VPN corporativa segura: guía de configuración

Por qué una VPN corporativa ya es ineludible

En Grupo Novalca llevamos años viendo cómo el trabajo ha cambiado de piel. Ya no te sirve con poner un firewall en la oficina y respirar tranquilo; el perímetro de seguridad se estiró hasta el sofá de tu casa y a la mesa de la cafetería de la esquina. Por eso, saber configurar una VPN corporativa deja de ser un «extra» para ser algo que todo director de TI o responsable de sistemas debe dominar. Una Red Privada Virtual (VPN) no es solo un túnel cifrado. Es tu infraestructura de red yendo contigo a cualquier lugar.

Permite que el equipo acceda a los recursos de dentro (servidores, impresoras, bases de datos) como si estuvieran sentados en su silla de la oficina, pero con una capa de encriptación que impide que nadie robe la data en una Wi-Fi pública. Ojo: una instalación hecha deprisa y corriendo puede convertirse en una puerta trasera para los ciberdelincuentes.

Elegir protocolo: la balanza entre velocidad y seguridad

Antes de tocar una línea de código o configurar un router, hay que decidir qué protocolo usaremos. No es una cuestión menor. La elección que toques ahora marcará tanto la seguridad como lo fluida que sea la conexión.

OpenVPN: El estándar de oro en código abierto. Es muy configurable y seguro, sí, pero es exigente con el ancho de banda y la potencia de procesamiento.
WireGuard: La apuesta moderna. Más ligero y rápido que OpenVPN, con un código más sencillo de auditar. En Novalca ya lo estamos rodando en proyectos donde la baja latencia es clave.
IPSec/IKEv2: Muy estable. Excelente para móviles porque se reconecta solo si se corta la conexión (piensa en cuando sales del metro). Es lo habitual en soluciones comerciales tipo Cisco o Fortinet.
L2TP/IPSec: Seguro, pero lento. El doble encapsulamiento pasa factura. Solo lo recomiendo si el hardware es viejo y no aguanta opciones modernas.

Consejo de Julio: Si buscas un equilibrio entre seguridad y facilidad para una PYME, WireGuard es mi apuesta actual. Si necesitas compatibilidad con sistemas heredados, quédate con OpenVPN.

Paso 1: La infraestructura no se improvisa

Para montar una VPN corporativa que sea sólida, no vale instalar el software en el primer servidor que tengas a mano. Necesitas una base que aguante el tráfico cifrado sin dejar lenta a toda la red interna.

Lo ideal. Dedicar una máquina exclusivamente a esto, o usar un appliance de seguridad (firewall) que ya traiga el servicio VPN integrado. Si optas por un servidor virtual (VPS) o una máquina Linux física, asegúrate de que tenga capacidad para procesamiento criptográfico (AES-NI en procesadores Intel/AMD). Si no, el cifrado se comerá el 100% de tu CPU.

Otro tema vital: la gestión de IPs. Define un rango privado que no choque con tu red local. Si la oficina es 192.168.1.x, asigna a los clientes VPN el rango 10.8.0.x. Así evitas conflictos de enrutamiento que luego son un dolor de cabeza.

Lo que necesitas antes de empezar

IP Pública estática o DDNS: Los clientes tienen que encontrarte. Una IP estática es lo mejor; si solo tienes dinámica, usa un servicio de DNS dinámico.
Redirección de puertos (Port Forwarding): En tu router, debes llevar el tráfico del protocolo (por ejemplo, el puerto UDP 1194 para OpenVPN) hacia la IP interna de tu servidor VPN.
Certificados digitales: Aquí no valen atajos. La seguridad se basa en criptografía asimétrica. Genera tu propia Autoridad Certificadora (CA) en el servidor. Nada de certificados autofirmados genéricos; crea uno específico para tu empresa.

Paso 2: Instalación y configuración del software

Para verlo claro, vamos a usar un ejemplo real en un entorno Linux con OpenVPN. Es popular y robusto, perfecto para ilustrar el proceso.

En Debian o Ubuntu la instalación es sencilla, pero la verdad está en la configuración. El archivo (server.conf) debe ajustarse a lo que tú necesitas. Aquí es donde muchos administradores se equivocan: dejan los valores por defecto y listo.

Especifica bien el dispositivo tun (para enrutamiento IP) o tap (para puentear redes ethernet). Para la mayoría de casos corporativos, nos quedamos con tun. Y ojo con las rutas que se envían a los clientes. Si quieres que accedan a toda tu red interna, tienes que «empujar» (push) esa ruta.

En el servidor quedaría algo así:

push «route 192.168.1.0 255.255.255.0»

Le estás diciendo al cliente del empleado: «Todo el tráfico que vaya a la oficina, pásalo por el túnel VPN».

Autenticación sin fisuras

No te fíes solo de contraseñas. Usa autenticación bidireccional. El servidor valida al cliente con un certificado, y el cliente valida al servidor para asegurar que no se está conectando a un punto de acceso falso.

Si tu empresa ya usa Active Directory o LDAP, intégralo. Así los empleados usan su usuario y correo de siempre. Simplificas la gestión y, si alguien se va de la empresa, solo deshabilitas su cuenta en el AD y pierde el acceso a la VPN automáticamente.

Paso 3: Seguridad y endurecimiento del servidor

Que la VPN funcione no es el final. Es el principio. Ahora toca «endurecer» la configuración para resistir ataques. En mi experiencia auditando infraestructuras, he visto servidores VPN expuestos que son imanes para los escaneos automatizados.

Firewall estricto: Configura iptables o UFW. Permite el tráfico solo en el puerto de la VPN y deniega todo lo demás en esa interfaz.
Limita los intentos: Usa Fail2ban. Si alguien intenta conectarse mal 5 veces, que se bloquee su IP temporalmente.
Desactiva el root: Que nadie entre como root por SSH. Usa solo usuarios con permisos sudo y claves SSH, olvídate de las contraseñas.
Cifrado fuerte: Asegúrate de usar AES-256-GCM y una función de derivación de claves moderna. Nada de algoritmos viejos como RC4 o Blowfish, que ya han demostrado ser vulnerables.

Cuando las cosas salen mal

Aunque planifiques bien, siempre surgen problemas. Dos de los más frecuentes y cómo solucionarlos:

1. El cliente se conecta, pero no ve la red interna (DNS Split).
Suele ser tema de DNS. El cliente usa el de su casa (ej. Google 8.8.8.8) y no sabe resolver «servidorfinanzas.local». Solución: configura tu servidor VPN para que empuje (push) la IP de tu servidor DNS interno.

2. Va lento.
Si la cifra de datos (MTU) es muy alta y se fragmenta, el rendimiento se cae. Prueba a bajar el MTU en la interfaz virtual a 1400 bytes y comprueba si mejora la estabilidad.

¿Es obligatorio usar hardware caro para una VPN?
No. Aunque appliances de Cisco o Palo Alto son excelentes, una solución de software libre bien configurada en un servidor decente te da la misma seguridad para la mayoría de las PYMEs.

A modo de cierre

Configurar una VPN corporativa segura no es de «configurar y olvidar». Es un proceso vivo. Requiere mantenimiento, actualización y vigilancia. El tiempo que inviertas al principio se paga solo evitando filtraciones y permitiendo que tu equipo trabaje remoto con tranquilidad. En un mundo digital, tu red privada es tu fortaleza. Protégela como tal. La tecnología está para servirnos, pero solo si la dominamos con rigor.