Cómo crear un túnel seguro corporativo usando RustDesk

Por qué evitar los servidores públicos de RustDesk en la empresa?

Cuando utilizamos RustDesk de forma predeterminada, suele conectarse a servidores públicos mantenidos por los desarrolladores o la comunidad. En la práctica, esto significa que aunque el vídeo y el control del ratón estén cifrados, la gestión inicial de la conexión pasa por infraestructuras de terceros. Para una empresa que maneja datos sensibles, cumplimiento legal y auditorías rigurosas, esta dependencia representa un riesgo invisible.

Alojar tu propia infraestructura de señalización y retransmisión resuelve este dilema estructural. Al controlar el servidor, te aseguras de que ningún metadato de acceso —como direcciones IP de origen y destino, horarios o claves de sesión— transite por redes que no administras directamente. Es el mismo principio de seguridad aplicado al configurar arquitecturas propias, como redes resilientes con failover de internet para mantener operaciones críticas activas sin depender de un único punto de fallo.

Entendiendo la arquitectura de retransmisión y señalización

Para que RustDesk funcione sin intermediarios externos, necesitamos comprender dos piezas fundamentales que se ejecutan en el servidor: el servicio de señalización (llamado hbbs) y el servicio de retransmisión (llamado hbbr). En la práctica, hbbs funciona como una guía telefónica que indica dónde se encuentra cada ordenador en internet, mientras que hbbr actúa como un túnel directo cuando dos equipos no pueden comunicarse entre sí debido a barreras de cortafuegos corporativos.

Cuando dos dispositivos están en la misma red local o tienen rutas directas, la conexión es de igual a igual. Sin embargo, si existen firewalls restrictivos bloqueando el camino, el tráfico debe saltar a través de hbbr. Es aquí donde destaca el cifrado de extremo a extremo: aunque los datos pasen por tu servidor de retransmisión, viajan mezclados con claves matemáticas que solo el equipo de origen y el de destino conocen. Para garantizar la estabilidad de esta infraestructura, prácticas de monitorización proactiva, similares a las empleadas en sistemas predictivos de alertas en Grafana, ayudan a anticipar caídas del servicio.

Preparando el entorno y desplegando con Docker

La forma más limpia y aislada de ejecutar los componentes de RustDesk es mediante contenedores Docker, los cuales empaquetan el software junto con todas sus dependencias sin alterar el sistema operativo principal. A continuación se muestra un ejemplo funcional de archivo docker-compose.yml para implementar tanto el señalizador como el repetidor en un servidor Linux dedicado en la nube o en hardware local.

version: '3'
services:
  hbbs:
    container_name: hbbs
    image: rustdesk/rustdesk-server:latest
    command: hbbs -r tu-ip-o-dominio:21117
    volumes:
      - ./data:/root
    ports:
      - 21115:21115
      - 21116:21116/udp
      - 21117:21117
    restart: unless-stopped

  hbbr:
    container_name: hbbr
    image: rustdesk/rustdesk-server:latest
    command: hbbr
    volumes:
      - ./data:/root
    ports:
      - 21118:21118
      - 21119:21119
    restart: unless-stopped

Una vez creado el archivo, ejecuta el comando en tu terminal para poner los servicios en marcha de forma continua. Asegúrate de reemplazar tu-ip-o-dominio por la dirección real de tu servidor corporativo accesible desde internet.

docker compose up -d

Configurando puertos y claves de seguridad

Los puertos utilizados por RustDesk deben estar debidamente abiertos en el cortafuegos de tu servidor y del proveedor de nube. El puerto 21115 atiende el registro TCP, el puerto 21116 maneja UDP para descubrimiento y conexiones directas, el 21117 gestiona el servicio de ID, mientras que los puertos 21118 y 21119 controlan el túnel de retransmisión de vídeo.

Además de abrir los puertos correctos, el directorio de datos mapeado en Docker generará un archivo de clave pública con la extensión .pub. Esta clave actúa como el boleto de entrada para los clientes de tu empresa: solo las aplicaciones configuradas con esta clave específica podrán registrarse en tu servidor corporativo, evitando que máquinas no autorizadas intenten adivinar contraseñas o explotar vulnerabilidades de acceso.

Configurando los clientes para apuntar al servidor privado

Con el servidor en funcionamiento y los puertos abiertos, el siguiente paso es configurar los equipos de los colaboradores y los servidores que se accederán de forma remota. En la aplicación de RustDesk instalada en cada máquina, abre la configuración de red e ingresa la dirección IP o el dominio de tu servidor en los campos asignados para ID Server y Relay Server.

Pega también la clave pública generada por tu servidor en el campo de clave de cifrado. En la práctica, esto significa que a partir de ese momento la máquina cliente dejará de buscar servidores públicos en internet y pasará a reportar exclusivamente a la infraestructura interna de tu corporación, manteniendo todas las sesiones bajo estricto control y monitorización de tráfico.

Auditoría y cumplimiento de accesos remotos

Una de las mayores ventajas de mantener un túnel autohospedado es la capacidad de auditar el comportamiento del equipo. Como el tráfico pasa íntegramente por tu hardware, los registros generados por el contenedor hbbs guardan exactamente qué usuario se conectó a qué máquina, el momento de inicio de la sesión y la duración total.

Estos registros pueden enviarse a herramientas centralizadas de análisis de logs para cumplir con normativas de seguridad de la información como ISO 27001. Ante cualquier incidente, el equipo de seguridad logra rastrear rápidamente el origen de un acceso sospechoso, garantizando un nivel de gobernanza corporativa imposible de lograr con herramientas de acceso remoto genéricas y descentralizadas. Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre ¿Zabbix lento? Cómo escalar PostgreSQL para alta volumetría.

Consideraciones finales

Implementar un túnel seguro corporativo con RustDesk combina la flexibilidad del acceso remoto moderno con el rigor de seguridad que exige el mercado actual. Al aislar la infraestructura en servidores propios, proteges datos sensibles frente a interceptaciones y mantienes un control absoluto sobre el flujo de información empresarial, consolidando una base tecnológica confiable para operaciones distribuidas.