Una VPN —red privada virtual— crea un túnel cifrado entre dos puntos de internet. Todo lo que viaja por ese túnel va protegido, y quien esté en medio ve tráfico ilegible en lugar de datos.
Hasta aquí, lo que cuenta todo el mundo. Lo que casi nunca se aclara es que bajo el mismo nombre conviven dos productos que no tienen nada que ver: la VPN de empresa, que sirve para llegar a los sistemas de tu oficina desde fuera, y la VPN comercial de suscripción, que sirve para navegar a través de otro país. Confundirlas lleva a comprar la equivocada.
Aquí va qué es cada una, qué ventajas tiene de verdad, qué límites tiene —que también los tiene— y cuál necesita una empresa.
Cómo funciona una VPN
Cuando un equipo se conecta a una VPN ocurren tres cosas seguidas. Primero se autentica: el servidor comprueba que quien llama es quien dice ser, con usuario, certificado o clave, y con un segundo factor si está bien montado.
Después se negocia el cifrado. Las dos partes acuerdan cómo van a proteger la conversación y generan las claves que usarán durante la sesión. A partir de ese momento, el contenido viaja ilegible para cualquiera que lo intercepte.
Y por último se establece el túnel: el tráfico se encapsula, de modo que lo que circula por internet es un sobre cerrado. El destino lo abre, extrae el contenido y lo entrega a la red interna como si el equipo estuviera físicamente allí.
El efecto práctico es que un portátil en una cafetería se comporta como un puesto más de la oficina, con su acceso a las carpetas compartidas, a la impresora de red o al ERP interno.
VPN de empresa y VPN de suscripción: no son lo mismo
| VPN de empresa | VPN comercial | |
|---|---|---|
| Para qué | Acceder a los sistemas internos desde fuera | Navegar saliendo por otro servidor y otro país |
| Dónde termina el túnel | En el firewall de tu oficina | En el servidor del proveedor |
| Quién la controla | Tu empresa | Una compañía externa |
| Uso típico | Teletrabajo, unir sedes, acceso de proveedores | Privacidad en redes públicas, contenidos por región |
La consecuencia importante: una VPN comercial no da acceso a nada de tu empresa. Y a la inversa, una VPN corporativa no está pensada para ocultar la navegación de nadie, sino para lo contrario: para que el tráfico pase por donde la empresa puede protegerlo y registrarlo.
Tipos de VPN en una empresa
VPN de acceso remoto. Cada persona instala un cliente en su portátil y se conecta a la oficina. Es la forma habitual de dar teletrabajo.
VPN entre sedes. Dos firewalls, uno en cada oficina, mantienen un túnel permanente. Las dos redes funcionan como una sola y nadie tiene que hacer nada: el túnel está siempre levantado.
VPN para proveedores. Un acceso acotado y temporal para quien mantiene una máquina o una aplicación concreta. La clave aquí es que llegue solo a lo suyo y que caduque.
En cuanto a la tecnología, las que verás en un presupuesto son IPsec, el clásico para unir sedes; SSL/TLS, cómoda para el acceso de usuarios porque atraviesa bien cualquier red; y WireGuard, la más reciente, más simple y notablemente más rápida, que se ha extendido mucho en los últimos años.
Las ventajas reales de una VPN
- Trabajar desde fuera con los recursos de dentro. Carpetas compartidas, aplicaciones internas, impresoras y servidores, sin publicarlos a internet.
- No exponer servicios. Es la ventaja de seguridad más importante y la menos citada: con VPN no hace falta abrir el escritorio remoto ni el servidor de archivos al mundo, que es por donde entra buena parte del ransomware.
- Protección en redes ajenas. En el wifi de un hotel, un aeropuerto o un centro de negocios, el túnel evita que nadie de esa red vea el tráfico.
- Unir oficinas sin línea dedicada. Dos sedes conectadas por internet con un coste muy inferior al de un enlace privado.
- Aplicar la misma política a todos. El tráfico del que está fuera pasa por el firewall de la empresa, con su filtrado y su registro, igual que si estuviera en su mesa.
- Control de quién entra y cuándo. Cada conexión queda registrada, con usuario y hora. En un incidente, eso vale oro.
¿Tu gente accede a los archivos de la oficina desde casa? Revisamos cómo lo hace y si está expuesto algo que no debería estarlo.
Los límites: lo que una VPN no hace
Aquí está la parte que no aparece en la publicidad y que conviene tener clara antes de apoyarse en ella.
No te hace anónimo. Cambia quién ve tu tráfico, no que exista. El proveedor de la VPN comercial ve lo que antes veía tu operador, y los servicios en los que inicias sesión te siguen identificando perfectamente.
