Análisis a fondo del HPE Instant On Secure Gateway SG2505P, un router profesional con opciones avanzadas

Al incorporar un Secure Gateway a la red profesional que tengamos instalada, tendremos las funciones de router, firewall y también un sistema IDS/IPS para añadir una capa de seguridad a toda la red. Además, podremos segmentar la red local cableada e inalámbrica muy fácilmente, ya que todo se gestiona directamente desde la nube, además, tenemos la posibilidad de configurar túneles VPN entre varias sedes con la máxima velocidad posible, gracias a su potente procesador. Lo mejor de la gestión en la nube, es que tendremos monitorización y administración desde cualquier lugar, con tan solo acceder a la web de gestión o usando la app oficial.

Principales características

El HPE Instant On Secure Gateway SG2505P es el Secure Gateway más potente de los que HPE ha lanzado, ya que el otro modelo es el SG1004 que dispone de puertos Gigabit para WAN y LAN, y no dispone de puertos PoE+ como sí tiene este modelo. Si tienes una conexión a Internet de hasta 2,5Gbps, este modelo es perfecto para ti porque podrás conseguir esta velocidad sin problemas de cuello de botella, aunque eso sí, ten presente que es totalmente necesario usar la ONT del operador, porque este router profesional es neutro (entrada RJ-45 Ethernet).

Hardware

Este Secure Gateway dispone de puertos 2.5G Multigigabit y también Gigabit Ethernet, así que este modelo es apto para conexiones a Internet de hasta 2,5Gbps sin ningún problema, ya que tenemos doble puerto 2.5G para poder aprovechar esta velocidad al máximo. Las principales especificaciones hardware de este SG2505P son las siguientes:

• Un puerto 2.5G Multigigabit para la WAN de Internet dedicado. En este puerto podemos configurar VLANs en la WAN de Internet, por lo que es compatible con cualquier operador en España. Soporta varios tipos de conexión como «Conexión automática (DHCP)», IP estática y también el protocolo PPPoE para establecer la conexión. De esta forma, solamente debemos conectar la ONT o módem a este puerto.
• Un puerto 2.5G Multigigabit para la WAN/LAN. Este puerto se puede configurar como WAN secundaria, el software permite configurar esta doble WAN en modo conmutación por error o balanceo de carga. Si lo configuras para LAN, podrás configurar VLANs como tagged o untagged sin problemas. Todo se configura directamente desde la nube.
• Un puerto 1G para la WAN/LAN. Mismas opciones de antes, pero la velocidad de este puerto es de 1Gbps como máximo.
• Dos puertos Gigabit Ethernet para la LAN dedicados. Son compatibles con VLANs en la LAN, para así segmentar la red local fácilmente, tenemos la opción de poner los puertos sin etiqueta (untagged) y también con etiqueta (tagged). Todo gestionado desde el Cloud.

Un aspecto muy importante, es que este SG2505P tiene todos los puertos LAN con PoE+, podremos alimentar equipos directamente a una potencia de hasta 30W, y con un PoE budget máximo de hasta 60W de potencia. De esta forma, los puertos LAN/WAN y los LAN tienen la posibilidad de alimentar dispositivos directamente desde el equipo, por lo que tenemos un total de cuatro puertos PoE en este modelo.

Este Secure Gateway permite crear túneles VPN usando el protocolo IPsec, un aspecto muy importante, es que el procesador soporta aceleración de cifrado por hardware, esto significa que podremos conseguir velocidades reales de hasta 2,4Gbps, que es el máximo de sus interfaces 2.5G Multigigabit para WAN y LAN. En la sección de pruebas VPN os hablaremos más sobre esta característica, y el rendimiento real que hemos conseguido.

Otro aspecto muy importante, es que este modelo no incorpora ningún tipo de ventilador, la refrigeración es completamente pasiva, así que es totalmente silencioso. Podemos ponerlo encima de la mesa de trabajo e incluso en un armario rack, en el interior de la caja tenemos todos los accesorios para instalarlo en estas ubicaciones.

En nuestro vídeo del unboxing y primeras impresiones, podéis ver en detalle cómo es este nuevo equipo y qué puertos tiene:

Ahora vamos a hablar de las principales características del software.

Software

Este Secure Gateway SG2505P forma parte de la familia HPE Instant On, solamente debemos dar de alta el número de serie, esperar unos minutos hasta que sincronice el equipo y se actualice, y ya estaremos listos para realizar una administración y gestión de toda la red de forma centralizada. Podemos gestionar toda la red local profesional desde el navegador web, o bien usando la app oficial de Instant On para smartphones Android e iOS.

