VPN para empresas: qué es, cómo funciona y para qué sirve
Una VPN para empresas permite establecer comunicaciones protegidas entre usuarios, dispositivos o redes a través de Internet.
Se utiliza principalmente para que empleados que trabajan fuera de la oficina accedan a determinados recursos corporativos o para conectar sedes geográficamente separadas.
Pero una VPN no convierte automáticamente una conexión en segura ni sustituye al firewall, la autenticación multifactor o una correcta gestión de usuarios.
Es una pieza más dentro de la estrategia de seguridad y conectividad de una empresa.
¿Qué es una VPN?
VPN significa Virtual Private Network o red privada virtual.
Su función es crear una conexión lógica protegida sobre una red como Internet.
Así, una persona que trabaja fuera de la oficina puede acceder a determinadas aplicaciones, servidores o recursos internos sin necesidad de publicarlos directamente en Internet.
También podemos conectar dos oficinas mediante una VPN permanente para que sus sistemas autorizados puedan comunicarse entre sí.
¿Cómo funciona una VPN?
Cuando un usuario inicia una conexión VPN, su dispositivo establece una comunicación con el servidor, firewall o servicio VPN de la empresa.
Antes de permitir el acceso debe comprobarse su identidad mediante los mecanismos de autenticación configurados.
Una vez autorizado, se crea un túnel protegido por el que circula el tráfico correspondiente.
Según la tecnología utilizada, ese túnel proporciona cifrado, autenticación e integridad de las comunicaciones.
Pero conectarse mediante VPN no debería significar obtener acceso general a toda la infraestructura. También debemos definir qué recursos puede utilizar cada usuario.
Tipos de VPN para empresas
En un entorno empresarial encontramos principalmente dos escenarios.
VPN de acceso remoto
Permite que una persona se conecte desde una ubicación externa a determinados recursos de la empresa.
Puede utilizarse para acceder a un servidor de archivos, una aplicación interna, una herramienta administrativa o un escritorio remoto.
El usuario se autentica y obtiene únicamente el acceso definido para su perfil.
VPN site-to-site
Una VPN site-to-site conecta redes completas.
Por ejemplo, una empresa con oficinas en Barcelona y Madrid puede establecer un túnel permanente entre ambas sedes.
Los sistemas autorizados pueden comunicarse a través de esa conexión sin que cada usuario tenga que iniciar manualmente una VPN.
Este modelo también puede utilizarse para conectar oficinas, almacenes o determinadas infraestructuras cloud.
¿Para qué sirve una VPN en una empresa?
Uno de sus usos principales es proporcionar acceso remoto a recursos que no queremos publicar directamente en Internet.
También permite comunicar sedes y proporcionar una vía controlada para que técnicos o administradores accedan remotamente a servidores y dispositivos.
En todos estos escenarios debemos aplicar el principio de mínimo privilegio.
Tener una conexión VPN no debería significar disponer de permiso para acceder a toda la red.
VPN y teletrabajo
El trabajo remoto hace necesario proporcionar acceso externo a muchos sistemas empresariales.
Una VPN puede utilizarse para acceder de forma controlada a recursos internos que no están diseñados para estar públicamente disponibles.
Pero el acceso remoto también es un punto especialmente sensible.
Las credenciales VPN pueden ser objetivo de phishing y otros ataques, por lo que no deberíamos protegerlas únicamente mediante usuario y contraseña.
Una VPN empresarial debería utilizar MFA
La autenticación multifactor (MFA) es una de las medidas más importantes para proteger el acceso remoto.
Si un atacante obtiene la contraseña de un empleado pero la VPN exige un segundo factor, todavía tendrá que superar esa protección adicional.
Conviene priorizar MFA en accesos VPN, cuentas administrativas, correo electrónico y otras aplicaciones empresariales críticas.
También debemos mantener actualizado el servidor, firewall o servicio que proporciona la VPN. Al tratarse de sistemas expuestos, las vulnerabilidades conocidas deben corregirse con rapidez.
VPN frente a exponer RDP directamente a Internet
VPN y RDP cumplen funciones diferentes.
RDP permite controlar remotamente un equipo Windows. Una VPN proporciona conectividad protegida hacia una red o determinados recursos.
Si necesitamos utilizar RDP, una arquitectura habitual consiste en evitar que esté directamente expuesto a Internet y requerir primero un acceso protegido:
Usuario → VPN → red corporativa → equipo autorizado mediante RDP
La VPN permite controlar quién puede alcanzar el servicio, aunque RDP también debe protegerse mediante permisos, actualizaciones y autenticación adecuada.
