Implementar una VPN en empresa no se resume a instalar un software en los equipos de trabajo. La verdadera pregunta no es «¿hace falta una VPN?», sino «qué modelo, para qué contexto, y en qué orden». En una pyme sin departamento de TI dedicado, estas elecciones comprometen directamente la responsabilidad del directivo. Para entender primero lo que una VPN aporta concretamente a una estructura como la tuya, consulta las ventajas de una VPN para empresa. Esta página, en cambio, es un camino operativo: del diagnóstico inicial al despliegue, con las trampas a evitar.
¿Tu situación justifica una VPN? Cuatro preguntas
Una mala elección de solución VPN viene rara vez de una falta de presupuesto: viene de un diagnóstico chapucero. Diez minutos de reflexión sobre cuatro preguntas concretas evitan semanas de correcciones, o la compra de una solución inadaptada.
¿Tienes recursos internos que proteger?
Un servidor de archivos, un NAS, un software de gestión o de contabilidad instalado localmente, una base de datos de clientes alojada en tus locales: son recursos que justifican un acceso remoto seguro vía un túnel cifrado. Si por el contrario todo tu entorno está en el cloud (correo, almacenamiento, herramientas colaborativas, software por suscripción), la necesidad es diferente: ya no se trata de asegurar el acceso a una red interna, sino de proteger las conexiones en redes no controladas. En ese caso, otras medidas —MFA en cada cuenta, gestión centralizada de los dispositivos, política de contraseñas— tienen un impacto más directo sobre tu superficie de exposición real.
¿Tienes un proveedor informático externo?
Aunque sea puntual, aunque sea a medio tiempo, su presencia cambia radicalmente lo que es realizable. Algunos modelos de despliegue requieren una configuración inicial que supera lo que un no técnico puede hacer solo sin riesgo de error silencioso —un error que no provoca una avería visible pero deja una brecha abierta—. Sin ningún proveedor, el modelo gestionado por un proveedor especializado es el único realista.
¿Cuántas personas se conectan a distancia, y desde qué dispositivos?
Un directivo solo que accede ocasionalmente a sus archivos desde un hotel no tiene las mismas necesidades que un equipo en teletrabajo parcial sobre equipos Windows, Mac y teléfonos Android mezclados. No es el número bruto de usuarios lo que determina la complejidad, es la combinación de tres factores: la heterogeneidad de los dispositivos, la rotación del equipo, y la diversidad de los recursos a los que cada uno accede. Cuanto más elevados son estos parámetros, más estructurante se vuelve desde el inicio la gestión centralizada de los accesos. El caso de la VPN de empresa para el teletrabajo ilustra bien esta diferencia de necesidades.
¿Tienes restricciones reglamentarias identificadas?
Una estructura que trata datos de salud, información cubierta por el secreto profesional (jurídico, contable, notarial) o datos financieros sensibles tiene obligaciones documentables ante sus clientes y sus aseguradoras. La VPN entra en esta documentación a título del control de los accesos remotos. Este punto merece aclararse antes de la elección de la solución, no después de una notificación de violación o de un cuestionario de conformidad B2B.
Los tres modelos de despliegue realistas para una pyme
Existen tres formas concretas de desplegar una VPN en una pequeña estructura. No se dirigen a los mismos perfiles, no implican el mismo nivel de competencia técnica, y no exponen a los mismos riesgos en caso de mal mantenimiento. La elección entre internalización y externalización se detalla en la página VPN interna o externalizada.
Solución gestionada por un proveedor especializado
Es el modelo que corresponde a la gran mayoría de las pymes sin recurso de TI interno. El proveedor gestiona la totalidad de la infraestructura: servidores, disponibilidad, actualizaciones de seguridad. De tu lado, creas una cuenta de administrador, añades a tus usuarios desde un tablero web, y les envías un enlace de instalación.
Entre las soluciones citadas habitualmente en este segmento: NordLayer, Proton Business, o Check Point Harmony SASE, antiguamente Perimeter 81, absorbido por Check Point en 2023. El mercado se movió, y Perimeter 81 como marca independiente ya no existe, aunque todavía lo encontrarás en comparativos no actualizados.
