Red corporativa en un VPS: acceso remoto a la oficina

Cuando los empleados trabajan desde casa, viajan o se reparten entre varias oficinas, los sistemas internos de la empresa tienen que estar a su alcance, pero no al de todo internet. Publicar directamente un ERP, un servidor de archivos o un CRM es arriesgado: los bots empiezan a sondear cualquier puerto abierto en cuestión de minutos. La solución habitual es una red privada cifrada: el empleado se conecta primero a la pasarela de la empresa y solo después llega a los servicios internos. La pasarela puede estar en el router de la oficina, pero cada vez más empresas la colocan en un VPS alquilado. A continuación, por qué, cómo funcionan los esquemas típicos, qué protocolo y qué servidor elegir y qué hacer con la seguridad.

Por qué llevar la pasarela a un VPS

La conexión a internet de una oficina rara vez es un buen punto de entrada. El operador puede no ofrecer una IP pública fija, las líneas de oficina suelen ser asimétricas (bajada rápida, subida lenta) y un corte de luz en el edificio deja sin acceso a todos los empleados remotos a la vez. Un VPS en un centro de datos tiene otras condiciones:

• una dirección IPv4 dedicada y permanente que no cambia al reiniciar;
• un puerto simétrico de 100 Mbps a 1 Gbps y alimentación de respaldo en el centro de datos;
• la oficina se conecta a la pasarela como un cliente más, así que no hace falta abrir puertos de entrada en la oficina;
• varias oficinas y cientos de empleados se conectan a un único punto, sin montar túneles entre cada par de sedes.

Si los sistemas internos ya funcionan en la nube o en servidores alquilados, un VPS de pasarela en la misma ubicación apenas añade latencia, y la oficina pasa a ser simplemente un miembro más de la red.

Esquemas típicos de red corporativa

Acceso remoto para empleados. En el VPS funciona un servidor VPN y cada empleado tiene su propio perfil de conexión. Al conectarse, el portátil recibe una dirección de la red interna y solo ve los recursos que el administrador ha permitido.

Oficina a pasarela (site-to-site). El router de la oficina mantiene un túnel permanente con el VPS. El empleado remoto se conecta al VPS y a través de él llega a la subred de la oficina: el servidor de contabilidad, el almacenamiento de archivos, las impresoras. Para ello la oficina no necesita IP fija.

Estrella para varias sucursales. Cada sucursal levanta un túnel hacia la pasarela central e intercambia datos con las demás a través de ella. Es más sencillo que una malla completa, pero la pasarela se convierte en un punto único de fallo y necesita un servidor de reserva.

Los tres esquemas suelen usar túnel dividido (split tunnelling): por el túnel solo pasan las subredes internas, y el resto del tráfico del portátil sale directamente. La pasarela no se carga con actualizaciones del sistema ni con vídeo, y los empleados apenas notan la conexión en el día a día.

Qué servicios poner detrás de la red privada

• ERP y sistemas contables. Los clientes de escritorio, los clientes web y las sesiones de escritorio remoto al servidor contable se quedan dentro de la red. Son sensibles a la latencia, así que conviene situar la pasarela cerca del servidor de base de datos.
• Servidor de archivos. Los recursos compartidos SMB o NFS nunca deben quedar expuestos a internet; a través de la red privada funcionan igual que en la oficina.
• CRM, wiki, sistema de tickets, monitorización. Las interfaces web de los sistemas internos pueden quedarse sin dirección pública, fuera del alcance de rastreadores y escáneres.
• Git y CI. Los repositorios, el registro de imágenes Docker y los servidores de compilación solo son accesibles para los desarrolladores desde la red; los administradores también entran por SSH a los servidores de producción desde dentro, no a través de un puerto abierto.

WireGuard, OpenVPN o IPsec

Los tres protocolos cifran el tráfico y sirven para una red corporativa; se diferencian en velocidad, comodidad y compatibilidad.

Una combinación frecuente es IPsec o WireGuard entre las oficinas y la pasarela, más WireGuard para los portátiles y teléfonos de los empleados. Los requisitos del servidor para cada protocolo están en las páginas VPS para WireGuard y VPS para OpenVPN.

Qué servidor alquilar

Una pasarela corporativa no necesita un hardware potente, pero algunos parámetros importan.