Algunas características de software que tendremos disponibles en este equipo, como también teníamos en el modelo SG1004, son las siguientes:

• IDS/IPS para protegernos de amenazas: este sistema de seguridad monitorizará todas las conexiones, para detectar y bloquear intentos de intrusión y cualquier tipo de amenaza. En el menú de «Seguridad» es donde veremos el estado del IDS/IPS, donde podemos configurar excepciones, y también activarlo desactivarlo. Un aspecto muy importante, es que no tenemos una configuración tan avanzada como si tuviéramos un Snort o Suricata en la red.
• Cortafuegos avanzado basado en reglas: este tiene un firewall que podemos configurar con multitud de reglas. Podemos permitir o denegar el tráfico que nosotros queramos, para adaptarlo perfectamente a nuestras necesidades. También debemos tener en cuenta que, podremos permitir o bloquear diferentes categorías de contenido de Internet, como contenido de adultos, deportes, políticas y otras muchas categorías. Instant On nos permite crear políticas basada en IA, a partir de la versión 3.3.0 ha mejorado notablemente, ya que podremos usar lenguaje natural para la creación de las diferentes reglas.
• Bloqueo por aplicaciones: esta característica funciona junto con el firewall, permite permitir o bloquear cualquier contenido que nosotros queramos, para añadir una capa de control de contenidos. Esta característica ya la teníamos incorporada en los APs profesionales.
• IPsec para conexiones Site-to-Site: si tenemos dos o más «Sitios» configurados en HPE Instant On, junto con un Secure Gateway en cada sitio, tenemos la posibilidad de configurar una VPN Site-to-Site mediante «Dominios». Al tener cifrado por hardware, el rendimiento entre sedes que podemos conseguir es de hasta 2,4Gbps, ideal para transferir una gran cantidad de información.
• Servidor VPN con WireGuard: a partir de la versión 3.3.0 de Instant On tenemos esta característica tan importante. Podremos conectar clientes desde Internet para que se conecten a la red local, y todo ello de forma rápida, segura y sencilla.
• Gestión de VLANs: con este equipo podemos crear subredes y con VLANs, podemos asignar las VLANs como tagged o untagged en los diferentes puertos. Por supuesto, todo está integrado a la perfección para usarlas en los switches y en los APs. Tenemos un menú de configuración bastante intuitivo para no tener problemas.

En el siguiente vídeo podéis ver en detalle todas las opciones de la plataforma, no obstante, en la sección de opciones de Instant On os explicaremos todas las opciones relacionadas con este SG2505P.

El precio de este equipo ronda los 450€, dependiendo de la tienda donde lo vayas a comprar. Un aspecto muy importante, es que no tenemos que pagar licencias, el uso en la nube es completamente gratuito para siempre.

Análisis externo

Este nuevo HPE Instant On Secure Gateway SG2505P viene en una caja de grandes dimensiones con los habituales colores de la marca. En la parte frontal de la caja es donde veremos el modelo del equipo, algunas de sus principales características como que incorpora un sistema de detección y prevención de intrusiones, así como la posibilidad de alimentar los puntos de acceso mediante los puertos PoE. También encontraremos que podemos configurar este equipo de forma remota, ya que todo se basa en la nube. En la parte trasera de la caja es donde tenemos una breve comparativa entre el SG1004 y el SG2505P, básicamente este último incorpora puertos 2.5G Multigigabit para WAN y WAN/LAN, así como también que incorpora puertos PoE para alimentar puntos de acceso Wi-Fi profesionales.

En el lateral derecho de la caja es donde encontraremos las principales especificaciones técnicas, como los puertos Multigigabit para WAN y LAN, así como también que se puede instalar encima de una mesa e incluso en un armario rack, además, nos informará sobre las características software como que incorpora un firewall, un sistema IDS/IPS, soporte para VPN, así como un sistema para ver qué aplicaciones se están usando en la red local. Finalmente, en el lateral izquierdo veremos las diferentes pegatinas con las certificaciones del router, así como el número de serie, la dirección MAC y otra información relevante, como la puesta en marcha en tres pasos para realizar la instalación.

