VPN y trabajo remoto seguro: tres modelos y cuándo usar cada uno
«No puedo conectarme desde la casa» y «quien entra por el túnel ve toda la red» son el mismo problema por sus dos extremos. Se resuelven eligiendo bien entre túnel entre sedes, cliente remoto y acceso publicado por aplicación.
Un túnel que da demasiado y falla justo cuando hace falta
La instalación típica falla por dos lados. Una sola autenticación deja la computadora de la casa dentro de la red de la oficina, con acceso a servidores que esa persona nunca necesita. Y el concentrador está publicado a internet con usuario y contraseña, sin segundo factor y con un firmware que nadie revisa desde la instalación; los buscadores de aparatos expuestos lo encuentran en minutos. Cuando la computadora de la casa está infectada, el túnel es lo que lleva la infección adentro.
Los tres modelos de acceso, sin marketing
Túnel IPsec entre sedes. Une dos oficinas de forma permanente. Se levanta entre los firewalls y para los usuarios es invisible: la impresora de la otra sede aparece como si estuviera al lado. Rinde mejor que ningún otro porque el cifrado va acelerado en hardware: un FortiGate 60F declara 6.5 Gbps de IPsec con AES256-SHA256 en paquetes de 512 bytes y admite 200 túneles de sede a sede. Su límite es conceptual: une redes enteras, así que exige reglas entre sedes o tendrás dos oficinas planas en vez de una.
Cliente remoto por IPsec. El portátil levanta el túnel cuando lo necesita; ese mismo modelo declara 500 túneles de cliente. Sirve para quien de verdad necesita estar dentro: un administrador, o un sistema viejo que solo habla por red local. El costo ya se dijo: la computadora pasa a ser parte de la red.
Acceso publicado por aplicación, o ZTNA. No hay túnel a la red: un intermediario publica una aplicación concreta y decide en cada sesión si te deja entrar, mirando identidad, estado del equipo y contexto. Si ese estado cambia a mitad de camino, la sesión se corta. Para la mayoría — correo, contabilidad, archivos — es lo que corresponde.
El SSL-VPN dejó de ser una opción, y eso cambia el plan
Durante años lo normal fue el portal por navegador. Ese camino se cerró: la ficha del FortiGate 60F anota que el SSL-VPN no está soportado desde FortiOS 7.6.0, y en 7.6.3 el modo túnel desaparece del equipo, de la interfaz gráfica y de la línea de comandos.
La parte que muerde es operativa. La configuración de SSL-VPN y sus políticas de firewall no sobreviven a la actualización. Si el plan era subir de versión un sábado y probar el lunes, el lunes nadie entra y no hay nada que revertir: la función ya no existe.
El orden correcto es al revés: se migra el acceso primero, se comprueba con usuarios reales una o dos semanas y solo después se actualiza el firmware. Las dos salidas no son excluyentes: suele convenir IPsec para el puñado que necesita la red completa y publicación por aplicación para el resto.
Si hoy dependes de un portal por navegador, esto no es una mejora opcional: es una fecha que ya está corriendo.
El doble factor ya no alcanza por sí solo
El ataque que hoy funciona no adivina contraseñas: las pide. Un servidor intermedio muestra una copia exacta de la pantalla de inicio de sesión, retransmite en vivo lo que el usuario escribe, reenvía el desafío del segundo factor y se queda con la cookie de sesión que el servicio emite después. Con esa cookie no necesita ni la contraseña ni el código: entra como esa persona hasta que caduque.
Contra eso, un código por mensaje de texto o una notificación de aprobar no ayudan: se retransmiten igual. Lo que corta el ataque es un segundo factor atado al origen, tipo llave física, porque la respuesta criptográfica solo vale para la dirección auténtica.
Dos señales que conviene vigilar: el registro de un método de autenticación nuevo minutos después de iniciar sesión, y la creación de reglas de reenvío en un buzón. Ambas aparecen antes del daño.
Cómo diseñamos el acceso remoto
Inventariamos quién necesita qué
Persona por persona: qué aplicación usa y desde dónde. Casi nunca hace falta la red completa, y casi siempre se había dado.
