Acceso de red Zero Trust - Lograr un acceso seguro sin VPN con AWS Verified Access

Los problemas de la VPN y la necesidad de Zero Trust

Tradicionalmente, la VPN era el método predominante para el acceso remoto a las aplicaciones internas de la empresa. Sin embargo, la VPN tiene muchos problemas. Al conectarse a la VPN, se puede acabar accediendo a toda la red, lo que va en contra del principio de mínimo privilegio. El ancho de banda de los concentradores VPN se convierte en un cuello de botella, y el rendimiento disminuye a medida que aumenta el número de trabajadores remotos. La instalación y la configuración del cliente VPN suponen una carga para los usuarios. Si se filtran las credenciales de la VPN, toda la red queda expuesta al peligro. El modelo Zero Trust se basa en el principio de verificar el acceso tanto dentro como fuera de la red, y constituye una medida frente a estos problemas. AWS Verified Access es un servicio de acceso de red Zero Trust lanzado en 2023 que, tras verificar la identidad del usuario y la fiabilidad del dispositivo, concede el acceso por aplicación.

Arquitectura y definición de políticas

Verified Access se compone de instancias de Verified Access, proveedores de confianza, grupos de acceso, endpoints y políticas de acceso. Un grupo de acceso es un grupo de endpoints que comparten políticas. Un endpoint representa una aplicación que se quiere proteger, y hay 4 tipos: balanceador de carga, interfaz de red, CIDR de red y Amazon RDS. Las políticas de acceso se definen con el lenguaje de políticas Cedar. Cedar es un lenguaje de políticas de código abierto desarrollado por AWS con el que se pueden describir las reglas de acceso de forma declarativa.

// Permitir el acceso cuando el usuario pertenece al grupo de ingeniería y el dispositivo cumple los requisitos
permit(principal, action, resource)
when {
    context.identity.groups.contains("engineering") &&
    context.device.status == "compliant"
};

Es posible un control detallado que combine atributos del usuario (grupos, dominio de correo electrónico), atributos del dispositivo (versión del sistema operativo, estado de cifrado, estado de aplicación de parches) y atributos de la solicitud (dirección IP, franja horaria).

Implantación e integración con aplicaciones existentes

Verified Access se puede implantar colocándolo delante de las aplicaciones existentes. Se coloca un endpoint de Verified Access delante del ALB, y los usuarios acceden desde el navegador a la URL del endpoint de Verified Access. Verified Access verifica la identidad y el dispositivo, y solo reenvía la solicitud al ALB si la solicitud cumple la política. En las aplicaciones HTTP, los usuarios pueden acceder a la aplicación desde el navegador sin instalar un cliente VPN. Como Verified Access añade información del usuario (dirección de correo electrónico, grupos, etc.) a los encabezados de la solicitud y la reenvía al ALB, también es posible aprovechar la información del usuario en el lado de la aplicación. Mediante la integración con CloudWatch Logs se registran los logs de acceso, y es posible auditar quién accedió a qué aplicación y cuándo.

Comparación con la VPN y precios

Las principales diferencias entre Verified Access y la VPN son la granularidad del acceso y la experiencia del usuario. La VPN proporciona acceso a nivel de red, y tras la conexión se llega a un amplio rango de recursos dentro de la red. Verified Access proporciona acceso a nivel de aplicación, y solo se puede acceder a las aplicaciones permitidas por la política. La VPN se usa instalando un software cliente, mientras que con Verified Access la conexión se realiza desde el navegador en las aplicaciones HTTP y desde el Connectivity Client en las aplicaciones no HTTP. En la VPN, el ancho de banda del concentrador puede convertirse en un cuello de botella, mientras que Verified Access evalúa con la política cada solicitud a la aplicación. Sin embargo, también hay casos en los que se necesita una VPN. Cuando se utiliza el acceso a nivel de red, elegir la VPN (Client VPN) sigue siendo adecuado. Las comunicaciones TCP, como el acceso directo a servidores mediante SSH o RDP, se pueden gestionar con el Connectivity Client de Verified Access (a fecha de octubre de 2026). El precio es de 0.27 USD/hora (unos 197 USD/mes) por aplicación asociada a un endpoint HTTP y 0.02 USD/GB por el procesamiento de datos (a fecha de agosto de 2026).

Aplicaciones y alcance adecuados para su uso

El acceso Zero Trust es adecuado para proteger sistemas que solo permiten el acceso a usuarios concretos, como las aplicaciones web internas de la empresa o las pantallas de administración. Si se colocan detrás de Verified Access los sistemas de negocio que antes se publicaban a través de la VPN, los usuarios pueden acceder a ellos directamente desde el navegador sin iniciar la VPN. Por otro lado, este mecanismo no es adecuado para los sitios dirigidos al público general, abiertos a un número indeterminado de personas. Una forma de avanzar es aplicarlo primero a los sistemas internos en los que se quiere controlar el acceso de forma estricta y ampliar el alcance mientras se comprueba el efecto. Determinar qué aplicaciones hay que proteger y definir el alcance de su uso es el punto de partida para adoptar Zero Trust.

Resumen - Pautas para aprovechar Verified Access

AWS Verified Access es un servicio que controla el acceso a las aplicaciones internas de la empresa con el modelo Zero Trust sin usar una VPN. Se utiliza combinando la integración con proveedores de identidad y con soluciones de gestión de dispositivos, el control de acceso detallado mediante políticas Cedar y la implantación delante de las aplicaciones existentes. En los casos de uso en los que los trabajadores remotos acceden a aplicaciones internas basadas en web, merece la pena considerarlo como alternativa a la VPN.