La VPN gestionada de Aclass es una red privada virtual que montamos, vigilamos y mantenemos nosotros, para que su equipo trabaje desde fuera de la oficina y sus sedes se vean entre sí como si compartieran el mismo edificio. Resuelve los dos escenarios habituales: teletrabajo con acceso a los sistemas internos y unión permanente de oficinas. La operan técnicos propios que atienden en español, sobre infraestructura propia en un CPD Tier III de Madrid, desde 8,99 €/mes por usuario sin IVA.
Contratar una VPN gestionada no es comprar una licencia: es delegar el ciclo completo del servicio. Nosotros elegimos la tecnología según sus equipos de red, montamos el concentrador, repartimos los perfiles, vigilamos el estado del túnel y aplicamos los cambios que pida el día a día. La empresa no necesita un administrador de sistemas disponible para atender una desconexión a media mañana ni para dar de alta a la persona que entra el lunes.
Empezamos por un inventario corto: qué recursos internos hay que alcanzar, desde qué sitios y con qué equipos de red cuenta hoy la empresa. Con eso definimos el direccionamiento, evitamos que dos sedes usen el mismo rango privado y preparamos el concentrador en nuestra plataforma. Después distribuimos los perfiles de cliente, probamos cada acceso con el usuario delante y dejamos escrita la configuración entregada, incluidos los algoritmos y las longitudes de clave empleados.
El servicio vigila de forma continua que los túneles entre sedes estén levantados y que el concentrador de acceso remoto responda. Cuando un enlace cae y vuelve, queda registrado; cuando no vuelve, el aviso llega a nuestro equipo, no al buzón del gerente. Esa vigilancia también sirve para detectar el patrón repetido: una sede cuya línea se corta cada noche, un usuario cuyo cliente se desconecta al cambiar de red o un intento de conexión con credenciales que ya no deberían existir.
Las altas y bajas de usuario, la apertura de un recurso nuevo, el cambio de una regla o la sustitución de un router forman parte del servicio. Se piden por correo o por teléfono y las ejecuta el mismo equipo que montó la VPN, con el contexto ya conocido. Si la petición afecta a otros elementos de su infraestructura, la coordinamos desde consultoría IT, sin que la empresa tenga que explicar dos veces cómo está montada su red.
No hay una tecnología mejor que las demás: hay una adecuada para cada tramo. En la mayoría de las empresas conviven dos, una para unir sedes y otra para las personas. La tabla resume los criterios que de verdad deciden, incluido el caso en el que la VPN no es la respuesta correcta.
Es el estándar que hablan prácticamente todos los cortafuegos y routers de empresa, y por eso sigue siendo la opción natural cuando hay que unir dos edificios de forma permanente. El túnel se establece entre equipos, no entre personas: nadie tiene que iniciar sesión y el enlace se levanta solo tras un corte. A cambio, exige acordar parámetros en ambos extremos y un direccionamiento limpio.
El tráfico viaja sobre TLS, el mismo protocolo del navegador, de modo que atraviesa sin problemas la wifi de un hotel o la red de un cliente donde otros puertos están cerrados. El control es por usuario y grupo, lo que permite que el equipo comercial alcance el CRM y no el servidor de administración. Es la opción más cómoda cuando el parque de dispositivos es variado.
Es la incorporación reciente y la más rápida en software: menos código, menos sobrecarga por paquete y reconexión inmediata al cambiar de red, algo que se agradece en un móvil que salta de la wifi a los datos. Su configuración se reduce a un par de claves por dispositivo. La contrapartida es que el control de acceso es más rígido y que algún equipo antiguo todavía no lo soporta.
Cuando lo que hay que publicar son tres o cuatro aplicaciones concretas y no una red entera, el modelo de confianza cero es mejor: se autoriza por aplicación, usuario y estado del dispositivo, y nadie ve el resto del segmento. Ahí una VPN clásica concede más de lo necesario. Lo decimos abiertamente porque también le ayudamos a decidir que este servicio no es lo que necesita.
