Escritorio remoto para teletrabajar en un despacho o pyme: opciones, seguridad y licencias

En muchos despachos y pymes el teletrabajo pasa por el escritorio remoto: desde casa se abre el ordenador de la oficina, o un servidor, y se trabaja con los mismos programas y archivos de siempre. Es cómodo y funciona bien, pero hay dos cosas que se suelen hacer mal: cómo se llega a ese escritorio desde internet y qué licencias hacen falta. En este artículo repasamos las opciones, cómo protegerlas y qué dice Microsoft sobre las licencias.

Las formas habituales de montarlo

1. Escritorio remoto dentro de una VPN

La persona conecta primero la VPN desde su portátil y, ya dentro de la red de la oficina, abre el escritorio remoto de su ordenador o del servidor. Desde internet solo se ve la puerta de la VPN; el escritorio remoto no es accesible desde fuera. Es la opción más sencilla para pocas personas y la que solemos montar con WireGuard. Cómo la gestionamos está en la VPN gestionada con WireGuard u OpenVPN; si el equipo está repartido entre varios sitios, una red privada con NetBird o Tailscale cumple el mismo papel.

2. Pasarela de Escritorio remoto (RD Gateway)

Es un rol de Windows Server que recibe las conexiones por HTTPS (puerto 443) y las pasa a los ordenadores o servidores de dentro. No hace falta instalar una VPN en cada portátil. El doble factor no viene de serie en la pasarela: necesita un componente adicional. Las licencias dependen de cómo se monte, y las revisamos con vosotros. Tiene sentido cuando hay un servidor Windows en la oficina y bastantes personas conectando.

3. Por navegador: cliente web de Escritorio remoto o Apache Guacamole

La persona abre una página web, inicia sesión y trabaja con el escritorio de la oficina dentro del navegador, sin instalar nada en su equipo. Hay dos formas habituales de montarlo. El cliente web de Escritorio remoto de Microsoft forma parte de un despliegue de Servicios de Escritorio remoto (RDS) en Windows Server, con pasarela RD y acceso web, y está pensado para servidores de escritorios. Apache Guacamole es una pasarela de código abierto (licencia Apache 2.0) que se instala en un servidor Linux y conecta por RDP, VNC o SSH tanto con el PC de cada persona como con un servidor.

• Ventajas: no hay que instalar VPN ni programa de escritorio remoto: basta un navegador, también desde el ordenador de casa o una tableta. El escritorio remoto no queda expuesto, porque desde internet solo se ve una página HTTPS, y delante se pone doble factor o el inicio de sesión de la empresa (Microsoft, Google o Keycloak). Con Guacamole, además, se pueden grabar las sesiones y queda registrado quién entró a qué equipo.
• Inconvenientes: la página de acceso está publicada en internet, así que hay que mantenerla actualizada y vigilada, y es una pieza más que cuidar. Algunas cosas van peor que con el programa de Escritorio remoto: imprimir, trabajar con varias pantallas o usar en el escritorio remoto un lector de tarjetas o un certificado en tarjeta, algo que importa si se firma con AutoFirma o en LexNET con tarjeta.
• Licencias: entrar por navegador no cambia las licencias. Si varias personas trabajan en un servidor Windows, siguen haciendo falta las licencias de acceso de Windows Server y de Escritorio remoto (RDS CAL), se entre con Guacamole o con el cliente web de Microsoft, que además exige que esas licencias sean por usuario.

4. Lo que no hay que hacer: el puerto 3389 abierto

Redirigir en el router el puerto del escritorio remoto (3389) hacia un ordenador o un servidor es lo más rápido, y también lo más peligroso. Hay bots que recorren internet buscando ese puerto y prueban contraseñas sin parar, y de vez en cuando aparecen vulnerabilidades que permiten entrar sin ellas. Organismos como INCIBE recomiendan no exponerlo y protegerlo con una VPN. Cambiar el puerto a otro número no lo arregla: solo lo esconde un poco.

Seguridad: lo mínimo

• Un usuario por persona, nunca una cuenta compartida. Así se sabe quién ha entrado y se puede dar de baja a una persona sin tocar a las demás.
• Doble factor en la VPN o en la pasarela (en la pasarela RD, con un componente adicional): una aplicación en el móvil o una llave física.
• Autenticación a nivel de red (NLA) activada en el escritorio remoto, para que pida las credenciales antes de abrir la sesión.
• Bloqueo tras varios intentos fallidos y registro de las conexiones: quién entra, cuándo y desde dónde.
• Equipos y servidores actualizados, sobre todo el que hace de puerta de entrada.
• Bajas el mismo día: cuando alguien deja la empresa, se le corta el acceso a la VPN o a la pasarela en el momento.
• Copias de seguridad de los equipos y servidores a los que se conecta la gente, fuera de la oficina y probadas.

