Auto VPN
Contenido complementario
Este tema no está en las notas de mis cursos; está armado con la documentación oficial de Meraki (consultada en octubre de 2026). 🔎 Verificar = no confirmado en documentación.
Pendiente: validar en el lab
Este contenido no salió de mis clases. Probar estos pasos en el Dashboard antes de usarlos en un trabajo real, y corregir lo que difiera en mi versión.
Resumen
Auto VPN es la VPN site-to-site entre equipos Meraki (MX y Z). No se configura IPsec a mano: el Dashboard decide qué equipos se conectan, la nube de Meraki (el VPN registry) reparte las claves y las direcciones, y los túneles se arman solos. Solo eliges el modo de cada red (Hub o Spoke), qué subredes exportar y, si quieres, un default route por un hub. Es importante aunque tu trabajo sea con Palo Alto, porque casi toda red Meraki usa Auto VPN entre sus sitios y el túnel hacia el Palo Alto convive con ella (ver Non-Meraki VPN Peers (IPsec)). Teoría en 03 - Meraki SD-WAN and Auto VPN (Concepts).
Requisitos previos
- Todos los equipos en la misma organización (entre organizaciones se usa IPsec manual, ver Non-Meraki VPN Peers (IPsec))
- MX o Z con licencia (Auto VPN está incluido, no necesita licencia aparte)
- Conectividad de cada MX a la nube de Meraki
- Subredes únicas en los sitios en modo Routed (o planificar VPN subnet translation)
Conceptos clave
| Modo (Type) | Qué hace |
|---|---|
| Off | No participa en la VPN |
| Hub (Mesh) | Hace túnel con todos los demás hubs y con los spokes que lo listan como hub |
| Spoke | Solo hace túnel con sus hubs. A otros spokes llega a través del hub (salvo que una regla lo bloquee) |
graph LR S1["Spoke A"] --- H1["Hub (HQ)"] S2["Spoke B"] --- H1 S3["Spoke C"] --- H2["Hub (DR)"] S1 --- H2 H1 --- H2 H1 -. "IPsec manual" .- PA["Palo Alto<br/>(no-Meraki)"]
- Hub-and-spoke: pocos hubs (datacenter, HQ) y muchos spokes. Es lo normal.
- Malla completa (full mesh): todos son hubs.
- El orden de los hubs define la prioridad: se usa el de mayor prioridad que anuncie la subred y esté alcanzable.
Subredes exportadas
- En cada red: Local networks → VPN mode = Enabled para exportar esa subred a todo el dominio Auto VPN. Las subredes en Disabled no siguen la tabla de rutas de la VPN.
- En sitios Routed las subredes deben ser únicas en toda la topología. Una misma subred solo puede anunciarse desde varios equipos si todos están en modo Passthrough o VPN Concentrator.
- Las subredes detrás de un router propio (rutas estáticas) también se pueden anunciar; el gateway de esa subred debe devolver las subredes VPN hacia el MX para que el tráfico sea simétrico.
- VPN subnet translation: cuando dos sitios tienen la misma subred, se traduce la local a otra del mismo tamaño (ver NAT sobre VPN con subredes solapadas (PA y Meraki)).
Default route, split y full tunnel
| Modo en el spoke | Qué hace |
|---|---|
| Split tunnel (sin default route) | Solo el tráfico a subredes del dominio Auto VPN va por el túnel; Internet sale por el WAN local |
| Full tunnel (default route por hub) | Lo que no coincide con peers VPN, rutas estáticas ni redes locales va al exit hub (0.0.0.0/0) |
Exit hub e inspección
En el tráfico que llega por la VPN, el exit hub no aplica filtrado de contenido, bloqueo IPS ni escaneo de malware; solo IDS. Si necesitas esa inspección en la salida, usa otro diseño (por ejemplo, que la salida pase por el Palo Alto).
Puertos y NAT traversal
| Qué | Puertos |
|---|---|
| Registro con la nube (VPN registry) | UDP 9350–9381 saliente |
| Túneles Auto VPN | UDP 32768–61000 (origen y destino) |
| NAT traversal | Automático (por defecto y recomendado: UDP hole punching) o Manual (reenvío de un puerto UDP al MX; no uses 500 ni 4500, que usan Client VPN y los peers no-Meraki) |
Auto VPN no usa IKE estándar
No verás UDP 500/4500 entre dos MX. Eso solo aparece en los túneles no-Meraki (ver Non-Meraki VPN Peers (IPsec)).
La trampa: Auto VPN y el túnel hacia el Palo Alto
Si tu Meraki tiene Auto VPN y un peer no-Meraki policy-based, el tráfico que entra por Auto VPN no se puede reenrutar por el túnel IPsec policy-based (por cómo se definen los traffic selectors). Es decir: un spoke Meraki no alcanza al Palo Alto pasando por el hub si el túnel al Palo Alto es policy-based.
Soluciones:
- Túnel route-based con BGP hacia el Palo Alto (ver BGP sobre IPsec en Meraki): BGP anuncia las rutas entre Auto VPN y el peer.
- Un túnel directo del Palo Alto desde cada sitio que lo necesite.
- Route-based estático (MX 26.2 en adelante).
Configuración (Ejemplo)
1. Modo de la red
Security & SD-WAN → Configure → Site-to-site VPN > Type: Hub (Mesh) o Spoke. Si es spoke, elige sus hubs y su orden.
2. Default route (solo spokes, full tunnel)
En la lista de hubs del spoke, activa default route en el hub que será el exit hub.
3. Subredes exportadas
En Local networks, pon VPN mode = Enabled a las subredes que quieres exportar.
4. Guardar
Guarda los cambios. 🔎 Verificar si tu versión pide confirmar el reinicio de túneles.
Verificación
| Comando o lugar | Qué debes ver | Si no lo ves |
|---|---|---|
| Security & SD-WAN → Monitor → VPN status (Meraki VPN) | Peers en verde con sus subredes | Ver Errores comunes |
| Ping de un cliente del spoke a uno del hub | Responde | Revisa VPN mode y reglas site-to-site |
| Security & SD-WAN → Monitor → Route table | Las subredes remotas aprendidas | El otro sitio no las exporta |
Errores comunes
El túnel no sube y un firewall upstream protege el MX
- Causa: el firewall upstream bloquea el registro o los túneles.
- Solución: permite UDP 9350–9381 saliente y el rango de túneles; si no es posible, usa NAT traversal manual con reenvío de puerto.
Dos sitios no se ven entre sí
- Causa: subredes solapadas (no se exportó una de ellas) o una regla de firewall site-to-site que lo bloquea.
- Solución: corrige el direccionamiento o la regla.
El spoke no alcanza al Palo Alto
- Causa: el túnel hub–Palo Alto es policy-based (ver “La trampa”).
- Solución: route-based con BGP o un túnel directo desde el spoke.
Tengo la misma subred en dos sitios
- Causa: direccionamiento duplicado.
- Solución: VPN subnet translation o replanificar el direccionamiento.