Categoría: Redes y VPN
VPN gestionada con WireGuard u OpenVPN: teletrabajo y sedes conectadas
Un servidor VPN a vuestro nombre para que el equipo trabaje desde casa y vuestras sedes y servidores se hablen por un túnel cifrado, con altas y bajas que no dependen de la memoria de nadie.
- Dónde se monta
- En vuestra cuenta, a vuestro nombre
- Copias
- Con restauración probada
- Actualizaciones
- Planificadas y documentadas
- Licencia
- Open source: WireGuard GPLv2, OpenVPN Community GPLv2 (Access Server es comercial)
En resumen
WireGuard y OpenVPN son dos programas de VPN de código abierto: crean un túnel cifrado entre los equipos de vuestra gente, vuestras oficinas y vuestros servidores. Montamos el servidor en vuestra cuenta o en vuestra oficina, damos a cada persona su propia clave, separamos por reglas de firewall a qué puede entrar cada grupo, copiamos la configuración y las claves, vigilamos los túneles y mantenemos todo actualizado.
¿Qué nos encargamos de mantener?
Montar una VPN que funcione en una tarde es fácil. Lo difícil llega después: la clave que se compartió por correo, el portátil de alguien que se fue hace meses y sigue conectando, o el servidor que nadie sabe volver a montar. Esto es lo que dejamos bajo control:
Servidor VPN
WireGuard u OpenVPN en vuestra cuenta o vuestra oficina, con un nombre de dominio fijo como punto de entrada.
Claves por persona
Una clave o certificado por dispositivo, con un registro de quién tiene qué y desde cuándo.
Altas y bajas
Accesos nuevos el mismo día y bajas que cortan la conexión al momento.
Firewall
Reglas por grupo: administración, técnicos o socios, cada uno solo a lo suyo.
Sedes y nubes
Túneles permanentes entre oficinas y con la red privada de vuestro proveedor.
Vigilancia
Túneles caídos, dispositivos que dejan de conectar y certificados que van a caducar.
¿Qué tipo de VPN montamos?
Hay dos usos distintos, y muchas empresas necesitan los dos a la vez:
| Uso | Lo que montamos | Qué consigue |
|---|---|---|
| Teletrabajo | Un servidor VPN y un cliente en cada portátil o móvil | Cada persona entra desde casa a los servidores, carpetas y programas de la oficina |
| Entre sedes | Un túnel permanente entre los routers o servidores de cada oficina | Las sedes comparten red sin que nadie tenga que conectar nada |
| Con la nube | Un túnel entre la oficina o los portátiles y la red privada del proveedor | Bases de datos y paneles internos sin ningún puerto abierto a internet |
Por defecto separamos el tráfico: por la VPN solo va lo que tiene que llegar a la red interna, y la navegación normal sale por la conexión de cada casa. Si necesitáis que todo el tráfico salga por la oficina, por ejemplo para que un servicio os reconozca por la IP, también se puede.
¿Qué problemas encontramos más a menudo?
- Una sola clave para todo el equipo: si se filtra o alguien se va, hay que cambiarla en todos los equipos a la vez.
- Accesos de personas que ya no están: nadie dio de baja su clave y su portátil sigue entrando.
- Todo abierto una vez dentro: quien conecta llega a cualquier servidor, impresora o carpeta de la red.
- El escritorio remoto o el NAS abiertos a internet porque la VPN daba problemas.
- Servidor sin copia ni documentación: si se rompe, hay que reconfigurar a mano cada portátil.
- Software sin actualizar en el router o el servidor que hace de puerta de entrada a toda la red.
¿Cómo hacemos las copias, las actualizaciones y la restauración?
La configuración del servidor, las reglas de firewall y la lista de dispositivos están en un repositorio, y el servidor se monta con Ansible a partir de ella. Las claves privadas del servidor y, en OpenVPN, la autoridad de certificación se guardan cifradas fuera de la máquina, en un gestor de secretos o en una copia aparte. Como los portátiles apuntan a un nombre de dominio y no a una IP, podemos reconstruir el servidor en otra máquina con las mismas claves y los clientes vuelven a conectar sin reinstalar nada. Lo ensayamos de vez en cuando y apuntamos lo que tarda.
El sistema y el software de VPN se actualizan con parches de seguridad programados en una ventana avisada. Antes de cambios grandes, como pasar de OpenVPN a WireGuard, convivimos unos días con las dos para que cada persona cambie sin prisas.
¿Para quién tiene sentido?
- Una gestoría o un despacho con teletrabajo que necesita que su gente abra desde casa el programa de contabilidad, el servidor de archivos o el escritorio remoto de la oficina sin dejarlos expuestos a internet.
- Una empresa de software con servidores en la nube que quiere llegar a bases de datos, paneles y servidores internos sin abrir puertos de administración y con una clave por persona.
- Una empresa con dos o más sedes, o con oficina y servidores en la nube, que quiere que todo funcione como una única red.
Si vuestro equipo crece, trabaja desde muchos sitios y queréis inicio de sesión único y reglas por persona sin gestionar claves a mano, quizá os encaje mejor una red privada con NetBird o Tailscale.
¿Cómo protegemos la VPN?
