Categoría: Redes y VPN
Apache Guacamole gestionado: escritorio remoto desde el navegador
Una página web con el inicio de sesión de la empresa desde la que cada persona abre el escritorio de su PC de la oficina o de un servidor, sin instalar VPN ni programas y sin dejar el escritorio remoto abierto a internet.
- Dónde se monta
- En vuestra cuenta, a vuestro nombre
- Copias
- Con restauración probada
- Actualizaciones
- Planificadas y documentadas
- Licencia
- Open source, Apache License 2.0
En resumen
Apache Guacamole es una pasarela de escritorio remoto de código abierto: se entra desde el navegador y conecta por RDP, VNC o SSH con los equipos de dentro, sin instalar nada en el ordenador de cada persona. Lo montamos en vuestro servidor, le ponemos doble factor o vuestro inicio de sesión único, damos a cada persona solo sus equipos, grabamos las sesiones si hace falta, copiamos la configuración y lo mantenemos al día.
O llamadnos al 644 00 76 20
¿Qué nos encargamos de mantener?
Arrancar Guacamole con Docker lleva un rato. Lo que hay que cuidar es lo de alrededor: que la página de acceso tenga doble factor, que cada persona llegue solo a sus equipos, que las bajas se apliquen y que la pasarela esté al día, porque es la puerta de entrada a la oficina. Esto es lo que dejamos bajo control:
Pasarela
Guacamole y guacd en contenedores, con HTTPS, un nombre de dominio fijo y la configuración en un repositorio.
Inicio de sesión
Doble factor con TOTP o Duo, o la cuenta de la empresa por OpenID Connect, SAML o LDAP.
Permisos
Cada persona y cada grupo, solo con sus equipos; altas y bajas el mismo día.
Conexiones
RDP a Windows, VNC a otros escritorios y SSH a servidores, con las credenciales bien guardadas.
Registro y grabación
Quién entró a qué equipo y cuándo y, donde haga falta, la sesión grabada.
Vigilancia
Pasarela caída, certificados a punto de caducar, intentos de acceso fallidos y versiones atrasadas.
¿Cómo funciona?
Guacamole tiene dos piezas: una aplicación web, que es la página donde se inicia sesión, y guacd, que habla RDP, VNC o SSH con los equipos de dentro y manda la imagen al navegador. Desde internet solo se ve la página HTTPS; el escritorio remoto de los equipos solo acepta conexiones desde la pasarela.
| Forma de acceso | Qué hay que instalar | Cuándo lo proponemos |
|---|---|---|
| Guacamole por navegador | Nada: basta un navegador | Gente que entra desde equipos variados o que no queréis que instale nada |
| VPN con WireGuard u OpenVPN | El cliente VPN y el de escritorio remoto | Pocas personas, cada una con su portátil de la empresa |
| Red privada con NetBird o Tailscale | El cliente en cada dispositivo | Equipos repartidos, servidores en varias nubes y reglas por persona |
Las tres opciones cumplen lo importante: el escritorio remoto no queda abierto a internet. Las diferencias, la seguridad y las licencias de Windows las explicamos en la guía de escritorio remoto para teletrabajar.
¿Qué problemas encontramos más a menudo?
- La página de acceso sin doble factor, con usuario y contraseña como única protección de toda la oficina.
- Un usuario administrador por defecto que nadie cambió tras la instalación.
- Conexiones guardadas con una cuenta compartida, de modo que no se sabe quién entró de verdad.
- El escritorio remoto de los equipos todavía abierto hacia internet además de la pasarela.
- Una pasarela sin actualizar durante años, cuando es justo la pieza que está publicada en internet.
- Base de datos sin copia: si se rompe el servidor, hay que volver a dar de alta a mano cada usuario y cada conexión.
¿Cómo hacemos las copias, las actualizaciones y la restauración?
Usuarios, grupos, permisos y conexiones viven en una base de datos (PostgreSQL o MySQL) que copiamos cifrada fuera del servidor, junto con la configuración de los contenedores y del proxy, guardada en un repositorio. De vez en cuando restauramos en otra máquina y comprobamos que se puede entrar y abrir los escritorios. Si grabáis sesiones, decidimos con vosotros dónde se guardan y cuánto tiempo, y las incluimos en la copia.
Antes de actualizar Guacamole leemos las notas de la versión, hacemos copia y probamos la nueva versión aparte cuando el cambio es grande, porque las extensiones de inicio de sesión tienen que ir en la misma versión que la aplicación. El sistema y el proxy se actualizan con parches de seguridad programados en una ventana avisada.
¿Para quién tiene sentido?
- Una gestoría o un despacho con teletrabajo que quiere que cada persona abra desde casa su PC de la oficina o el servidor de escritorios sin instalar nada, con doble factor y con la baja de alguien cortando su acceso al momento.
- Una empresa con personal externo o colaboradores que necesitan entrar a uno o dos equipos concretos sin darles una VPN a toda la red.
- Un equipo técnico con servidores Linux y Windows que quiere entrar por SSH y escritorio remoto desde un solo sitio, con inicio de sesión único y las sesiones registradas.
¿Cómo protegemos la pasarela?
La pasarela es la puerta de entrada a la oficina, así que solo expone HTTPS, con un proxy delante, el usuario administrador por defecto eliminado y doble factor o inicio de sesión único para todo el mundo, sea con Microsoft, Google o un Keycloak propio. Los equipos de dentro solo aceptan escritorio remoto, VNC o SSH desde la pasarela, y cada persona ve únicamente sus conexiones. Los intentos de acceso fallidos y las conexiones van a Wazuh si tenéis un SIEM, y la pasarela y sus certificados los vigilamos desde la monitorización con Grafana y Prometheus.
