Acceso remoto no es gestión remota: ¿Teltonika RMS o VPN propia?

Teltonika RMS aparece a menudo en conversaciones de asesoramiento como respuesta a una pregunta que en realidad es otra. Quien pregunta «¿cómo accedo de forma remota a mi router?» está planteando una cuestión de VPN. Quien pregunta «¿en qué versión de firmware están mis 300 equipos en 300 emplazamientos, y quién se ha conectado por última vez?» está planteando una cuestión de gestión — y para eso una VPN por sí sola no está pensada.

La distinción clave es sencilla, pero en la práctica se mezcla a menudo: una VPN establece un túnel de red cifrado, un camino de A a B. Una plataforma de gestión aporta estado, inventario, configuración y registro de toda una flota de equipos. Quien solo quiere «entrar» —para un mantenimiento puntual, para una intervención breve— necesita una VPN. Quien necesita saber en qué estado están 300 equipos, necesita gestión.

Teltonika ofrece ambas cosas: protocolos VPN propios directamente en el router y Teltonika RMS como plataforma de gestión remota con su propia RMS VPN. Este artículo explica cuándo encaja cada enfoque, cómo se relacionan técnicamente ambas vías — y qué está realmente documentado sobre alojamiento de datos y acceso para los operadores en España. Más información sobre el portfolio de routers en nuestra página de Teltonika.

Un ejemplo hace tangible la distinción. Un técnico necesita ajustar con urgencia una regla de firewall en un único router de una tienda. Para eso basta un túnel cifrado hasta ese equipo concreto — una VPN clásica resuelve esto con fiabilidad. Una operación de TI con 300 routers en 300 emplazamientos tiene, en cambio, otra tarea: necesita saber de forma continua qué firmware está instalado dónde, qué configuración se desvía de la plantilla, quién se ha conectado y cuándo, y si un equipo sigue siquiera en línea. Una VPN no responde a ninguna de estas preguntas — solo abre el camino.

Aquí es exactamente donde entra una plataforma de gestión. Representa la flota como inventario, mantiene las configuraciones, registra los accesos y hace visibles las desviaciones antes de que se conviertan en un problema. Una VPN puede formar parte de esta plataforma — como en Teltonika RMS, donde el acceso VPN y la gestión confluyen en un mismo sistema—, pero no la sustituye. Por eso la pregunta rara vez es «¿VPN o RMS?», sino más bien: ¿qué problema está resolviendo en este momento — el acceso a un único equipo o la visión de conjunto de una flota?

Los routers Teltonika admiten un amplio espectro de protocolos VPN, incluidos algunos más antiguos. Para instalaciones nuevas, según Teltonika, WireGuard, OpenVPN e IPsec son las opciones más obvias. Entre los dos protocolos más utilizados existe una diferencia técnica que se nota en la práctica: OpenVPN se ejecuta en el espacio de usuario en lugar del espacio del núcleo — con el mismo hardware, esto supone un rendimiento menor que con WireGuard, además de una configuración más laboriosa, sobre todo en la gestión de certificados.

WireGuard suma además una base de código considerablemente más pequeña: según Teltonika, se sitúa en torno a las 4.000 líneas frente a los cientos de miles de OpenVPN. Una base de código más pequeña significa una superficie de ataque menor y se audita con más facilidad — un argumento que pesa en instalaciones críticas para la seguridad. Teltonika menciona además IPsec como tercera opción para instalaciones nuevas.

Para una VPN propia rige en cualquier caso: usted mismo opera el extremo remoto y gestiona certificados y configuración — y eso para cada emplazamiento que conecte.

RMS VPN es el enfoque propio de Teltonika para resolver este problema operativo. Según Teltonika, RMS VPN está diseñado para la gestión remota y económica de redes grandes. La diferencia frente a una VPN punto a punto clásica: RMS VPN permite túneles cifrados para acceder a varios puntos finales en cuestión de segundos, en lugar de levantar y mantener un extremo remoto para cada emplazamiento por separado.

RMS VPN no funciona solo con hardware de Teltonika — según Teltonika, también funciona con equipos de terceros que incorporen su propio cliente OpenVPN. Además, se puede operar RMS VPN de forma independiente, es decir, sin usar el resto de la gestión remota de RMS. Eso tiene un precio: sin la gestión de RMS, entre otras cosas, desaparece la configuración automática de clientes para los equipos Teltonika. Y hay un segundo punto que forma parte de una valoración honesta: RMS VPN necesita herramientas adicionales para llegar realmente a los equipos finales de la red situados detrás del router — el túnel hasta el router no equivale automáticamente al acceso a todo lo que cuelga de él.

