«VPN» es una de esas palabras que todo el mundo ha oído y pocos saben para qué sirve en una empresa pequeña. Y, sin embargo, es la pieza que separa el teletrabajo seguro del escritorio remoto abierto a internet que acaba en ransomware. Esta guía explica, sin tecnicismos de más, qué es una VPN de empresa, cuándo la necesitas y qué opciones hay.

¿Qué es una VPN?

Una VPN (red privada virtual) crea un túnel cifrado entre un dispositivo y tu red de empresa a través de internet. Cuando un portátil se conecta por VPN, para todos los efectos está dentro de la oficina: ve el servidor, las carpetas compartidas, la impresora y el programa de gestión, exactamente igual que si estuviera enchufado a la red local. Y todo lo que viaja por el túnel va cifrado, así que da igual que la conexión sea la WiFi de un hotel.

No confundir con las «VPN» que se anuncian para ver series de otros países: esas te sacan a internet por otro sitio. Una VPN de empresa te mete en tu red.

¿Para qué sirve una VPN en una empresa?

Teletrabajo con acceso a todo

El caso más común. La persona que trabaja desde casa o está de viaje abre la VPN y trabaja con los mismos recursos que en la oficina: el programa de contabilidad, el archivo de proyectos, el escáner de la oficina. Sin copiar archivos a pendrives ni mandarse documentos por correo.

Conectar dos sedes

Una empresa con oficina en Almendralejo y almacén en Mérida, o tienda en Badajoz y oficina en Don Benito, puede unir ambas redes de forma permanente con una VPN entre routers. Los equipos de un sitio ven los del otro como si estuvieran en el mismo edificio. Es mucho más barato que una línea dedicada.

Acceso seguro del técnico y de proveedores

Cuando nosotros u otro proveedor (el del programa de gestión, el de la centralita) necesitamos entrar en vuestro servidor, debería ser por VPN con un usuario propio que se puede revocar, no por un puerto abierto en el router con una contraseña que todos conocen.

Sustituir el escritorio remoto «abierto»

Esto merece un apartado propio.

El escritorio remoto abierto a internet: la causa nº 1 de ransomware en pymes

Es muy habitual encontrar empresas donde «para trabajar desde casa» se abrió el puerto 3389 (escritorio remoto de Windows) en el router. Ese puerto recibe miles de intentos de acceso automatizados cada día desde todo el mundo, probando usuarios y contraseñas. Tarde o temprano alguna entra, y lo que viene después es un cifrado de todos los datos y una nota de rescate. La solución es cerrar ese puerto y que el acceso al escritorio remoto se haga a través de la VPN. Mismo resultado para el usuario, riesgo radicalmente distinto.

Tipos de VPN: cuál elegir

WireGuard (lo que recomendamos hoy)

Moderna, muy rápida, con código pequeño y auditado, y conexión casi instantánea (ideal en móviles y portátiles que cambian de red). La mayoría de routers profesionales (MikroTik, Ubiquiti, pfSense/OPNsense) y muchos NAS la incluyen. Es la que montamos por defecto.

OpenVPN

El estándar de los últimos quince años. Muy compatible, muy probada, algo más lenta y más compleja de configurar. Tiene sentido cuando algún dispositivo o cliente solo soporta OpenVPN.

IPsec / L2TP

Integrada en Windows, macOS, iOS y Android sin instalar nada. Útil para VPN entre sedes con routers que ya la traen. Para usuarios, hoy resulta más engorrosa que WireGuard.

Lo que no recomendamos

PPTP (roto desde hace años) y las VPN «SSL» de fabricantes con historial de vulnerabilidades sin actualizar.

¿Dónde se monta la VPN?

  • En el router/firewall de la empresa, si es profesional. Es la opción más limpia.
  • En el NAS, si ya tienes uno (Synology y QNAP la incluyen).
  • En un pequeño servidor o miniPC dedicado, cuando el router del operador no lo permite y no se quiere cambiar.
  • Servicios de malla (Tailscale, ZeroTier, basados en WireGuard) que evitan abrir puertos y funcionan incluso detrás de conexiones con CGNAT. Muy cómodos para equipos pequeños y teletrabajo.

Buenas prácticas que marcan la diferencia

  • Un usuario/clave por persona y por dispositivo, nunca una compartida. Así, cuando alguien deja la empresa o pierde el portátil, se revoca ese acceso y nada más.
  • Segundo factor (código en el móvil) para la VPN siempre que sea posible.
  • Acceso mínimo: que la VPN dé acceso a lo que cada uno necesita, no a toda la red.
  • Equipos remotos cuidados: un portátil infectado conectado por VPN está dentro de tu red. Antivirus, actualizaciones y disco cifrado son parte del paquete.
  • Registro de conexiones para saber quién entró y cuándo.

Problemas típicos y su causa

  • «Conecta pero no veo el servidor»: la red de casa usa el mismo rango de IPs que la oficina (192.168.1.x en ambos). Se soluciona cambiando el rango de la oficina.
  • «Va lentísimo»: la conexión de subida de la oficina es pequeña (todo lo que descargas en remoto lo sube la oficina). Revisar el contrato de fibra o trabajar sobre escritorio remoto a través de la VPN en lugar de copiar archivos.
  • «Se desconecta cada poco»: típico de OpenVPN en móviles al cambiar de WiFi a datos; WireGuard lo gestiona mucho mejor.
  • «No puedo conectar desde el hotel»: algunas redes bloquean puertos UDP; conviene tener un segundo puerto o un perfil TCP de reserva.

¿Cuánto cuesta configurar una VPN?

Si ya tienes un router o NAS compatible, montar una VPN WireGuard para unos pocos usuarios, con perfiles por persona y segundo factor, es un trabajo de medio día a una jornada, que normalmente hacemos en remoto (45 €/h) con una visita si hay que tocar el router. Si hace falta hardware (un firewall o miniPC), el coste del equipo para una pyme es moderado y se amortiza en el primer susto evitado. Unir dos sedes requiere un router compatible en cada una.

¿No sabes si tu router lo permite? Dinos el modelo y te lo confirmamos. Y si hoy tienes el escritorio remoto abierto a internet, llámanos esta semana: es la revisión más urgente que puede hacer una pyme.