La historia se repite. Alguien necesita entrar al servidor de la oficina desde casa, se abre un puerto en el router, se le pasa una contraseña, y funciona. Seis meses después ese puerto sigue abierto, recibiendo intentos de acceso automáticos día y noche, y nadie se acuerda de por qué está ahí.
Una VPN resuelve eso: en vez de exponer cada servicio a internet, se expone una sola puerta que solo abre con una clave criptográfica.
Por qué WireGuard y no las otras
Durante años, montar una VPN significaba OpenVPN o IPsec: configuraciones largas, certificados, y una tarde perdida cada vez que algo no levantaba.
WireGuard cambió eso. Es software libre, forma parte del núcleo de Linux, y su configuración cabe en quince líneas. Es notablemente más rápido, reconecta solo cuando cambias de wifi a datos móviles —lo que en un móvil importa mucho— y tiene clientes para todos los sistemas.
Que sea pequeño no es solo comodidad: menos código es menos superficie donde puede haber un fallo.
Cómo se monta, en resumen
- Un servidor con IP pública: el firewall de la oficina si lo tienes, o un VPS pequeño.
- Un par de claves por persona. No una compartida: una por cada uno. Es lo que permite revocar a alguien sin tocar a los demás.
- Un rango de direcciones interno para la VPN, distinto del de la oficina.
- Decidir qué se enruta por el túnel.
- Repartir la configuración, que en el móvil es un código QR.
Si quieres evitar el trabajo manual de gestionar claves, hay interfaces libres encima de WireGuard —wg-easy o Firezone— que dan alta y baja de usuarios desde el navegador. Para más de diez personas, compensan.
La decisión que más se equivoca
El punto 4 de arriba. Hay dos opciones y mucha gente elige la que no le conviene:
- Túnel dividido: solo el tráfico hacia la red de la empresa pasa por la VPN. Lo demás —Netflix, la banca personal, las videollamadas— va directo. Es lo razonable para teletrabajo: no saturas tu línea ni ves el tráfico personal de nadie.
- Túnel completo: todo pasa por la oficina. Tiene sentido si necesitas que todo el mundo salga a internet con la IP de la empresa, o si trabajan desde redes en las que no confías. Pero tu conexión de oficina se vuelve el cuello de botella de todos.
Para la mayoría de las pymes, túnel dividido.
La VPN no es autenticación
Un malentendido frecuente: «como hay VPN, ya no hace falta contraseña fuerte en el servidor interno».
La VPN dice que el dispositivo puede entrar a la red. No dice quién está delante de ese dispositivo ni qué debe poder hacer. Si el portátil se pierde con la configuración dentro, esa clave entra. Por eso siguen haciendo falta segundo factor en los servicios y cifrado del disco.
Cuando alguien se va
Borrar su clave pública del servidor. Es una línea, y el acceso se cierra al instante.
Pero solo pasa si está en la lista. Ese punto va en el mismo recorrido de salida que describimos en la lista del primer día, leída al revés. Es de las cosas que más se olvidan, porque no se nota que falta.