- Implementación de túneles cifrados para conectar redes locales con la nube de Microsoft.
- Diferentes arquitecturas de conexión según se trate de usuarios individuales o sedes empresariales.
- Uso de herramientas de código abierto y servicios gestionados para optimizar la seguridad y el control.
- Integración de autenticación avanzada mediante Active Directory y certificados digitales.
Si alguna vez te has sentido un poco expuesto mientras navegas por la red o necesitas que tu equipo acceda a los archivos de la oficina sin que cualquier curioso pueda espiar el tráfico, montar una VPN es la solución definitiva. Básicamente, estamos hablando de crear un túnel cifrado que protege tus datos, permitiéndote entrar en una red privada como si estuvieras conectado físicamente al router del sitio, aunque estés a miles de kilómetros.
En el ecosistema de Microsoft Azure, tenemos la suerte de contar con varias rutas para lograr esto. Desde la opción más sencilla y gestionada, que te quita dolores de cabeza, hasta configuraciones mucho más «manitas» usando Linux y software libre para quienes quieren control total sobre sus paquetes. No importa si buscas teletrabajar con seguridad o simplemente blindar tu identidad digital, aquí tienes todo el despliegue técnico para conseguirlo.
Opciones gestionadas: Azure VPN Gateway
Para quienes no quieren liarse demasiado con la consola de comandos, Azure ofrece el VPN Gateway. Esta herramienta permite establecer conexiones de dos tipos: Site-to-Site (S2S), que une dos redes completas, y Point-to-Site (P2S), que conecta un ordenador individual a la nube. Para montar una conexión S2S, primero necesitamos crear una Red Virtual (VNet) con un espacio de direcciones IPv4 coherente, asegurándonos de que no haya solapamientos con la red local.
Un punto crítico es la creación de la GatewaySubnet. No es una subred cualquiera; es el espacio donde residirá la puerta de enlace y debe llamarse exactamente así. Se recomienda un tamaño de /27 o superior para garantizar que haya suficientes IPs disponibles para las instancias de la puerta de enlace, especialmente si activamos el modo activo-activo para tener alta disponibilidad.
Una vez desplegada la puerta de enlace, que puede tardar unos 45 minutos en quedar operativa, debemos configurar la Local Network Gateway. Este objeto es la representación de nuestro sitio físico en Azure; aquí definimos la IP pública de nuestro router local y los prefijos de red que queremos enrutar. Para cerrar el círculo, creamos la conexión VPN definiendo una clave compartida (PSK) que debe ser idéntica en ambos extremos para que el apretón de manos sea exitoso.
Virtual WAN: La red global de Microsoft
Cuando la infraestructura crece, el Gateway convencional puede quedarse corto y es donde entra en juego Virtual WAN. Este servicio simplifica la conectividad a gran escala creando un «Hub» o centro de conectividad. En lugar de gestionar cada túnel por separado, Virtual WAN permite centralizar la gestión de las conexiones VPN de usuario, facilitando que los clientes se conecten mediante OpenVPN o IKEv2.
La configuración de usuario en Virtual WAN es muy flexible. Podemos elegir entre autenticación mediante certificados de Azure, Radius o incluso la integración con Microsoft Entra ID. Lo más cómodo es que el sistema genera un archivo ZIP de configuración que el usuario simplemente descarga e instala en su equipo, eliminando la necesidad de configurar y montar una VPN en Windows 11 manualmente en cada parámetro de red en el cliente.
Para que el tráfico fluya, debemos vincular nuestras redes virtuales al Hub de Virtual WAN. Aquí podemos jugar con las tablas de rutas y decidir si el tráfico se propaga automáticamente o si preferimos definir rutas estáticas. Es una solución ideal para empresas que necesitan una red global robusta con un rendimiento optimizado.
Implementaciones personalizadas con Linux y StrongSwan
Si eres de los que prefiere no depender totalmente de los servicios gestionados, puedes montar tu propio servidor VPN usando una máquina virtual Linux con strongSwan. Esta alternativa es especialmente útil si quieres evitar los costes del Virtual Gateway o si necesitas un control quirúrgico sobre el cifrado. El secreto aquí reside en configurar el servidor como un router interno mediante el uso de iptables.
Para que esto funcione, es vital activar el reenvío de IP (IP forwarding) en el kernel de Linux. En la configuración de strongSwan, definimos los parámetros de ikev2 y los algoritmos de cifrado (como AES256). Un detalle técnico fundamental es el uso de UDR-tables (User Defined Routes) en Azure; sin ellas, las máquinas virtuales de la red no sabrían cómo volver a responder al tráfico que viene desde la VPN, ya que el tráfico quedaría atrapado en el servidor VPN.
Para los usuarios individuales, strongSwan permite crear conexiones Host-to-Site mediante la generación de una PKI propia. Creamos una Autoridad Certificadora (CA), firmamos un certificado para el servidor y otro para el cliente. Una vez importado el certificado en el almacén de Entidades de certificación de confianza de Windows, la conexión se establece de forma transparente y extremadamente segura.
Avanzando con SoftEther VPN y Active Directory
Otra joya del código abierto es SoftEther VPN. Este software es una bestia de la versatilidad, ya que soporta protocolos como SSTP, L2TP/IPsec y OpenVPN en una sola instancia. Una de sus mayores ventajas es la capacidad de integrarse con un servidor RADIUS vinculado a Active Directory, permitiendo que los empleados usen sus credenciales corporativas habituales para entrar en la VPN.
Para implementar esto, se despliega la VM de SoftEther en una subred DMZ y se configura el SecureNAT. El SecureNAT es básicamente un combo de DHCP, DNS y NAT virtual que asigna IPs a los clientes sin necesidad de crear subredes adicionales en Azure. Para la autenticación, se instala el rol de Network Policy Server (NPS) en un controlador de dominio de Windows Server, configurando el servidor SoftEther como un cliente RADIUS autorizado.
En términos de seguridad, no podemos dejar la máquina abierta a la intemperie. Es fundamental aplicar Hardening: cambiar el puerto de SSH, instalar fail2ban para bloquear ataques de fuerza bruta y forzar el uso de TLS 1.2 desactivando versiones obsoletas como SSL 3.0. De esta manera, tenemos una puerta de enlace profesional que resiste los embates del exterior.
Conexiones especializadas: Azure Files y Almacenamiento
A veces no necesitamos que toda la red esté conectada, sino simplemente acceder a carpetas compartidas de Azure Files sin que los datos viajen por la internet pública. Para esto, el truco consiste en crear un Private Endpoint (punto de conexión privado). Esto le asigna una IP privada de la VNet a la cuenta de almacenamiento, haciendo que el tráfico se desvíe automáticamente por el túnel VPN.
El desafío aquí es la resolución de nombres. Si el cliente intenta conectar a storageaccount.file.core.windows.net, la DNS pública le dará la IP pública y saltará la VPN. La solución es implementar un Azure DNS Private Resolver o una VM que actúe como reenviador DNS. Así, el nombre se resuelve en la IP privada del endpoint y el montaje de la unidad de red se realiza de forma invisible y protegida.
Redactor apasionado del mundo de los bytes y la tecnología en general. Me encanta compartir mis conocimientos a través de la escritura, y eso es lo que haré en este blog, mostrarte todo lo más interesante sobre gadgets, software, hardware, tendencias tecnológicas, y más. Mi objetivo es ayudarte a navegar por el mundo digital de forma sencilla y entretenida.