Cómo montar el teletrabajo seguro en tu pyme con una VPN WireGuard

Para montar el teletrabajo seguro en una pyme, hoy lo más sensato es una VPN con WireGuard: se crea un túnel cifrado entre el portátil de cada empleado y la red de la oficina, de forma que se trabaja «como si se estuviera dentro» sin exponer nada a internet. Es rápida de configurar, ligera en el equipo y, sobre todo, evita abrir puertos peligrosos hacia el exterior. En esta guía te explico qué es, por qué elijo WireGuard, qué hace falta y los pasos a alto nivel, con una lista de comprobación al final.

¿Qué es una VPN y qué resuelve para una pyme?

Una VPN (red privada virtual) es un túnel cifrado que conecta un dispositivo de fuera con la red de la empresa a través de internet. En una pyme resuelve tres cosas muy concretas:

• Acceso a los recursos internos —el servidor de archivos, el NAS, la impresora, el programa de gestión— desde casa o desde un cliente.
• Cifrado del tráfico, de modo que en la WiFi de un hotel o una cafetería nadie pueda leer lo que se envía.
• Un único punto de entrada controlado, en lugar de tener servicios sueltos «publicados» en internet.

¿Por qué WireGuard y no otra VPN?

WireGuard es un protocolo de VPN moderno que se ha convertido en referencia por tres motivos: es muy simple (su código es pequeño, así que hay menos sitios donde algo pueda fallar), es rápido incluso en equipos modestos y en el móvil, y reconecta solo cuando cambias de red sin cortar la sesión. Frente a alternativas más antiguas como OpenVPN o IPsec, se configura en menos tiempo y consume menos batería. Para una pyme eso se traduce en menos incidencias de soporte y en empleados que no acaban desactivando la VPN «porque va lenta».

Pasos a alto nivel para montarla

1. Definir quién necesita acceso y a qué; no todo el mundo tiene que entrar a todo.
2. Preparar el servidor WireGuard en la oficina (router, firewall o mini-servidor Linux).
3. Generar las claves y la configuración de cada empleado, un juego por dispositivo.
4. Configurar el cortafuegos para que solo entre el puerto de WireGuard y nada más.
5. Instalar el cliente en cada equipo y probar el acceso a los recursos concretos.
6. Documentar y dejar un procedimiento de altas y bajas: cuando alguien se va, se revoca su acceso.

Errores comunes que conviene evitar

• Abrir el Escritorio remoto (RDP) directamente a internet. Es la puerta favorita del ransomware; el RDP debe quedar dentro de la VPN, nunca publicado.
• Compartir una única configuración o clave entre varios empleados: si hay que revocar a uno, los cortas a todos.
• No cerrar los puertos antiguos y dejar un OpenVPN viejo, un NAS publicado o las cámaras accesibles desde fuera.
• Olvidar las copias de seguridad y las actualizaciones del equipo que hace de servidor.

Lista de comprobación

• Solo el puerto de WireGuard está abierto hacia internet; el resto, cerrado.
• Cada empleado tiene su propia configuración y su clave.
• El Escritorio remoto y el NAS solo se alcanzan a través de la VPN.
• Hay copia de seguridad del servidor o firewall y del fichero de configuración.
• Existe un procedimiento sencillo de alta y baja de usuarios.
• Se ha probado la reconexión desde una WiFi externa (móvil, hotel).

Montar una VPN WireGuard no es caro ni exige una gran infraestructura: en muchas pymes basta con el propio router o firewall y un rato de configuración bien hecha. Si prefieres no pelearte con claves y cortafuegos, reviso tu caso, te digo qué hace falta y te lo dejo montado con presupuesto cerrado, sin humo ni cuotas raras. Para dudas sueltas, en la página principal y en las preguntas frecuentes respondo a lo más habitual del teletrabajo y las redes.