Categoria: Xarxes i VPN
VPN gestionada amb WireGuard o OpenVPN: teletreball i seus connectades
Un servidor VPN a nom vostre perquè l'equip treballe des de casa i les vostres seus i servidors es comuniquen per un túnel xifrat, amb altes i baixes que no depenen de la memòria de ningú.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- Open source: WireGuard GPLv2, OpenVPN Community GPLv2 (Access Server és comercial)
En resum
WireGuard i OpenVPN són dos programes de VPN de codi obert: creen un túnel xifrat entre els equips de la vostra gent, les vostres oficines i els vostres servidors. Muntem el servidor al vostre compte o a la vostra oficina, donem a cada persona la seua pròpia clau, separem per regles de tallafoc a què pot entrar cada grup, copiem la configuració i les claus, vigilem els túnels i ho mantenim tot actualitzat.
De què ens encarreguem?
Muntar una VPN que funcione en una vesprada és fàcil. El difícil arriba després: la clau que es va compartir per correu, el portàtil d’algú que se’n va anar fa mesos i continua connectant, o el servidor que ningú no sap tornar a muntar. Això és el que deixem sota control:
Servidor VPN
WireGuard o OpenVPN al vostre compte o a la vostra oficina, amb un nom de domini fix com a punt d’entrada.
Claus per persona
Una clau o certificat per dispositiu, amb un registre de qui té què i des de quan.
Altes i baixes
Accessos nous el mateix dia i baixes que tallen la connexió al moment.
Tallafoc
Regles per grup: administració, tècnics o socis, cadascú només al que és seu.
Seus i núvols
Túnels permanents entre oficines i amb la xarxa privada del vostre proveïdor.
Vigilància
Túnels caiguts, dispositius que deixen de connectar i certificats que caducaran.
Quin tipus de VPN muntem?
Hi ha dos usos diferents, i moltes empreses necessiten tots dos alhora:
| Ús | El que muntem | Què aconsegueix |
|---|---|---|
| Teletreball | Un servidor VPN i un client en cada portàtil o mòbil | Cada persona entra des de casa als servidors, carpetes i programes de l’oficina |
| Entre seus | Un túnel permanent entre els encaminadors o servidors de cada oficina | Les seus comparteixen xarxa sense que ningú haja de connectar res |
| Amb el núvol | Un túnel entre l’oficina o els portàtils i la xarxa privada del proveïdor | Bases de dades i panells interns sense cap port obert a internet |
Per defecte separem el trànsit: per la VPN només va el que ha d’arribar a la xarxa interna, i la navegació normal ix per la connexió de cada casa. Si necessiteu que tot el trànsit isca per l’oficina, per exemple perquè un servei us reconega per la IP, també es pot fer.
Quins problemes trobem més sovint?
- Una sola clau per a tot l’equip: si es filtra o algú se’n va, cal canviar-la en tots els equips alhora.
- Accessos de persones que ja no hi són: ningú no va donar de baixa la seua clau i el seu portàtil continua entrant.
- Tot obert una vegada dins: qui connecta arriba a qualsevol servidor, impressora o carpeta de la xarxa.
- L’escriptori remot o el NAS oberts a internet perquè la VPN donava problemes.
- Servidor sense còpia ni documentació: si es trenca, cal reconfigurar a mà cada portàtil.
- Programari sense actualitzar en l’encaminador o el servidor que fa de porta d’entrada a tota la xarxa.
Com fem les còpies, les actualitzacions i la restauració?
La configuració del servidor, les regles de tallafoc i la llista de dispositius són en un repositori, i el servidor es munta amb Ansible a partir d’aquesta. Les claus privades del servidor i, en OpenVPN, l’autoritat de certificació es guarden xifrades fora de la màquina, en un gestor de secrets o en una còpia a part. Com que els portàtils apunten a un nom de domini i no a una IP, podem reconstruir el servidor en una altra màquina amb les mateixes claus i els clients tornen a connectar sense reinstal·lar res. Ho assagem de tant en tant i anotem quant tarda.
El sistema i el programari de VPN s’actualitzen amb pegats de seguretat programats en una finestra avisada. Abans de canvis grans, com passar d’OpenVPN a WireGuard, convivim uns dies amb totes dues perquè cada persona canvie sense presses.
Per a qui té sentit?
- Una gestoria o un despatx amb teletreball que necessita que la seua gent òbriga des de casa el programa de comptabilitat, el servidor de fitxers o l’escriptori remot de l’oficina sense deixar-los exposats a internet.
- Una empresa de programari amb servidors al núvol que vol arribar a bases de dades, panells i servidors interns sense obrir ports d’administració i amb una clau per persona.
- Una empresa amb dues o més seus, o amb oficina i servidors al núvol, que vol que tot funcione com una única xarxa.
Si el vostre equip creix, treballa des de molts llocs i voleu inici de sessió únic i regles per persona sense gestionar claus a mà, potser us encaixa millor una xarxa privada amb NetBird o Tailscale.