No protege de un equipo infectado. Si el portátil tiene un keylogger, el túnel transporta los datos robados con el mismo cifrado impecable. Peor aún: le da acceso directo a la red de la empresa.
No sustituye al antivirus ni al EDR. Son capas distintas y resuelven problemas distintos.
Da acceso a demasiado. Este es el punto débil estructural: una VPN clásica mete al usuario dentro de la red, y una vez dentro suele poder ver mucho más de lo que necesita. Si esas credenciales se comprometen, el atacante hereda ese acceso completo.
Añade latencia. El cifrado y el rodeo por la oficina cuestan milisegundos. Con una línea de subida corta en la sede, se nota.
VPN y teletrabajo: cómo se monta bien
Una VPN mal montada es una puerta grande con una cerradura pequeña. Estas son las decisiones que marcan la diferencia.
Doble factor, siempre. Sin él, una contraseña filtrada equivale a estar sentado en la oficina. Es la medida más barata y la que más incidentes evita.
Acceso por grupos, no general. Que cada perfil llegue solo a lo que necesita: administración a lo suyo, técnicos a lo suyo, proveedores a una única máquina.
Comprobar el estado del equipo. Permitir la conexión solo desde equipos gestionados, con el antivirus activo y el sistema actualizado. Un portátil personal sin control no debería entrar en la red corporativa.
Caducidad y revisión. Las cuentas de acceso de personas que ya no están o de proveedores puntuales son de los agujeros más comunes que encontramos en las auditorías.
Registro y alertas. Guardar quién se conecta, desde dónde y cuándo. Un acceso a las tres de la madrugada desde otro país debería avisar a alguien.
Dimensionar la línea de la sede. Todo el tráfico de los que están fuera pasa por la subida de la oficina. Si es corta, la VPN irá lenta y la culpa se la llevará el técnico.
Túnel completo o túnel dividido
Es la decisión de configuración con más consecuencias y la que casi nunca se explica al cliente. Cuando alguien conecta la VPN hay que decidir qué tráfico entra en el túnel.
Con túnel completo, absolutamente todo pasa por la oficina: los archivos internos y también la navegación, el vídeo y las actualizaciones del sistema. La ventaja es el control: el firewall de la empresa filtra y registra todo, igual que si la persona estuviera en su mesa. El inconveniente es que la subida de la sede se convierte en el techo de la experiencia de todos los que están fuera.
Con túnel dividido, solo entra en el túnel el tráfico destinado a la empresa; el resto sale directo por la línea de casa. Va notablemente más rápido y descarga la sede, pero la navegación de esa persona deja de pasar por los filtros corporativos.
La regla práctica: túnel dividido para el día a día de la mayoría, con el tráfico interno bien definido; y túnel completo para perfiles que manejan información sensible o para los que la empresa necesita mantener el registro completo. Lo que no funciona es elegir por defecto sin haberlo pensado, que es lo que ocurre en la mayoría de las instalaciones.
Qué ve el usuario y qué hay detrás
Para quien la usa, una VPN son tres pasos: abrir un programa, meter usuario, contraseña y el código del móvil, y esperar a que aparezca «conectado». Después trabaja igual que en la oficina.
Detrás de esa pantalla hay decisiones que conviene conocer porque se notan en el uso diario. La reconexión automática, para que el túnel se levante solo al cambiar de wifi a datos y no haya que repetir el proceso cada vez. El arranque con el equipo, cuando la aplicación de gestión no funciona sin conexión a la oficina. La duración de la sesión, que decide cada cuánto hay que volver a autenticarse. Y el comportamiento si el túnel cae: si se corta el acceso o si el equipo sigue trabajando sin protección.
Esa última, en un puesto que maneja datos sensibles, no es un detalle de comodidad: es la diferencia entre un corte molesto y unos minutos trabajando en claro sin que nadie se dé cuenta.
Qué hace falta para montarla
Los requisitos son menos de los que la gente imagina, y por eso sorprende la cantidad de empresas que siguen sin VPN y con puertos abiertos.
Hace falta un equipo que haga de servidor: normalmente el propio firewall perimetral, que ya trae esa función. Hace falta una dirección estable por la que llegar desde fuera, o un nombre de dominio que apunte a la línea. Hacen falta credenciales por persona, idealmente integradas con el directorio de la empresa para no mantener dos listas de usuarios. Y hace falta un segundo factor, que en la mayoría de los equipos actuales se activa con una aplicación de autenticación en el móvil.
En cuanto al coste, la parte que suele sorprender es que muchas veces es cero en licencias: si el firewall ya está comprado, la VPN entra dentro. Lo que se paga es el tiempo de configurarla bien —los grupos de acceso, el doble factor, las pruebas— y, en algunos fabricantes, licencias por número de usuarios concurrentes. Comparado con lo que cuesta un incidente por tener el escritorio remoto abierto a internet, es una de las inversiones más rentables que existen.
