Cómo configurar DirectAccess en Windows Server para una conectividad remota sin problemas

Las soluciones de acceso remoto como DirectAccess son excelentes cuando funcionan, pero instalarlas y configurarlas puede ser un verdadero dolor de cabeza. Sobre todo si se trata de configuraciones de red complejas, certificados SSL o reglas de firewall. No es un proceso sencillo y, sinceramente, a veces el asistente muestra errores o simplemente no hace lo que se espera. Por eso, he visto suficientes configuraciones como para saber que a veces hay que ponerse manos a la obra y revisar algunos problemas comunes, como asegurarse de que las interfaces de red estén configuradas correctamente, que el DNS funcione correctamente y que los certificados sean de confianza. Aquí tienes una guía paso a paso que te ayudará a conseguir una implementación funcional, con algunos consejos prácticos.

Cómo instalar y configurar DirectAccess en Windows Server

Comience con el Administrador del servidor

Este paso es la puerta de entrada a todo. Empieza en el Administrador del servidor ; claro, Windows siempre complica las cosas. Desde ahí, agrega roles y características. Es bastante sencillo, pero no te apresures.

1. Haz clic en Inicio y abre el Administrador del servidor.
2. Haz clic en Agregar roles y funciones ; lo encontrarás en el panel de control o en el menú Administrar.
3. Haz clic en Siguiente hasta llegar a la página Roles del servidor. Recuerda que, en ocasiones, es necesario instalar IIS primero si planeas alojar servicios relacionados. Para ello, selecciona Servidor web (IIS) en las Características de Windows durante el asistente o posteriormente mediante Herramientas > Administrador del servidor > Agregar roles y características.

Agregar el rol de acceso remoto

Aquí es donde ocurre la magia. El rol de acceso remoto incluye las funciones de DirectAccess. Su instalación puede solucionar muchos problemas más adelante.

1. En el asistente de roles, seleccione Acceso remoto ; probablemente se encuentre en Roles de Windows Server. Si no aparece, verifique la edición de su servidor.
2. Haz clic en Siguiente y luego en Continuar. Cuando veas la opción de instalar, pulsa Instalar. Esto puede tardar unos minutos.
3. Una vez finalizado, haga clic en Cerrar. Es posible que se le pida que reinicie, así que téngalo en cuenta.

Si también planeas usar funciones como VPN o NPS, asegúrate de configurarlas posteriormente. No olvides abrir puertos como el 443, el 3389 y quizás algunos personalizados si usas tunelización dividida u otras configuraciones avanzadas. Deberás verificar esto en las reglas del firewall, especialmente en el Firewall de Windows Defender.

Configurar DirectAccess mediante el asistente

El asistente simplifica mucho el proceso, pero ten en cuenta que no es infalible. Ejecutarlo una sola vez puede parecer que funciona, pero conviene verificar cada paso. Aquí es donde seleccionas las opciones de implementación, como «Implementar solo DirectAccess» o «Implementar solo VPN».En algunas configuraciones, es posible que el asistente no funcione correctamente a menos que se cumplan ciertos requisitos previos, como registros DNS adecuados o certificados SSL válidos.

1. Vaya a Herramientas en el Administrador del servidor y seleccione Administración de acceso remoto.
2. Haz clic en Ejecutar el asistente de introducción. Está un poco escondido, pero está ahí.
3. Seleccione Implementar solo DirectAccess. Normalmente, esta es la opción que querrá si está configurando el acceso remoto sin una VPN de respaldo.

Configurar la topología de red

Este paso suele causar problemas. Debes indicarle al servidor cómo está conectado a internet y a la red interna. Las opciones son:

• Edge — para servidores en el perímetro de la red
• Detrás de NAT — común en servidores internos con NAT configurados para conectarse a internet
• Adaptador único — no es común, pero a veces se usa en laboratorios pequeños

Asegúrese de que los adaptadores de red estén configurados correctamente: uno en la red interna y otro en la pública. Además, verifique que su certificado SSL coincida con su nombre de dominio público (por ejemplo, remoto.sudominio.com ), ya que, de lo contrario, los clientes no podrán conectarse.