Com protegim la VPN?
El servidor VPN és la porta d’entrada a tota la xarxa, així que només exposa el port de la VPN: l’accés d’administració va per la mateixa VPN o des d’IP concretes, amb SSH només per clau. En OpenVPN afegim usuari i contrasenya amb doble factor damunt del certificat quan cal. Les connexions i els intents fallits es registren, i si ja teniu un SIEM els enviem a Wazuh perquè una connexió estranya a deshora no passe desapercebuda. Els túnels i el servidor els vigilem des del monitoratge amb Grafana i Prometheus.
- Equips del personalClient VPN amb la seua clau
- WireGuardServidor VPN a nom vostre
- TallafocRegles per grup
- Xarxa internaServidors, seus i núvol
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Un servidor cloud xicotet amb IP fixa, el tallafoc de Hetzner obert només al port de la VPN i xarxa privada cap a la resta de servidors. | Sol ser l'opció més senzilla i barata per a un punt d'entrada estable. |
| AWS | Una instància EC2 en la vostra VPC, amb un grup de seguretat limitat al port de la VPN i la comprovació d'origen i destinació desactivada perquè puga encaminar. | AWS Client VPN és el servei gestionat d'AWS, basat en OpenVPN; abans comparem el cost i els límits amb muntar-lo nosaltres. |
| Google Cloud | Una màquina de Compute Engine amb el reenviament d'IP activat i regles de tallafoc de VPC. | |
| Azure | Una màquina virtual amb el reenviament d'IP activat en la seua interfície i una taula de rutes cap a la xarxa virtual. | |
| DigitalOcean | Un Droplet amb IP reservada dins de la vostra VPC i Cloud Firewall al davant. | |
| OVH | Una instància de Public Cloud o un servidor dedicat amb xarxa privada (vRack) cap als vostres servidors. | |
| Servidor propi | El servidor VPN a l'oficina, en una màquina xicoteta o en el mateix encaminador si és OPNsense o pfSense. | Depén de la connexió i de la IP de l'oficina: si cau l'encaminador, ningú no entra des de casa. |
Què inclou
- Servidor VPN amb WireGuard o OpenVPN al vostre compte del núvol o a la vostra oficina, amb la configuració descrita en codi.
- Una clau o certificat per persona i per dispositiu, mai compartits, amb un registre de qui té cadascun.
- Altes i baixes en el dia: la baixa d'una persona talla el seu accés al moment sense tocar les altres.
- Regles de tallafoc per grup, perquè cada persona arribe només als servidors i carpetes que necessita.
- Túnels entre seus i amb el vostre núvol, amb les rutes i el DNS intern resolts.
- Còpies xifrades de la configuració, de les claus del servidor i, en OpenVPN, de l'autoritat de certificació.
- Monitoratge de túnels caiguts, dispositius que no connecten i certificats a punt de caducar.
- Actualitzacions del sistema i del programari de VPN, i restauració assajada del servidor en una altra màquina.
Preguntes freqüents
WireGuard o OpenVPN?
Per a una instal·lació nova acostumem a proposar WireGuard: és més senzill de configurar, més ràpid i està integrat en el nucli de Linux des de la versió 5.6. OpenVPN continua sent la millor opció quan necessiteu usuari i contrasenya amb doble factor en el mateix servidor, o quan cal connectar des de xarxes que només deixen eixir pel port 443 amb TCP. Si ja teniu OpenVPN funcionant, no cal canviar-lo per canviar.
Què passa quan algú deixa l'empresa o perd el portàtil?
Eliminem la seua clau en WireGuard, o revoquem el seu certificat en OpenVPN, i des d'aquell moment aquest dispositiu ja no connecta. Com que cada persona i cada dispositiu tenen la seua pròpia clau, ningú més no ha de canviar res. La baixa queda anotada en el registre d'accessos.
Hem de pagar llicències?
WireGuard i OpenVPN Community són de codi obert i no tenen llicència per usuari. OpenVPN Access Server, la versió comercial amb panell web, és gratuïta fins a dues connexions simultànies i a partir d'aquí necessita una subscripció. El que sí que pagueu és el servidor on s'executa la VPN.
Es pot connectar l'oficina amb el núvol o amb una altra seu?
Sí. Muntem un túnel permanent entre l'encaminador o un servidor de cada seu i la xarxa privada del vostre núvol, amb les rutes perquè cada costat veja només el que toca. Així dues oficines, o la vostra oficina i els vostres servidors a Hetzner, treballen com si estigueren en la mateixa xarxa.
Una VPN és suficient per a complir amb la protecció de dades?
Ajuda amb una part, perquè xifra el trànsit i controla qui entra a la xarxa, però no és suficient per si sola. També compten les contrasenyes, el doble factor, les còpies, els permisos de cada carpeta i que els equips estiguen actualitzats. Si voleu saber on sou, ho revisem en una auditoria.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
Revisat el