Cuando una empresa necesita que su personal acceda desde casa a los equipos de la oficina, el abanico de opciones se reduce en la práctica a cuatro. Tres de ellas arrastran un coste —técnico, económico o de seguridad— que conviene evaluar antes de decidir.
Opción 1: publicar el escritorio remoto
Abrir el puerto 3389 en el router y redirigirlo al equipo de la oficina funciona en cinco minutos. Es también el vector de entrada más explotado en incidentes de ransomware contra pymes.
El motivo es simple: los rangos de direcciones públicas se escanean de forma continua y automatizada. Un servicio de Escritorio Remoto publicado se localiza en cuestión de horas y pasa a recibir intentos sistemáticos de acceso por credenciales. Basta una contraseña reutilizada o una cuenta sin bloqueo por intentos fallidos.
Cambiar el puerto por defecto no es una medida de seguridad: el escaneo no busca el 3389, busca el servicio.
Opción 2: VPN
La VPN es una solución correcta y, en determinados escenarios, la indicada. Tiene, sin embargo, tres costes que no siempre se contabilizan:
- Despliegue y mantenimiento. Concentrador, certificados o credenciales, reparto de perfiles de configuración y actualización del cliente en cada equipo.
- Soporte recurrente. La incidencia «hoy la VPN no conecta» es constante y consume tiempo del departamento de sistemas.
- Superficie ampliada. Una vez establecida, el equipo doméstico —fuera del control de la organización— se encuentra dentro de la red corporativa, con el acceso lateral que eso implica.
Opción 3: herramientas de asistencia remota
Las herramientas pensadas para que un técnico vea la pantalla de un usuario resuelven el soporte puntual, pero no están diseñadas para una plantilla teletrabajando a diario. El rendimiento depende de un protocolo propietario, las funciones de productividad suelen estar reservadas a planes superiores y el coste por usuario escala con rapidez.
Opción 4: relay de conexiones salientes
El planteamiento alternativo invierte la dirección del tráfico. En lugar de que alguien entre en la red corporativa, ambos extremos salen hacia un servidor intermedio:
- Un agente instalado en el equipo de la oficina mantiene una conexión saliente permanente contra el relay.
- El equipo doméstico se conecta al mismo relay, también de salida, y solicita sesión.
- El relay empareja ambas conexiones y transporta los datos entre ellas.
- Por ese túnel viaja Escritorio Remoto de Windows, con su cifrado TLS y autenticación a nivel de red.
Las consecuencias sobre la superficie de exposición son relevantes:
- Ningún puerto entrante. El cortafuegos solo necesita permitir una conexión de salida.
- El servicio RDP no es accesible desde Internet. El agente se conecta a él en la propia máquina, por la interfaz local.
- El equipo doméstico no entra en la red. Alcanza exactamente una máquina y ningún recurso más.
- Rendimiento nativo. Al tratarse de RDP de Microsoft, se conservan multi-pantalla, resolución adaptada, audio, portapapeles e impresoras.
Dos detalles que marcan la diferencia en producción
Primero, el agente debe ejecutarse como servicio de Windows con arranque automático. Si depende de una sesión iniciada, un reinicio nocturno deja el equipo inaccesible hasta que alguien acuda físicamente a la oficina.
Segundo, el equipo remoto debe bloquearse al iniciarse la sesión. Es el comportamiento nativo de Windows y evita que el contenido de la sesión quede visible para quien pase por delante.
Cuándo sigue teniendo sentido la VPN
El relay resuelve el acceso al escritorio. La VPN continúa siendo la herramienta adecuada cuando se necesita acceso a múltiples recursos de red simultáneos —servidores, impresoras, servicios internos— desde un equipo gestionado por la organización, o cuando existe interconexión permanente entre sedes. Son planteamientos complementarios, no excluyentes.
Criterios de decisión
- ¿El usuario necesita su equipo, con su software y licencias locales? El relay encaja.
- ¿Necesita acceso simultáneo a varios recursos internos? Valore VPN.
- ¿El equipo desde el que conecta es personal y no está gestionado? Evite introducirlo en la red.
- ¿Hay un responsable que deba acceder al parque para soporte? Verifique que la solución contemple confirmación en pantalla del usuario.
Cómo lo resolvemos
RemoteWorking implementa el modelo de relay saliente con Escritorio Remoto nativo de Windows: cero puertos entrantes, agente como servicio, multi-pantalla, bloqueo automático del equipo remoto y panel de empresa para usuarios, equipos y licencias. Demo completa de 15 días sin tarjeta.