• CPU y memoria según el número de usuarios. Hasta 15 conexiones simultáneas funcionan bien con 1 vCPU y 1 GB de RAM. Para 15–50 empleados, 2 vCPU y 2 GB, sobre todo con OpenVPN, que cifra en un solo hilo y depende de la velocidad por núcleo. Más de 50 personas o varias sucursales: 2–4 vCPU y un segundo servidor de reserva. Si en el mismo servidor funcionan un panel de gestión de usuarios y la monitorización, añade otro GB de RAM.
• Virtualización KVM. WireGuard e IPsec trabajan a nivel de kernel, y las plataformas de contenedores como OpenVZ y LXC no permiten cargar un módulo del kernel. Busca planes KVM.
• Puerto y tráfico. Por la pasarela pasan exportaciones de informes, sincronización de archivos, copias de seguridad y videollamadas. Diez empleados consumen fácilmente varios cientos de gigabytes al mes, y las copias nocturnas entre oficinas, más. Necesitas al menos un puerto de 100 Mbps, 1 Gbps para una oficina entera, y condiciones claras para el exceso de tráfico.
• Ubicación. Coloca la pasarela cerca de la oficina, de la mayoría del personal y de los sistemas internos. Para un equipo en España, un centro de datos en Madrid mantiene la latencia en unos pocos milisegundos; Madrid–Fráncfort ronda los 25–35 ms. Antes de pagar, haz ping a la IP de prueba del proveedor desde la oficina y desde las conexiones domésticas de varios empleados.
• IP fija. Es imprescindible una IPv4 dedicada: a ella se conectan los clientes y el router de la oficina. Los planes con NAT o dirección compartida no sirven para una pasarela.
• Disco. Bastan 10–20 GB: el sistema, las configuraciones y los registros de conexión ocupan poco.

Los planes que cumplen estos requisitos están reunidos en la página VPS para VPN corporativa.

Seguridad básica de la pasarela

La pasarela es el único punto por el que se puede llegar a la red interna desde fuera, así que necesita más protección que cualquier otro servidor de la empresa.

• Claves y certificados personales. Cada empleado recibe su propia clave, no una contraseña compartida por departamento. A quien deja la empresa se le corta el acceso con un solo comando sin afectar a nadie más; las claves se quedan en el dispositivo en lugar de circular por mensajería.
• Autenticación en dos pasos. OpenVPN e IPsec se integran con un directorio de usuarios y con códigos de un solo uso; en WireGuard el segundo factor se añade a través del portal que emite los perfiles. Los administradores entran al propio servidor solo con claves SSH, con el acceso por contraseña desactivado.
• Firewall. Desde fuera solo está abierto el puerto de la VPN y, si hace falta, SSH limitado por dirección de origen. Dentro del túnel el acceso se reparte por roles: finanzas accede al sistema contable, desarrollo a Git y a los servidores de pruebas, y el resto al servidor de archivos y al CRM.
• Registros. Anota quién se conectó, cuándo y desde qué dirección, y guarda los registros fuera de la pasarela. Los necesitarás para investigar incidentes y para auditorías internas.
• Actualizaciones y redundancia. Aplica parches al sistema operativo y al servidor VPN con regularidad. Una segunda pasarela en otro centro de datos y un perfil de reserva en cada dispositivo mantienen la empresa en marcha si cae el servidor principal.

Cómo desplegarla entre los empleados

La parte técnica lleva un día; la mayoría de los problemas aparecen al repartir los accesos. Prepara una guía breve para el personal: qué aplicación instalar, cómo importar el perfil y a quién avisar si la conexión falla. Entrega los perfiles mediante un portal o un sistema de gestión de dispositivos, no como adjuntos de correo. Empieza por un grupo reducido, por ejemplo finanzas o el equipo de desarrollo, comprueba cómo responden el sistema contable y el servidor de archivos a través del túnel y solo entonces pasa al resto. Da a los servicios internos nombres legibles en una zona DNS interna para que la gente abra crm.office en lugar de una ristra de números.

El aspecto legal

Una red privada para los propios empleados de una empresa es una práctica habitual de seguridad de la información: protege los datos del negocio y las cuentas, también cuando alguien trabaja desde un hotel o un aeropuerto con wifi pública. Recoge las reglas en las políticas internas: quién recibe acceso, a qué sistemas y cómo se emiten y revocan las claves. Si por la red circulan datos personales de clientes o empleados, en la UE se aplica el RGPD: elige un proveedor que firme un contrato de encargo del tratamiento, mantén los servidores con esos datos en una jurisdicción adecuada y registra los accesos a ellos.

Lista de comprobación antes del lanzamiento

• El esquema está elegido: acceso remoto, enlace de oficina o estrella.
• Están decididos el protocolo y la forma de entregar los perfiles al personal.
• El servidor funciona sobre KVM con margen para las conexiones simultáneas.
• IPv4 dedicada; puerto y tráfico dimensionados para copias de seguridad y videollamadas.
• Latencia hasta la pasarela comprobada desde la oficina y desde casa de los empleados.
• Claves personales, segundo factor, firewall y registros de conexión.
• Existen una pasarela de reserva y un plan de actualizaciones.

Puedes filtrar servidores por virtualización, ubicación, puerto y precio en el buscador de VPS.