En el interior de la caja de este router profesional encontraremos el propio equipo, la documentación y también todos los accesorios que HPE ha incorporado. El contenido de la caja es el siguiente:

• HPE Instant On Secure Gateway SG2505P.
• Cable de alimentación para AC, la fuente de alimentación es interna.
• Tornillos y tacos para colocarlo en la pared.
• Tacos de goma para poner el router encima de una mesa.
• Soportes y tornillería para colocar el SG2505P en un armario rack.
• Tarjeta con código QR descargar la app móvil.
• Garantía limitada del producto, recomendaciones de seguridad y otra información relacionada con el equipo.

La documentación incorporada por HPE consiste en una tarjeta con un código QR para descargar la app de Instant On para Android o iOS, después tendremos que usarla para realizar la instalación y puesta en marcha del equipo. Lo mejor de Instant On es la facilidad con la que podemos instalar y configurar sus equipos. Otra documentación que han incorporado son la garantía limitada del router, la información regulatoria, recomendaciones de seguridad etc.

Respecto a los accesorios incorporados, debemos tener en cuenta que este SG2505P se puede instalar encima de una mesa (tenemos los tacos de goma antideslizantes), así como en un armario rack (vienen los soportes y la tornillería necesaria). Además, también tenemos el cable de alimentación AC porque la fuente de alimentación es interna.

En la parte superior de este equipo tenemos el logo de Instant On y de HPE, también tenemos una pequeña rejilla de ventilación para refrigerar adecuadamente los componentes internos. En la parte frontal es donde tenemos los diferentes LEDs de estado del equipo, de izquierda a derecha tenemos el LED del estado de la WAN cuando usamos USB, después tenemos los dos puertos Gigabit para LAN, el puerto Gigabit WAN/LAN, el puerto 2.5G Multigigabit para WAN/LAN, así como el estado de la conexión 2.5G WAN. En la zona derecha veremos el LED de sincronización con la nube, si hay algún problema con el equipo, el estado de la WAN de Internet y también el estado del PoE. El botón de modo LED y el de RESET para restaurar a valores de fábrica también está en esta parte.

En el lateral derecho del router veremos una gran rejilla de ventilación, así como sus correspondientes agujeros para poner los soportes del rack. En el lateral izquierdo del router tenemos lo mismo, rejilla de ventilación y agujeros para los soportes del armario rack.

En la parte trasera es donde tenemos todas las conexiones. Tenemos el conector de alimentación AC, junto con una pequeña abertura para poner una brida y evitar que un tirón al cable de alimentación haga que se salga, y se apague el router por completo. En la parte central tenemos el puerto 2.5G Multigigabit para WAN dedicado, el puerto 2.5G WAN/LAN, el puerto 1G para WAN/LAN, y los dos puertos 1G para LAN. Este equipo también incorpora un puerto USB para usarlo como WAN secundaria, esto es perfecto para instalar un módem 4G o 5G y así proporcionar una segunda WAN en caso de fallo. El código QR que tenemos en esta zona es el número de serie, para darlo de alta de manera sencilla.

En la parte inferior podemos ver una pegatina con todas las certificaciones que ha pasado el router, las características eléctricas de entrada y también el número de serie y la dirección MAC del equipo.

Tal y como habéis visto, este nuevo router SG2505P es un modelo realmente interesante, ya que incorpora puertos 2.5G y dispone de PoE para alimentar APs profesionales directamente. Ahora vamos a irnos al laboratorio de pruebas donde os enseñaremos el rendimiento real del equipo.

Laboratorio de pruebas

En este laboratorio de pruebas comprobaremos el rendimiento real de este Secure Gateway SG2505P en diferentes pruebas que solemos someter a todos los routers profesionales. Haremos pruebas de rendimiento LAN-LAN, Inter-VLAN (porque el router soporta VLANs en la red local), también haremos pruebas LAN-WAN, e incluso pruebas con la VPN IPsec.

Toda la información sobre cómo realizamos las pruebas y el hardware usado, lo tenéis disponible en nuestro banco de pruebas permanentemente actualizado. Si es la primera vez que veis un análisis nuestro, os recomendamos que lo leáis para saber cómo hacemos las pruebas. A continuación, tenéis todas las pruebas realizadas y las conclusiones.

Pruebas LAN-LAN

En estas pruebas LAN utilizaremos iperf3 para ver cómo se comporta con múltiples hilos en la red local. Este router dispone de puertos 2.5G Multigigabit (uno) y puertos Gigabit Ethernet para la LAN. En las siguientes capturas podéis ver el rendimiento que hemos conseguido con los diferentes puertos, y usando 100 hilos concurrentes, tanto en sentido descarga como subida.

En la primera prueba hemos usado los dos puertos 1G para realizar el test de velocidad, tanto en descarga como en subida.