Licencias: qué hace falta en cada caso

Aquí es donde más dudas hay, y donde más fácil es incumplir sin saberlo. Resumimos lo que dice la documentación de Microsoft; para un caso concreto, conviene confirmarlo con vuestro proveedor de licencias.

Cada persona se conecta a su propio PC de la oficina

Si cada persona usa por escritorio remoto el ordenador de su puesto, y ese ordenador tiene Windows Pro (o Enterprise), no hace falta ninguna licencia extra: la versión Pro ya incluye el escritorio remoto como servidor. La versión Home no lo permite: con Windows Home solo se puede conectar a otros equipos, no recibir conexiones. Office sigue con la licencia que ya tenga esa persona. Esto vale cuando se entra por VPN; si se entra a través de una pasarela RD, que es un servidor Windows, las licencias dependen de cómo se monte y las revisamos con vosotros.

Varias personas trabajan en un servidor

Si varias personas trabajan a la vez en un servidor Windows con los programas instalados (Servicios de Escritorio remoto, RDS), hacen falta:

• Licencias de acceso de Windows Server (CAL), por usuario o por dispositivo.
• Licencias de acceso de Escritorio remoto (RDS CAL), también por usuario o por dispositivo, y el servidor de licencias de Escritorio remoto configurado.
• Office con activación en equipos compartidos. Con Microsoft 365, la activación en equipos compartidos solo está en los planes que incluyen Microsoft 365 Apps for enterprise (como E3 o E5) y, entre los planes para empresas, en Microsoft 365 Business Premium. Business Standard no la incluye.

Las dos sesiones de administración de Windows Server

Windows Server permite dos sesiones de escritorio remoto sin licencias de RDS, pero son para administrar el servidor, no para que la gente trabaje en él. Usarlas para que dos personas trabajen cada día con la contabilidad no está cubierto por esa excepción: en ese caso hacen falta las licencias del apartado anterior.

¿PC de la oficina o servidor?

Para pocas personas que ya tienen su ordenador en la oficina, conectarse por VPN a su propio PC es lo más sencillo y no tiene coste de licencias. Un servidor de escritorios compensa cuando hay más personas, cuando no queréis tener ordenadores encendidos en la oficina para cada una o cuando un programa de gestión funciona mejor instalado en un solo sitio. Lo decidimos con vosotros según cuántas personas sois, qué programas usáis y qué licencias tenéis ya.

En el mantenimiento informático para despachos y pymes montamos el escritorio remoto y la VPN, con un usuario por persona y doble factor, y os detallamos las licencias en el presupuesto. Si queréis revisar cómo lo tenéis ahora, llamadnos o escribidnos.

Preguntas frecuentes

¿Cambiar el puerto 3389 por otro es suficiente?

No. Cambiar el puerto reduce el ruido de los bots más simples, pero el escritorio remoto sigue expuesto a internet y a sus vulnerabilidades. Lo que protege es no exponerlo: VPN o pasarela, con doble factor.

¿Sirve un programa de control remoto en lugar del escritorio remoto?

Puede servir para soporte puntual, pero para trabajar a diario tiene los mismos problemas si se usa mal: contraseñas compartidas, accesos sin registro y equipos que quedan accesibles desde fuera. Si se usa, con un usuario por persona, doble factor y accesos registrados.

¿Con Microsoft 365 Business Standard puedo usar Office en un servidor de escritorios?

Según la documentación de Microsoft, no: Business Standard no incluye la activación en equipos compartidos. Entre los planes para empresas, solo Business Premium la incluye; también la incluyen los planes con Microsoft 365 Apps for enterprise.

Referencias

• Microsoft Learn: licencias de acceso de cliente (CAL) de Escritorio remoto.
• Microsoft Learn: activación en equipos compartidos de Microsoft 365 Apps, con los planes que la incluyen.
• INCIBE: recomendaciones para proteger el escritorio remoto.
• Microsoft Learn: requisitos del cliente web de Escritorio remoto, con pasarela RD y licencias por usuario.
• Apache Guacamole: manual oficial.