El Protocolo de Escritorio Remoto (RDP) te permite controlar un ordenador con Windows desde cualquier lugar a través de internet. Viene integrado en Windows y se usa mucho para trabajo remoto, gestión de TI y acceder al ordenador de casa o de la oficina mientras viajas.
El problema de seguridad: RDP es uno de los servicios más atacados de internet. Los escáneres buscan constantemente puertos RDP abiertos (el predeterminado es el 3389). Si tu ordenador está expuesto con credenciales débiles, los atacantes pueden entrar por fuerza bruta.
Una VPN resuelve esto sacando el RDP de internet público por completo. Tu puerto RDP solo es accesible para dispositivos conectados a la misma red VPN.
Por qué RDP sin VPN es peligroso
Cualquier dispositivo con IP pública recibe miles de intentos de conexión automatizados al día de bots que buscan servicios vulnerables. El RDP en el puerto 3389 es uno de los servicios más atacados porque:
Los ataques de credenciales funcionan. Muchos usuarios dejan las credenciales de administrador por defecto o usan contraseñas débiles en RDP. Las herramientas automatizadas pueden probar millones de combinaciones de credenciales.
Existen vulnerabilidades en RDP. Se han descubierto varias vulnerabilidades críticas en el RDP de Windows (BlueKeep, DejaBlue y otras), algunas de las cuales permiten ejecución remota de código sin autenticación.
Los grupos de ransomware atacan específicamente el RDP expuesto. Una parte significativa de las infecciones de ransomware empresarial en los últimos años empezaron con un atacante entrando a través de RDP expuesto.
Los datos de amenazas de Microsoft Defender sitúan de forma constante la fuerza bruta contra RDP entre los principales vectores de ataque para sistemas Windows.
Cómo protege una VPN el RDP
Cuando pones tu ordenador remoto en una red VPN privada:
El puerto 3389 no queda expuesto a internet público. Solo escucha conexiones de dispositivos dentro de la red VPN.
Los atacantes no pueden encontrar ni sondear el puerto RDP desde internet público. La superficie de ataque desaparece de forma efectiva.
El tráfico entre tu dispositivo cliente y el ordenador remoto va cifrado por el túnel de la VPN.
Esta configuración no elimina todo el riesgo de RDP (sigues necesitando credenciales fuertes, Windows actualizado y MFA), pero elimina la exposición al escaneo automatizado de internet, que es el vector de ataque dominante.
Método 1: VPN de sitio a sitio con NordLayer
Para empresas con varias oficinas o empleados remotos, NordLayer (el producto empresarial de NordVPN) ofrece una VPN de sitio a sitio que crea una red privada compartida para todos los dispositivos conectados.
En esta configuración, los ordenadores de oficina con RDP activado solo son accesibles desde dispositivos autenticados en la cuenta de NordLayer. Los empleados remotos conectan su portátil a NordLayer, lo que les da acceso a los sistemas de la oficina como si estuvieran en la red local.
Método 2: Tailscale (VPN de malla punto a punto)
Tailscale es una VPN de malla construida sobre WireGuard que crea conexiones seguras entre dispositivos concretos sin un servidor VPN central. Es gratis para uso personal (hasta 100 dispositivos) y popular entre desarrolladores y equipos pequeños.
Configurar Tailscale para RDP
Instala Tailscale en el ordenador al que quieres conectarte de forma remota (tu máquina “anfitriona”). Descárgalo desde tailscale.com e inicia sesión con tu cuenta de Google, Microsoft o correo.
Instala Tailscale en el dispositivo cliente (portátil, escritorio) desde el que te vas a conectar.
Ambos dispositivos aparecen en tu panel de Tailscale en tailscale.com. Cada dispositivo recibe una IP privada estable (en el rango 100.x.x.x).
Desde tu dispositivo cliente, abre Conexión a Escritorio Remoto (Windows) o Microsoft Remote Desktop (macOS, iOS, Android). Introduce la IP de Tailscale de tu máquina anfitriona (por ejemplo, 100.92.15.3).
Conéctate con tus credenciales de Windows. La conexión se enruta a través del túnel cifrado de Tailscale.
Tu puerto RDP nunca queda expuesto a internet público. La conexión solo funciona entre dispositivos registrados en tu cuenta de Tailscale.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Método 3: VPN de consumo con redirección de puertos
Algunas VPN de consumo ofrecen redirección de puertos como función, lo que permite mapear un puerto concreto del servidor VPN a un puerto de tu ordenador. Esto puede habilitar el acceso RDP a través de la VPN, pero vuelve a exponer el puerto, solo que a través de una IP diferente.
Este enfoque es menos seguro que una verdadera red privada y no se recomienda para uso en producción. Resuelve el problema solo parcialmente (IP distinta, menos visible para los escáneres) pero no lo elimina.
Qué elegir según el tamaño de tu configuración
Para un usuario individual que solo quiere acceder a su propio ordenador de casa desde el trabajo o de viaje, Tailscale es casi siempre la respuesta correcta: se instala en minutos, no requiere abrir ningún puerto en el router, y el plan gratuito cubre de sobra las necesidades de una persona. Para un equipo pequeño con varios ordenadores de oficina y empleados que necesitan acceso ocasional, sigue siendo una opción viable, aunque gestionar los permisos de cada dispositivo manualmente empieza a pesar a partir de una decena de máquinas.
Para una empresa con requisitos de cumplimiento normativo, varias oficinas, o la necesidad de auditar quién accedió a qué máquina y cuándo, una solución de sitio a sitio como NordLayer tiene sentido porque centraliza la gestión de accesos y ofrece registros que Tailscale no proporciona en su plan gratuito. La diferencia real no es tanto de seguridad técnica (ambas eliminan la exposición pública de RDP) sino de gestión: cuántas personas necesitan control sobre quién entra dónde.
Refuerzo de seguridad de RDP más allá de la VPN
Incluso con una VPN protegiendo tu RDP:
Activa la Autenticación a Nivel de Red (NLA). NLA exige credenciales antes de establecer la sesión RDP, en vez de en una pantalla de inicio de sesión visible. Esto evita el acceso sin autenticar al propio servicio RDP.
Usa un puerto no estándar. Cambiar RDP del 3389 predeterminado a un puerto no estándar (por ejemplo, 50000) no mejora la seguridad si el puerto está expuesto, pero reduce el ruido de escáneres automatizados. Combinado con una VPN, el puerto deja de importar, aunque sigue siendo buena práctica.
Activa reglas del Firewall de Windows Defender para restringir RDP a direcciones IP o interfaces de red específicas.
Usa contraseñas fuertes y políticas de bloqueo de cuenta. Tras N intentos fallidos de inicio de sesión, bloquea la cuenta durante un periodo. Esto frena la mayoría de ataques de fuerza bruta incluso si RDP fuera de algún modo accesible.
Mantén Windows actualizado. Microsoft parchea con rapidez las vulnerabilidades de RDP en Windows. Ejecutar una versión de Windows sin parchear con RDP expuesto es de alto riesgo.
Nunca expongas RDP directamente a internet sin una VPN o un control de acceso similar. Tailscale es la solución más sencilla para uso personal: gratis, basada en WireGuard, configuración mínima. NordLayer es mejor para equipos empresariales que necesitan gestión centralizada. Combinado con credenciales fuertes y NLA, esta configuración reduce la superficie de ataque de RDP casi a cero.
Sigue leyendo: Mejor VPN para teletrabajo en 2026 y VPN contra Zero Trust (ZTNA): ¿qué necesita realmente tu empresa?.