Publicamos aplicaciones, no la red
Cada sistema se publica por separado, con su propia regla. Lo que no está publicado no se alcanza, aunque el usuario esté autenticado.
Ponemos segundo factor en la puerta
Sobre el concentrador y sobre la identidad de la nube. Preferimos llave física para quien administra servidores o mueve dinero.
Exigimos estado mínimo del equipo
Sistema al día, disco cifrado y antivirus vivo. El que no cumple entra a un acceso reducido, no al de siempre.
Decidimos el túnel dividido con criterio
Mandar todo por la oficina consume tu enlace; mandar solo lo corporativo deja la navegación fuera de tu filtrado. Se elige y se escribe.
Qué queda instalado y documentado
- Matriz de acceso: quién alcanza qué aplicación, desde qué tipo de equipo
- Concentrador configurado con segundo factor y sin cuentas locales compartidas
- Túneles entre sedes con propuestas de cifrado modernas y llaves rotadas
- Reglas entre sedes escritas, para que unir oficinas no las vuelva una sola red plana
- Procedimiento de baja: qué se revoca el mismo día en que alguien deja la empresa
Cómo lo ejecutamos
Diagnóstico del acceso actual
Qué está publicado a internet, con qué versión y quién puede entrar hoy. Suele aparecer al menos una cuenta que ya no debería existir.
Propuesta con el modelo elegido
Qué usuarios van por túnel y cuáles por publicación de aplicación, con el alcance del trabajo por escrito.
Implementación en paralelo
El acceso nuevo convive con el viejo mientras se prueba con usuarios reales. El viejo se apaga cuando el nuevo funciona, no antes.
Soporte
Atención en jornada de oficina, de lunes a viernes: altas y bajas de usuarios, y revisión de la matriz de acceso.
Dudas frecuentes sobre trabajo remoto
¿Puedo seguir usando el portal por navegador que ya tengo?
Hasta que actualices el firmware, sí. Después no: en FortiOS 7.6.3 el modo túnel del SSL-VPN ya no está y la configuración no sobrevive a la actualización. Migra el acceso primero y actualiza después.
¿El escritorio remoto publicado a internet es una alternativa?
No. Un servicio de escritorio remoto abierto al mundo es de los caminos de entrada más aprovechados que existen. Que viaje dentro de un acceso autenticado, nunca expuesto de forma directa.
¿Todo el tráfico del empleado debe pasar por la oficina?
Solo si quieres aplicarle tu filtrado y pagarlo con tu enlace: la videollamada sube y baja dos veces y el usuario siente la demora. Lo habitual es enviar lo corporativo y dejar el resto directo.
¿Sirve de algo el doble factor si me roban la sesión?
Sirve contra el robo simple de contraseñas, que sigue siendo la mayoría, y no contra el intermediario que retransmite tu autenticación en vivo. Para cuentas críticas, llave física; para el resto, doble factor y sesiones más cortas.
¿Unir dos sucursales por túnel es seguro por sí mismo?
Cifra el tránsito, nada más. Sin reglas entre sedes lo que consigues es una red plana más grande: un equipo comprometido en una oficina alcanza los servidores de la otra. Ver [segmentación de red](/ciberseguridad/segmentacion-de-red-y-vlan).
Con qué se apoya este trabajo
El acceso remoto se apoya en tres piezas con página propia:
- El equipo de perímetro, donde terminan los túneles y donde se mide si aguantan.
- La red interna dividida, sin la cual publicar bien por fuera no sirve por dentro.
- El correo autenticado, porque la credencial que abre el túnel se pierde en un mensaje.
Y debajo, un enlace que no se caiga: internet empresarial y el resto de servicios.
Dónde encaja esto
«VPN y trabajo remoto seguro» vive en ciberseguridad. El recorrido entero empieza en Soluciones.
Revisemos qué tienes publicado a internet hoy
Levantamos qué servicios están expuestos, con qué versión y quién puede autenticarse. Si dependes de un portal que desaparece con la próxima actualización, mejor saberlo ahora que el lunes.