (Cifrado): Los paquetes de datos que viajan por el túnel están cifrados (ej. con AES-256). Si un atacante intercepta los datos en Internet, solo verá ruido incomprensible.
• Autenticación: A diferencia de un puerto abierto, la VPN exige que el equipo remoto demuestre su identidad antes de dejarle entrar, usando certificados digitales o sistemas de doble factor (MFA).
• Integridad: La VPN añade firmas matemáticas a los paquetes para asegurar que nadie los ha alterado durante su viaje.

3. Protocolos Principales: IPsec vs. OpenVPN / SSL

En los routers industriales que actúan como servidores VPN (como los Siemens SCALANCE M, eWON o Secomea), encontraremos habitualmente dos grandes familias de protocolos:

• IPsec (IP Security): Es el estándar clásico. Funciona a nivel de la Capa 3 (Red) del modelo OSI. Es extremadamente robusto y rápido porque se procesa en el kernel del sistema operativo. Es la opción preferida para conectar dos fábricas entre sí de forma permanente (VPN Site-to-Site).
• SSL / OpenVPN: Funciona a nivel de la Capa de Aplicación y Transporte. Es mucho más flexible que IPsec. Su gran ventaja es que utiliza puertos estándar (como el 443 de HTTPS), por lo que "atraviesa" fácilmente los firewalls de los hoteles o aeropuertos desde los que se conectan los ingenieros (VPN Client-to-Site).

4. Mejores Prácticas en el Acceso Remoto OT

Incluso usando una VPN, conectar un PC externo a la red de la fábrica es un riesgo (ese portátil podría tener malware). Las directrices de la IEC 62443 recomiendan:

1. Control de Acceso Físico (Llave en Mano): La conexión VPN no debe estar siempre encendida. El operario de la planta debe tener una llave física en el cuadro eléctrico que encienda la pasarela VPN únicamente cuando el fabricante llama pidiendo asistencia.
2. MFA (Multi-Factor Authentication): Además de una contraseña, el ingeniero remoto debe usar un código temporal (Token) generado en su móvil para conectarse.
3. Servidores de Salto (Jump Servers): El túnel VPN no debería conectar el portátil remoto directamente a la red del PLC. Debería conectar al usuario a una DMZ (Zona Desmilitarizada) donde hay un "PC de Salto". El ingeniero toma control remoto de ese PC, y solo ese PC tiene permisos en el firewall para hablar con los PLCs. Esto añade una barrera de contención contra el malware.