La mayoría de las VPN para oficinas pequeñas todavía inician sesión con nada más que un archivo de configuración. Quien tenga ese archivo tiene las claves de su red. Esta actualización agrega una cuenta con nombre, una contraseña y un código único a cada inicio de sesión, utilizando OpenVPN integrado en su firewall.
En el vídeo, toda la actualización se realiza dentro de la interfaz de administración del firewall: abra la dirección del firewall en un navegador, vaya a OpenVPN, abra la configuración del Servidor y primero realice la autenticación. Nada aquí necesita un nuevo servidor o un complemento pago. Sin embargo, el orden importa: cambia las cosas en la secuencia incorrecta y podrás bloquear a todos, incluido tú mismo. Esta página sigue el orden seguro: auditar, autenticar, nombrar a cada usuario, agregar MFA, reemplazar las configuraciones y luego probar.
Una configuración estándar de OpenVPN autentica el archivo, no la persona. La configuración del cliente contiene el certificado y las claves, por lo que un archivo copiado (desde una computadora portátil vieja, un pendrive, un correo electrónico reenviado) se conecta exactamente como el usuario real. No hay contraseña que cambiar ni forma de preguntar "¿quién era ese?" después. Si su oficina todavía ejecuta una configuración compartida para todos, ese archivo es efectivamente una clave maestra para su LAN y probablemente se haya copiado más veces de las que nadie recuerda.
El primer cambio en el vídeo está en la configuración del servidor OpenVPN en el firewall: elija autenticación de nombre de usuario y contraseña y Guardar. A partir de ese momento, un archivo de configuración por sí solo ya no es suficiente: el cliente también pregunta quién es usted. Haga esto antes de crear usuarios sólo si puede terminar todo el trabajo de una sola vez; de lo contrario, cree los usuarios primero (siguiente paso) y active este interruptor cuando al menos la cuenta de administrador exista y esté probada. La regla es simple: nunca habilite un requisito de inicio de sesión antes de que existan los inicios de sesión.
A continuación, el vídeo crea la lista de usuarios en el Directorio local: abra Configurar directorio local, agregue a cada persona con su nombre, nombre completo y una contraseña adecuada, luego guarde. Una cuenta por ser humano, nunca un único inicio de sesión de "oficina" compartido por cinco personas. Las cuentas con nombre son las que hacen posible todo lo demás en esta guía: MFA se inscribe por cuenta, el acceso se revoca por cuenta y los registros de conexión finalmente significan algo porque cada línea lleva un nombre real.
Este es el corazón de la actualización. Para cada cuenta, el vídeo utiliza la opción Agregar configuración de cliente MFA y lo guarda; Luego, el servidor ofrece una clave MFA o código QR para ese usuario. El usuario escanea el código QR con una aplicación de autenticación (Google Authenticator, Microsoft Authenticator o cualquier aplicación TOTP) y, a partir de ahí, cada conexión necesita tres cosas: el archivo de configuración, el nombre de usuario y la contraseña, y el código de seis dígitos del teléfono. Una configuración robada o una contraseña filtrada por sí sola ahora no conecta nada. Inscriba a cada persona con su propio teléfono presente: el código QR es un secreto y nunca debe enviarse como captura de pantalla.
Después de que MFA esté activado, regrese y descargue el archivo de configuración del cliente para cada usuario desde la misma interfaz, como lo hace el video, y haga que cada usuario importe la configuración nueva al cliente OpenVPN y elimine la anterior. Trate los archivos nuevos como claves: entréguelos a través de un canal en el que confíe, no en un chat grupal. La primera conexión con la nueva configuración solicita el nombre de usuario, la contraseña y luego el código de uso único; si un usuario aún se conecta sin que se le solicite, está usando una configuración o una sesión anterior, y es necesario buscarla el mismo día.
Antes de tocar la computadora portátil de todos, pruebe toda la cadena con una cuenta de prueba: conéctese, ingrese las credenciales, ingrese el código, abra una aplicación de oficina, desconéctese, vuelva a conectarse. Sólo entonces despliegue persona por persona. Mantenga la copia de seguridad de la configuración del firewall desde antes del cambio hasta que haya pasado una semana completa sin quejas; es su manera de regresar si se rompe algo sutil. El vídeo se cierra con una nota práctica importante: prueba la configuración final desde una verdadera red externa (los datos móviles funcionan), porque una VPN que sólo funciona desde dentro de la oficina no prueba nada.
Cada clic se muestra en vivo: configuración de autenticación, usuarios del directorio local, el código QR de MFA y la primera conexión con un código único.
▶️ Watch Full VideoEn el OpenVPN basado en firewall que se muestra en el video, la opción de verificación en dos pasos está integrada en la configuración del servidor: la habilita por cuenta de usuario y se registra con una aplicación de autenticación gratuita. En el vídeo no se compra ningún producto MFA por separado.
Tres cosas, en orden: abren la conexión con la configuración de su cliente, ingresan su nombre de usuario y contraseña, y luego ingresan el código único de seis dígitos que se muestra en su aplicación de autenticación. El código cambia cada 30 segundos.
Puede conservar el archivo, pero compartir una cuenta anula la actualización. MFA y la revocación solo funcionan cuando cada persona tiene su propia cuenta con nombre, así que primero cree una cuenta de directorio local por persona, exactamente como se muestra en el video.