Bastión de acceso: definición y PAM soberano
Qué es el bastión de acceso (PAM), para qué sirve y cómo desplegarlo sin infraestructura pesada
Un bastión de acceso es un punto de entrada único y controlado por el que pasa toda conexión administrativa a tus servidores y equipos. Autentica a los usuarios, aplica políticas de acceso, graba las sesiones y genera un registro de auditoría completo. En el mercado francés, bastión es el nombre habitual de lo que los proveedores anglosajones llaman PAM (Privileged Access Management).
¿Qué es un bastión de acceso?
Un bastión (también llamado bastión de acceso, bastión de administración o servidor de salto) es la puerta única por la que circulan las conexiones privilegiadas de una organización. En lugar de abrir el acceso SSH, RDP o VNC directamente en cada equipo, expones un único punto de entrada reforzado y monitorizado.
Sin bastión, el acceso administrativo se dispersa: una cuenta VPN para el proveedor de servicios gestionados, una contraseña de administrador compartida entre tres personas, un puerto RDP abierto para una tarea puntual y que nunca se cierra. Cada una de estas situaciones crea un acceso cuyo alcance, duración y uso real ya nadie controla. Eliminar justamente eso es el objetivo de la gestión de accesos privilegiados (PAM).
Un bastión no es ni un cortafuegos ni una VPN. El cortafuegos decide qué tráfico de red pasa; la VPN conecta un equipo remoto a la red interna; el bastión gobierna quién llega a qué equipo, con qué derechos y qué ocurrió allí. Complementa a los otros dos en lugar de sustituirlos.
¿Cómo funciona un bastión de acceso?
Toda sesión administrativa sigue el mismo camino, sea cual sea el protocolo: SSH, RDP o VNC.
Autenticación fuerte
El administrador o proveedor externo se autentica primero en el bastión, con autenticación multifactor. No es posible el acceso directo al equipo de destino: el bastión es la única puerta.
Autorización y mínimo privilegio
El bastión comprueba los derechos del usuario: qué destinos, qué protocolos, en qué franja horaria. Cada persona obtiene exactamente el acceso que requiere su trabajo, y nada más.
Inyección de credenciales
El bastión abre la sesión hacia el destino inyectando credenciales desde una bóveda. La contraseña de la cuenta privilegiada nunca se muestra, nunca se entrega al usuario y nunca se almacena en su equipo.
Grabación y auditoría
La sesión se graba de principio a fin. Dispones de un registro de auditoría que realmente puedes usar durante un incidente o una revisión: quién se conectó, a qué equipo, cuándo y qué hizo.
¿Para qué sirve un bastión de acceso?
Las seis situaciones que con más frecuencia motivan el despliegue de un bastión en una pyme o empresa mediana
Acceso de proveedores externos
Proveedores de servicios gestionados, fabricantes de software, contratistas de mantenimiento: concede acceso limitado en el tiempo, grabado y revocable al instante, sin repartir cuentas VPN ni contraseñas compartidas.
Cuentas privilegiadas
Cuentas de administrador, cuentas root, cuentas de servicio: centraliza su uso tras un único punto de control en lugar de dejar que circulen entre equipos.
Trazabilidad de sesiones
Grabación de sesiones RDP, SSH y VNC: sabes exactamente qué se hizo en tus sistemas críticos y puedes reproducirlo.
Cumplimiento de NIS2
El artículo 21 de la directiva NIS2 exige el control de los accesos privilegiados y su trazabilidad. Un bastión es la respuesta más directa a ese requisito.
Ciberseguro
Las aseguradoras condicionan cada vez más la cobertura, y su precio, a que existan un control del acceso administrativo y un registro de auditoría.
Bajas y cambios de puesto
Corta el acceso con una sola acción, sin necesidad de rotar las contraseñas de cada equipo al que esa persona podía llegar.
¿Bastión tradicional o bastión de nueva generación?
La necesidad no ha cambiado. El coste de entrada ha bajado drásticamente.
El bastión tradicional
- Un servidor dedicado que instalar, dimensionar y mantener
- Un cliente pesado o un plugin que desplegar en cada puesto de trabajo
- Aperturas de puertos y reglas de cortafuegos que negociar
- Un proyecto de integración de varias semanas, normalmente con un integrador de sistemas
- Licencias con precios pensados para grandes empresas
El bastión Heimlane Realm
- Acceso desde el navegador, sin software cliente ni plugin
- Sin servidor de salto que exponer, sin reglas de cortafuegos de entrada
- SSH, RDP y VNC cubiertos por la misma interfaz
- Credenciales inyectadas desde Vault, nunca visibles para el usuario
- Precios y despliegue pensados para pymes y empresas medianas
¿Por qué elegir un bastión soberano?
Por diseño, un bastión concentra lo más sensible que tiene una organización: las credenciales administrativas, el mapa de sus equipos críticos y la grabación de todo lo que se hace en ellos. Por eso las cuestiones de alojamiento y jurisdicción pesan aquí más que en casi cualquier otro sitio.
Heimlane es un proveedor europeo. Realm está alojado en Francia y Alemania, con proveedores de alojamiento europeos. Las grabaciones de sesiones y los registros de acceso no salen de la Unión Europea y no están sujetos a legislaciones extraterritoriales como la CLOUD Act estadounidense.
Esto responde a un requisito que aparece cada vez con más frecuencia en licitaciones y cuestionarios de seguros: poder nombrar a un proveedor, una jurisdicción y una ubicación de alojamiento, sin una cadena opaca de subcontratistas.
Heimlane Realm, el bastión de acceso de la plataforma Prism
La bóveda guarda los secretos; el bastión controla y registra su uso. Los dos productos trabajan juntos.
Realm
El bastión de acceso (PAM)
- Bastión SSH, RDP y VNC desde el navegador
- Grabación completa de sesiones
- Inyección de credenciales sin revelarlas nunca
- Permisos basados en roles y registro de auditoría
Vault
La bóveda de contraseñas
- Almacenamiento cifrado de cuentas privilegiadas
- Cifrado zero-knowledge
- Uso compartido en equipo y bóvedas compartidas
- Alojado en Francia y Alemania
Preguntas frecuentes sobre los bastiones de acceso
¿Cuál es la diferencia entre un bastión y una VPN?
Bastión, PAM, servidor de salto: ¿son lo mismo?
¿Es obligatorio un bastión para cumplir NIS2?
¿De verdad necesita un bastión una pequeña empresa?
¿Tienen que instalar software los usuarios?
¿Dónde se alojan los datos del bastión?
¿Cuánto cuesta un bastión?
Descubre un bastión de acceso moderno en acción
Bastan quince minutos para abrir una sesión RDP grabada desde un navegador cualquiera. Solicita una demo de Realm.
Precio por usuario. Sin cuota de plataforma ni compromiso mínimo para MSP.