VPN per a empreses i habitatges: accés remot segur

Per a què serveix

• Teletreball: accedir a fitxers, al servidor o a aplicacions internes com si fossis a l'oficina.
• Diverses seus: unir oficines, botigues o un hotel i els seus apartaments en una mateixa xarxa privada (VPN entre seus).
• Segones residències: arribar al NAS, al gravador de càmeres o a la domòtica sense exposar-los a internet.
• Suport tècnic: que l'instal·lador hi accedeixi per resoldre incidències sense deixar accessos oberts.

Per què no obrir ports

Obrir l'escriptori remot, el gravador de càmeres o el NAS directament a internet els deixa a la vista d'escanejos automàtics que busquen equips vulnerables. Amb una VPN, des de fora només es veu la porta de la VPN, protegida amb claus criptogràfiques.

WireGuard i OpenVPN

• WireGuard: moderna, lleugera i ràpida, amb una configuració senzilla. Molt adequada per a mòbils i connexions entre seus.
• OpenVPN: molt estesa i compatible, útil quan cal integrar-se amb equips o xarxes existents.

Totes dues són de codi obert. Molts routers i tallafocs professionals les incorporen de sèrie, i també poden anar en un servidor propi.

Bones pràctiques

• Un accés per persona i per dispositiu, que es pugui revocar.
• Accés només al que cadascú necessita, no a tota la xarxa.
• Firmware del router i del servidor de VPN sempre actualitzat.
• Registre de connexions per saber qui ha entrat i quan.

Tres maneres de muntar una VPN

• Accés remot: cada persona connecta el seu mòbil o ordinador a la xarxa de l'oficina o de casa.
• Entre seus: dues o més xarxes queden unides de manera permanent, com si fossin una.
• Xarxa superposada (mesh): els dispositius es connecten entre si directament, sense passar tots per un punt central. Hi ha solucions de codi obert basades en WireGuard per a aquest model.

On s'instal·la

El més habitual és que el servidor de VPN sigui al router o tallafocs professional de l'oficina, que ja incorpora WireGuard, OpenVPN o IPsec. També pot anar en un servidor petit o en un NAS.

Túnel complet o dividit

• Túnel complet: tot el trànsit del dispositiu passa per la VPN. Més control, però més càrrega a la connexió de l'oficina.
• Túnel dividit: només el trànsit cap a la xarxa de l'oficina passa per la VPN; la resta surt directament. És el més habitual per al teletreball.

IP dinàmica i CGNAT

Per connectar-se des de fora, l'oficina o la casa ha de ser localitzable. Si la IP pública canvia, es resol amb un nom DNS dinàmic. Si l'operador no assigna una IP pública pròpia (CGNAT), no es poden rebre connexions entrants: llavors es recorre a una xarxa superposada, a un servidor intermedi o es demana a l'operador una IP pública.

No s'ha de confondre amb les VPN comercials

Els serveis que s'anuncien per «navegar de manera privada» serveixen per amagar la teva ubicació o xifrar el trànsit en una WiFi pública. No donen accés a la teva oficina. Aquí parlem d'una VPN pròpia, cap a la teva pròpia xarxa.

Com és la posada en marxa

1. Revisar el router i la connexió.
2. Definir qui necessita accés i a què.
3. Crear una clau per persona i dispositiu.
4. Instal·lar l'app i provar des de fora.
5. Documentar i establir com es donen altes i baixes.