- NavegadorCualquier equipo, sin instalar nada
- KeycloakInicio de sesión y doble factor
- GuacamolePasarela web y guacd
- Escritorios y servidoresRDP, VNC o SSH, solo desde la pasarela
¿Dónde lo montamos?
En vuestra cuenta, en el proveedor que ya uséis o en el que mejor encaje. Si los datos tienen que quedarse en la UE, Hetzner y OVHcloud son las opciones europeas.
Proveedores en los que lo montamos
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propio
| Proveedor | Cómo lo montamos | A tener en cuenta |
|---|---|---|
| Hetzner | Un servidor cloud pequeño con Guacamole en contenedores y un túnel o red privada hacia la oficina, con el firewall de Hetzner abierto solo al 443. | Suele ser la opción más sencilla para una pasarela que no dependa de la conexión de la oficina. |
| AWS | Una instancia EC2 o un contenedor en vuestra VPC, detrás de un balanceador con el certificado, para llegar a escritorios y servidores privados. | |
| Google Cloud | Una máquina de Compute Engine en vuestra red de VPC, con reglas de firewall que solo dejan llegar a los equipos desde la pasarela. | |
| Azure | Una máquina virtual en la red virtual de vuestros servidores Windows, con inicio de sesión de Microsoft Entra ID por OpenID Connect o SAML. | Encaja si la empresa ya trabaja con Microsoft 365. |
| DigitalOcean | Un Droplet dentro de vuestra VPC con Cloud Firewall delante. | |
| OVH | Una instancia de Public Cloud o un servidor dedicado con red privada (vRack) hacia vuestros servidores. | |
| Servidor propio | Guacamole en una máquina pequeña de la oficina o en el servidor de virtualización, publicado por HTTPS a través del router. | Si se va la luz o la conexión de la oficina, nadie entra desde fuera; para muchas personas, mejor la pasarela en la nube. |
Qué incluye
- Apache Guacamole en contenedores (la aplicación web y guacd) en vuestro servidor o en vuestra cuenta de nube, con HTTPS y un nombre de dominio propio.
- Inicio de sesión con doble factor (TOTP o Duo) o con la cuenta de la empresa: Microsoft, Google o Keycloak por OpenID Connect o SAML, o vuestro Active Directory por LDAP.
- Conexiones por RDP a los PC y servidores Windows, por VNC a otros escritorios y por SSH a servidores Linux, cada persona solo a las suyas.
- Escritorio remoto, VNC y SSH cerrados a internet: solo la pasarela llega a los equipos de dentro.
- Altas y bajas el mismo día: quien deja la empresa pierde el acceso a todos los equipos a la vez.
- Grabación de sesiones donde haga falta, con reproducción en el navegador y registro de quién entró a qué equipo y cuándo.
- Copias de la base de datos de usuarios y conexiones, y de la configuración, con restauración probada.
- Actualizaciones de Guacamole, del sistema y del proxy, y vigilancia de la pasarela y de los intentos de acceso.
Preguntas frecuentes
¿Guacamole o una VPN?
Con una VPN cada persona instala un programa y, una vez dentro, abre el escritorio remoto con el cliente de siempre. Con Guacamole no se instala nada: se entra desde el navegador y solo se llega a los equipos que tiene asignados. Si la gente trabaja desde su portátil de la empresa, una VPN es lo más sencillo; si entra desde equipos variados o no queréis instalar nada, Guacamole encaja mejor. A veces montamos las dos.
¿Hay que pagar licencias?
Guacamole es de código abierto, con licencia Apache 2.0, y no tiene licencia por usuario. Lo que no cambia son las licencias de Windows: si varias personas trabajan a la vez en un servidor Windows, siguen haciendo falta las licencias de acceso de Windows Server y de Escritorio remoto (RDS CAL), se entre por Guacamole o por otro camino.
¿Se puede poner doble factor o nuestro inicio de sesión único?
Sí. Guacamole tiene extensiones para doble factor con TOTP, la aplicación de códigos del móvil, o con Duo, y para iniciar sesión con OpenID Connect o SAML, como Microsoft Entra ID, Google o un Keycloak propio. También puede validar los usuarios contra vuestro Active Directory por LDAP.
¿Funciona con los programas de siempre, como la contabilidad o LexNET?
Sí, porque lo que se ve en el navegador es el escritorio de la oficina, con sus programas instalados. Lo que va peor que con el programa de Escritorio remoto es usar en la sesión un lector de tarjetas o un certificado en tarjeta, trabajar con varias pantallas o imprimir. Si firmáis con tarjeta, lo probamos antes con vosotros y, si no encaja, proponemos otra forma de entrar.
¿Qué pasa si la pasarela se cae?
Nadie puede entrar desde fuera hasta que vuelva, aunque los equipos de la oficina siguen funcionando. Por eso la vigilamos, copiamos su base de datos y su configuración fuera del servidor y tenemos ensayado cómo levantarla en otra máquina. Si el acceso es crítico, se puede dejar una VPN como segunda entrada.
Contadnos vuestro caso
Llamadnos o escribidnos y os decimos dónde estáis y por dónde empezar. Gratis y sin compromiso.
O llamadnos al 644 00 76 20
Documentación oficial consultada
Los datos técnicos de esta página se basan en:
Revisado el