25 mar 2020

Teletrabajo: escritorio remoto vs VPN vs VDI

No todas las empresas que tienen necesidad de teletrabajo durante esta crisis, están relacionadas con el mundo IT. Tampoco todas cuentan con presupuestos gigantescos para disponer de un equipo que les gestione la infraestructura en este tipo de situaciones.

Por ello, queremos dar a conocer, desde una perspectiva para nuestros lectores "no tan técnicos", qué opciones existen y en la medida de lo posible facilitar información para su instalación y despliegue, ayudándoos a reducir el impacto del virus en vuestros negocios. Incluso puede que ya estéis utilizando algunos de estos servicios o protocolos en vuestro trabajo actual, así que es bueno que conozcamos las diferencias entre ellos.

Escritorio Remoto

Podemos decir que existen dos protocolos principales para la conexión con un escritorio remoto. El primero, RDP (Remote Desktop Protocol), fue originalmente desarrollado por Microsoft. Aunque a día de hoy hay disponibles clientes para todas las plataformas. El servidor es inherente a Windows, ya que el inicio de sesión se hace mediante el core de este. El segundo es VNC (Virtual Network Computing), es multiplataforma, tanto en cliente como en servidor, utilizando protocolo libre, que implementa la funcionalidad de escritorio remoto sin restricciones en el sistema operativo.

El propósito de ambos protocolos es facilitar a una persona conectarse a un ordenador en una red remota y utilizar su interfaz gráfica. Permite compartir el ratón, el teclado e incluso el portapapeles.

Aunque sea la primera opción mencionada, utilizar un escritorio remoto es también la menos segura, y no se aconseja su uso. Funciona, y es muy sencillo de configurar, pero a nivel de seguridad, tanto RDP como VNC, son bastante más vulnerables que los métodos que explicamos a continuación.

VPN (Virtual Private Network)

Tal como su nombre indica, es una red privada virtual. Muchos ya habréis utilizado alguna para cambiar virtualmente vuestra ubicación, ya sea por razones más o menos éticas. Existen diferentes protocolos que permiten establecer una conexión de este tipo, y permiten crear un túnel de conexión cifrado entre dos redes.
Imagen de INCIBE
Es mucho más versátil que el escritorio remoto, aunque también algo más complejo de configurar y mantener. Permitirá el acceso externo de forma segura, con posibilidad de segregación de usuarios, a servicios disponibles solo de forma interna a la empresa. Además, estaremos adheridos de forma intrínseca a los sistemas de seguridad que haya implementados en la red de destino.

Hay que tener en cuenta, que cuando estamos conectados a una VPN, el ancho de banda de nuestra conexión pasará a ser equivalente al ancho de banda que tengamos en la red de destino. Por tanto, es importante dimensionar bien este tipo de conexión para tener siempre un buen funcionamiento de la red.

VDI (Virtualización de sistemas o aplicaciones)

Con un sistema VDI, es posible tener acceso al mismo escritorio virtual todo el tiempo. Es parecido a un escritorio remoto, pero en este caso, no accedemos a una máquina real, sino a una virtualizada en un servidor central. Por ejemplo, puede haber varias imágenes dependiendo del tipo de usuario que accede, cada una de ellas con aplicaciones distintas.

