Puntos clave
Remote Desktop Gateway (RD Gateway) permite un acceso remoto seguro, autenticado y cifrado a los recursos corporativos internos a través de HTTPS.
- Configura la infraestructura de red: abre el puerto TCP 443 para la conectividad básica y el puerto UDP 3391 para optimizar el rendimiento; comprueba que los registros DNS resuelvan tu FQDN externo.
- Instala el rol de RD Gateway: usa el Administrador de servidores para añadir «Puerta de enlace de Escritorio remoto» dentro del rol Servicios de Escritorio remoto en un servidor Windows 2019 o 2022.
- Aplica un certificado SSL: importa un certificado de una CA de confianza que coincida con tu URL externa; evita los certificados autofirmados o «.local» para que el cliente no bloquee la conexión.
- Define las directivas de acceso: crea directivas de autorización de conexión (CAP) para indicar los grupos de usuarios autorizados y directivas de autorización de recursos (RAP) para limitar a qué servidores internos pueden acceder.
- Configura el cliente: en el cliente RDP, ve a «Opciones avanzadas» para introducir el FQDN de la puerta de enlace y activa la opción de usar las credenciales de la puerta de enlace en el equipo remoto.
- Añade seguridad moderna: integra la autenticación multifactor (MFA) mediante la extensión NPS o herramientas de terceros para proteger la puerta de enlace frente al robo de credenciales.
El entorno de trabajo actual ya no se limita a la oficina tradicional. Los empleados necesitan acceder a los recursos internos de forma fluida y segura cuando trabajan desde casa, están de viaje o se encuentran en oficinas secundarias. Las soluciones de acceso remoto eliminan la distancia geográfica y permiten a los usuarios conectarse a la red corporativa desde prácticamente cualquier lugar.
Existen muchas soluciones de acceso remoto, pero el Remote Desktop Gateway (RD Gateway) de Microsoft es una pieza clave. ¿Qué es exactamente un servidor Remote Desktop Gateway y cómo protege el acceso remoto a las redes corporativas?
En esta guía te explicamos qué es RD Gateway, te mostramos paso a paso cómo configurar la puerta de enlace para escritorios remotos, repasamos los aspectos de seguridad que debes tener en cuenta y vemos cómo resolver los problemas más habituales.
¿Qué es RD Gateway?
RD Gateway, Microsoft Remote Desktop Gateway o, simplemente, Remote Desktop Gateway, es un servicio de rol de Windows Server que permite a los usuarios remotos autorizados conectarse a recursos de la red corporativa interna a través de un canal seguro. Funciona como intermediario entre los clientes de escritorio remoto y la red interna de destino, y garantiza que las conexiones se autentiquen, se cifren y se enruten por un túnel seguro.
Actúa como puerta de enlace entre internet y la red interna, y la protege frente a accesos no autorizados.
Potencia RDG con NinjaOne Remote Access y crea una infraestructura de acceso remoto segura y eficiente.
Motivos para usar Remote Desktop Gateway
Muchas organizaciones se preguntan hasta qué punto es seguro Remote Desktop Gateway (RD Gateway). Existen varios motivos por los que una organización puede optar por RD Gateway para gestionar la conectividad remota a sus servidores. Entre ellos:
- Acceso seguro a los recursos internos: RD Gateway garantiza un acceso seguro porque autentica a los usuarios y enruta las conexiones a través de un punto común. Esto resulta especialmente importante cuando se maneja información sensible o hay requisitos de cumplimiento.
- Cifrado y protección de datos: Volviendo a la pregunta de hasta qué punto es seguro Remote Desktop Gateway, RD Gateway cifra con HTTPS los datos transmitidos mediante el protocolo de escritorio remoto (RDP), lo que impide interceptaciones no autorizadas y preserva la confidencialidad e integridad de la información que viaja entre el cliente y la red interna.
- Control de acceso y auditoría centralizados: Los administradores pueden establecer controles de acceso centralizados y definir permisos y grupos de usuarios. Además, RD Gateway ofrece funciones de auditoría muy completas que permiten supervisar y registrar la actividad de los usuarios con fines de seguridad y cumplimiento.
- Configuración más sencilla del escritorio remoto: RD Gateway simplifica la configuración de las conexiones de escritorio remoto al mediar entre los clientes remotos y los recursos internos. Así se evitan montajes de red complejos y la experiencia de usuario resulta más ágil.
