VPN para trabajo remoto: conectá tu empresa segura

Tu gente trabaja desde casa, desde un café o desde otra sucursal, y necesita entrar a los sistemas de la empresa como si estuviera en la oficina. La pregunta no es “si” les das acceso remoto, sino “cómo”: abriendo puertos a lo bruto, o armando un túnel cifrado que nadie de afuera puede espiar. Esa segunda opción es una VPN corporativa. En esta guía te contamos, sin vueltas, qué es, en qué se diferencia de las “VPN de privacidad” que ves publicitadas, y cómo la resolvés bien.

Qué es (y qué no es) una VPN corporativa

Empecemos por despejar la confusión más común. Cuando escuchás “VPN” en la tele o en YouTube, casi siempre te hablan de una VPN comercial de privacidad (NordVPN, ExpressVPN y parecidas). Esas sirven para otra cosa: ocultar tu IP, saltear bloqueos regionales y cifrar tu navegación cuando usás un WiFi público. Están pensadas para el usuario individual que quiere anonimato.

La VPN corporativa o de acceso remoto es harina de otro costal. Su objetivo no es esconderte de internet, sino conectar de forma segura a un empleado (o a toda una sucursal) con la red interna de tu empresa. Crea un túnel cifrado entre el equipo remoto y tu red, y por adentro de ese túnel viaja el tráfico como si la persona estuviera enchufada a un cable en la oficina: accede al servidor de archivos, al ERP, al sistema de gestión, a la impresora de red. Es infraestructura de la empresa, no un servicio que contratás por mes y por persona.

Por qué el escritorio remoto abierto es un problema

Este es el error que más vemos, y el que más caro sale. Para dar acceso rápido, muchas empresas abren el escritorio remoto (RDP) directo a internet: le mapean el puerto 3389 en el router y listo, “ya se conectan de la casa”. Funciona… hasta que alguien lo encuentra.

Y lo encuentran rápido. Hay bots que escanean todo internet buscando justamente puertos RDP abiertos, prueban miles de contraseñas por hora y, cuando entran, tenés un problema serio: ransomware, robo de datos o un intruso paseándose por tu red. Un puerto de gestión expuesto es una puerta con un cartel de “entrada” para cualquiera. La VPN da vuelta la lógica: de afuera no se ve absolutamente nada. Primero tenés que autenticarte y levantar el túnel cifrado, y recién ahí, ya adentro de la red, llegás al escritorio remoto. La superficie de ataque expuesta a internet baja casi a cero.

Dicho simple: el firewall con VPN es, literalmente, la primera línea de defensa de tu empresa. Todo lo demás va detrás.

Tipos de VPN: acceso remoto vs site-to-site

No todas las VPN corporativas resuelven el mismo escenario. Hay dos grandes tipos, y en general una pyme termina usando los dos.

• Acceso remoto (road-warrior) — cada persona se conecta desde su notebook o celular a la red de la empresa. Es la típica para home office, viajantes y comerciales en la calle. Instalás un cliente VPN en el equipo, la persona se autentica y queda “dentro” de la red.
• Sitio a sitio (site-to-site) — conecta dos redes enteras de forma permanente. Es lo que usás para unir la casa central con una sucursal, o con un depósito, de manera que se vean entre sí como una sola red. El túnel lo levantan los firewalls de cada punta; los usuarios no instalan nada.

La regla práctica: road-warrior para personas, site-to-site para oficinas. Si tenés empleados en su casa y además una segunda sede, vas a querer combinar los dos.

OpenVPN, IPsec y WireGuard: cuál te conviene

Detrás de toda VPN hay un protocolo que define cómo se arma y se cifra el túnel. Los tres que importan hoy son OpenVPN, IPsec y WireGuard. No hay uno “mejor” en abstracto: hay uno mejor para tu caso.

• OpenVPN — el caballito de batalla del acceso remoto. Muy flexible, atraviesa firewalls y redes complicadas sin problema (viaja por un solo puerto), y anda en cualquier sistema operativo. Ideal para road-warrior con muchos usuarios y perfiles distintos.
• IPsec — el estándar clásico para site-to-site. Es lo que casi todos los equipos de red hablan entre sí, así que es la opción natural para interconectar sucursales o para armar túneles con equipos de terceros (un proveedor, un cliente).
• WireGuard — el más nuevo y el más rápido. Código chico, cifrado moderno y muy poca sobrecarga, así que rinde muy bien tanto en acceso remoto como en site-to-site. Cada vez lo elegimos más cuando la prioridad es performance y simplicidad.

La buena noticia es que no tenés que casarte con uno solo. Un firewall serio te deja usar el que mejor encaje en cada escenario, e incluso convivir varios a la vez.

Cómo lo resolvés con pfSense

Acá es donde las piezas encajan. pfSense es un firewall de nivel empresarial que soporta de fábrica OpenVPN, IPsec y WireGuard, los tres. Con el mismo equipo que ya te protege el perímetro montás el acceso remoto de tu empresa, sin agregar un servicio aparte.

Y hay un detalle de plata que cambia bastante el número: pfSense no cobra licencias por usuario. Podés dar de alta 5 o 50 empleados en la VPN sin que la factura crezca por cada uno, algo que con muchas soluciones comerciales sí pasa. Corre sobre hardware propio o sobre un appliance Netgate dimensionado para tu tráfico.

Lo que ponemos nosotros es el criterio para que quede bien armado:

• Elegir el protocolo justo — OpenVPN o WireGuard para tu gente en home office, IPsec o WireGuard para unir sucursales.
• Autenticación fuerte — certificados por usuario y doble factor (MFA), no solo usuario y contraseña.
• Permisos por rol — que cada persona llegue solo a lo que necesita de la red, no a todo.
• Reglas de firewall afinadas — el túnel entra, pero el tráfico sigue filtrado y controlado adentro.
• Escritorio remoto detrás de la VPN — cerramos el RDP expuesto y lo dejamos accesible solo por el túnel.

Esto se enmarca en una estrategia más amplia de seguridad de la información, y muchas veces va de la mano de ordenar también tus servidores, que son lo que la gente termina consultando por la VPN.

¿Querés dar acceso remoto seguro a tu equipo?

Pedí tu diagnóstico gratuito y revisamos cómo se conecta hoy tu gente y qué habría que cerrar. Te decimos, sin cargo y sin vueltas, qué VPN te conviene y por dónde empezar. Contactanos y lo vemos juntos.