Facilita bastante el mantenimiento, ya que cambiando la imagen, los cambios se aplican de forma instantánea a todos los usuarios que la utilicen. Muchos usuarios conocen este servicio por el nombre comercial de uno de los proveedores más famosos, Citrix.
RDP
VPN
VDI
¿Cómo funciona?
Es literalmente una conexión remota con un PC que se encuentre dentro de la red empresarial
Un equipo establece un túnel seguro de conexión hacia la organización, desde ese momento el equipo formará parte de la red interna.
Permite disponer de equipos y aplicaciones mediante una imagen preconfigurada que se guarda en un servidor interno
¿A qué podemos acceder?
Accedemos directamente al control de un equipo interno de la empresa, y por tanto a todo lo que este equipo tenga accesible.
A cualquier recurso corporativo que esté configurado en la política de acceso de VPN. Generalmente varía dependiendo del perfil que accede. Es altamente configurable.
Tendremos acceso a los recursos que se hayan preestablecido previamente en la imagen que existe en el servidor de virtualización.
Acceso local a los datos
En principio están aislados en el equipo que se encuentra en la red interna.
Permite que los datos sean salvados en el cliente externo, ya que formamos parte de la red con la máquina desde la que accedemos.
Proporciona un equipo seguro desde la nube empresarial que mantiene los datos aislados de la red externa.
Posibilidad de trabajar offline
Es necesaria la conexión permanente hacia el escritorio remoto.
Puede trabajarse online si descargamos los datos necesarios para ello a la red externa.
Es necesaria la conexión permanente hacia el equipo remoto virtualizado.
Seguridad final de los datos
En principio, los datos no pueden ser salvados hacia el exterior, pero por lo general los protocolos de escritorio remoto no tienen opciones de seguridad avanzadas.
Una vez que los datos están en el dispositivo externo, la organización pierde la visibilidad de los mismos, lo que puede resultar en perdidas y robos de datos si no está bien gestionado.
Los datos no pueden ser salvados hacia el exterior, protegiendo el sistema de la posible pérdida de un dispositivo externo. El sistema virtualizado permanece tras todos los controles de seguridad internos de la empresa.
Seguridad del dispositivo final
Los parches y las actualizaciones dependen de la gestión interna de los equipos de la empresa ya sea manualmente o mediante un SCCM. Independientes del dispositivo externo.
Los parches y actualizaciones deben gestionarse por separado en cada dispositivo que se conectará a la VPN.
Los parches y las actualizaciones se hacen de manera centralizada, directamente en las imágenes de virtualización. Son independientes del dispositivo externo.
El uso de estos métodos de conexión no está supeditado a usar únicamente uno de ellos. En muchas empresas se implementan varios dependiendo de las necesidades del servicio. Eso sí, es muy importante mantener bien configurados y actualizados los sistemas de acceso externo a la empresa, pues son uno de los primeros objetivos que pueden intentar explotarse en posibles ataques.

Fuente: Flu-Project

Suscríbete a nuestro Boletín

6 comentarios:

  1. Cristian. muy bueno.
    Podrias agregar, sobre los riesgos/ventajas de usar teamviewer, anydesk, supremo, etc.


    Saludos,

    ResponderBorrar
  2. Hola. como siempre claro y profesional lo cual es difícil. Estoy de acuerdo con mi tocayo a ver si podéis comparar esos servicios. Un saludo

    ResponderBorrar
  3. Para mí RDP tunelizado via ssh es una buena opción, si no se dispone de suficiente ancho de banda sobre todo.

    ResponderBorrar
  4. Podrías mediante una VPN web usar un escritorio virtualizado y así hacerlo más seguro.

    ResponderBorrar
  5. Interesante tener en cuenta SDP (Perimetro definido por Software), que está reemplazando fuertemente las VPN: menos costo y mayor seguridad (desde la perspectiva empresarial). Además casi siempre aplican por defecto el principio Zero Trust

    ResponderBorrar
  6. CIerto, interesante compartir un análisis sobre el uso de Herramientas gratuitas de gestión remota, tipo AnyDesk, TeamViewer, Etc, en mi caso he decidido gestionar las empresas que asesoro utilizando VPN's, con certificado del Enrutador (Con encriptacion de 128bits) y sumado a ello escritorio RDP de Windows lo cual eleva una segunda capa de seguridad y no olvidar usar un buen antivirus pago, yo uso Kaspersky que es la suite en mi opinión mas completa y de costo accesible.

    ResponderBorrar

Gracias por dejar un comentario en Segu-Info.

Gracias por comentar!