Cómo habilitar la administración remota en Windows de forma segura y repetible

Los MSP necesitan una base segura de gestión remota que pueda aplicarse con facilidad en todos los endpoints y servidores Windows. Sin embargo, al habilitar estos servicios hay que delimitar su alcance y reforzarlos para evitar riesgos innecesarios. Para lograr una configuración segura necesitarás el transporte adecuado, reglas de firewall bien delimitadas, asignaciones de grupo con privilegios mínimos y un registro verificable.

Esta guía ofrece a tu MSP y a tu equipo de TI un recorrido concreto para habilitar Remote Desktop Protocol (RDP), Windows Remote Management (WinRM) y Asistencia remota. Los pasos son auditables, controlados y perfectos para despliegues a gran escala.

Cómo habilitar la administración remota en Windows de forma segura

Antes de empezar a habilitar la administración remota en Windows, tendrás que cumplir estos requisitos básicos:

📌 Requisitos previos:

• Debes haber creado ya un grupo de administración para Usuarios de escritorio remoto o administradores locales.
• Los equipos de TI deben restringir el acceso remoto a las subredes de gestión o a los jump hosts designados mediante reglas de firewall.
• Hay que configurar certificados de confianza para los listeners HTTPS de WinRM en todos los endpoints gestionados.
• Tendrás que reenviar los eventos de inicio de sesión y de sesión remota a un recolector de logs centralizado o a una herramienta Security Information and Event Management (SIEM).

Checklist de requisitos previos

Paso 1: elige los transportes y habilita RDP de forma segura

📌 Casos de uso:

• Este paso te permite realizar tareas de administración remota sin exponer los sistemas de forma amplia, con un acceso controlado y seguro.
• Te permite resolver problemas, automatizar tareas o asistir a los usuarios en remoto aplicando siempre la autenticación.

📌 Requisitos previos:

• Necesitarás derechos administrativos en el sistema para habilitar RDP y configurar las reglas de firewall.
• También hace falta acceso a Propiedades del sistema, a la configuración del Firewall de Windows o a la Consola de administración de directivas de grupo.

Proceso:

1. Primero, decide qué transporte vas a utilizar:
   1. RDP para resolución de problemas interactiva
   2. WinRM para gestión mediante scripts
   3. Asistencia remota para sesiones guiadas
2. Una vez elegido el transporte, abre Propiedades del sistema > Acceso remoto y selecciona Permitir conexiones remotas.
3. A continuación, exige autenticación a nivel de red (NLA) en todas las sesiones RDP.
4. Añade solo cuentas de confianza al grupo Usuarios de escritorio remoto.
5. Habilita las reglas de firewall integradas de Escritorio remoto en Firewall de Windows Defender con seguridad avanzada.
6. Limita las reglas de firewall a las subredes de administración de confianza o a los jump hosts.

💡 Referencia rápida de puertos:

• RDP: TCP 3389 (requiere NLA)
• WinRM (HTTPS): TCP 5986

Asistencia remota: TCP 135 + puertos dinámicos (o RPC)

Paso 2: habilita WinRM para una gestión remota segura

📌 Casos de uso:

• Permite una gestión remota segura basada en scripts con PowerShell.
• Reduce la dependencia de RDP, ya que posibilita la automatización y la configuración sin necesidad de acceder al escritorio completo.

📌 Requisitos previos:

• Necesitarás derechos administrativos en los endpoints o en los controladores de dominio.
• Hace falta acceso avanzado a la Consola de administración de directivas de grupo (GPMC) o a PowerShell en local.
• Debes contar con un certificado en el que confíe el endpoint.

Proceso:

1. Configura Windows Remote Management (WinRM) sobre HTTPS para habilitar la comunicación remota de PowerShell.
2. Crea un listener HTTPS de confianza con PowerShell:

winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname=»serverFQDN»;CertificateThumbprint=»thumbprint»}

3. A continuación, desactiva la autenticación Basic y la no cifrada:

winrm set winrm/config/service/auth @{Basic=»false»}
winrm set winrm/config/service @{AllowUnencrypted=»false»}

4. Habilita únicamente las subredes de gestión mediante reglas de firewall o filtros de IP. Sustitúyelo por:

New-NetFirewallRule -DisplayName "Allow WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 -RemoteAddress 192.168.10.0/24

5. Consulta la configuración de la directiva de grupo de WinRM de IBM para desplegarla en todo el dominio.

Paso 3: configura Asistencia remota y los ámbitos del firewall

📌 Casos de uso:

• Proporciona una resolución de problemas segura y guiada por el usuario cuando se necesita la intervención directa de un administrador.
• Garantiza que el personal pueda prestar asistencia sin exponer los sistemas a un acceso amplio.