| Criterio | IPsec | SSL | WireGuard | Zero Trust / SASE |
|---|---|---|---|---|
| Caso de uso principal | Unir sedes de forma permanente entre routers o cortafuegos | Acceso remoto de personas desde cualquier equipo o red | Acceso remoto y enlaces entre servidores con poca latencia | Publicar aplicaciones concretas sin dar acceso a la red |
| Rendimiento | Alto cuando el equipo de red acelera el cifrado por hardware | Medio: el tráfico va sobre TLS y el cliente consume más CPU | El más alto en software, con menos sobrecarga por paquete | Depende del punto de presencia del proveedor, no del túnel |
| Complejidad de despliegue | Alta: hay que acordar fases, propuestas y redes en ambos extremos | Baja: perfil por usuario y portal de descarga | Baja: un par de claves y una lista de IP permitidas por peer | Media: exige inventariar aplicaciones y definir políticas por rol |
| Cliente necesario en el equipo | No en las sedes; sí en portátiles, con cliente IKEv2 | Sí, cliente ligero en Windows, macOS, Linux, iOS y Android | Sí, cliente oficial disponible en todos los sistemas | Agente o navegador, según la aplicación publicada |
| Compatibilidad con equipos de red existentes | Máxima: es el estándar que hablan casi todos los cortafuegos | Alta, pero suele atarse al fabricante del concentrador | Creciente: no todos los equipos antiguos lo incorporan | Independiente del equipo de red; se apoya en el agente |
| Granularidad del control de acceso | Por red y subred: quien entra ve el segmento completo | Por usuario y grupo, con reglas hacia recursos concretos | Por peer y rango de IP permitido | Por aplicación, usuario y contexto del dispositivo |
| Visibilidad y registro de accesos | Registro de la fase de negociación y del estado del túnel | Registro por usuario: conexión, duración y origen | Registro básico del peer; la trazabilidad se añade fuera | Registro por sesión de aplicación, el más detallado |
| Cuándo elegirlo | Dos o más sedes fijas que comparten servidores y sistemas | Equipos que rotan de dispositivo o entran desde redes ajenas | Cuando importa la velocidad y el parque es moderno | Cuando el acceso es a unas pocas aplicaciones y la red plana es un riesgo: ahí la VPN no es la respuesta adecuada |
El precio de partida publicado es 8,99 €/mes por usuario, sin IVA. Esa cifra cubre el acceso remoto de una persona: su perfil, su credencial, el segundo factor si se activa, el soporte en español y la vigilancia del servicio. Publicarlo es una decisión deliberada: en este mercado casi nadie lo hace, y una empresa que compara proveedores necesita una referencia antes de dedicar una reunión a cada uno.
Los túneles adicionales entre sedes, los usuarios por encima del plan base y el alta del servicio se presupuestan a medida, en función del número de sedes, del número de personas y de los equipos de red existentes. No publicamos una cifra para esos conceptos porque dependen del proyecto concreto: la propuesta se emite por escrito, con importes cerrados y sin IVA, antes de contratar nada.
El configurador aplica únicamente el precio publicado por usuario y deja marcado como «a presupuestar» todo lo que no tiene tarifa cerrada. Sirve para llegar a la conversación con una cifra de partida y una arquitectura propuesta.
El configurador calcula únicamente la parte con precio publicado (usuarios × 8,99 €/mes sin IVA) y propone la arquitectura: IPsec entre sedes, SSL o WireGuard para los usuarios remotos, o una arquitectura mixta cuando hay ambos. Los túneles entre sedes y el alta se muestran como «a presupuestar según sedes y usuarios». Precios sin IVA ni otros impuestos.
El teletrabajo dejó de ser una excepción y pasó a ser una parte estable de la plantilla. Lo que cambia respecto a la oficina es que el equipo se conecta desde redes que la empresa no controla, y que el ritmo de altas y bajas es mucho más alto. Un despliegue de acceso remoto se juzga por esas dos cosas: por lo que tarda en estar operativo un usuario nuevo y por lo que tarda en dejar de estarlo quien se va.
El alta consiste en crear la credencial, asignar el grupo que corresponde a su puesto y enviarle el perfil con las instrucciones de instalación. La baja es aún más importante: se revoca el certificado o la clave del dispositivo y el acceso deja de existir en el momento, sin depender de que alguien devuelva el portátil. Cada movimiento queda registrado, que es lo que se pide en una auditoría.
Una contraseña robada abre la puerta; una contraseña más un segundo factor, no. Por eso el acceso remoto puede exigir un código temporal en el móvil del usuario además de sus credenciales. Es la medida que más reduce el riesgo real por cada euro invertido, y se activa por grupo: puede ser obligatoria para quien accede a los sistemas de gestión y opcional para el resto.
A veces la VPN funciona y la experiencia sigue siendo mala. Suele ocurrir con líneas domésticas de subida escasa, con routers saturados o con aplicaciones que hablan mucho con su base de datos. Medimos dónde está el cuello de botella antes de proponer nada: si el problema es la aplicación y no el enlace, la solución no es más túnel, sino acercar el trabajo al dato con escritorios virtuales.
Cuando una empresa tiene oficina, almacén y tienda, cada sitio acaba con su propio servidor, su propia copia de los ficheros y su propia versión de la verdad. El túnel permanente entre sedes elimina esa duplicidad: las redes se ven entre sí, el sistema de gestión vive en un único punto y todo el mundo trabaja contra los mismos datos.
Técnicamente se resuelve con IPsec entre los cortafuegos de cada sede, con el enlace siempre levantado y reconexión automática tras un corte. El trabajo fino está en el direccionamiento: si dos oficinas usan el mismo rango privado, hay que renumerar una antes de unirlas, y conviene hacerlo con orden y no la misma tarde del despliegue. También definimos qué alcanza cada sede, porque unir redes no significa que todo el mundo deba ver todo.
