Microsoft insta a las empresas a dejar de usar las VPN tradicionales.

El VPN corporativo, que solía ser la forma habitual de acceso a la oficina, se está convirtiendo gradualmente en un pase demasiado amplio hacia la red, y Microsoft propone reemplazar ese esquema por un acceso a aplicaciones individuales. La compañía describió la transición por fases a Microsoft Entra Private Access, donde la decisión de conexión depende de la identidad del usuario, del estado del dispositivo y de la política establecida.

La diferencia principal respecto al VPN clásico radica en la escala de la confianza. El VPN con frecuencia conecta a un empleado a todo un segmento de red, tras lo cual los mecanismos internos limitan el acceso. Entra Private Access conecta al usuario con un recurso concreto y permite otorgar permisos únicamente a las personas necesarias. Este enfoque se enmarca en el modelo ZTNA, en el que el hecho de estar dentro de la red corporativa no otorga confianza por sí mismo.

Microsoft vincula el abandono de los VPN tradicionales no solo al principio de mínimos privilegios. La compañía señala los costos de las pasarelas, la necesidad de supervisar el ancho de banda y la disponibilidad, así como los riesgos del split tunneling, cuando parte del tráfico circula fuera del túnel corporativo. Otro problema son el robo de credenciales, el phishing y los ataques con repetidas solicitudes de MFA.

El traslado se propone comenzar con un inventario de las aplicaciones internas, los recursos de archivos y los servicios web que actualmente son accesibles a través del VPN. Para cada recurso hay que entender quién lo utiliza, desde qué dispositivos y cuán crítico es el acceso. Tras esto, la organización puede elegir aplicaciones para un piloto y configurar con antelación Conditional Access, la autenticación multifactor y las comprobaciones del estado de los dispositivos.

Entra Private Access forma parte de la plataforma Global Secure Access. En los dispositivos de los empleados se instala el cliente Global Secure Access, que dirige el tráfico necesario a través de la infraestructura de Microsoft. En el entorno corporativo se despliegan los Private Network Connectors, que enlazan el servicio con las aplicaciones internas cerradas. No es necesario publicar públicamente los recursos internos ni aceptar conexiones entrantes hacia ellos.

Para la primera fase, Microsoft ofrece Quick Access. El modo permite migrar al nuevo esquema rangos completos de direcciones IP y nombres de dominio, manteniendo un comportamiento cercano al del VPN habitual. Luego la telemetría ayuda a ver las solicitudes reales a las aplicaciones y a pasar de reglas amplias a segmentos concretos. De este modo se reduce el riesgo de alterar el funcionamiento de una dependencia interna desconocida.

Después de la transición, se pueden vincular las reglas al usuario, al grupo, a la aplicación y al estado del dispositivo. El acceso a los recursos sensibles se permite solo tras cumplirse las condiciones establecidas, y el resto de la red permanece inaccesible. Esta segmentación limita las posibilidades del atacante tras la compromisión de una cuenta y dificulta el movimiento lateral entre los sistemas internos.

Los gateways VPN modernos siguen siendo un objetivo notable de los ataques, ya que se sitúan en el perímetro de la red corporativa y aceptan conexiones desde el exterior. Vulnerabilidades recientes en Check Point VPN mostraron cómo un fallo en un nodo de ese tipo puede permitir la ejecución remota de código sin necesidad de una cuenta. Microsoft no afirma, en este contexto, que cualquier VPN sea inseguro: se trata de reducir la confianza y la superficie de acceso.

Microsoft no recomienda desconectar por completo los VPN de forma inmediata. Primero la compañía sugiere poner en marcha Entra Private Access con un pequeño grupo de usuarios, verificar la autenticación, el rendimiento, el funcionamiento de las aplicaciones y los escenarios de fallo, y luego ampliar la cobertura. Las conexiones antiguas pueden retirarse progresivamente a medida que se confirma la estabilidad de cada recurso migrado.

El objetivo final de Microsoft no es simplemente sustituir un túnel por otro. Entra Private Access traslada el control desde el perímetro de red hacia la identidad y el recurso concreto, de modo que el empleado obtiene únicamente el acceso necesario para trabajar. Para las empresas con gran cantidad de aplicaciones obsoletas, la transición seguirá siendo un proyecto aparte y requerirá un mapa preciso de dependencias.