No puedo conectarme al sistema desde casa y en la oficina funciona
El sistema administrativo, la carpeta compartida o el escritorio de tu computadora del trabajo. Hay una forma segura de resolverlo y una forma que termina en un cifrado de archivos. Esta página explica la diferencia y qué revisar cuando el acceso falla.
Lo que está en la oficina no es visible desde afuera, y así debe ser
Dentro de la oficina, tu computadora y el servidor comparten una red privada y se ven directamente. Desde tu casa no: el equipo de borde traduce direcciones y, desde afuera, la red interna simplemente no existe como destino alcanzable. No es una falla, es la única razón por la que un servidor de facturación no está expuesto a todo internet. Hay dos maneras de cruzar esa frontera. La primera es abrir un puerto hacia el servidor, que es rápida, gratis y peligrosa. La segunda es levantar un túnel cifrado que mete al empleado dentro de la red como si estuviera sentado en la oficina, y que exige autenticación antes de que exista cualquier acceso. La diferencia práctica es quién puede tocar el sistema. Con un puerto abierto lo puede intentar cualquiera en el mundo, todo el día. Con un túnel, primero hay que ser alguien: usuario, contraseña y un segundo factor. El servicio nunca queda a la vista.
Diagnóstico cuando el acceso remoto no funciona
1. Comprueba si el túnel llega a levantar
Separa dos fallas distintas: el túnel no conecta, o conecta y aun así no ves el sistema. Si no conecta, el problema es autenticación, dirección pública o un puerto bloqueado en la red desde donde te conectas. Si conecta y no ves nada, el problema es de rutas, nombres o permisos, y ya estás dentro.
2. Prueba por dirección y luego por nombre
Con el túnel arriba, intenta llegar al servidor por su dirección numérica. Si responde por dirección y no por nombre, lo que falta es la resolución interna: el túnel debe entregar también el servidor de nombres de la empresa. Es una de las causas más comunes y se corrige en el perfil de conexión, no en la computadora del usuario.
3. Descarta que tu casa comparta dirección pública
Muchos accesos residenciales entregan una dirección pública compartida entre varios clientes. Compara la dirección que ve tu router con la que reporta un sitio de consulta pública: si no coinciden, estás detrás de una traducción del proveedor y no puedes recibir conexiones entrantes. Para salir hacia un túnel esto no estorba; para publicar un servicio en casa, lo impide.
4. Revisa la dirección pública de la oficina
Si la oficina no tiene dirección fija, cambia sin aviso y el túnel deja de encontrar el destino. Se resuelve contratando dirección fija o usando un nombre dinámico que se actualice solo. El síntoma es inconfundible: funcionó durante semanas y dejó de funcionar de un día para otro sin que nadie tocara nada.
5. Ajusta el tamaño máximo de paquete
Si el túnel conecta, la sesión abre y se congela al mover datos grandes, sospecha del tamaño de paquete. Prueba `ping -f -l 1472 1.1.1.1` y baja de diez en diez hasta que deje de fragmentar; súmale 28 al valor que pase y tendrás el máximo real. Sobre un acceso con encapsulado suele quedar en 1492, y dentro de un túnel cifrado alrededor de 1400.
6. Mira el registro del equipo de borde
El firewall dice si el intento llegó y por qué se rechazó: credencial incorrecta, certificado vencido, grupo sin permiso o un horario que no corresponde. Es más rápido leerlo que probar combinaciones desde la casa del empleado.
Por qué publicar el escritorio remoto termina mal
Abrir el puerto 3389 hacia una computadora es el atajo más repetido del trabajo remoto improvisado, y es la puerta de entrada favorita de los ataques de cifrado de archivos. Millones de equipos están expuestos así en internet ahora mismo, y encontrarlos no requiere destreza: hay buscadores que ya los tienen catalogados.
El ataque no es sofisticado. Se prueban combinaciones de usuario y contraseña durante días, sin prisa. No hace falta acertar a la primera; hace falta que una sola cuenta de las que existen en ese equipo tenga una contraseña débil o reutilizada. A partir de ahí, quien entra ya está dentro de la red, con la sesión de un empleado real.
Lo mismo aplica a publicar el puerto de una base de datos, de una cámara o del panel de administración del router. La regla es simple y no tiene excepciones prácticas: ningún servicio interno se publica directo a internet. El acceso remoto se hace por túnel autenticado, con segundo factor, y con los permisos del usuario que corresponde. El equipo que lo hace posible está en el firewall como puerta de entrada única.
Fallas típicas del acceso remoto y su arreglo
- Escritorio remoto publicado a internet: se cierra el puerto y se sustituye por túnel con segundo factor. Es corrección urgente, no mejora opcional.
- Dirección pública variable en la oficina: el túnel apunta a un destino que cambió. Se contrata dirección fija o se activa un nombre que se actualice solo.
- Acceso residencial con dirección compartida: no puedes publicar servicios en casa. Para conectarte hacia la oficina no importa, y ese es el diseño correcto.
- Doble traducción de direcciones: el módem del proveedor y tu router traducen dos veces. Se pone el equipo del proveedor en modo puente y queda un solo punto de control.
- Falta la resolución de nombres interna: llegas por dirección y no por nombre. El perfil del túnel debe entregar el servidor de nombres y el sufijo de la empresa.