Y de nuevo, revisa tu firewall. Los puertos como el 443 (HTTPS), el 4433 y los 62000+ deben estar abiertos. Algunos lo olvidan y luego se preguntan por qué los clientes no pueden conectarse.

Especifique los equipos cliente

Se trata de definir quién puede usar esta configuración. Normalmente, se especifican grupos de seguridad o equipos individuales. Es mejor gestionarlo mediante grupos de Active Directory; así, si se añade un nuevo equipo, basta con agregarlo al grupo correspondiente.

1. Seleccione los grupos de seguridad que contienen sus máquinas cliente.
2. Ajuste las políticas según sea necesario, especialmente la configuración de IPsec y DNS. En ocasiones, las políticas predeterminadas no se adaptan a su entorno, por lo que es posible que tenga que realizar algunas pruebas.
3. Haz clic en Finalizar para aplicar todos los cambios. La configuración puede tardar unos segundos o minutos en estabilizarse.

Comprueba que funciona

Antes de implementarlo para todos, prueba la configuración. Desde fuera de tu red, intenta conectarte con un cliente de prueba. Haz ping al servidor, comprueba el estado de IPsec y verifica la resolución DNS de tu nombre público. Si encuentras errores, revisa los registros o ejecuta Get-DAStatusPowerShell para investigar los problemas de configuración.

Además, examine el estado de las operaciones en la consola de acceso remoto. Si algún elemento aparece en rojo o amarillo, solucione primero los problemas de esos componentes específicos. A veces, los problemas son tan simples como una discrepancia de DNS o un certificado SSL caducado.

Ten en cuenta que algunos entornos son peculiares y el asistente podría omitir o configurar incorrectamente ciertos elementos. Prepárate para realizar algunos ajustes manuales.

¿Qué es DirectAccess?

Básicamente, es la forma que tiene Microsoft de permitir que los clientes unidos al dominio se conecten automáticamente a la red corporativa, sin necesidad de usar clientes VPN ni iniciar sesión manualmente. Utiliza túneles IPv6 e IPsec para crear una conexión segura y permanente en segundo plano. Aunque parezca extraño, una vez que está funcionando, los usuarios a menudo ni siquiera se dan cuenta de que está ahí.

¿Para qué molestarse con eso?

• Siempre está activado, por lo que ya no es necesario hacer clic en “conectar VPN”; los usuarios simplemente obtienen acceso.
• Ideal para gerentes que detestan lidiar con configuraciones de VPN o scripts.
• La gestión centralizada mediante la Directiva de grupo facilita el control.
• Mayor seguridad mediante el cifrado IPsec, especialmente para datos confidenciales.

Lista de verificación previa al vuelo

Antes de bucear, asegúrate de tener:

• Una máquina con Windows Server 2016 o posterior unida a AD.
• Un certificado SSL válido que coincida con su nombre DNS público (preferiblemente de una CA de confianza).
• Dos adaptadores de red para tráfico interno y externo, configurados correctamente.
• Configuración DNS adecuada, especialmente para los registros A y PTR.
• Derechos administrativos, porque sin ellos, esto no funcionará.

Consejo: No olvides revisar el enrutamiento de la red; a veces, las políticas de DNS o IPsec fallan debido a interfaces de red mal configuradas. Y, por supuesto, verifica que tu certificado sea de confianza para el servidor, que no haya caducado y que coincida con tu nombre de host.

Consejos para la resolución de problemas

Si las cosas se complican, esto es lo que conviene comprobar:

1. Asegúrese de que cada NIC tenga una dirección IP única y la puerta de enlace correcta. Las direcciones IP en conflicto pueden causar fallos graves.
2. Verifique que las entradas DNS sean correctas, especialmente los registros A y PTR de su servidor.
3. Comprueba que tu certificado SSL sea de confianza y no haya caducado.
4. Ejecutar Get-DAStatusen PowerShell para detectar cualquier configuración incorrecta o problema con la implementación.
5. Revisa los registros del Visor de eventos; podrías encontrar alguna pista sobre por qué los clientes no se conectan.

A veces, reiniciar el sistema tras modificar la configuración de red o los certificados soluciona el problema, pero no siempre. Tenga paciencia, revise todos los registros y asegúrese de que sus políticas de red no estén bloqueando los puertos necesarios.

Preguntas frecuentes