RDP o VPN: qué necesitan de verdad tus servidores

La comparación que uno cree estar haciendo

«RDP o VPN» suena a elección entre dos tecnologías de acceso remoto. No lo es: una VPN no sustituye a RDP, decide quién puede alcanzarlo. Al final sigues usando Escritorio remoto. La pregunta real es si el servicio RDP escucha a todo internet o a una red privada cuya puerta controlas tú.

Planteado así, la comparación en seguridad no está reñida. Una VPN elimina la exposición; el RDP directo la gestiona. Toda guía seria de endurecimiento dice que uses la VPN, y toda guía seria de endurecimiento tiene razón.

Y sin embargo una enorme cantidad de servidores en producción están expuestos directamente, gestionados por gente que ha leído esas guías. Eso merece tomarse en serio en lugar de descartarse, porque los motivos suelen ser reales.

Qué cambia realmente una VPN

Pon una VPN delante y el servicio RDP deja de ser accesible desde internet. Ese solo hecho elimina toda una categoría de problemas:

• Los escáneres dejan de encontrarte. El volumen de inicios de sesión fallidos cae prácticamente a cero, y tu registro de seguridad vuelve a ser legible.
• Las vulnerabilidades de RDP previas a la autenticación dejan de ser urgentes. Si nadie sin autenticar puede alcanzar el servicio, la próxima CVE de RDP es un parche que programas, no un incidente que gestionas.
• Los ataques de credenciales tienen que pasar primero la autenticación de la VPN, que es un sitio más donde exigir multifactor y un registro más que revisar.
• Obtienes un único punto de entrada auditable en lugar de un servicio expuesto de forma independiente en cada servidor.

Cuánto cuesta operarla

El motivo por el que las VPN se recomiendan y no se adoptan es que el coste es operativo y no económico, y recae sobre personas y no sobre presupuestos.

Cada persona que necesite acceso necesita un cliente, unas credenciales y una configuración que funcione — incluido el contratista que entra dos semanas, la compañera desde el móvil, y quien esté de guardia a las tres de la madrugada desde una red de hotel que bloquea el puerto de la VPN.

La propia VPN se convierte en infraestructura crítica. Cuando está caída, nadie alcanza nada, incluidos quienes deben arreglarla. Necesita monitorización, parches y su propia vía de acceso de emergencia, y los equipos VPN han sido ellos mismos el punto de entrada en varias brechas importantes.

Y hay un modo de fallo propio de las organizaciones que la adoptan a medias: se instala la VPN, un servidor se deja expuesto directamente «temporalmente» para que un cliente pueda conectarse, y esa excepción sobrevive a todos los que recuerdan haberla aceptado. Una exposición directa documentada y defendida es más segura que una sin documentar detrás de una VPN que nadie audita.

Cuándo el RDP directo es la opción defendible

No es una concesión: hay situaciones en las que es genuinamente la mejor decisión de ingeniería.

Cuando las personas que necesitan acceso están fuera de tu control. Servidores propiedad del cliente, contratistas externos, agencias que se pasan máquinas: no puedes emitir credenciales de VPN a una organización que no administras.

Cuando operas uno o unos pocos servidores. Levantar y mantener infraestructura VPN para proteger dos máquinas es un mal cambio, y la VPN pasa a ser lo que más probablemente se rompa.

Cuando el acceso tiene que funcionar desde cualquier sitio, de inmediato. Las redes de hoteles y de empresas bloquean protocolos VPN con la frecuencia suficiente como para que «no consigo conectarme» durante un incidente sea un riesgo operativo real.

En esos casos la posición honesta es: el servicio está expuesto, y necesita medidas compensatorias realmente implantadas — MFA en cada cuenta, NLA, parches al día, y baneo automático de los orígenes que fallan repetidamente. Esa combinación es apreciablemente más fuerte que una VPN que media plantilla esquiva.

Las opciones intermedias

La elección no es binaria, y en el término medio es donde acaban la mayoría de los parques bien llevados.

• Puerta de enlace de Escritorio remoto — tuneliza RDP sobre HTTPS en el 443, así que funciona desde redes que bloquean todo lo demás, y te da un único punto de entrada autenticado y registrado. Más cerca de la VPN en beneficio, más cerca de RDP en coste operativo.
• Un bastión o jump host — se expone una sola máquina endurecida y vigilada de cerca; todo lo demás solo es accesible desde ella. Concentra el riesgo donde puedes permitirte mirar con atención.
• Gestores de sesión de los proveedores cloud — acceso por navegador o agente sin ningún puerto entrante. Excelente donde tus servidores viven en un proveedor que lo ofrece, no disponible donde no.
• Zero-trust network access — acceso por aplicación y consciente de la identidad, sin túnel de red. La dirección hacia la que va el sector, con la suscripción y el coste de implantación que conlleva.
• RDP restringido por origen — sin túnel, solo un firewall que admite una lista corta de direcciones conocidas. La medida real más barata que existe, y funciona hasta el día en que alguien viaja.

Cómo decidir

Dos preguntas lo resuelven en la mayoría de los casos. ¿Puede cada persona que necesita acceso alcanzar una VPN de forma fiable, desde cada red en la que trabaja? ¿Y tienes a alguien que mantenga esa VPN parcheada y monitorizada?

Dos síes: usa la VPN y para aquí. Es el diseño más sólido y el coste lo puedes asumir.

Cualquier no: sé honesto en que el servicio está expuesto, y construye bien las medidas compensatorias en lugar de adoptar una VPN que se acabará esquivando. Eso significa MFA en todas partes, NLA activado, parches al día, la cuenta Administrator integrada deshabilitada, y baneo automático en el firewall de los orígenes que fallan repetidamente.

RDP Protector cubre esa última pieza en los servidores que siguen accesibles — baneos por subred, permanentes y a prueba de reinicios, tu propia dirección en la lista blanca antes de bloquear nada, y puertos detectados desde el registro en vez de asumidos. También merece la pena detrás de una VPN, porque los inicios de sesión fallidos que quedan vienen entonces de dentro de tu perímetro, que es exactamente el tráfico del que más quieres enterarte.