En la segunda prueba hemos usado un puerto 2.5G Multigigabit y otro puerto 1G para la LAN, el resultado debería ser el mismo de antes porque siempre obtendremos la velocidad máxima del puerto más lento.

Como podéis ver, hemos conseguido el máximo de la interfaz Gigabit Ethernet, es decir, 0,94Gbps.

Conclusiones LAN-LAN

El rendimiento LAN-LAN conseguido por este SG2505P ha sido excelente en todas las pruebas, tanto en descarga como en subida. En todas las pruebas de rendimiento hemos conseguido la máxima velocidad de la interfaz Gigabit Ethernet (la interfaz más lenta de cada prueba), así que el rendimiento es perfecto, no tendremos problemas de velocidad.

Pruebas Inter-VLAN

Este SG2505P permite configurar VLANs. Por ejemplo, podemos configurar un puerto LAN para que esté como untagged en una VLAN previamente configurada, y usar otro puerto LAN para que esté como untagged en otra VLAN diferente. En estas pruebas Inter-VLAN utilizaremos iperf3 para ver cómo se comporta con múltiples hilos en la red local, tanto en sentido descarga como subida, y usando los 100 hilos TCP concurrentes. En las siguientes capturas podéis ver el rendimiento que hemos conseguido con los diferentes puertos.

En la primera prueba hemos usado los dos puertos 1G para realizar el test de velocidad, tanto en descarga como en subida, entre las dos VLANs configuradas.

En la segunda prueba hemos usado los puertos 2.5G y 1G para realizar el test de velocidad, tanto en descarga como en subida, entre las dos VLANs configuradas.

Como era de esperar, hemos conseguido la máxima velocidad de la interfaz Gigabit Ethernet, por lo que el rendimiento es excelente.

Conclusiones Inter-VLAN

El rendimiento Inter-VLAN conseguido por este equipo ha sido excelente en todas las pruebas, consiguiendo también el máximo rendimiento de la interfaz Gigabit Ethernet. No importa que configures varias VLANs y quieras transferir tráfico entre ellas, el rendimiento será perfecto, en cualquier caso.

Pruebas LAN-WAN

En esta prueba de rendimiento vamos a simular cómo se comportaría este router con programas P2P de forma intensiva de cara a Internet, en este caso, el router incorpora NAT por hardware y el firmware incorpora esta característica, por tanto, esperamos una gran velocidad cableada en este aspecto. Hemos usado el puerto 2.5G Multigigabit principal como WAN de Internet, y los puertos de la LAN a 2.5G y 1G para la realización de las pruebas. En las pruebas hemos usado iperf3 con 100 hilos TCP concurrentes, tanto en descarga como en subida. El tipo de conexión WAN ha sido DHCP y PPPoE, y con ambos conseguimos la misma velocidad.

En la primera prueba hemos usado el puerto 1G para la LAN, así que la velocidad máxima que conseguiremos será de 1Gbps por limitación del puerto LAN.

En la segunda prueba hemos usado el puerto 2.5G para la LAN, así que la velocidad máxima que conseguiremos será de 2.5Gbps.

Tal y como podéis ver, el rendimiento conseguido es excelente, casi el máximo de la interfaz 2.5G Multigigabit que incorpora este equipo. También hemos realizado pruebas con el protocolo PPPoE de forma local, y el resultado es el mismo. Si tu operador usa DHCP o PPPoE, con este equipo podrás conseguir 2,5Gbps de velocidad sin problemas.

Conclusiones LAN-WAN

La velocidad que hemos conseguido en todas las pruebas es excelente de forma global. Con este router podemos conseguir una velocidad real de hasta 2.5Gbps si usas el puerto Multigigabit, de lo contrario, conseguirás 1Gbps. Este modelo es perfecto para conexiones de hasta 2,5Gbps, ten en cuenta que lo normal será usar switches Multigigabit en la red, y, por lo tanto, se usará el troncal de 2,5Gbps para dar servicio a este switch.

Pruebas IPsec Site-to-Site

Este equipo dispone de la posibilidad de crear túneles VPN entre diferentes «Sitios», siempre que tengamos un Secure Gateway en cada sede. En el menú de «Dominios» es donde podemos configurar un sitio central, y después configurar el resto de sitios como «clientes». HPE Instant On hace uso del protocolo IPsec IKEv2 para el establecimiento de los túneles de forma segura, si usamos un programa como Wireshark y nos ponemos en medio de la comunicación, podemos ver el establecimiento de dicha conexión.