- Mejor experiencia de usuario y más productividad: Al ofrecer una conexión segura y fluida a los recursos internos, RD Gateway mejora la experiencia de usuario, impulsa la productividad de los empleados en remoto y reduce los posibles problemas de conectividad.
¿Cómo funciona Remote Desktop Gateway?
Microsoft Remote Desktop Gateway es un intermediario que media las conexiones entre los clientes de escritorio remoto y los recursos internos. Autentica a los usuarios, garantiza una transmisión de datos segura y facilita el flujo de información entre el cliente remoto y la red interna.
Gracias a una autenticación en dos pasos, los usuarios pasan primero por un proceso de inicio de sesión seguro. Una vez autenticados, RD Gateway comprueba que el usuario esté autorizado a acceder a los recursos internos solicitados.
El protocolo HTTPS canaliza las conexiones hacia la red interna a través de un canal seguro. Así, los datos que se transmiten entre el cliente y la red interna viajan cifrados y quedan a salvo de posibles escuchas o manipulaciones.
RD Gateway es compatible con numerosos clientes de escritorio remoto, entre ellos el cliente nativo de Conexión a Escritorio remoto de Windows, aplicaciones de terceros e incluso dispositivos móviles. RD Gateway recurre al balanceo de carga para repartir las conexiones entrantes entre varios servidores, de modo que el rendimiento y la disponibilidad se mantienen incluso con mucho tráfico.
Instalar RD Gateway
Antes de poner en marcha RD Gateway, hay varios aspectos que debes tener en cuenta:
Windows Server: asegúrate de tener instalado un sistema operativo Windows Server, como Windows Server 2022 o Windows Server 2019. Es la base necesaria para ejecutar el rol de RD Gateway.
Infraestructura de red:
- DNS: comprueba que los registros DNS estén bien configurados y sean accesibles dentro de la red. El servidor DNS debe resolver el nombre de host y la dirección IP del servidor.
- Reglas de firewall: abre los puertos necesarios en el servidor Remote Desktop Gateway y en cualquier firewall intermedio.
- Puerto TCP 443: necesario para HTTPS, que protege la comunicación inicial y la autenticación con RD Gateway.
- Puerto UDP 3391: aunque el TCP 443 es obligatorio para la conexión inicial, abrir el UDP 3391 mejora mucho la experiencia de usuario porque habilita el transporte UDP fiable de RDP. Esto reduce de forma notable el «lag» en tareas que consumen mucho ancho de banda, como la reproducción de vídeo o el desplazamiento rápido.
- Nota: no abras el puerto 3389 a internet, ya que RD Gateway encapsula ese tráfico de forma segura dentro de los túneles HTTPS/UDP.
Active Directory: los usuarios deben contar con los permisos adecuados para acceder al servidor Remote Desktop Gateway y a sus recursos. Por eso, uno de los requisitos previos es disponer de un entorno de dominio con Active Directory para la autenticación y autorización de usuarios.
Certificado SSL: un certificado SSL válido emitido por una autoridad de confianza protege la comunicación entre el servidor Remote Desktop Gateway y los clientes, y garantiza la confidencialidad e integridad de los datos.
Instalación
- Abre el Administrador de servidores: inicia el Administrador de servidores en tu Windows Server. Es la herramienta central de gestión de Windows Server.
- Añade roles y funciones: ve al menú «Administrar» y selecciona «Agregar roles y características». El asistente te guiará para añadir al servidor los roles y las funciones necesarios.
- Selecciona RD Gateway: elige «Instalación basada en características o en roles» y selecciona el servidor correspondiente. En la sección «Seleccionar roles de servidor», busca y marca «Servicios de Escritorio remoto» y, después, «Puerta de enlace de Escritorio remoto». Sigue las indicaciones en pantalla para completar la instalación.
Instalar el certificado SSL
- Obtén el certificado: un certificado SSL autentica el servidor Remote Desktop Gateway ante los clientes y cifra la comunicación. Por eso es imprescindible adquirir un certificado SSL válido de una autoridad de certificación de confianza.
- Importa el certificado: utiliza la consola de administración de Microsoft (MMC) para importar el certificado al almacén personal del equipo local. Así quedará disponible para que lo use RD Gateway.
- Configura RD Gateway: abre el Administrador de RD Gateway, ve al nodo del servidor y selecciona «Propiedades». En la pestaña «Certificado SSL», elige el certificado SSL instalado para asociarlo al servidor RD Gateway.
Puesta en marcha de RD Gateway
Configura el servidor:
- Configuración de red: los parámetros de red del servidor Remote Desktop Gateway (dirección IP, máscara de subred y puerta de enlace predeterminada) deben ser correctos. Este paso es imprescindible para que el servidor pueda comunicarse con el resto de dispositivos de la red.
