La pregunta surge en casi todas las conversaciones que tenemos con responsables de TI de empresas medianas: “ya tenemos una VPN, ¿para qué necesitaríamos un bastión además?”
Es una pregunta razonable, y la respuesta no cabe en una tabla comparativa. Las dos herramientas resuelven problemas distintos. Confundirlas lleva a una situación muy habitual: una organización convencida de haber protegido sus accesos administrativos, cuando lo único que ha protegido es el transporte.
Qué hace una VPN
Una VPN cifra el enlace entre una máquina remota y la red de la empresa. Responde a una pregunta concreta: ¿cómo puede un empleado o un proveedor llegar a la red interna desde fuera sin que el tráfico viaje en claro por internet?
En ese terreno, hace exactamente su trabajo. El túnel está cifrado, la autenticación se puede reforzar y la máquina remota se comporta como si estuviera en la red local.
Ahí está precisamente el límite: la máquina remota se comporta como si estuviera en la red local. Una vez levantado el túnel, el usuario ve lo que la red expone. No solo el servidor en el que tiene que trabajar, sino también todo lo demás, dentro de la segmentación que haya, que rara vez es tan fina como se supone.
Qué hace un bastión
Un bastion host no conecta a nadie a una red. Abre una sesión hacia una máquina concreta, con un protocolo concreto, y vigila lo que ocurre en ella.
En la práctica, cuando un administrador pasa por un bastión:
- se autentica primero en el bastión, con MFA;
- el bastión comprueba si puede acceder a ese destino, con ese protocolo y en ese momento;
- el bastión abre la sesión inyectando las credenciales desde una bóveda, sin mostrarlas;
- la sesión se graba de principio a fin.
En ningún momento obtiene acceso general a la red. Y en ningún momento conoce la contraseña de la cuenta privilegiada que acaba de usar.
La diferencia cabe en una frase
Una VPN te da acceso a una red. Un bastión te da acceso a una máquina y deja constancia de lo que hiciste en ella.
Todo lo demás se deduce de ahí.
El escenario que lo decide: una intervención de terceros
Piensa en una situación corriente. El proveedor de tu software de gestión necesita trabajar en el servidor de aplicaciones, un martes por la tarde, para corregir un error.
Solo con una VPN, creas una cuenta, se conectan y llegan al servidor de aplicaciones. Potencialmente también pueden llegar al servidor de archivos, al hipervisor y a la impresora del departamento de contabilidad. Les envías la contraseña de administrador del servidor, que a partir de ese momento existe en su gestor de contraseñas, en un archivo de su equipo o en el hilo que usaste para enviarla. Cuando termina el trabajo, tienes que acordarte de desactivar la cuenta. Y no sabes qué se hizo, salvo que rebusques en los registros del servidor, si existen y si son utilizables.
Con un bastión, concedes acceso a ese servidor, por RDP, ese martes. Se conectan desde su navegador. La contraseña de administrador se inyecta sin revelársela. La sesión se graba. Cuando se cierra la ventana, el acceso se cierra con ella. Si, tres semanas después, alguien necesita entender el origen de un fallo, reproduces la sesión.
La diferencia no es teórica. Estos dos escenarios separan a una organización que puede responder a una auditoría de otra que responderá “creemos que”.
Lo que una VPN no registra
El registro de una conexión VPN te dice que una cuenta se conectó a la red, desde una dirección IP determinada, a una hora determinada, y se desconectó a otra.
No te dice a qué máquinas se llegó, qué comandos se ejecutaron, qué archivos se abrieron, ni si la cuenta utilizada pertenecía realmente a la persona que debía hacer el trabajo.
Eso es exactamente lo que pide el artículo 21 de la directiva NIS2 sobre los accesos privilegiados, y lo que piden la mayoría de los cuestionarios de ciberseguros: no una prueba de que el enlace estaba cifrado, sino una prueba de que el acceso estaba controlado y de que sabes lo que se hizo con él.
¿Hay que elegir?
No, y es el punto más importante de este artículo.
Un bastión no sustituye a una VPN, igual que no sustituye a un cortafuegos. Estas tres piezas responden a tres preguntas distintas: qué tráfico de red pasa, cómo se llega a la red y quién accede a qué máquina con qué derechos.
Muchas organizaciones mantienen su VPN para el uso diario de los empleados y trasladan los accesos administrativos detrás de un bastión. Suele ser el camino más sencillo, y no obliga a empezar de cero.
El obstáculo histórico ha desaparecido
Si el bastión estuvo tanto tiempo reservado a las grandes empresas, no fue por falta de utilidad en otros sitios. Fue porque el coste de entrada echaba para atrás: un servidor dedicado que mantener, un cliente pesado que desplegar en cada puesto, reglas de cortafuegos que negociar y un proyecto de integración de varias semanas.
Heimlane Realm parte de la premisa contraria. Las sesiones SSH, RDP y VNC se abren en el navegador, sin software cliente. No se expone ningún servidor de salto y no se crea ninguna regla de entrada: un agente ligero instalado en la red abre un túnel saliente hacia la plataforma. Las credenciales vienen de Vault y nunca se muestran. Y todo ello se aloja en Francia y Alemania.
La necesidad no ha cambiado en veinte años. Lo que ha cambiado es lo que cuesta cubrirla.
Más información: qué es un bastion host, para qué sirve y cómo desplegarlo. También puedes pedir una demo de Realm y abrir una sesión grabada en quince minutos.