Cuando los servidores están alojados en nuestro centro de datos, el planteamiento se simplifica: cada sede levanta un túnel contra la plataforma y no contra las demás, de modo que añadir una oficina nueva no obliga a tocar las anteriores. Es el mismo sitio donde viven los servidores VPS y cloud y el cloud NAS con el que el equipo abre los archivos compartidos desde cualquiera de las sedes.
Conviene tener claro el alcance: el túnel protege el tránsito entre sus redes, pero no filtra el correo que entra en los buzones. Ese trabajo corresponde a un servicio distinto de protección de correo y filtrado antispam , igual que la retención de los datos corresponde a las copias de seguridad gestionadas .
Es la duda más frecuente y la respuesta depende de qué viaja por el enlace. Con VPN, la aplicación se ejecuta en el portátil y los datos van y vienen; con VDI, la aplicación se ejecuta en el centro de datos y por la línea solo viaja la imagen de la pantalla. La primera opción es más barata y suficiente para ofimática y acceso puntual a carpetas; la segunda gana en cuanto aparece un ERP pesado, una base de datos conversadora o un requisito de que el dato no salga.
En la práctica, muchas empresas combinan las dos: VPN para el personal que solo necesita alcanzar carpetas y aplicaciones ligeras, y escritorios virtuales VDI para los perfiles que trabajan a diario con el sistema de gestión. La diferencia de coste por usuario es real, y por eso la decisión se toma puesto a puesto y no para toda la plantilla a la vez.
| Criterio | VPN | VDI |
|---|---|---|
| Dónde se ejecutan las aplicaciones | En el portátil del usuario | En el centro de datos; el puesto solo muestra la pantalla |
| Dónde reside el dato | Se descarga al equipo para trabajar con él | No sale del centro de datos |
| Ancho de banda necesario | El del archivo que se abre: sube con el tamaño | Constante y modesto, porque solo viaja la imagen de pantalla |
| Rendimiento con aplicaciones pesadas | Malo con bases de datos y ERP conversadores sobre enlaces lentos | Bueno: la aplicación está junto a sus datos |
| Coste por usuario y mes | Desde 8,99 € sin IVA | Desde 45 € por usuario y mes sin IVA |
| Administración del puesto | Cada equipo se actualiza y se protege por separado | Puesto centralizado: una plantilla para todos |
Muchas empresas combinan las dos: VPN para quien solo necesita carpetas y aplicaciones ligeras, y escritorios virtuales VDI para los perfiles que trabajan a diario con el sistema de gestión.
El servicio lo operan técnicos propios de Aclass que atienden en español y por teléfono, sin niveles de derivación en otro idioma ni formularios que se contestan al día siguiente. Quien coge la llamada tiene delante la configuración de su VPN: sabe cuántas sedes hay, qué tecnología se desplegó y qué se cambió la última vez.
Por debajo, la VPN corre sobre la misma plataforma que sostiene el resto de nuestros servicios: infraestructura propia en un CPD Tier III de Madrid, con el dato residente en España, sobre la que publicamos un compromiso de disponibilidad del 99,9 %. Ese compromiso es el de la plataforma, y es el mismo que ya aparece en nuestros servidores y en nuestro alojamiento.
La parte que no depende de nosotros conviene decirla también: la línea de internet de cada sede y la conexión doméstica de cada empleado son de su operador. Por eso el diseño contempla reconexión automática y, cuando el caso lo justifica, una segunda línea de respaldo en la sede crítica.
Una VPN empresarial genera registros de acceso: quién se conectó, desde qué dirección y durante cuánto tiempo. Esos registros son datos personales y, en nuestro caso, se conservan en España, en la misma infraestructura desde la que se presta el servicio. No hay transferencia internacional que documentar ni un proveedor fuera de la Unión Europea al que haya que justificar ante un auditor.
El servicio se presta con el contrato de encargado de tratamiento que exige el RGPD, en el que se detallan las finalidades, las medidas técnicas aplicadas y las obligaciones de confidencialidad. El tráfico va cifrado con AES-256 en los túneles IPsec y con ChaCha20-Poly1305 en los despliegues WireGuard, con intercambio de claves y renovación periódica: nombramos el algoritmo porque es lo que un pliego puede verificar.
Sobre esa base, cada empresa fija su política de acceso: qué grupos alcanzan qué recursos, quién puede conectarse desde un dispositivo personal y qué ocurre cuando alguien deja la organización. Le entregamos por escrito dónde residen los registros y con qué medidas se protegen, que es exactamente lo que se pide al documentar el registro de actividades de tratamiento.
Cuéntenos cuántas personas trabajan fuera de la oficina, cuántas sedes hay que unir y qué equipos de red tiene hoy, y le devolvemos una propuesta por escrito con la arquitectura recomendada e importes sin IVA. Puede ver el resto de servicios en el hub de infraestructura IT o hablar con nuestro equipo de consultoría IT en Madrid. Escríbanos a info@aclass.es o llame al +34 913 671 204 en horario de oficina.