- Define reglas de acceso: una directiva de autorización de conexión (CAP) te permite controlar quién puede acceder al entorno de escritorio remoto. Crea CAP para especificar los usuarios o grupos que pueden conectarse al Remote Desktop Gateway.
Crear una directiva de autorización de conexión (CAP)
Crea conexiones VPN: las conexiones VPN ofrecen un túnel seguro para que el tráfico llegue a RD Gateway. En algunos casos también tendrás que crear conexiones de red privada virtual (VPN) para dar servicio a ubicaciones o redes remotas que necesiten acceder a RD Gateway.
Configuración DNS: comprueba que el servidor resuelve correctamente los nombres DNS. Es fundamental para acceder a los recursos de red.
Establece condiciones: las condiciones predefinidas te ayudan a aplicar medidas de seguridad y restricciones adicionales. Define condiciones de acceso, como direcciones IP concretas, franjas horarias o tipos de dispositivo.
La jerarquía de las directivas
Antes de definir tus reglas concretas, conviene entender cómo se complementan estas dos directivas para proteger tu entorno. La CAP hace de llave de la «puerta principal», mientras que la RAP determina a qué «habitaciones» puede entrar el usuario una vez dentro.
| Función | CAP (el «quién») | RAP (el «dónde») |
| Finalidad | Controla quién puede conectarse a la puerta de enlace. | Controla a qué equipos o servidores internos puede llegar. |
| Criterios habituales | Pertenencia a grupos de usuarios de Active Directory, estado de MFA o salud del dispositivo. | Grupos de equipos administrados de AD o rangos de IP de red concretos. |
| Capa de seguridad | Autenticación principal: verifica la identidad del usuario remoto. | Segmentación de red: aplica el principio del mínimo privilegio. |
Crear una directiva de autorización de recursos (RAP)
Concede acceso: crear una directiva de autorización de recursos (RAP) te permite controlar a qué recursos puede acceder cada usuario. Crea RAP para dar a usuarios o grupos acceso a recursos concretos de la red interna.
Define permisos: especifica el nivel de acceso (por ejemplo, control total o solo lectura) para cada recurso. Esto determina qué acciones pueden realizar los usuarios sobre ellos.
Conectarse desde el cliente: últimos ajustes
Una vez terminada la configuración del lado del servidor, tendrás que configurar el cliente de Conexión a Escritorio remoto en el equipo local del usuario para que reconozca y utilice la puerta de enlace.
Para configurar el cliente RDP de Windows (mstsc.exe):
- Abre Conexión a Escritorio remoto: busca «Escritorio remoto» en el menú Inicio.
- Accede a la configuración avanzada: haz clic en Mostrar opciones y ve a la pestaña Opciones avanzadas.
- Configura la puerta de enlace: en la sección «Conectar desde cualquier lugar», haz clic en el botón Configuración.
- Introduce los datos de la puerta de enlace:
- Selecciona Usar esta configuración de servidor de puerta de enlace de RD.
- Nombre del servidor: introduce el FQDN externo de tu puerta de enlace (por ejemplo, gateway.tuempresa.com).
- Método de inicio de sesión: asegúrate de que esté en «Permitirme seleccionar más adelante» o «Contraseña».
- Marca la casilla: «Usar mis credenciales de puerta de enlace de RD para el equipo remoto» (esto permite una experiencia de inicio de sesión único).
- Conéctate: vuelve a la pestaña General, introduce el nombre o la IP interna del servidor de destino y haz clic en Conectar.
Seguridad al día: integración de MFA
Con el panorama de amenazas actual, confiar solo en un usuario y una contraseña para el acceso remoto supone un riesgo de seguridad importante. Para protegerte del robo de credenciales y de los ataques de fuerza bruta, es muy recomendable integrar la autenticación multifactor (MFA) en tu despliegue de RD Gateway.
Con MFA, los usuarios deben aprobar una notificación push o introducir un código en su móvil antes de que RD Gateway les dé acceso a la red interna. Estas son las formas más habituales de conseguirlo:
- Microsoft Entra MFA (antes Azure MFA): si instalas la extensión NPS para Azure MFA en el servidor de la puerta de enlace, podrás conectar tu RD Gateway local con el MFA en el cloud. Así los usuarios reciben una solicitud de Microsoft Authenticator durante el inicio de sesión.