- Ruta incompleta: el túnel entrega solo un segmento y el sistema está en otro. Se revisan las redes anunciadas en el perfil de conexión.
- Tamaño de paquete sin ajustar: conecta y se congela al transferir. Se calcula el máximo con la prueba de fragmentación y se fija en el perfil.
- Sin segundo factor: una contraseña filtrada basta para entrar. Se activa verificación en dos pasos para todos los accesos remotos, sin excepción de cargo.
- Todo el tráfico forzado por el túnel: la navegación y las videollamadas se vuelven lentas. Se enruta por el túnel solo lo que va a la oficina.
- Cuentas de personal que ya no trabaja: siguen habilitadas y son la vía de entrada más silenciosa. Se revisan contra la lista de personal cada trimestre.
Qué debe cumplir un acceso remoto bien montado
Cuatro condiciones. Si falta una, el acceso funciona igual y el riesgo cambia por completo.
- Identidad antes que servicio. Nada interno responde hasta que la persona se autentica. El sistema no está expuesto, ni siquiera para responder que existe.
- Segundo factor obligatorio. Una contraseña sola no alcanza, porque las contraseñas se filtran en sitios que nada tienen que ver contigo.
- Permiso por rol, no por costumbre. Quien entra desde afuera debería alcanzar únicamente lo que necesita: el sistema administrativo, no todo el servidor de archivos.
- Registro de quién entró y cuándo. Sin bitácora no hay forma de responder a la pregunta que importa después de un incidente.
A eso se suma una decisión de rendimiento: enruta por el túnel solo el tráfico que va hacia la oficina, y deja que el correo y las videollamadas salgan directo. Es lo que recomienda el propio fabricante de la plataforma de reuniones, y evita que el firewall se convierta en el cuello de botella de la empresa entera.
Qué revisas tú y qué toca configurar
Antes de llamar a nadie:
- Prueba el acceso desde otra red, por ejemplo compartiendo datos del teléfono. Si desde ahí entra, el problema está en la red de tu casa.
- Anota el mensaje de error exacto. «No conecta» y «conecta y no encuentra el servidor» llevan a sitios distintos.
- Confirma que tu contraseña de la empresa sigue vigente y que no te la cambiaron.
- Verifica que estás usando el nombre o la dirección que corresponde, y no una anotada hace un año.
Toca configurar cuando:
- Hay un puerto publicado hacia adentro. Eso se cierra antes que cualquier otra cosa.
- Nadie sabe qué cuentas tienen acceso remoto vigente.
- El túnel funciona para unos y no para otros, lo que casi siempre es permisos por grupo.
- La oficina cambió de proveedor o de equipo de borde y hay que rehacer el perfil.
Vijor Networks trabaja con firewalls Fortinet e identidades de Microsoft; la atención la prestan personas, en jornada laboral.
Preguntas sobre trabajo remoto
¿Qué es más rápido, abrir un puerto o montar un túnel?
Abrir un puerto toma cinco minutos y montar un túnel toma una tarde. La diferencia no está en la instalación sino en lo que pasa después: un servicio publicado recibe intentos de acceso automatizados desde el primer día, todos los días, sin que nadie lo esté vigilando.
¿Sirve cambiar el escritorio remoto a otro puerto?
Casi nada. Los escaneos recorren todos los puertos, no solo los conocidos, y el servicio se identifica por cómo responde. Cambiar el número sube un poco el trabajo del atacante y no cambia el resultado. Lo que sirve es que el servicio no esté alcanzable.
¿Por qué el acceso funcionó meses y dejó de funcionar?
La causa más común es que la dirección pública de la oficina cambió. Los accesos empresariales suelen incluir dirección fija; los planes económicos no. Se resuelve contratando dirección fija o activando un nombre que se actualice solo cuando la dirección cambia.
¿Necesito segundo factor si la contraseña es larga?
Sí. La mayoría de los accesos indebidos no vienen de adivinar contraseñas sino de reutilizar una que se filtró en otro sitio. El segundo factor es lo que convierte una credencial robada en un intento fallido, y es la medida con mejor relación entre esfuerzo y protección.
¿Por qué todo va lento cuando estoy conectado por el túnel?
Probablemente el perfil manda todo el tráfico por la oficina, incluida la navegación y las videollamadas. Eso duplica el camino y añade cifrado sobre datos ya cifrados. Con enrutamiento selectivo, solo lo que va hacia la empresa pasa por el túnel.
¿Puedo trabajar desde casa con internet residencial?
Sí para conectarte hacia la oficina, que es una conexión saliente. Lo que no puedes hacer con muchos planes residenciales es publicar un servicio desde tu casa, porque compartes dirección pública con otros clientes del proveedor.
¿Y si el sistema está en la nube y no en la oficina?
Entonces no necesitas túnel para llegar a él, pero sí control de identidad: verificación en dos pasos, acceso por rol y revisión de cuentas activas. El problema deja de ser de red y pasa a ser de gestión de identidades.
Para profundizar
Cierra los puertos y abre un acceso que se pueda auditar
Revisamos qué está publicado hacia internet, montamos el túnel con segundo factor y dejamos el registro de quién entra y a qué. Sin exponer un solo servicio interno.