📌 Requisitos previos:

• Comprueba que tienes derechos de administrador local o de dominio en los sistemas de destino.
• Confirma que puedes acceder a la Consola de administración de directivas de grupo (GPMC) o a la configuración local del sistema donde se aplicarán las directivas.
• Asegúrate de que el personal de soporte esté añadido a los grupos de seguridad designados que recibirán permisos de Asistencia remota.

Proceso:

1. Primero, habilita Asistencia remota (si la necesitas).
   1. Abre la Consola de administración de directivas de grupo (GPMC).
   2. Después, ve a Configuración del equipo > Plantillas administrativas > Sistema > Asistencia remota
   3. Habilita Configurar Ofrecer asistencia remota y Configurar Asistencia remota solicitada.
2. En la misma ventana, especifica los grupos de seguridad de soporte de tu MSP como asistentes autorizados.
3. En Asistencia remota solicitada, configura la duración máxima del ticket (fíjala en 30 minutos).
4. Exige el consentimiento del usuario asegurándote de que Permitir que los asistentes controlen el equipo de forma remota esté configurado como Solicitar consentimiento.
5. En el Firewall de Windows Defender, habilita las siguientes reglas de entrada:
   1. Escritorio remoto
   2. Administración remota de Windows
   3. Administración remota de servicios
   4. No olvides delimitarlas a tus redes de gestión desde la pestaña Ámbito > Dirección IP remota

Paso 4: asegura el acceso remoto verificando la configuración

📌 Casos de uso:

• Garantiza que la configuración de acceso remoto se aplica correctamente y está reforzada.
• Aporta evidencias auditables para las revisiones de cumplimiento y seguridad.
• Este paso te ayuda a detectar errores de configuración antes de que puedan explotarse.

📌 Requisitos previos:

• Necesitarás una estación de trabajo de administración con RPD y la comunicación remota de PowerShell habilitadas.
• Este paso requiere acceso al SIEM para validar los logs.

Proceso:

1. Valida todas las configuraciones de acceso remoto desde una estación de trabajo de administración.
2. Prueba RDP con autenticación a nivel de red (NLA) y WinRM sobre HTTPS.
3. Confirma que los ID de evento de los inicios de sesión remotos y de la comunicación remota de PowerShell se registran en el SIEM.
4. Exporta capturas de la pertenencia a grupos, los ámbitos del firewall y el estado de los listeners de WinRM como evidencia. Utiliza estos comandos de PowerShell :
   1. Para obtener los datos de pertenencia a grupos: Get-LocalGroupMember -Group "Administrators"
   2. Para recopilar datos sobre los ámbitos del firewall: Get-NetFirewallRule | Format-Table Name, Enabled, Direction, Action
   3. Para obtener datos sobre el estado de los listeners de WinRM: Get-WSManInstance -ResourceURI winrm/config/Listener -Enumerate
5. Mantén un nivel alto de seguridad aplicando TLS, exigiendo MFA y parcheando con regularidad.

Paso 5: mantén la gestión remota, el rollback y el acceso de emergencia a la consola

📌 Casos de uso:

• Proporciona una red de seguridad si la gestión remota se usa de forma indebida o se ve comprometida.
• Garantiza que los administradores puedan desactivar RDP y WinRM rápidamente sin perder el acceso a la consola de emergencia.

📌 Requisitos previos:

• Hacen falta derechos de administrador para modificar la configuración de gestión remota.
• Necesitarás acceso a la directiva de grupo o a PowerShell para desactivar RDP/WinRM.

Proceso:

1. Define un plan de rollback rápido para desactivar la gestión remota si detectas un uso indebido o una vulneración.
2. Ten siempre a mano un runbook breve con los comandos o los pasos de GPO para desactivar RDP y WinRM.
3. Mantén un acceso de emergencia a la consola independiente de la autenticación de red: consola directa, IPMI o consola del host de virtualización.
4. Prueba periódicamente el rollback y el acceso a la consola para asegurarte de que están disponibles durante un incidente.

Paso 6: despliega y valida las configuraciones de gestión remota a gran escala

📌 Casos de uso:

• Este paso te permite aplicar políticas de acceso remoto coherentes en todos los endpoints.
• Te permite estandarizar las configuraciones de WinRM, firewall y registro en entornos de dominio.
• Garantiza que los dispositivos de grupo de trabajo o híbridos sigan alineados con las bases de seguridad de la empresa.

📌 Requisitos previos:

• Hacen falta derechos administrativos para crear y vincular GPO, así como acceso a Active Directory en los sistemas unidos al dominio.
• Necesitarás una herramienta de gestión de configuración o de monitorización capaz de detectar desviaciones, como Intune.

