OpenVPN en MikroTik: acceso remoto compatible y cifrado

Aunque WireGuard se llevó la atención por su velocidad, OpenVPN sigue siendo muy útil: es maduro, corre en todos los sistemas operativos, atraviesa redes hostiles y muchos clientes corporativos ya lo tienen aprobado. RouterOS v7 mejoró su OpenVPN (soporte UDP, más cifrados) y hoy es una opción sólida para acceso remoto.

Cuándo elegir OpenVPN

• Necesitas compatibilidad amplia: hay cliente OpenVPN para Windows, macOS, Linux, Android e iOS.
• La red por la que sales bloquea otros protocolos: OpenVPN sobre TCP/443 se disfraza de tráfico HTTPS.
• Política corporativa: muchas organizaciones ya auditaron y aprobaron OpenVPN.

Si controlas ambos extremos y priorizas rendimiento, WireGuard suele ganar. Si priorizas compatibilidad y atravesar firewalls, OpenVPN.

La base: certificados

OpenVPN se apoya en una PKI: una CA que firma el certificado del servidor y los de cada cliente. RouterOS puede generar todo esto internamente:

/certificate
add name=ca common-name=VPN-CA key-usage=key-cert-sign,crl-sign
sign ca
add name=server common-name=server.miempresa.cl
sign server ca=ca

Cada usuario recibe su propio certificado. Revocar un acceso es revocar su certificado, sin tocar a los demás.

Servidor OpenVPN

/interface/ovpn-server/server
set enabled=yes certificate=server auth=sha256 cipher=aes256-gcm
/ppp/profile add name=vpn local-address=10.8.0.1 remote-address=vpn-pool
/ppp/secret add name=usuario1 profile=vpn service=ovpn

RouterOS v7 permite UDP (antes solo TCP), lo que mejora bastante el rendimiento. Usa TCP/443 solo cuando necesites atravesar redes restrictivas.

Seguridad mínima

Usa cifrados modernos (AES-GCM), certificados por usuario (no una clave compartida), y limita por firewall quién puede llegar al puerto del servidor. Combínalo con el hardening del equipo. Un acceso remoto mal hecho es una puerta abierta.

En MikroTik Chile implementamos accesos remotos con OpenVPN, IPsec o WireGuard según lo que cada empresa necesita: compatibilidad, rendimiento o cumplimiento. Si tu equipo trabaja fuera de la oficina, montemos un acceso remoto seguro.