IPsec (Internet Protocol Security) es un framework de protocolos de seguridad que opera en la capa de red (Capa 3 del modelo OSI). Su objetivo principal es proteger las comunicaciones IP mediante la provisión de servicios de seguridad como autenticación de origen de datos, integridad de datos sin conexión (connectionless integrity), confidencialidad de datos (cifrado) y protección contra ataques de repetición (replay protection). IPsec se compone de dos protocolos principales: Authentication Header (AH), que proporciona autenticación e integridad, y Encapsulating Security Payload (ESP), que ofrece confidencialidad, autenticación e integridad. Puede operar en dos modos: modo transporte (protege la carga útil del paquete IP) y modo túnel (protege el paquete IP completo encapsulándolo en un nuevo paquete IP).
IPsec es una tecnología fundamental para la seguridad de red y se implementa ampliamente en diversos sistemas y herramientas. Es la base de muchas Virtual Private Networks (VPNs), tanto site-to-site (ej. entre routers Cisco, Juniper, o firewalls FortiGate, Palo Alto) como client-to-site (ej. clientes VPN nativos en Windows, macOS, Linux, o soluciones como StrongSwan, OpenSwan). También se utiliza para asegurar el tráfico entre hosts en entornos de nube privada o híbrida, como en redes definidas por software (SDN) o microsegmentación. Sistemas operativos modernos como Windows Server, Linux (con herramientas como libreswan o strongSwan) y macOS incluyen soporte nativo para IPsec, permitiendo la creación de túneles seguros sin software adicional de terceros.
Para un arquitecto, IPsec es crucial por su capacidad de establecer comunicaciones seguras a nivel de red, independientemente de las aplicaciones que se ejecuten por encima. Permite construir arquitecturas de red robustas y seguras, como VPNs para interconectar oficinas remotas o para que usuarios móviles accedan a recursos corporativos de forma segura. Sin embargo, su configuración puede ser compleja debido a la multitud de parámetros (algoritmos de cifrado, funciones hash, modos de operación, gestión de claves IKE/ISAKMP). Los trade-offs incluyen el rendimiento (el cifrado y descifrado introducen latencia y consumo de CPU, especialmente en hardware no acelerado), la interoperabilidad entre diferentes fabricantes y la gestión de claves a escala. Un arquitecto debe evaluar cuidadosamente la necesidad de seguridad a nivel de red frente a la complejidad operativa y el impacto en el rendimiento, considerando si una solución basada en TLS a nivel de aplicación podría ser más adecuada para ciertos casos de uso.