Proceso:

1. Primero, aplica políticas de acceso remoto coherentes en todos los endpoints. Así se hace:
   1. Utiliza GPO para imponer los listeners HTTPS de WinRM, los ámbitos del firewall y la configuración de registro.
   2. Vincula las directivas a las unidades organizativas (OU) que contienen los sistemas gestionados.
2. Estandariza las configuraciones con GPO siguiendo estos procedimientos:
   1. Configura los ajustes del servicio WinRM en esta ruta: Configuración del equipo > Directivas > Plantillas administrativas > Componentes de Windows
   2. Habilita los grupos de firewall predefinidos para Escritorio remoto, WinRM y Administración remota de servicios.
   3. Configura las directivas de registro para el registro de bloques de script de PowerShell y los eventos de inicio de sesión remoto.
3. Da soporte a los dispositivos de grupo de trabajo o híbridos con estos métodos:
   1. Despliega scripts de PowerShell firmados para configurar WinRM y los ámbitos del firewall.
   2. Valida las firmas para garantizar que los scripts son de confianza y no se han manipulado.
4. Por último, verifica y corrige las desviaciones de configuración con estas tareas:
   1. Exporta con regularidad capturas de las reglas de firewall, el estado de los listeners de WinRM y la pertenencia a grupos.
   2. Compáralas con las configuraciones de referencia usando PowerShell Desired State Configuration (DSC) o herramientas de monitorización.
   3. Automatiza la corrección cuando detectes desviaciones para restablecer el cumplimiento.

Resolución de errores habituales

Problema: «Conexión HTTPS de WinRM rechazada».

• Solución: comprueba que el CN (Common Name) del certificado coincide exactamente con el FQDN del servidor.

Problema: «RDP funciona en local pero no a través de la VPN».

Solución: comprueba si la subred de la VPN está incluida en la pestaña Ámbito de la regla del Firewall de Windows.

⚠️ Aspectos a tener en cuenta

Buenas prácticas para habilitar la administración remota en Windows de forma segura

Ejemplos de implementación para habilitar la administración remota en Windows de forma segura

Estos son algunos puntos clave del despliegue que te ayudarán a implantar la administración de acceso remoto en Windows de forma segura.

• Habilita RDP con NLA para bloquear los ataques de fuerza bruta antes de que empiece la sesión.
• Crea un listener HTTPS de WinRM para proteger con cifrado el tráfico de gestión remota.
• Restringe las reglas de firewall a las direcciones CIDR (Classless Inter-Domain Routing) de gestión para limitar el acceso a las redes de administración de confianza.
• Puedes añadir grupos de soporte a Usuarios de escritorio remoto para conceder un acceso controlado a los equipos de soporte autorizados.
• Desactiva la autenticación Basic en WinRM para evitar la exposición de credenciales en texto claro
• Ejecuta llamadas de prueba de comunicación remota para verificar la conectividad y confirmar que la configuración es correcta.
• Escribe un archivo de evidencias en JSON que recoja los grupos locales, los ámbitos del firewall, el estado del listener y los resultados de las pruebas con marcas de tiempo.
• Aplica una variante respaldada por GPO para imponer la misma configuración de forma coherente en todos los endpoints.

Ideas de integración con NinjaOne para habilitar la gestión remota en Windows de forma segura

• Puedes usar NinjaOne para desplegar el script de habilitación según el rol del dispositivo y aplicar así la configuración adecuada a cada tipo de sistema.
• Programa verificaciones periódicas de NLA en RDP, HTTPS en WinRM, ámbitos del firewall y pertenencia a grupos locales para garantizar el cumplimiento y la seguridad de forma continua.
• Adjunta capturas de evidencias a NinjaOne Documentation para demostrar el estado de la configuración y estar listo para una auditoría.
• Abre tickets automáticamente en NinjaOne Ticketing cuando los ámbitos del firewall se desvíen o aparezcan cuentas no autorizadas en Usuarios de escritorio remoto, para activar una corrección inmediata.

Despliega la administración remota de Windows en tu red de forma segura

La administración remota puede ser segura y fiable si eliges los transportes con criterio, delimitas la exposición del firewall, usas autenticación moderna y recopilas evidencias. Una vez aplicada y verificada esta configuración, tendrás un acceso predecible y auditable.

Temas relacionados:

• ¿Qué es el acceso remoto? Visión general
• Mejor software de acceso remoto en 2026: soluciones de acceso remoto seguro
• ¿Qué es el Remote Desktop Protocol (RDP)?
• Comandos remotos
• ¿Qué es el acceso remoto? [preguntas frecuentes]