El rendimiento conseguido entre dos SG2505P es realmente bueno, ya que hemos conseguido 2,3Gbps de velocidad, el máximo de sus interfaces 2.5G Multigigabit para WAN y LAN. Debemos recordar que dispone de un potente procesador con aceleración de cifrado por hardware, así que el rendimiento será excelente. Esto es perfecto para comunicar sedes a velocidades de hasta 2,3Gbps de velocidad.

Tal y como habéis visto, el rendimiento de la VPN entre dos SG2505P es impecable, ya que conseguiremos casi el máximo de las interfaces 2.5G Multigigabit para WAN y LAN.

Pruebas servidor VPN con WireGuard

En nuestra plataforma HPE Instant On 3.3.0 ya tenemos la nueva funcionalidad de servidor VPN con WireGuard, así que hemos podido probar el rendimiento real en descarga y subida que tenemos usando su VPN integrada. El rendimiento real que hemos conseguido con este SG2505P es el siguiente:

Si quieres saber cómo configurar el servidor VPN con WireGuard, en el siguiente vídeo podéis ver un paso a paso en la configuración:

Como podéis ver, conseguiremos 530Mbps de descarga y 485Mbps en subida, un rendimiento sobresaliente, aunque debemos decir que el túnel por IPsec entre sedes es claramente más rápido, ya que tenemos aceleración IPsec. No obstante, esto servirá para la gran mayoría de usuarios que quieran hacer un acceso remoto a los recursos de la red local doméstica.

Opciones de configuración en HPE Instant On

HPE Instant On ha sufrido un importante cambio desde el año pasado hasta la actualidad. Han añadido soporte para los nuevos Secure Gateway, han cambiado de dirección y también el diseño de la interfaz gráfica de usuario. Eso sí, lo que sigue estando es la facilidad para instalar nuevos dispositivos y para gestionarlos de forma avanzada, todo ello desde la web o bien usando la aplicación para móviles.

Asistente de instalación de dispositivos

Esta plataforma en la nube nos permite poner el SN (Número de Serie) del Secure Gateway, y automáticamente detectará todos los dispositivos HPE Instant On que hay conectados a él. En nuestro caso, al poner este SN ha reconocido también un switch gestionable y un AP profesional, por lo que podemos instalar todos a la vez sin problemas, no necesitamos ir dispositivo por dispositivo.

En el menú principal de «Dispositivos» es donde podemos ver un resumen de todos ellos. Tenemos varios dispositivos en formato lista, la integridad, el estado, el tipo de dispositivo, modelo, dirección MAC y la dirección IP privada. Desde este menú, tendremos una visión de todos los dispositivos HPE Instant On que tenemos dados de alta.

Si nos vamos al «Sitio» general, es donde podemos ver el estado general de toda la red. Podemos ver la integridad de la red, si tenemos alertas, el número de clientes cableados e inalámbricos, las redes LAN configuradas, la WAN, así como cuántos dispositivos HPE Instant On tenemos dadas de alta. Por supuesto, también podemos ver las amenazas, el tráfico de aplicaciones que hemos tenido, así como las políticas.

Como habéis visto, la instalación de estos dispositivos es realmente sencilla, con tan solo poner un SN detectará el resto, siempre y cuando estén conectados entre ellos.

Configuración del SG2505P

Si entramos en la configuración principal del dispositivo, podemos cambiar el nombre del equipo, activar los LEDs para localizarlo físicamente con mayor facilidad, así como configurar el comportamiento de los LEDs de estado, así como reiniciar el dispositivo e incluso quitarlo de la red.

Este modelo incorpora un total de cinco puertos Ethernet, dos puertos 2.5G Multigigabit y un total de tres puertos Gigabit. El software permite configurar ciertos puertos como WAN de Internet o como LAN, desde este menú es donde podemos configurar en detalle los puertos disponibles con las VLAN que nosotros tengamos creadas. Podemos configurar VLAN por puerto sin problemas, ya sea como tagged o untagged.

Gracias a la opción de «Asignación de redes» podemos definir cómo están configuradas las VLANs, ya sean como T (tagged) o como U (untagged). Otra opción importante, es indicar que ese puerto no tenga acceso a ninguna red VLAN, todo es configurable con bastante detalle.

Si tienes problemas de conectividad, hay un menú específico en este SG2505P para hacer una prueba de conectividad mediante tracert. Simplemente debemos poner la IP de destino, y haremos un traceroute hacia el destino que hayamos definido.

