El problema de la convergencia
Las redes de IT y OT se construyeron para mundos completamente distintos.
- La IT gira en torno a la velocidad y la flexibilidad. Piensa en una plantilla móvil que se conecta desde la oficina, desde casa y desde la sala VIP de un aeropuerto, y en la agilidad para desplegar nuevas aplicaciones. La seguridad es "algo fluida": los endpoints se parchean (siempre a tiempo), el software se sustituye y los dispositivos se reemplazan sin ceremonias.
- La OT gira en torno a la estabilidad y la seguridad física. De un controlador instalado en 2009 puede esperarse que funcione a la perfección durante quince años. Nunca se ha parcheado, nunca se ha reiniciado y, como una masa madre, todos temen un poco lo que pasaría si se detiene.
Durante casi toda su historia estos dos ámbitos se mantuvieron separados, a menudo con un "air gap" entre ellos.
Esa separación se está reduciendo. El mantenimiento predictivo mueve de forma continua la telemetría de la planta hacia la analítica en la nube. El soporte remoto implica que un proveedor necesita una ruta hacia sus sistemas, a veces desde otro continente. Los marcos regulatorios como NIS2, CMMC y NERC CIP exigen ahora un control demostrable y auditable sobre quién llega a qué activo en ambos dominios.
La convergencia está sucediendo, y lo difícil es lograrla sin colapsar la segmentación de la OT en una red plana y accesible.
Qué resuelve Tailscale y dónde termina su modelo
Tailscale es la referencia para los entornos de IT modernos. Sustituye las VPN tradicionales, torpes y pesadas, por una red mesh segura y basada en identidad. Un plano de control ligero permite a los administradores gestionar las políticas de seguridad de forma centralizada mientras las aplican en cada nodo individual, garantizando conexiones directas y eficientes entre usuarios y activos. Es cifrada, eficiente y (fiel a su reputación)... simplemente funciona.
Este es el modelo correcto para el ámbito de la IT, donde los activos pueden ejecutar un agente. Aplicarlo en la frontera de la OT resulta más complicado por una razón estructural: allí los activos no pueden alojar un cliente. La propia respuesta de Tailscale para estos parques es el subnet router: un nodo que anuncia rutas hacia un segmento de LAN, de modo que los miembros de la tailnet puedan alcanzar dispositivos que no pueden unirse por sí mismos a la mesh. Con ACLs y permisos, puedes controlar qué personas pueden llegar a qué dispositivos y puertos detrás del subnet router.
Lo que el subnet router no puede hacer es cambiar cómo se comportan los dispositivos OT que están tras él. Una vez que un usuario autorizado tiene acceso a la red, está hablando directamente con el equipo...
Dónde extiende Access Gate el modelo de Tailscale
Trout Access Gate es una extensión natural del modelo de Tailscale. Se presenta ante la tailnet como un subnet router y, a continuación, aplica Zero Trust dentro del segmento. Es agentless por diseño, y eso es lo que lo hace desplegable frente a activos que no pueden ofrecer nada por su cuenta.
Tres capacidades definen la diferencia:
Sesiones intermediadas en lugar de rutas de red directas. Access Gate opera como un proxy en línea. Los usuarios autenticados llegan a los recursos a través de la pasarela local, no situándose directamente sobre la red OT. Esto permite endurecer los protocolos, otorgar permisos con límite temporal y grabar las sesiones en conexiones a activos que no tienen capacidad nativa para nada de esto, extendiendo las capacidades de grabación SSH de Tailscale a RDP, VNC y múltiples protocolos OT.
Cifrado respaldado por PKI dentro de la LAN. Access Gate incorpora (o se integra con) una autoridad de certificación, de modo que el cifrado puede escalarse a segmentos y activos que nunca fueron diseñados para negociarlo. Esto cierra la brecha entre una mesh de IT cifrada por identidad y una planta OT o una red de utilities donde el tráfico ha circulado históricamente en claro.
Gestión de acceso lista para el uso con guantes. Extender Zero Trust a la OT significa dar soporte a usuarios diversos, desde operarios en campo hasta ingenieros de planta. La interfaz de Access Gate está diseñada para la simplicidad, permitiendo a estos usuarios conceder y revocar accesos con trazabilidad dentro de sus entornos acotados.
La arquitectura combinada
Juntos, Tailscale y Trout Access Gate crean una ruta unificada desde el usuario hasta el activo. La IT se encuentra con la OT, pero en sus propios términos, de forma fluida y segura.
- Tailscale transporta el acceso basado en identidad y cifrado de extremo a extremo a través de todo lo que puede ejecutar un cliente, desde portátiles y servidores hasta cargas de trabajo en la nube, y entrega al usuario autenticado en el borde de la red de producción.
- Access Gate termina esa ruta como subnet router y, a continuación, aplica autorización por activo, hace de proxy y graba la sesión, y extiende el cifrado basado en PKI a la LAN, donde ningún agente puede seguir.
Un usuario se autentica una sola vez contra el proveedor de identidad corporativo. Tailscale lo enruta de forma eficiente y segura hasta la frontera de la planta. Access Gate decide, activo por activo, a qué puede llegar, intermedia la conexión a través del proxy y escribe un registro de auditoría a prueba de manipulaciones que satisface los requisitos probatorios de NIS2, CMMC L2 y NERC CIP. El personal interno, los proveedores externos y los equipos con quince años de vida útil quedan todos gobernados bajo un único modelo de política coherente.
Extender Zero Trust a la OT: Trout Access Gate y Tailscale.
Para desplegar la integración, sigue la guía de configuración de la VPN de Tailscale para Access Gate.