Cuando no conecta o va lenta
Los problemas de VPN se repiten tanto que casi siempre están en esta lista.
No conecta desde una red concreta. Algunas redes de hoteles, hospitales o polígonos bloquean los protocolos de VPN. Se resuelve con un perfil alternativo por un puerto que esas redes sí permiten, normalmente el mismo que usa la navegación segura.
Conecta pero no ve los recursos. Suele ser un choque de direcciones: la red de casa usa el mismo rango que la de la oficina y el equipo no sabe hacia dónde enviar el tráfico. Se arregla cambiando el rango interno de la empresa a uno menos común.
Va lenta a determinadas horas. Mira la subida de la sede y qué está pasando por ahí a esa hora: si la copia de seguridad se sube en horario laboral, todos los que trabajan fuera lo pagan.
Se desconecta cada poco. Wifi doméstico inestable, ahorro de energía del adaptador de red o sesiones con una caducidad demasiado corta. Los tres se corrigen con configuración, no con más ancho de banda.
Funciona para unos y no para otros. Casi siempre son los grupos de acceso: la persona está en un grupo que no llega a lo que necesita. Es buena señal, en realidad: significa que el acceso está segmentado.
VPN o confianza cero: hacia dónde va esto
El modelo de la VPN nació cuando lo de dentro era de fiar y lo de fuera no. Hoy, con aplicaciones repartidas entre la oficina y la nube y con gente trabajando desde cualquier sitio, esa frontera ya no describe la realidad.
De ahí el modelo de confianza cero: en lugar de meter al usuario en la red, se le da acceso a una aplicación concreta, comprobando en cada conexión quién es, desde qué dispositivo entra y en qué estado está ese dispositivo. Si esas credenciales se comprometen, el daño se limita a esa aplicación.
Esto no significa que la VPN esté muerta ni que haya prisa por cambiar. Para una empresa de veinte personas con un servidor en la oficina, una VPN con doble factor y accesos por grupos es una solución perfectamente sólida. El modelo de confianza cero empieza a compensar cuando hay muchos accesos externos, varias sedes o proveedores entrando de forma habitual.
VPN, nube y correo: cuándo ya no hace falta
Hay una pregunta que conviene hacerse antes de montar nada: ¿qué hay realmente dentro de la oficina que la gente necesite?
Si el correo está en Microsoft 365, los archivos en SharePoint o en OneDrive y la aplicación de gestión es web, la respuesta puede ser «nada». En ese escenario, obligar a todo el mundo a conectarse por VPN para trabajar añade una capa que no protege nada nuevo: esos servicios ya se protegen con doble factor, con políticas de acceso condicional y con control del dispositivo.
La VPN sigue siendo imprescindible cuando queda algo en casa: un servidor de archivos, una base de datos, un ERP instalado, máquinas de producción, un sistema de cámaras o cualquier equipo que no deba asomar a internet. Y también cuando hay que unir sedes.
Lo habitual en una pyme española es una mezcla: el correo y los documentos ya están en la nube, pero queda un servidor con la aplicación de facturación que nadie va a migrar este año. En ese caso la solución sensata no es «VPN para todo», sino VPN solo para llegar a ese servidor, y el resto por los mecanismos propios de la nube.
Cómo se cuenta esto a la plantilla
Una VPN cambia la rutina de la gente, y ahí es donde fracasan la mitad de las implantaciones. Si conectarse es engorroso, la gente busca atajos: se lleva los archivos a un pendrive, se los manda a su correo personal o pide que le abran «solo un puertecito».
Tres cosas evitan eso. La primera, explicar para qué sirve en una frase que se entienda: «así puedes trabajar con los archivos de la oficina sin que estén expuestos en internet». La segunda, dejarla lo más automática posible: arranque con el equipo, reconexión sola y el mínimo número de clics. Y la tercera, avisar de lo que va a cambiar antes de que cambie, con una hoja de media página y un número al que llamar la primera semana.
Cuando la seguridad es cómoda, se usa. Cuando estorba, se rodea. Y una medida rodeada no protege nada.
Errores frecuentes con la VPN
- Una sola cuenta compartida por varias personas. Se pierde la trazabilidad y nadie puede decir quién entró.
- Sin doble factor, confiando solo en la contraseña.
- Acceso total para todos, incluidos becarios y proveedores.
- Cuentas de gente que ya no trabaja aquí, activas meses después.
- Cliente de VPN sin actualizar. Los propios productos de VPN han tenido vulnerabilidades graves; mantenerlos al día es parte del trabajo.
