Escriptori remot per a teletreballar en un despatx o pime: opcions, seguretat i llicències

En molts despatxos i pimes el teletreball passa per l’escriptori remot: des de casa s’obri l’ordinador de l’oficina, o un servidor, i es treballa amb els mateixos programes i arxius de sempre. És còmode i funciona bé, però hi ha dues coses que se solen fer malament: com s’arriba a eixe escriptori des d’internet i quines llicències calen. En este article repassem les opcions, com protegir-les i què diu Microsoft sobre les llicències.

Les maneres habituals de muntar-ho

1. Escriptori remot dins d’una VPN

La persona connecta primer la VPN des del seu portàtil i, ja dins de la xarxa de l’oficina, obri l’escriptori remot del seu ordinador o del servidor. Des d’internet només es veu la porta de la VPN; l’escriptori remot no és accessible des de fora. És l’opció més senzilla per a poques persones i la que solem muntar amb WireGuard. Com la gestionem està en la VPN gestionada amb WireGuard o OpenVPN; si l’equip està repartit entre diversos llocs, una xarxa privada amb NetBird o Tailscale fa el mateix paper.

2. Passarel·la d’Escriptori remot (RD Gateway)

És un rol de Windows Server que rep les connexions per HTTPS (port 443) i les passa als ordinadors o servidors de dins. No cal instal·lar una VPN en cada portàtil. El doble factor no ve de sèrie en la passarel·la: necessita un component addicional. Les llicències depenen de com es munte, i les revisem amb vosaltres. Té sentit quan hi ha un servidor Windows a l’oficina i bastants persones connectant.

3. Per navegador: client web d’Escriptori remot o Apache Guacamole

La persona obri una pàgina web, inicia sessió i treballa amb l’escriptori de l’oficina dins del navegador, sense instal·lar res en el seu equip. Hi ha dues maneres habituals de muntar-ho. El client web d’Escriptori remot de Microsoft forma part d’un desplegament de Serveis d’Escriptori remot (RDS) en Windows Server, amb passarel·la RD i accés web, i està pensat per a servidors d’escriptoris. Apache Guacamole és una passarel·la de codi obert (llicència Apache 2.0) que s’instal·la en un servidor Linux i connecta per RDP, VNC o SSH tant amb el PC de cada persona com amb un servidor.

• Avantatges: no cal instal·lar VPN ni programa d’escriptori remot: n’hi ha prou amb un navegador, també des de l’ordinador de casa o una tauleta. L’escriptori remot no queda exposat, perquè des d’internet només es veu una pàgina HTTPS, i davant es posa doble factor o l’inici de sessió de l’empresa (Microsoft, Google o Keycloak). Amb Guacamole, a més, es poden gravar les sessions i queda registrat qui va entrar a quin equip.
• Inconvenients: la pàgina d’accés està publicada a internet, així que cal mantindre-la actualitzada i vigilada, i és una peça més que cuidar. Algunes coses van pitjor que amb el programa d’Escriptori remot: imprimir, treballar amb diverses pantalles o usar en l’escriptori remot un lector de targetes o un certificat en targeta, cosa que importa si se signa amb AutoFirma o en LexNET amb targeta.
• Llicències: entrar per navegador no canvia les llicències. Si diverses persones treballen en un servidor Windows, continuen calent les llicències d’accés de Windows Server i d’Escriptori remot (RDS CAL), s’hi entre amb Guacamole o amb el client web de Microsoft, que a més exigix que eixes llicències siguen per usuari.

4. El que no s’ha de fer: el port 3389 obert

Redirigir en el router el port de l’escriptori remot (3389) cap a un ordinador o un servidor és el més ràpid, i també el més perillós. Hi ha bots que recorren internet buscant eixe port i proven contrasenyes sense parar, i de tant en tant apareixen vulnerabilitats que permeten entrar sense elles. Organismes com l’INCIBE recomanen no exposar-lo i protegir-lo amb una VPN. Canviar el port a un altre número no ho arregla: només l’amaga una mica.

Seguretat: el mínim

• Un usuari per persona, mai un compte compartit. Així se sap qui ha entrat i es pot donar de baixa una persona sense tocar les altres.
• Doble factor en la VPN o en la passarel·la (en la passarel·la RD, amb un component addicional): una aplicació en el mòbil o una clau física.
• Autenticació a nivell de xarxa (NLA) activada en l’escriptori remot, perquè demane les credencials abans d’obrir la sessió.
• Bloqueig després de diversos intents fallits i registre de les connexions: qui entra, quan i des d’on.
• Equips i servidors actualitzats, sobretot el que fa de porta d’entrada.
• Baixes el mateix dia: quan algú deixa l’empresa, se li talla l’accés a la VPN o a la passarel·la en el moment.
• Còpies de seguretat dels equips i servidors als quals es connecta la gent, fora de l’oficina i provades.

