SMB over QUIC con Windows Server 2025: planifique el acceso seguro a archivos

A partir del 20 de octubre de 2026. Si necesita dar a los empleados acceso a archivos compartidos de Windows desde el exterior, no debe abrir el puerto TCP 445 a Internet. SMB over QUIC encapsula SMB en una conexión QUIC que utiliza TLS 1.3. Microsoft incluye Windows Server 2025 en todas las ediciones y Windows Server 2022 Datacenter: Azure Edition como opciones de servidor; Se requiere Windows 11 como cliente para empresas.

Breve conclusión

SMB over QUIC es una opción adecuada si los dispositivos con Windows 11 necesitan acceder a recursos compartidos de archivos seleccionados a través de redes externas inseguras y hay disponible un servidor de archivos compatible con un certificado. Según Microsoft, la configuración para Windows Server 2025 se proporciona a través de PowerShell. El estándar utiliza ampliamente UDP/443; El TCP/445 entrante deberá permanecer expresamente cerrado. El procedimiento no reemplaza la planificación de autorizaciones y la seguridad del dispositivo ni el acceso VPN general para otras aplicaciones.

¿Qué versiones y requisitos se aplican?

Microsoft incluye SMB over QUIC como transporte para SMB 3.1.1. QUIC se transporta a través de UDP e incorpora el protocolo de enlace TLS 1.3. Esto significa que el tráfico SMB se cifra en tránsito. La conexión no se activa automáticamente: los administradores deben configurarla explícitamente en el servidor de archivos. Los clientes deben confiar en el certificado del servidor y debe contener el nombre DNS que utilizan para acceder al servidor. Microsoft no recomienda utilizar una dirección IP como nombre de certificado alternativo.

¿En qué se diferencia del SMB clásico a través de TCP?

Con SMB clásico sobre TCP, el puerto 445 es el puerto habitual del servidor. De forma predeterminada, SMB over QUIC usa UDP/443 y usa un transporte QUIC basado en certificado con TLS 1.3. Microsoft describe esto como una alternativa al acceso a archivos a través de redes que no son de confianza. Esta no es una licencia para hacer público el servidor de forma incontrolada: el registro, los permisos para compartir, la protección del cliente, el registro y la recuperación probada siguen siendo tareas de TI.

Fortalezas y limitaciones

• Fuerza: El acceso a archivos externos de Windows puede ocurrir a través de un transporte SMB cifrado sin exponer TCP/445 a Internet.
• Fuerza: Windows Server 2025 hace que la función de servidor esté disponible en el centro estándar y de datos; la característica ya no está limitada al centro de datos de Server 2022: Azure Edition.
• Límite:En el lado del cliente, Windows 11 está pensado para uso empresarial. Los dispositivos, la edición del servidor, el DNS, los certificados y la autenticación deben coincidir.
• Boundary: UDP/443 debe funcionar a lo largo de toda la ruta de la red. La caducidad y renovación del certificado son parte de la operación.
• Limit: La protección afecta el transporte a recursos compartidos SMB. Esto no convierte a otras aplicaciones o acceso administrativo en un sustituto de VPN.

Introducción en seis pasos de prueba

1. Recopila todos los recursos compartidos, propietarios, permisos y dispositivos afectados. Decide qué usuarios realmente necesitan acceso externo.
2. Comprueba la edición del servidor: Windows Server 2025 Standard o Datacenter, alternativamente Server 2022 Datacenter: Azure Edition.
3. Plante DNS y un certificado con el nombre completo del servidor en el que confían los clientes. Comprueba la validez, renovación y derechos de clave privada.
4. De forma predeterminada, abre UDP/443 para la ruta del servidor deseada. No libere TCP/445 entrante desde Internet.
5. Configura SMB over QUIC en el servidor. Para Windows Server 2025, se debe utilizar el método PowerShell; Según Microsoft, la configuración WAC no es compatible con esto.
6. Tevaluación desde una red externa utilizando una cuenta de prueba compartida, verificando los registros del servidor y del cliente y confirmando que solo se puede acceder a los recursos compartidos deseados.

Para una prueba de conexión específica, Microsoft nombra New-SmbMapping -LocalPath 'Z:' -RemotePath '\\server.example\share' -TransportType QUIC, entre otros. Debe reemplazar el marcador de posición con el FQDN real y el nombre de la versión. Solo cuando la resolución de nombres, el certificado, el registro y las autorizaciones funcionen juntos se debe liberar el acceso para el grupo de usuarios previsto.

Video de configuración

¿Qué opción se adapta a la operación?

Para una operación de servidor Windows existente con dispositivos finales con Windows 11, SMB over QUIC puede ser una forma específica de proporcionar recursos de archivos para empleados móviles. Si, además del almacenamiento de archivos, también es necesario acceder a otras aplicaciones internas o los clientes no encajan, el acceso VPN existente y adecuadamente protegido sigue siendo parte de la decisión arquitectónica. Puede encontrar la descripción general actual del servidor Windows y la oferta activa Windows Server 2025 en la tienda. Antes de comprar, verifique la edición adecuada y los requisitos de uso reales.

Preguntas frecuentes

¿Puedo abrir UDP/443 en el enrutador?

No. El servidor debe estar configurado de manera compatible, tener un certificado confiable y usar nombres DNS apropiados. Además, se requieren autenticación, permisos y una prueba de conexión externa.

¿SMB over QUIC es un reemplazo para VPN o copias de seguridad?

No. Es una ruta de transporte para archivos compartidos SMB. No reemplaza el acceso VPN para otros servicios, conceptos de autorización, protección de dispositivos o copias de seguridad de datos independientes.

Fuentes y banco de pruebas

La información técnica se probó el 20 de octubre de 2026 utilizando la documentación del fabricante y el estándar QUIC. No se han realizado puntos de referencia patentados ni pruebas de laboratorio.

• Microsoft Learn: SMB over QUIC - Requisitos y configuración
• Microsoft Learn: Novedades de Windows Server 2025
• Microsoft Learn: Funciones para SMB y versiones compatibles
• IETF RFC 9000: QUIC como transporte basado en UDP

Autor: TechDesk PE Digital.Networks