VPN entrante de Windows o un host OpenVPN: elige en cinco minutos

Windows puede aceptar una conexión VPN sin nada instalado más allá del sistema operativo, y eso ayuda de verdad cuando dos máquinas que tienes necesitan un túnel durante una tarde. Sigue siendo útil aproximadamente ese tiempo. El agente de escucha integrado tiene un menú de protocolos fijo, ninguna política por cliente y una dependencia de un escritorio que alguien puede cerrar. Elegir entre él, un extremo en el router y un host OpenVPN se reduce a tres condiciones y no a una preferencia.

Qué es realmente el agente de escucha integrado

El asistente de conexión entrante convierte una estación de trabajo en un pequeño extremo de acceso remoto. Tú eliges qué cuentas locales pueden marcar, cómo se reparten las direcciones y qué protocolo está activo: PPTP, además de L2TP/IPsec o SSTP donde la edición y el trabajo con certificados los admitan.

Lo que no es es una capa de políticas. No hay asignación de rutas por usuario, ni túnel dividido impuesto por el servidor, ni separación entre el túnel y la identidad de red propia de la estación. Un cliente que se conecta aterriza en el mismo segmento que la estación, bajo las reglas de cortafuegos de ese segmento.

Ese último punto es el que hay que sopesar. Los puertos, los recursos compartidos y el navegador de la estación ahora son accesibles para cualquiera que tenga la cuenta, y la cuenta es una cuenta local de Windows con todo lo demás que ya puede hacer.

Tres condiciones que lo deciden

Pregunta cuánto debe durar el acceso, cuánta gente lo necesita y si la red puede siquiera entregar el protocolo.

Si la respuesta es una máquina, una persona y unas horas en una red donde controlas el router, el agente de escucha integrado es proporcionado. Si el acceso debe sobrevivir reinicios durante un mes, atender a cinco compañeros con credenciales separadas o funcionar desde una red móvil que no puede recibir conexiones entrantes, no lo es. Si el protocolo exige el protocolo IP 47 en lugar de un puerto, la red puede negarse a entregarlo con independencia de lo que admita Windows.

Esas tres respuestas eliminan la mayor parte de la discusión de una sola pasada. El resto es detalle de implementación.

Dónde gana un extremo en el router

Un túnel que termina en el router es el encaje natural para el acceso permanente. El router ya está siempre encendido, puede llevar un túnel de sitio a sitio hasta otra oficina, y los clientes no necesitan nada instalado si el router ofrece el protocolo que usan.

La limitación es el firmware. Los routers de consumo suelen admitir solo una parte de lo que permite la especificación, y un modelo que anuncia compatibilidad con VPN puede no incluir justo el que habías previsto. Revisa la lista de funciones del firmware instalado, no la de la familia de productos.

Dónde gana un host OpenVPN

Un servidor OpenVPN en una máquina pequeña siempre encendida encaja con clientes mixtos, varios usuarios con credenciales separadas y redes donde un solo puerto amable con la salida es la diferencia entre funcionar y quedar bloqueado. Emite un perfil por cliente, se ejecuta en todas las plataformas principales y, desde el lado del cliente, se comporta como una aplicación de salida corriente.

También pide un propietario. Alguien tiene que renovar certificados, aplicar actualizaciones del host y leer el registro cuando un cliente no puede conectarse. Sin esa persona, un extremo autoalojado se degrada en silencio hasta el día en que importa.

Comprueba la ruta antes de prometer acceso

La razón más común de que falle un agente de escucha de Windows no es la autenticación. Es la ruta: PPTP necesita TCP 1723 entrante y GRE, que es el protocolo 47 y no un puerto, y muchos routers solo reenvían puertos. Algunas redes de acceso no permiten ninguna conexión entrante. Ese único hecho descarta el agente de escucha integrado en más redes que cualquier ajuste de Windows.

Prueba la ruta antes de configurar cuentas, para que un fallo tenga un solo candidato en lugar de tres:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Un puerto cerrado en la primera línea es un problema de reenvío o del operador, no de Windows. La tercera línea es la comprobación que harías tras elegir OpenVPN, donde un solo puerto UDP a la escucha sustituye toda la cuestión del protocolo.

Elijas la opción que elijas, no dejes PPTP mirando a internet como solución a largo plazo; su autenticación y su cifrado están obsoletos. Y si la necesidad real es una sola aplicación web, un proxy inverso es una respuesta más pequeña que cualquier VPN.