- Duo Security: una alternativa de terceros muy popular que utiliza un proxy ligero para interceptar las solicitudes de autenticación y lanzar un Duo Push.
- Integración con RADIUS: si tu organización usa otros proveedores de identidad, RD Gateway se puede configurar para comunicarse con cualquier solución de MFA compatible con el protocolo RADIUS.
Nota de seguridad: aplicar MFA en la puerta de enlace neutraliza en la práctica el riesgo de que se filtren credenciales, ya que el atacante también necesitaría acceso físico al dispositivo secundario del usuario para lograr entrar en tu red por el túnel.
Buenas prácticas de configuración de RD Gateway
Una vez instalado RD Gateway, hay que realizar varios ajustes para alinearlo con las buenas prácticas de acceso remoto:
Crea directivas de Remote Desktop Gateway
Define directivas de Remote Desktop Gateway para controlar el acceso de los usuarios, los parámetros de conexión y los ajustes de seguridad. Abre el Administrador de RD Gateway y ve al nodo «Directivas». Haz clic con el botón derecho y selecciona «Crear nuevas directivas de autorización». Sigue las indicaciones para definir las directivas de acceso según los grupos de usuarios, la autorización de recursos y los parámetros de conexión.
Define permisos y grupos de acceso de usuarios
Configura los permisos y grupos de acceso para determinar quién puede conectarse a RD Gateway y a los recursos internos. Ve al «Administrador de servidores» y selecciona «Servicios de Escritorio remoto» en el menú de la izquierda. En el nodo «Colecciones», elige la colección que quieras configurar. En el panel «Tareas», haz clic en «Editar propiedades» y, en la pestaña «Grupos de usuarios», define los grupos autorizados a conectarse.
Personaliza las propiedades de RD Gateway
Personaliza las propiedades de RD Gateway para adaptarlas a los requisitos y las políticas de seguridad de tu organización. Abre el Administrador de RD Gateway, ve al nodo del servidor, haz clic con el botón derecho y selecciona «Propiedades». Ajusta parámetros como los tiempos de espera, la redirección de dispositivos y las opciones de registro según las necesidades de tu organización.
Solución de problemas habituales de configuración
Si surgen errores o dificultades durante la configuración o después de ella, lo primero que debes consultar es el Visor de eventos. Ve a Registros de aplicaciones y servicios > Microsoft > Windows > TerminalServices-Gateway para encontrar registros concretos que indiquen si una CAP o una RAP está bloqueando a un usuario.
El FQDN y el estado del certificado
La causa más frecuente de fallo en la conexión es un desajuste de SSL o un problema de confianza.
- La regla del FQDN: tu certificado SSL debe coincidir con la URL externa que los usuarios escriben en su cliente (por ejemplo, remote.tuempresa.com).
- Nada de certificados .local: los clientes públicos rechazan los certificados emitidos para nombres internos (como miservidor.local). Usa siempre un dominio que se pueda resolver públicamente.
Gestiona la caducidad de los certificados
Una causa habitual de caídas totales del servicio es la caducidad del certificado SSL. Vigila periódicamente las fechas de vencimiento y configura recordatorios para tener tiempo suficiente de renovarlos. Así el túnel seguro sigue activo y evitas cortes de conectividad repentinos para toda tu plantilla.
Coherencia entre la red y el firewall
Si el certificado es válido pero la conexión falla, comprueba que el puerto TCP 443 esté abierto en tu firewall externo. Para optimizar el rendimiento, asegúrate de que el puerto UDP 3391 también sea accesible y permita un transporte de datos RDP más fluido.
Mejora la seguridad y la eficiencia de tu acceso remoto integrando NinjaOne Remote Access con RDG.
Protege tus conexiones remotas como es debido: mira cómo configurar Remote Desktop Gateway.
Aprovecha todo el potencial de RD Gateway
Configurar un Remote Desktop Gateway te ofrece un acceso remoto seguro y eficiente. Una instalación, un mantenimiento y un uso correctos hacen que RD Gateway funcione como un punto de acceso fiable para las organizaciones.
RD Gateway es fundamental para garantizar conexiones cifradas y autenticadas, de modo que las organizaciones puedan apostar por el trabajo en remoto sin renunciar a la seguridad.
NinjaOne Remote es la herramienta de acceso remoto de NinjaOne, integrada directamente en NinjaOne RMM. Desarrollada desde cero, ofrece una solución RDP potente y segura a través de nuestra propia puerta de enlace. Mira una demo o regístrate para una prueba gratuita y descubre Ninja Remote en acción.
