Túnel inverso o VPN: cuál elegir para cada caso

Comparar túnel inverso (ngrok, SuperDMZ, Cloudflare Tunnel) con VPN (OpenVPN, WireGuard, Tailscale) es como comparar Uber con el autobús — atienden el mismo tipo de necesidad ("ir de A a B") pero con modelos completamente distintos.

VPN: la ruta tradicional

La VPN pone al usuario dentro de la red. Quien se conecta gana acceso a todo lo que el ruteo de la red permite — IPs internas, broadcast, DNS interno, impresora, etc.

Cuándo tiene sentido:

• Empleado interno que necesita acceder a 5+ servicios distintos de la empresa
• Sysadmin que necesita SSH en 30 máquinas
• Sucursal conectándose al datacenter (site-to-site)

Dónde duele:

• El cliente debe instalar y configurar (incluso Tailscale es una app que pide login)
• El cliente cae → el cliente se queja → reconfiguras
• Compartir el acceso "rápido" con terceros se vuelve problema de provisionamiento

Túnel inverso: un único endpoint público

El túnel inverso expone UN servicio de la red vía una URL pública. Quien accede a esa URL no necesita cliente, no necesita credencial extra además de la que el propio servicio ya tiene.

Cuándo tiene sentido:

• Webhook de pago golpeando tu Express local
• Cliente final accediendo a un sistema interno vía HTTPS (que abre en el browser)
• RDP / SSH específico para 1 desarrollador remoto
• Cámara IP que el dueño quiere ver desde el celular
• Demo de producto que quieres mostrar a 1 prospecto

Dónde duele:

• Cada servicio nuevo es un túnel nuevo (normalmente es ventaja — control granular)
• No sustituye a la VPN para uso interno "amplio" de empleado

Sobre ZTNA (Zero Trust Network Access)

ZTNA es la evolución de la VPN — en vez de dar acceso a la red entera, da acceso por aplicación. Cloudflare Access y Twingate son ejemplos. Conceptualmente está muy cerca de lo que hace el túnel inverso, pero implica generalmente cliente en ambos lados (servidor + usuario) y tiene costo más alto.

Resumen práctico

• ¿Empleado accediendo a mucho de la empresa? VPN o ZTNA.
• ¿Webhook, cámara IP, RDP puntual, demo, dev local? Túnel inverso.
• ¿Cliente final consumiendo tu sistema interno? Túnel inverso.
• ¿Híbrido (sucursal → datacenter)? VPN.