En resumen: RMS VPN resuelve el problema de escalado de una VPN propia en muchos emplazamientos, pero en el fondo sigue siendo también una herramienta de túnel — la verdadera capacidad de gestión reside en la plataforma RMS que hay por encima.

Para los operadores en España, una pregunta suele ser más decisiva que cualquier característica funcional: ¿dónde están los datos y quién puede acceder a ellos? En el caso de Teltonika RMS, esto se puede responder de forma concreta.

Según Teltonika, los servidores backend de RMS están en Fráncfort, y los servidores frontend están distribuidos por todo el mundo para garantizar un rendimiento fiable. El propio RMS se ejecuta sobre Amazon Web Services (AWS). Para el acceso VPN, Teltonika opera cuatro servidores VPN — en Alemania, Estados Unidos, Australia y Baréin. La comunicación entre el equipo y el servidor discurre a través de un protocolo propio, transportado vía MQTT con cifrado TLS 1.2; los certificados de comunicación se rotan de forma rutinaria y de manera individual por equipo.

Para el inicio de sesión, RMS utiliza el protocolo OAuth2. Cada cuenta de RMS puede activar la autenticación multifactor — a elegir entre correo electrónico, contraseña de un solo uso basada en tiempo (TOTP) o una Teltonika ID propia con autenticación biométrica; también es posible el inicio de sesión único (SSO). Determinadas funciones, como el acceso a la API, solo se pueden utilizar una vez activada la MFA.

Cada interacción entre el usuario y el equipo queda registrada; este registro es consultable por los administradores de la cuenta correspondiente. El personal de Teltonika no puede acceder a su cuenta ni a sus equipos de red sin que usted les haya concedido antes, de forma expresa, el permiso para ello. Todas las bases de datos de RMS están cifradas y solo son accesibles para un número limitado de empleados autorizados.

No existe una respuesta general, pero sí una regla práctica útil: cuanto más pequeña sea la flota y más puntual la necesidad de acceso, más probable es que baste con una VPN propia. Pocos emplazamientos, mantenimiento remoto ocasional, un servidor VPN ya existente en la infraestructura propia — en ese caso, el esfuerzo de una plataforma de gestión propia a menudo aún no compensa.

Con una flota creciente, la cuenta cambia. En cuanto se operan decenas o cientos de emplazamientos, la pregunta «¿quién ha accedido a qué y cuándo, y qué configuración corre ahora mismo en el equipo X?» se convierte en la cuestión central de la operación — y precisamente para eso está construida una plataforma de gestión, no una VPN. RMS ofrece esta visión de forma centralizada, incluido el registro de accesos, y RMS VPN aporta además la capa de acceso adecuada, pensada para muchos puntos finales.

Importante para la práctica: ambas vías no se excluyen. Puede operar una VPN propia para determinadas conexiones fijas y, al mismo tiempo, usar RMS para el inventario, la configuración y el registro de toda la flota. La decisión, por tanto, rara vez es «esto o lo otro», sino más bien una cuestión de qué herramienta asume qué tarea dentro de cada modelo operativo.

Queda una pregunta que a menudo se pierde en el debate sobre VPN: ¿quién opera en realidad el extremo remoto? Con una VPN propia, es usted — incluidos el servidor, los certificados y la responsabilidad de que todo funcione. Con RMS VPN, Teltonika asume esa parte como operador de la plataforma, con las ubicaciones, protocolos y reglas de acceso descritas más arriba.

Para los operadores que quieren tunelizar o agregar líneas, pero no desean operar ellos mismos su propio extremo remoto, ofrecemos con nuestro VPN Hub Hosting una tercera opción: un extremo remoto operado por Ascend, sin que usted tenga que montar su propia infraestructura de servidores. Esto no sustituye a RMS ni es obligatorio — para muchas instalaciones, una VPN propia o RMS VPN son totalmente suficientes. Es una opción para el caso de que operar el propio extremo remoto se convierta en un cuello de botella.

Si desea dimensionar correctamente el acceso y la gestión de su flota: hable con nosotros. Suministramos hardware Teltonika desde nuestro almacén y asesoramos sobre la elección de protocolo, el uso de RMS y el VPN Hub Hosting. Cómo se pueden agregar además las vías de telefonía móvil lo puede leer en nuestro artículo sobre Bondix en el Package Manager de RutOS; cómo la eSIM simplifica el despliegue de flotas grandes lo describimos en el artículo sobre el código de pedido de la eSIM.

Este artículo se ha investigado y redactado con apoyo de IA, y ha sido revisado por Ascend antes de su publicación.