Carga real: el despliegue inicial representa típicamente media jornada para un equipo modesto (creación de las cuentas, atribución de los accesos por grupo, envío de los enlaces, primera prueba individual). La carga mensual depende luego del ritmo de vida de la estructura: un onboarding, una salida, un dispositivo perdido, un MFA a reconfigurar generan cada uno una intervención. En un equipo estable, es ligero; con rotación regular, puede representar varias horas al mes. Una revisión trimestral de las cuentas activas sigue siendo indispensable en todos los casos.
El costo se factura generalmente por usuario y por mes, lo que lo vuelve previsible y ajustable. La mayoría de las ofertas incluyen un MFA y un tablero de gestión de los accesos. Reparto de las responsabilidades: el proveedor asume la disponibilidad de la infraestructura; tú asumes la gestión de las cuentas (creación, revocación, derechos de acceso). Riesgos si está mal mantenido: cuentas de antiguos colaboradores no revocadas, MFA desactivado por comodidad, versiones de cliente obsoletas. Límite: dependes del proveedor para la disponibilidad, la política de conservación de los datos y la conformidad de su infraestructura —política de registro, jurisdicción, certificaciones ISO/IEC 27001 o SOC 2 se verifican antes de firmar, no después—.
VPN integrada en el router de empresa
Si la oficina dispone de un router reciente (algunos modelos Asus, Netgear o Synology soportan de forma nativa OpenVPN o WireGuard®), es posible hacer de ese router la pasarela VPN de la red. Todos los dispositivos conectados a la red local quedan entonces cubiertos sin instalación individual.
Esta configuración es pertinente únicamente con un proveedor informático capaz de asegurar la configuración inicial y de asumir la responsabilidad. No es trivial: abrir los puertos correctos, configurar los certificados de autenticación, parametrizar las reglas de acceso y probar desde el exterior en condiciones reales. Un error de configuración puede dejar un acceso abierto sin provocar una avería visible. Carga real: configuración inicial de una jornada mínimo para un proveedor competente, luego mantenimiento ligero pero que supone un seguimiento riguroso de las actualizaciones del firmware —punto frecuentemente descuidado—. Responsabilidad: íntegramente la tuya, o la del proveedor si ese perímetro está formalizado en el contrato; no hay soporte de proveedor detrás. Punto fuerte: ninguna dependencia de un tercero, ningún costo recurrente ligado a la VPN. Punto débil: si el router cae, todo acceso remoto queda cortado —la redundancia debe pensarse desde el diseño—.
VPN autoalojada (VPS o servidor dedicado)
WireGuard® u OpenVPN instalados en un servidor privado virtual (VPS) o un servidor dedicado alquilado en un proveedor de alojamiento: es lo que ofrece técnicamente más control. Controlas la infraestructura, la jurisdicción de tus datos y la política de registro. Para una estructura que trata datos bajo secreto profesional o sujeta a exigencias de soberanía, es a veces la única opción realmente satisfactoria. Carga real: despliegue de una a dos jornadas para un técnico que domine Linux y los protocolos VPN; mantenimiento regular no negociable (actualizaciones de sistema, vigilancia de los registros, gestión de los certificados). Responsabilidad: totalmente la tuya —disponibilidad, seguridad, copias de seguridad—. Riesgo si está mal mantenido: un servidor VPN no actualizado puede volverse un punto de entrada expuesto hacia tus recursos internos. Sin un proveedor de confianza que acepte asumir su mantenimiento contractualmente, esta elección es desaconsejada. La elección del protocolo VPN adaptado a tu empresa interviene en esta etapa.
Los pasos concretos de implementación
La secuencia siguiente está calibrada para el modelo gestionado, el caso más frecuente; sigue siendo válida en sus grandes líneas para los otros dos, con las adaptaciones técnicas que se imponen.