Ahora os vamos a enseñar todas las opciones disponibles en «Dispositivos».

Dispositivos

En este menú podemos ver una topología de cómo tenemos conectados los diferentes dispositivos. Por supuesto, podemos acceder a cualquier dispositivo de forma bastante detallada, para ello pinchamos en el equipo en cuestión y pinchamos en «Ver detalles» para entrar en su configuración.

Si tenemos un AP dado de alta, nos aparecerán las opciones de administrar el radio, tanto de la banda de 2.4GHz como de 5GHz. Podemos elegir los canales disponibles para el modo automático, el ancho de canal, así como también la potencia de transmisión de cada banda de frecuencia. Estas opciones se aplicarán de forma global a todos los APs, después podemos ir uno por uno configurándolos de forma más específica.

En la sección de «Protección de bucle» es donde podemos configurar el Spanning-Tree, concretamente el RSTP para evitar bucles a nivel de capa de enlace. Por último, como el SG2505P dispone de PoE, tenemos la posibilidad de configurar un horario para proporcionar o no energía.

HPE Instant On es realmente configurable, además, muchas configuraciones se aplicarán de forma global de forma automática, todos los dispositivos se sincronizarán sin que tengamos que hacer nada más.

Integridad y alertas

En el menú de «Integridad» es donde podemos ver si la red de HPE Instant On está a pleno funcionamiento, o si existe algún tipo de problema. En eventos es donde podemos ver todos los registros de qué está ocurriendo. En el menú de alertas nos avisará si existe algún tipo de problema grave, como la desconexión de algún dispositivo, si se ha eliminado alguna red o eventos similares.

Debemos tener en cuenta que, con una gestión en la nube como esta de HPE Instant On, no necesitaremos un servidor de syslog, ya que todo se almacenará directamente en la nube de forma transparente.

Clientes

En el menú de «Clientes» es donde podemos ver un listado de todos los clientes cableados e inalámbricos que tenemos actualmente en la red. Nos aparecerá el nombre del dispositivo, su integridad, si está en línea, la duración, en qué red se ha conectado, el tipo, la dirección MAC y la IP privada, así como a qué dispositivo de Instant On se ha conectado, y también la interfaz o banda de frecuencias WiFi.

Desde este menú tenemos una visión general de todos los dispositivos de la red local. Además, podemos poner en la lista de observación a dispositivos críticos, como cámaras IP, servidores u otros dispositivos que siempre deberían estar conectados.

Redes

En este menú de «Redes» es donde tenemos una visión global de todas las redes que hayamos creado, tanto las cableadas como las inalámbricas que tengamos. Podemos ver el estado de configuración de la WAN de Internet, así como también la configuración de la redundancia de la WAN y otros ajustes relacionados. Al acceder a la red principal predeterminada, podemos realizar los siguientes ajustes:

• Cambiar el nombre de la red.
• Si tiene buena integridad o no.
• La VLAN definida en esta red.
• Configurar el IGMP Snooping.
• Configurar la protección contra ataques DHCP y ARP activado.

Otras opciones disponibles que podemos configurar, son la asignación de dirección IP, DNS, reservar direcciones IP privadas con DHCP estático, así como asignar redes a diferentes puertos, a los switches gestionables y al AP. Por supuesto, también tenemos la posibilidad de habilitar el control de acceso, que se usa después de la «Política» configurada.

En el caso de otras redes que hayamos creado, tenemos exactamente las mismas opciones de configuración disponibles. Cuando modifiquemos algo de la red, automáticamente todos los dispositivos «afectados» se sincronizarán.

En la sección de WAN podemos configurar estas opciones:

• Tipo de conexión a Internet: DHCP, IP estática y PPPoE.
• Ver estado de la conexión.
• Configurar el puerto de la WAN con VLAN o sin VLAN.

Si tienes FTTH, tendrás que conectar la ONT de tu operador a este puerto WAN, y seguramente tengas que poner el VLAN ID para acceder a Internet. De lo contrario, no podrá obtener la IP proporcionada por el operador. En cuanto a la segunda WAN, en cualquier momento podemos configurarla, y tendremos las mismas opciones que la principal.

Gracias a que tenemos varias WAN (doble WAN e incluso por USB), tenemos dos opciones para gestionar esta doble WAN:

• Conmutación por error: solamente la WAN 1 está activada, y la secundaria está a la espera que la principal se caiga. Este modo es perfecto si tenemos una conexión rápida y otra lenta.
• Equilibrio de carga: las dos WAN estarán trabajando, transmitiendo tráfico en ambas. Es ideal si tienes dos conexiones con similar o igual velocidad.