Llicències: què cal en cada cas

Ací és on hi ha més dubtes, i on és més fàcil incomplir sense saber-ho. Resumim el que diu la documentació de Microsoft; per a un cas concret, convé confirmar-ho amb el vostre proveïdor de llicències.

Cada persona es connecta al seu PC de l’oficina

Si cada persona usa per escriptori remot l’ordinador del seu lloc, i eixe ordinador té Windows Pro (o Enterprise), no cal cap llicència extra: la versió Pro ja inclou l’escriptori remot com a servidor. La versió Home no ho permet: amb Windows Home només es pot connectar a altres equips, no rebre connexions. Office continua amb la llicència que ja tinga eixa persona. Això val quan s’hi entra per VPN; si s’hi entra a través d’una passarel·la RD, que és un servidor Windows, les llicències depenen de com es munte i les revisem amb vosaltres.

Diverses persones treballen en un servidor

Si diverses persones treballen alhora en un servidor Windows amb els programes instal·lats (Serveis d’Escriptori remot, RDS), calen:

• Llicències d’accés de Windows Server (CAL), per usuari o per dispositiu.
• Llicències d’accés d’Escriptori remot (RDS CAL), també per usuari o per dispositiu, i el servidor de llicències d’Escriptori remot configurat.
• Office amb activació en equips compartits. Amb Microsoft 365, l’activació en equips compartits només està en els plans que inclouen Microsoft 365 Apps for enterprise (com E3 o E5) i, entre els plans per a empreses, en Microsoft 365 Business Premium. Business Standard no la inclou.

Les dues sessions d’administració de Windows Server

Windows Server permet dues sessions d’escriptori remot sense llicències de RDS, però són per a administrar el servidor, no perquè la gent hi treballe. Usar-les perquè dues persones treballen cada dia amb la comptabilitat no està cobert per eixa excepció: en eixe cas calen les llicències de l’apartat anterior.

PC de l’oficina o servidor?

Per a poques persones que ja tenen el seu ordinador a l’oficina, connectar-se per VPN al seu PC és el més senzill i no té cost de llicències. Un servidor d’escriptoris compensa quan hi ha més persones, quan no voleu tindre ordinadors encesos a l’oficina per a cadascuna o quan un programa de gestió funciona millor instal·lat en un sol lloc. Ho decidim amb vosaltres segons quantes persones sou, quins programes useu i quines llicències ja teniu.

En el manteniment informàtic per a despatxos i pimes muntem l’escriptori remot i la VPN, amb un usuari per persona i doble factor, i us detallem les llicències en el pressupost. Si voleu revisar com ho teniu ara, telefoneu-nos o escriviu-nos.

Preguntes freqüents

Canviar el port 3389 per un altre és suficient?

No. Canviar el port reduïx el soroll dels bots més simples, però l’escriptori remot continua exposat a internet i a les seues vulnerabilitats. El que protegix és no exposar-lo: VPN o passarel·la, amb doble factor.

Servix un programa de control remot en lloc de l’escriptori remot?

Pot servir per a suport puntual, però per a treballar cada dia té els mateixos problemes si s’usa malament: contrasenyes compartides, accessos sense registre i equips que queden accessibles des de fora. Si s’usa, amb un usuari per persona, doble factor i accessos registrats.

Amb Microsoft 365 Business Standard puc usar Office en un servidor d’escriptoris?

Segons la documentació de Microsoft, no: Business Standard no inclou l’activació en equips compartits. Entre els plans per a empreses, només Business Premium la inclou; també la inclouen els plans amb Microsoft 365 Apps for enterprise.

Referències

• Microsoft Learn: llicències d’accés de client (CAL) d’Escriptori remot.
• Microsoft Learn: activació en equips compartits de Microsoft 365 Apps, amb els plans que la inclouen.
• INCIBE: recomanacions per a protegir l’escriptori remot.
• Microsoft Learn: requisits del client web d’Escriptori remot, amb passarel·la RD i llicències per usuari.
• Apache Guacamole: manual oficial.