VPN para una oficina pequeña: manténgala fuera del controlador de dominio

Tres condiciones deciden si el único servidor Windows de la oficina también debe terminar la VPN: cuánto software expuesto a internet está dispuesto a ejecutar en el directorio, si puede autenticar usuarios remotos sin ese rol y qué ocurre con su acceso de gestión cuando el host se reinicia. Si alguna de las tres tiene una mala respuesta, separe los roles. Que la oficina sea pequeña cambia el presupuesto, no el riesgo.

Todas las máquinas del dominio confían en un controlador de dominio; cualquiera en internet puede alcanzar una puerta de enlace VPN. Esa asimetría es todo el argumento.

Dos trabajos con dos perfiles de exposición distintos

La puerta de enlace acepta conexiones del exterior, así que su escucha, su pila TLS y su superficie de autenticación son accesibles desde redes no confiables. El directorio tiene una autoridad en la que confían otras máquinas, por eso las directrices de endurecimiento de Microsoft tratan el rol de controlador de dominio y su entorno de alojamiento como especialmente sensibles. Cada servicio añadido a ese host hereda la posición de confianza del directorio y añade su propia superficie de ataque. La comodidad de instalación no es una frontera de confianza.

Separar los roles no elimina las dependencias. Los usuarios remotos siguen necesitando autenticación, rutas, DNS y reglas de acceso, y una puerta de enlace que se las salta no es más segura, solo menos útil.

Autenticación sin el rol de directorio

Una puerta de enlace puede validar credenciales mediante una integración externa compatible sin alojar el directorio en sí. Sea cual sea esa integración, deles una cuenta cuyos derechos coincidan con el propósito: leer los atributos necesarios para autenticar, nada más. Admitir usuarios de VPN nunca exige convertir sus cuentas ordinarias en administradores de dominio, ni exige que la puerta de enlace guarde una copia del directorio.

Después, limite las rutas de red que el cliente remoto realmente necesita. El acceso a un servicio de archivos interno, más los servicios de resolución de nombres e identidad de los que depende ese flujo de trabajo, es un conjunto definido de rutas. No es motivo para permitir todos los puertos del controlador de dominio ni todas las interfaces administrativas desde el grupo de VPN.

Un solo host sigue siendo un solo dominio de fallo

Dos invitados en un solo hipervisor separan su configuración de sistema operativo y no separan su destino. Los administradores del hipervisor, la conmutación virtual, el almacenamiento y las copias de seguridad siguen formando parte del diseño, y un reinicio del host elimina ambos servicios a la vez. Llamar a eso alta disponibilidad porque el diagrama muestra dos VM es un error común y caro. Si la única ruta de vuelta pasa por la VPN en ese host, un fallo se lleva la conexión necesaria para repararla.

Así que planifique una vía de gestión independiente que no dependa del túnel, y anote qué queda disponible durante el mantenimiento. Programe las actualizaciones de la puerta de enlace y el mantenimiento del directorio por separado, indicando qué usuarios o aplicaciones toca cada interrupción.

Una ventana de mantenimiento que exige que la VPN esté activa para arreglar la VPN no es una ventana de mantenimiento.

Muévalo sin quedarse bloqueado fuera

Si los roles ya comparten una instalación, evite una migración remota apresurada. Inventaríe lo que la puerta de enlace posee hoy: direcciones, reglas de reenvío, NAT, ajustes de DNS, configuración de autenticación y cualquier servicio publicado. Prepare tanto el reemplazo como una vía de vuelta antes de mover el escucha o alterar una ruta predeterminada. Después pruebe el trabajo real de un usuario remoto ordinario a través de la nueva frontera, y confirme que el acceso administrativo innecesario sigue fallando.

El objetivo no es un diagrama más bonito. Es la capacidad de reparar o reconstruir la VPN sin tocar la caja que ancla la confianza del directorio para toda la oficina. Son objetivos distintos, y solo uno de ellos necesita un segundo servidor.

Registre la decisión en cualquier caso, incluidas las condiciones que la reabrirían. Una oficina pequeña crece, y la respuesta que encajaba con un servidor quizá no encaje con el siguiente.