Finalmente, en la sección de «Portal de invitado» es donde tenemos la configuración global del portal cautivo para la red Wi-Fi de invitados. Podemos personalizar en detalle la interfaz gráfica de usuario, tanto para PC como para móvil.

Ahora que ya habéis visto todo lo que se puede hacer en «Redes», vamos a ver otros menús.

Seguridad

En esta sección tenemos todo sobre el IDS/IPS (Sistema de Detección y Prevención de Intrusiones). Podemos ver el listado de amenazas detectadas y bloqueadas, así como las excepciones de amenazas, las opciones de gestión e incluso desactivar el IDS/IPS si queremos. Otra opción es la de configurar el firewall de Internet, aunque esto se hará en el menú específico de «Políticas».

Una limitación importante que encontramos en el IDS/IPS es su naturaleza de «caja negra». Aunque detecta y bloquea amenazas de forma automática, no ofrece acceso para personalizar reglas o analizar los logs de eventos en profundidad, a diferencia de plataformas abiertas como Snort o Suricata. Esto puede ser un inconveniente para empresas que requieran auditorías de seguridad detalladas.

Aplicaciones

En el menú de «Aplicaciones» podemos ver las diferentes categorías disponibles, y la posibilidad de permitir o de denegar su acceso. Esto ya lo teníamos anteriormente cuando dábamos de alta un punto de acceso profesional, pero ahora podemos aplicarlo a nivel de red de manera muy sencilla.

Algo que nos gusta mucho de HPE Instant On, es que tenemos configuraciones complejas a golpe de clic, ya que podemos permitir o denegar todas estas categorías de forma sencilla, sin tener que hacerlo nosotros manualmente configurando diferentes listas.

Políticas

En este menú tendremos lo más importante en cuanto a la seguridad: las políticas del firewall. Podemos permitir o denegar el tráfico que nosotros queramos, lo mejor es la IA que han incorporado en la nube, porque podremos explicarle con lenguaje natural lo que queremos hacer, y el sistema nos sugerirá automáticamente una política a aplicar. Esta política la podemos aceptar o editar, para ajustarla a nuestras necesidades.

Como podéis ver, la renovada plataforma de HPE Instant On es realmente potente, y con una integración perfecta usando los diferentes dispositivos de la marca.

Podéis ver en el siguiente vídeo cómo configurar las políticas mediante IA, con todas las opciones de configuración y posibilidades que tenemos disponibles:

Os recomendamos ver el siguiente vídeo, donde hacemos un recorrido a todas las opciones del menú de configuración vía web:

Hasta aquí hemos llegado con el análisis de todas las opciones de HPE Instant On, y también de la review de este HPE Instant On Secure Gateway SG2505P, un equipo muy interesante para una red local profesional, y con velocidades Multigigabit.

Conclusiones finales

Este gateway de seguridad HPE Instant On Secure Gateway SG2505P es el hermano mayor del SG1004 que hemos analizado anteriormente en RedesZone. Si necesitas una velocidad de hasta 2,5Gbps gracias a sus puertos Multigigabit, y que soporte PoE para conectar directamente uno o dos APs profesionales, es mejor opción que el SG1004. Este equipo está destinado a ser el centro de la red en oficinas y pequeñas y medianas empresas, además, si ya tienes equipos HPE Instant On, la integración y configuración es realmente rápida, ya que todo se hace en la nube y podemos configurar la red con todo detalle. Este modelo tiene un hardware realmente potente, ya que el rendimiento que ha demostrado en las pruebas ha sido impecable, además, la posibilidad de configurar doble WAN es perfecta para estar permanentemente conectados a Internet.

El rendimiento LAN-LAN e Inter-VLAN ha sido excelente en todas las pruebas de rendimiento, tanto en los puertos 1G como 2.5G, siempre hemos conseguido la máxima velocidad del puerto más lento. En cuanto al rendimiento LAN-WAN también ha sido excelente en todas las pruebas realizadas, consiguiendo hasta 2,3Gbps de velocidad usando los puertos 2.5G Multigigabit. Respecto al rendimiento de la VPN IPsec, al tener un procesador con aceleración de cifrado por hardware, hemos conseguido esos 2,3Gbps que nos proporciona la WAN de Internet así que el rendimiento es impecable en este aspecto. Por último, la velocidad del servidor VPN con WireGuard, la valoraremos cuando lo podamos probar.