- Usarla como excusa para no cifrar los portátiles. Son cosas distintas: la VPN protege el tráfico, el cifrado protege el disco cuando el equipo se pierde.
El fallo más caro no es técnico: es dar acceso completo a la red por comodidad. Una VPN bien segmentada limita lo que un atacante puede alcanzar el día que consigue unas credenciales, y ese día llega en algún momento en casi todas las empresas.
Las tecnologías, con sus diferencias reales
Cuando en un presupuesto aparecen tres siglas, conviene saber qué implica elegir cada una, porque afecta al uso diario.
IPsec es el veterano y el rey de los túneles entre sedes: estable, soportado por todos los fabricantes y pensado para estar levantado permanentemente. Como cliente de usuario tiene un problema conocido: usa protocolos que algunas redes públicas bloquean, así que el comercial que viaja acaba llamando porque «desde este hotel no entra».
SSL/TLS resuelve exactamente eso. Viaja por el mismo puerto que la navegación segura, así que atraviesa prácticamente cualquier red, incluidas las de hoteles y aeropuertos. Es la opción más habitual para el acceso de personas.
WireGuard es la incorporación reciente: mucho menos código, cifrado moderno y un rendimiento sensiblemente mejor, sobre todo en móviles, donde reconecta casi al instante al cambiar de red. Su punto flojo no es técnico, es de gestión: las funciones de administración de usuarios son más simples, así que depende del fabricante que lo implemente.
En la práctica, una pyme no elige por gusto: usa lo que su firewall ofrece y lo que su gente puede instalar sin complicaciones. Y si el equipo permite más de un perfil, lo razonable es tener el principal y otro alternativo por el puerto de la navegación segura, para las redes difíciles.
Cómo elegir la VPN de tu empresa
Casi siempre la respuesta correcta no es contratar un servicio nuevo: es usar el firewall que ya tienes. Los equipos perimetrales de empresa incluyen servidor de VPN, y aprovecharlo evita sumar otro producto, otra factura y otro panel.
Las preguntas para decidir son cuatro. Cuánta gente se va a conectar a la vez, porque de eso dependen la capacidad del equipo y las licencias de cliente. Desde qué dispositivos, para saber si hay que soportar móviles o equipos personales. A qué necesitan llegar, que es lo que define los grupos de acceso. Y cuánta subida tiene la sede, que es el techo real de la experiencia.
Con esas cuatro respuestas, la solución sale sola. Sin ellas, se acaba comprando una licencia por si acaso y descubriendo el problema el primer lunes con toda la plantilla fuera.
Una última consideración práctica: la VPN es una de esas piezas que solo se echa en falta cuando ya hace falta. La empresa que la monta con calma un mes cualquiera dedica unas horas a configurarla y probarla; la que la monta el día que hay que enviar a todo el mundo a casa la monta mal, con accesos totales y sin doble factor, y esa configuración de urgencia se queda años.
Por eso conviene tenerla lista antes de necesitarla, aunque solo la use una persona: el trabajo es el mismo para uno que para veinte, y el día del apuro solo hay que repartir credenciales.
Preguntas frecuentes sobre VPN
Es una red privada virtual: un túnel cifrado entre dos puntos de internet. En una empresa sirve para que quien está fuera acceda a los sistemas internos —carpetas, aplicaciones, servidores— sin necesidad de publicarlos en internet, y para unir sedes entre sí.
Siempre que alguien necesite trabajar desde fuera con recursos que están en la oficina, cuando hay que conectar dos sedes o cuando un proveedor necesita acceso a un sistema concreto. También al usar redes wifi públicas, para que nadie de esa red pueda ver el tráfico.
No. Cambia quién puede ver tu tráfico, no que exista. El proveedor de la VPN ve lo que antes veía tu operador, y los servicios en los que inicias sesión te siguen identificando igual. En el ámbito corporativo, además, el objetivo no es el anonimato sino el control.
Que el problema entra con él. El túnel cifra el tráfico, pero no limpia el equipo: le da acceso directo a la red de la empresa. Por eso la conexión debería permitirse solo desde equipos gestionados, con protección activa y sistema actualizado.
No. La corporativa termina en el firewall de tu oficina y da acceso a los sistemas internos. La comercial termina en el servidor de un proveedor externo y sirve para navegar saliendo por otro país; no da acceso a nada de tu empresa.
Un poco, por el cifrado y porque el tráfico da un rodeo por la oficina. Lo que más se nota no es el cifrado, sino la velocidad de subida de la sede: si es corta, todos los que trabajan fuera comparten ese cuello de botella.
¿Cómo entra hoy tu gente a los sistemas de la empresa desde fuera?
Revisa tu acceso remoto con nosotros Sin compromiso · Respuesta en menos de 24 h
