Acceder al NAS desde fuera de la oficina con seguridad
El acceso remoto al NAS permite abrir desde casa o desde la oficina de un cliente los archivos guardados en el NAS de la empresa. Los fabricantes y el INCIBE coinciden en lo esencial: no dejar el panel de administración expuesto a internet, preferir una VPN o el servicio de conexión del fabricante, mantener el equipo actualizado y exigir verificación en dos pasos a las cuentas que lo administran.
Acceso remoto al NAS: las opciones y lo que arriesgas con cada una
Un NAS está pensado para la red de la oficina, pero tarde o temprano alguien necesita un archivo desde casa, desde un hotel o desde la sala de reuniones de un cliente. Es el precio de usar el NAS como nube propia de la empresa: hay que decidir cómo se entra desde fuera, y los fabricantes no recomiendan todos los caminos por igual. QNAP, por ejemplo, califica la apertura directa de puertos de «vulnerable a ciberataques» y sin defensa frente a vulnerabilidades de día cero (QNAP).
La respuesta corta: para un uso diario, una VPN; para un acceso ocasional, el servicio de conexión del fabricante con verificación en dos pasos; y nunca el panel de administración abierto a internet. Lo demás es reforzar las cuentas y mantener el equipo al día.
Cuatro maneras de entrar, de más a menos expuesta
| Método | Cómo funciona | Exposición del NAS | Encaja con |
|---|---|---|---|
| Abrir puertos en el router (reenvío, UPnP o DMZ) | El NAS responde directamente a cualquier dirección de internet | Máxima: cualquiera puede intentar entrar | Solo quien tiene conocimientos de seguridad y una razón concreta |
| Servicio de conexión del fabricante, como QuickConnect de Synology o myQNAPcloud Link de QNAP | Las aplicaciones se conectan a través de los servidores del fabricante | Baja: no hace falta abrir puertos, aunque depende de la cuenta del fabricante | Accesos ocasionales, equipos sin técnico |
| VPN en el router o en el propio NAS | El dispositivo remoto entra en la red de la oficina por un túnel cifrado | Baja: solo queda expuesto el servicio VPN | Uso diario, teletrabajo regular |
| VPN entre oficinas | Dos redes quedan unidas de forma permanente | Baja, con equipos de red adicionales | Negocios con varias sedes |
Synology explica que QuickConnect permite a las aplicaciones llegar al NAS «sin necesidad de configurar reglas de reenvío de puerto», y avisa de que las conexiones que pasan por su servidor de retransmisión pueden ser más lentas. QNAP, en su comparación, presenta myQNAPcloud Link como la opción más sencilla de configurar y la VPN en el NAS como la más completa, a cambio de una configuración algo más complicada.
La VPN, explicada sin tecnicismos
Una VPN es un pasillo cifrado entre tu portátil (laptop) y la red de la oficina. Una vez dentro, abres las carpetas del NAS como si estuvieras sentado en tu mesa, y desde internet solo se ve la puerta del pasillo, no el NAS. TrueNAS lo dice sin rodeos en su documentación: recomienda restringir la interfaz web y cualquier otra interfaz de administración a subredes privadas y usar tecnologías VPN cuando los servicios se usan por internet (TrueNAS, en inglés).
La VPN también se protege. El INCIBE aconseja usar doble factor de autenticación para acceder a ella, cuentas de VPN sin privilegios de administrador y mantener actualizados tanto el equipo que la aloja como los clientes de cada trabajador (INCIBE).
Las medidas que recomiendan los fabricantes
Synology, QNAP y TrueNAS coinciden en casi todo. Esta lista reúne sus recomendaciones; revísala con quien administre el NAS de la empresa:
- Desactiva la cuenta «admin» predeterminada y crea una cuenta de administración con otro nombre (Synology y QNAP).
- Activa la verificación en dos pasos para todas las cuentas que administran el NAS (los tres fabricantes).
- Activa las actualizaciones automáticas del sistema y de las aplicaciones, o revísalas cada mes (QNAP y TrueNAS).
- Activa el bloqueo automático de direcciones IP tras varios intentos fallidos de inicio de sesión (Synology y QNAP).
- Revisa el router: desactiva el UPnP y elimina las reglas de reenvío hacia el NAS que no necesites (QNAP). Synology, por su parte, recomienda abrir solo los puertos públicos imprescindibles (Synology).
- Apaga los servicios que no uses, como Telnet o SSH (QNAP y TrueNAS), y usa conexiones cifradas para los que sí: HTTPS para el panel y SFTP en lugar de FTP (Synology).
- Pasa el asesor de seguridad del fabricante de forma periódica: el Consejero de seguridad en Synology, Security Center en QNAP.
- Da a cada persona su propia cuenta con permisos solo sobre las carpetas que necesita.
- Programa instantáneas y copias de seguridad. QNAP recuerda que las instantáneas no sustituyen a una copia y que un RAID tampoco lo es.
Un caso práctico
Una gestoría de cuatro personas en Santiago de Chile trabaja desde la oficina tres días a la semana y desde casa los otros dos. Su router ya incluye un servidor VPN, así que lo activan con una cuenta por persona y doble factor, cierran la regla de reenvío que alguien creó años atrás para «entrar al NAS desde el móvil (celular)» y dejan el servicio del fabricante desactivado. Desde casa, cada uno se conecta a la VPN y abre la unidad de red de siempre.
Si lo que más se usa fuera ya no es el NAS
Cuando media plantilla trabaja fuera casi siempre, quizá convenga dejar en el NAS solo los archivos pesados y llevar a la nube los documentos del día a día, que se comparten mejor desde allí.
Si algo sale mal a pesar de todo
Ninguna medida reduce el riesgo a cero. Por eso un NAS accesible desde fuera necesita una copia cifrada fuera de la oficina, con varias versiones y a salvo de un ransomware que cifre el equipo.
Si todavía estás decidiendo
Si el acceso remoto te parece demasiado trabajo, merece la pena volver a sopesar NAS y nube con calma antes de comprar el equipo.