VPN para empresas y viviendas: acceso remoto seguro

Para qué sirve

• Teletrabajo: acceder a archivos, al servidor o a aplicaciones internas como si estuvieras en la oficina.
• Varias sedes: unir oficinas, tiendas o un hotel y sus apartamentos en una misma red privada (VPN entre sedes).
• Segundas residencias: llegar al NAS, al grabador de cámaras o a la domótica sin exponerlos a internet.
• Soporte técnico: que el instalador acceda para resolver incidencias sin dejar accesos abiertos.

Por qué no abrir puertos

Abrir el escritorio remoto, el grabador de cámaras o el NAS directamente a internet los deja a la vista de escaneos automáticos que buscan equipos vulnerables. Con una VPN, desde fuera solo se ve la puerta de la VPN, protegida con claves criptográficas.

WireGuard y OpenVPN

• WireGuard: moderna, ligera y rápida, con una configuración sencilla. Muy adecuada para móviles y conexiones entre sedes.
• OpenVPN: muy extendida y compatible, útil cuando hay que integrarse con equipos o redes existentes.

Ambas son de código abierto. Muchos routers y cortafuegos profesionales las incorporan de serie, y también pueden ir en un servidor propio.

Buenas prácticas

• Un acceso por persona y por dispositivo, que se pueda revocar.
• Acceso solo a lo que cada uno necesita, no a toda la red.
• Firmware del router y del servidor de VPN siempre actualizado.
• Registro de conexiones para saber quién ha entrado y cuándo.

Tres formas de montar una VPN

• Acceso remoto: cada persona conecta su móvil u ordenador a la red de la oficina o de casa.
• Entre sedes: dos o más redes quedan unidas de forma permanente, como si fueran una.
• Red superpuesta (mesh): los dispositivos se conectan entre sí directamente, sin pasar todos por un punto central. Hay soluciones de código abierto basadas en WireGuard para este modelo.

Dónde se instala

Lo habitual es que el servidor de VPN esté en el router o cortafuegos profesional de la oficina, que ya incorpora WireGuard, OpenVPN o IPsec. También puede ir en un pequeño servidor o en un NAS.

Túnel completo o dividido

• Túnel completo: todo el tráfico del dispositivo pasa por la VPN. Más control, pero más carga en la conexión de la oficina.
• Túnel dividido: solo el tráfico hacia la red de la oficina pasa por la VPN; el resto sale directo. Es lo más habitual para teletrabajo.

IP dinámica y CGNAT

Para conectarse desde fuera, la oficina o la casa debe ser localizable. Si la IP pública cambia, se resuelve con un nombre DNS dinámico. Si el operador no asigna una IP pública propia (CGNAT), no se pueden recibir conexiones entrantes: entonces se recurre a una red superpuesta, a un servidor intermedio o se solicita al operador una IP pública.

No confundir con las VPN comerciales

Los servicios que se anuncian para «navegar de forma privada» sirven para ocultar tu ubicación o cifrar el tráfico en una WiFi pública. No dan acceso a tu oficina. Aquí hablamos de una VPN propia, hacia tu propia red.

Cómo es la puesta en marcha

1. Revisar el router y la conexión.
2. Definir quién necesita acceso y a qué.
3. Crear una clave por persona y dispositivo.
4. Instalar la app y probar desde fuera.
5. Documentar y establecer cómo se dan altas y bajas.