- Grupos de acceso, antes que las cuentas de usuario. Es la etapa que casi todo el mundo hace en el orden equivocado. Si se crean las cuentas primero y la política de acceso después, todo el mundo accede a todo, lo que anula una parte del valor de la VPN. La pregunta es simple: ¿quién necesita acceder a qué? Un comercial itinerante no tiene los mismos derechos que un responsable contable. Definir estos grupos toma treinta minutos y evita meses de mala configuración.
- Responsable administrador, designado antes del despliegue. Interno o proveedor, posee los accesos de administrador, recibe las alertas, gestiona creaciones y revocaciones, sigue la renovación de la suscripción. Si nadie es designado explícitamente, esas tareas no las hace nadie: es la fuente principal de desviación en los despliegues pyme —la herramienta está en su lugar, la gobernanza no—.
- Despliegue de los clientes en equipos y móviles. Las soluciones gestionadas proporcionan instaladores para Windows, macOS, iOS y Android. El punto delicado no es la instalación sino la activación: un cliente VPN desactivado no protege nada. Algunas soluciones permiten forzar la activación del túnel al conectarse a la red, una opción a activar desde el inicio.
- Activación del MFA en todas las cuentas, sin excepción. Una doble verificación (código por SMS, aplicación de autenticación o llave física) es la medida que reduce más eficazmente el riesgo de compromiso de una cuenta. Una contraseña robada sola ya no basta. Es una medida de base, no una opción avanzada, que toma cinco minutos configurar por usuario.
- Prueba externa real, desde una red exterior. Desde un smartphone en datos móviles, no desde el wifi de la oficina: es la única prueba que reproduce las condiciones reales. Se verifica que la conexión se establece, que los recursos internos son accesibles, y que no hay fuga DNS —es decir, que las consultas pasan bien por el túnel cifrado y no en claro por el proveedor de acceso—.
- Procedimiento escrito, una página para los colaboradores. Cómo activar la VPN, qué hacer si la conexión falla, a quién señalar un problema. Este documento evita diez llamadas al directivo el primer mes y ancla el uso como un reflejo.
Lo que siempre se olvida y cuesta caro después
El despliegue técnico es a menudo la parte más simple. Lo que genera problemas reales en los meses que siguen son los puntos ciegos organizativos —y un punto que los contenidos de consumo no abordan francamente: la VPN no lo hace todo, y creer lo contrario es el riesgo más corriente—.
La salida de un colaborador. La revocación de un acceso VPN debe formar parte del proceso de salida al mismo título que la devolución del material o el cierre del correo. Una cuenta que sigue activa es un acceso abierto hacia los recursos internos, aunque sea por simple olvido. Este reflejo no se instala solo: forma parte de lo que significa crear una cultura de la ciberseguridad en la empresa —la seguridad reposa tanto sobre procedimientos aplicados sistemáticamente como sobre herramientas bien desplegadas—.
La actualización de los clientes VPN. Un cliente no actualizado expone brechas conocidas y documentadas. En un parque heterogéneo, nadie actualiza espontáneamente: hay que designar explícitamente quién se encarga, con qué frecuencia, y cómo se verifica que está hecho.
Los dispositivos personales de los colaboradores. Una VPN instalada en el teléfono personal de un empleado puede hacer transitar una parte de su tráfico personal por la infraestructura de la empresa, según la configuración. El estatus de esos datos a la luz de las reglamentaciones de protección de datos aplicables merece plantearse antes del despliegue. La solución más simple es a menudo limitar el despliegue móvil a los dispositivos profesionales, u optar por un túnel fraccionado (split tunneling) que solo active el cifrado para el tráfico con destino a la red de la empresa.
El tráfico fuera del túnel. La VPN no protege automáticamente el tráfico hacia las herramientas en línea (correo cloud, almacenamiento compartido, software por suscripción) si ese tráfico no pasa por el túnel. Según la configuración, una parte significativa de los flujos puede transitar por fuera sin que nadie lo note. Una VPN mal configurada o parcialmente desplegada genera una falsa sensación de seguridad que conduce a aplazar otras medidas esenciales. La VPN es un mecanismo de control de acceso de red, no una solución global de ciberseguridad: para encuadrar también los usos de aplicaciones y SaaS, consulta las buenas prácticas SaaS en empresa.