VPN para empresas: acceso seguro a recursos desde cualquier lugar

Una VPN (Virtual Private Network) en la empresa permite a los empleados acceder de forma segura a los recursos internos (carpetas compartidas, ERP, aplicaciones) independientemente de su ubicación. Además del acceso individual, las empresas necesitan cada vez más un site-to-site VPN entre sucursales o entre la sede y la nube.

TL;DR — puntos clave

• Para usuarios remotos recomendamos WireGuard: rápido, sencillo, criptografía moderna
• IPsec sigue siendo el estándar para site-to-site entre firewalls
• OpenVPN es el más compatible, pero más lento
• El MFA es obligatorio: una VPN sin MFA es un agujero de seguridad

Comparativa de protocolos

Site-to-site entre sucursales

Escenario clásico: la sede tiene un firewall pfSense, y la sucursal también. Entre ellos establecemos un túnel IPsec con un algoritmo fuerte (AES-256-GCM, SHA-256, grupo DH 14 o superior) y enrutamos el tráfico con excepciones NAT. Para HA, recomendamos conexiones WAN redundantes y monitorización de disponibilidad.

Si una parte está en Azure, utilizamos Azure VPN Gateway o Azure Virtual WAN. Este último simplifica enormemente la gestión en múltiples ubicaciones y ofrece enrutamiento transitivo.

Usuarios remotos: WireGuard en la práctica

1. Instale el paquete WireGuard en pfSense.
2. Cree un túnel, asigne una subred (ej. `10.100.0.0/24`).
3. Genere para cada usuario un par de claves y un archivo de configuración con código QR (para aplicaciones móviles).
4. En el firewall, limite el acceso desde la subred VPN solo a los recursos internos necesarios.
5. Para el MFA, use una combinación: WireGuard para el túnel + Conditional Access para las aplicaciones, o una página de inicio de sesión adicional.

Zero Trust en lugar de la VPN clásica

El enfoque moderno se aleja del modelo "me conecto una vez a la VPN y estoy en toda la red". En su lugar, verificamos cada acceso a cada aplicación individualmente: Zero Trust Network Access (ZTNA). En entornos Microsoft, esto se implementa con Entra Private Access, que permite al usuario acceder a aplicaciones internas sin cliente VPN, mientras cada acceso se verifica con Conditional Access.

Higiene de seguridad de la VPN

• MFA obligatorio para todos los inicios de sesión VPN (TOTP, passkey o llave FIDO2)
• No exponga los puertos VPN innecesariamente — si es posible, use port knocking o VPN a través de WireGuard con rotación de claves
• Registre todos los inicios de sesión VPN y analice anomalías
• Segmente el acceso — el usuario VPN no debe ver toda la LAN, sino solo los recursos necesarios
• Elimine regularmente las cuentas inactivas (ex-empleados, cuentas de prueba)

Rendimiento y ancho de banda

WireGuard en la práctica alcanza entre el 80 y 95 % de la velocidad neta de la conexión; IPsec con aceleración de hardware (AES-NI, QAT) es comparable. Si trabaja en Azure y transfiere archivos grandes, considere ExpressRoute, una conexión dedicada que evita el internet público.

Acceso de respaldo y monitorización

¿Qué sucede si la conexión WAN principal falla? Prepare una ruta de respaldo: módem LTE, una conexión secundaria de otro proveedor o VPN a través de teléfono móvil para emergencias. Para la monitorización de la VPN, utilice pings y pruebas activas (ej. solicitud HTTP al portal interno), no solo el estado del túnel.

¿Necesitamos una VPN si tenemos todo en la nube?

Si todo es accesible a través del navegador y está protegido con MFA + Conditional Access, tal vez no. La VPN sigue siendo útil para acceder a recursos dedicados (SQL, RDP, impresoras, servidores de licencias).

¿Cuál es la diferencia de velocidad entre WireGuard y OpenVPN?

En nuestras pruebas en una conexión de 1 Gbps, WireGuard alcanza más de 900 Mbps, mientras que OpenVPN suele rondar los 250–400 Mbps. La diferencia radica en la pila criptográfica más sencilla de WireGuard y en que se ejecuta en el kernel.

¿Necesitamos nuestro propio servidor VPN o un servicio?

Para acceder a recursos internos necesita su propia VPN (pfSense, Azure VPN Gateway, etc.). Los servicios de VPN pública (NordVPN, ExpressVPN) no solucionan el acceso a su infraestructura.

¿Qué ocurre con el split tunneling?

Recomendamos el split tunneling para el tráfico que no necesita VPN (Teams, web) para descargar el gateway VPN. Para el tráfico hacia aplicaciones internas y sistemas regulados, utilice full tunnel.