El servidor VPN es la puerta de entrada a toda la red, así que solo expone el puerto de la VPN: el acceso de administración va por la propia VPN o desde IP concretas, con SSH solo por clave. En OpenVPN añadimos usuario y contraseña con doble factor encima del certificado cuando hace falta. Las conexiones y los intentos fallidos se registran, y si ya tenéis un SIEM los enviamos a Wazuh para que una conexión rara a deshoras no pase desapercibida. Los túneles y el servidor los vigilamos desde la monitorización con Grafana y Prometheus.
- Equipos del personalCliente VPN con su clave
- WireGuardServidor VPN a vuestro nombre
- FirewallReglas por grupo
- Red internaServidores, sedes y nube
¿Dónde lo montamos?
En vuestra cuenta, en el proveedor que ya uséis o en el que mejor encaje. Si los datos tienen que quedarse en la UE, Hetzner y OVHcloud son las opciones europeas.
Proveedores en los que lo montamos
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propio
| Proveedor | Cómo lo montamos | A tener en cuenta |
|---|---|---|
| Hetzner | Un servidor cloud pequeño con IP fija, el firewall de Hetzner abierto solo al puerto de la VPN y red privada hacia el resto de servidores. | Suele ser la opción más sencilla y barata para un punto de entrada estable. |
| AWS | Una instancia EC2 en vuestra VPC, con un grupo de seguridad limitado al puerto de la VPN y la comprobación de origen y destino desactivada para que pueda enrutar. | AWS Client VPN es el servicio gestionado de AWS, basado en OpenVPN; comparamos antes coste y límites con montarlo nosotros. |
| Google Cloud | Una máquina de Compute Engine con el reenvío de IP activado y reglas de firewall de VPC. | |
| Azure | Una máquina virtual con el reenvío de IP activado en su interfaz y una tabla de rutas hacia la red virtual. | |
| DigitalOcean | Un Droplet con IP reservada dentro de vuestra VPC y Cloud Firewall delante. | |
| OVH | Una instancia de Public Cloud o un servidor dedicado con red privada (vRack) hacia vuestros servidores. | |
| Servidor propio | El servidor VPN en la oficina, en una máquina pequeña o en el propio router si es OPNsense o pfSense. | Depende de la conexión y de la IP de la oficina: si se cae el router, nadie entra desde casa. |
Qué incluye
- Servidor VPN con WireGuard u OpenVPN en vuestra cuenta cloud o en vuestra oficina, con la configuración descrita en código.
- Una clave o certificado por persona y por dispositivo, nunca compartidos, con un registro de quién tiene cada uno.
- Altas y bajas en el día: la baja de una persona corta su acceso al momento sin tocar a las demás.
- Reglas de firewall por grupo, para que cada persona llegue solo a los servidores y carpetas que necesita.
- Túneles entre sedes y con vuestra nube, con las rutas y el DNS interno resueltos.
- Copias cifradas de la configuración, las claves del servidor y, en OpenVPN, de la autoridad de certificación.
- Monitorización de túneles caídos, dispositivos que no conectan y certificados a punto de caducar.
- Actualizaciones del sistema y del software de VPN, y restauración ensayada del servidor en otra máquina.
Preguntas frecuentes
¿WireGuard u OpenVPN?
Para una instalación nueva solemos proponer WireGuard: es más sencillo de configurar, más rápido y está integrado en el kernel de Linux desde la versión 5.6. OpenVPN sigue siendo la mejor opción cuando necesitáis usuario y contraseña con doble factor en el propio servidor, o cuando hay que conectar desde redes que solo dejan salir por el puerto 443 con TCP. Si ya tenéis OpenVPN funcionando, no hace falta cambiarlo por cambiar.
¿Qué pasa cuando alguien deja la empresa o pierde el portátil?
Eliminamos su clave en WireGuard, o revocamos su certificado en OpenVPN, y desde ese momento ese dispositivo ya no conecta. Como cada persona y cada dispositivo tienen su propia clave, nadie más tiene que cambiar nada. La baja queda apuntada en el registro de accesos.
¿Tenemos que pagar licencias?
WireGuard y OpenVPN Community son de código abierto y no tienen licencia por usuario. OpenVPN Access Server, la versión comercial con panel web, es gratuita hasta dos conexiones simultáneas y a partir de ahí necesita una suscripción. Lo que sí pagáis es el servidor donde corre la VPN.
¿Se puede conectar la oficina con la nube o con otra sede?
Sí. Montamos un túnel permanente entre el router o un servidor de cada sede y la red privada de vuestra nube, con las rutas para que cada lado vea solo lo que debe. Así dos oficinas, o vuestra oficina y vuestros servidores en Hetzner, trabajan como si estuvieran en la misma red.
¿Una VPN es suficiente para cumplir con la protección de datos?
Ayuda con una parte, porque cifra el tráfico y controla quién entra a la red, pero no basta por sí sola. También cuentan las contraseñas, el doble factor, las copias, los permisos de cada carpeta y que los equipos estén actualizados. Si queréis saber dónde estáis, lo revisamos en una auditoría.
Contadnos vuestro caso
En una llamada gratuita de 20 minutos vemos dónde estáis y por dónde empezar. Sin compromiso.
Documentación oficial consultada
Los datos técnicos de esta página se basan en:
Revisado el