Este equipo se integra perfectamente con HPE Instant On, y es que vamos a poder gestionarlo todo desde la nube, sin necesidad de acceder localmente a nada. En la plataforma podemos monitorizar, gestionar y administrar tanto este equipo, como el resto de switches y APs que tengamos en la red profesional. Al tener este router profesional, podemos configurar en detalle doble WAN, las diferentes VLANs para segmentar el tráfico adecuadamente, configurar el IDS/IPS para protegernos de amenazas externas, configurar las reglas del firewall basadas en IA para facilitarnos la configuración, y un largo etcétera de funciones que ya os hemos explicado.

Algo que también debes valorar, es la posibilidad de tener túneles VPN con IPsec entre «Sitios», para poder conectar unas sedes con otras de forma sencilla, y con una gran velocidad, esto se hace directamente en «Dominios». En cuanto al servidor VPN con WireGuard, se ha incorporado en la versión 3.3.0 o posterior, lo valoraremos cuando lo tengamos disponible en nuestro sitio.

Aunque HPE Instant On es una plataforma realmente robusta y muy completa, echamos de menos algunas características para entornos más avanzados. Por ejemplo, no tenemos soporte para las VPN de OpenVPN ni WireGuard (en modo cliente, en modo servidor sí lo tenemos a partir de la versión 3.3.0), tampoco tenemos opciones de configuración avanzadas de IPsec, solamente podemos configurar las redes de origen y destino a comunicar y nada más, ningún parámetro de seguridad. Por último, las opciones del IDS/IPS no existen, no es como tener un Snort o Suricata que permiten configurar reglas avanzadas, aquí solamente podemos añadir excepciones en caso de falsos positivos y poco más.

Algo que sí debemos indicar, es que la gestión y administración de HPE Instant On es completamente gratis, no hay ningún tipo de suscripción por acceder a más opciones ni nada. En esta plataforma tendremos la mayoría de opciones que cualquier oficina o pequeña empresa necesitará, aunque en ciertos casos es posible que las opciones disponibles se queden cortas. Para esto último, deberás valorar si cumple con lo que necesitas o no.

Puntos fuertes

• Características hardware con puertos 2.5G Multigigabit para WAN y WAN/LAN, potente procesador con aceleración de cifrado por hardware.
• Tiene puertos PoE+ con hasta 30W de potencia por puerto, y 60W de PoE Budget total.
• Rendimiento LAN-LAN excelente, hemos llegado hasta los 0,95Gbps reales, el máximo de la interfaz Gigabit.
• Rendimiento Inter-VLAN excelente, hemos llegado hasta los 0,95Gbps, el máximo de la interfaz Gigabit.
• Rendimiento LAN-WAN excelente, tanto con DHCP como PPPoE, hemos llegado hasta los 2,3Gbps reales usando el puerto 2.5G Multigigabit para LAN.
• Rendimiento VPN con IPsec excelente (consigue 2,3Gbps simétricos) y rendimiento VPN con WireGuard sobresaliente (unos 500Mbps simétricos).
• Doble WAN de Internet con balanceo de carga y failover de la conexión a Internet. Tiene puerto USB para usar una segunda WAN con un módem 4G/5G.
• Gestión centralizada en la nube de HPE Instant On, con opciones de configuración avanzadas, tal y como ya habéis visto en el análisis.
• Tenemos protocolo VPN IPsec para Site-to-Site y el protocolo WireGuard para acceso remoto.
• Diseño metálico y orientado a PyME, permite su instalación en un armario rack.
• Precio: el precio PVP es de 450€, con gestión en la nube gratis para siempre sin ningún tipo de licencia.

Puntos débiles

• En las VPN, no tenemos servidores/clientes con OpenVPN, ni tampoco cliente con WireGuard. No tenemos opciones avanzadas en el protocolo IPsec.
• No tenemos opciones de configuración en el IDS/IPS, como sí tenemos con un Snort o Suricata.
• El firewall no tiene suficientes opciones avanzadas para las reglas, es posible que en ciertas empresas se les quede corto.

Nuestra valoración de este gateway de seguridad profesional HPE Instant On Secure Gateway SG2505P, después de ver el rendimiento real del equipo, todas las opciones de configuración de la plataforma Cloud del fabricante, y el precio de 450€, es de 9/10.

Esperamos que os haya gustado el análisis, si tenéis alguna duda podéis ponernos un comentario y os responderemos encantados.