¿Una VPN protege todo el tráfico?
No necesariamente.
Depende de su configuración.
Con un túnel completo, todo o gran parte del tráfico del dispositivo puede enviarse a través de la VPN.
Con split tunneling, únicamente determinadas comunicaciones utilizan el túnel corporativo y el resto sale directamente a Internet.
Ambos modelos tienen implicaciones sobre seguridad, rendimiento y consumo de ancho de banda.
Por eso lo importante es conocer qué tráfico queremos enviar realmente a través de la VPN.
¿Una VPN sustituye al firewall?
No.
Ambas tecnologías suelen trabajar juntas.
La VPN establece la conectividad protegida.
El firewall decide qué comunicaciones están permitidas entre usuarios, redes y servicios.
Un empleado puede conectarse correctamente mediante VPN y disponer únicamente de acceso a una aplicación concreta mientras el firewall bloquea el resto de la infraestructura.
VPN, Zero Trust y ZTNA
Tradicionalmente muchas redes empresariales diferenciaban claramente entre usuarios situados fuera y dentro de la red corporativa.
Una VPN permitía trasladar virtualmente al usuario hacia esa red interna.
Las arquitecturas Zero Trust utilizan un enfoque diferente: un usuario o dispositivo no se considera confiable únicamente por encontrarse dentro de una determinada red.
El acceso puede evaluarse según identidad, dispositivo, recurso solicitado y política de seguridad.
De este planteamiento surgen soluciones como Zero Trust Network Access (ZTNA), que pueden proporcionar acceso directamente a determinadas aplicaciones sin conceder necesariamente conectividad general hacia la red.
Esto no significa que las VPN hayan dejado de ser útiles.
Las conexiones site-to-site, muchos accesos administrativos y numerosas infraestructuras siguen utilizando VPN. Lo importante es evitar que VPN signifique acceso ilimitado.
Buenas prácticas para una VPN empresarial
Una VPN debe administrarse como cualquier otro sistema crítico.
Conviene:
- utilizar MFA siempre que sea posible;
- mantener actualizado el servidor, firewall o servicio VPN;
- eliminar cuentas que ya no necesiten acceso;
- aplicar mínimo privilegio;
- segmentar los recursos accesibles;
- registrar conexiones e intentos fallidos;
- revisar usuarios y permisos;
- utilizar protocolos y configuraciones soportados;
- controlar los dispositivos desde los que se realiza la conexión.
Una VPN correctamente configurada puede seguir introduciendo riesgo si el ordenador del usuario está comprometido.
Rendimiento de una VPN
El rendimiento depende del ancho de banda, latencia, calidad de las conexiones, número de usuarios simultáneos y capacidad de los equipos que procesan el tráfico.
También influye la arquitectura.
Hacer pasar todo el tráfico de todos los usuarios remotos por la infraestructura central consume más recursos que enrutar únicamente las comunicaciones necesarias.
Si la VPN es crítica para el trabajo diario, debemos dimensionar adecuadamente tanto la conectividad como los dispositivos encargados de procesarla.
¿Cuándo necesita una empresa una VPN?
Una VPN puede tener sentido cuando necesitamos:
- proporcionar acceso remoto a sistemas internos;
- conectar diferentes sedes;
- administrar servidores o dispositivos;
- evitar exponer determinados servicios directamente a Internet;
- comunicar redes empresariales utilizando Internet como transporte.
Pero no todas las aplicaciones necesitan una VPN.
Muchos servicios SaaS y aplicaciones cloud están diseñados para utilizarse directamente a través de Internet mediante autenticación y controles de acceso propios.
La decisión depende de dónde están los sistemas, quién necesita acceder y qué nivel de conectividad queremos proporcionar.
VPN empresarial: una pieza más de la seguridad
Una VPN sigue siendo una herramienta muy útil para conectar usuarios, sedes y sistemas.
Pero su seguridad depende de cómo esté configurada y de los controles que la acompañan.
MFA, mínimo privilegio, firewall, segmentación, monitorización y mantenimiento son tan importantes como el propio túnel.
Además, determinados entornos pueden combinar VPN con modelos como ZTNA cuando se necesita proporcionar acceso más específico a aplicaciones y recursos.
En nuestra guía sobre seguridad informática para empresas explicamos cómo encaja el acceso remoto dentro de una estrategia de protección más amplia.
En ENDEOS diseñamos y gestionamos redes y comunicaciones para empresas, incluyendo accesos remotos seguros y conexiones VPN entre sedes según las necesidades de cada infraestructura.
Artículos relacionados:
- classic-editor-remember:
- block-editor