Windows en Lightsail: escritorio remoto seguro y copias

No todo lo que se sube a la nube es Linux. Un programa de gestión que solo corre en Windows, una base de datos SQL Server, un escritorio para que dos personas trabajen desde casa con el mismo programa: para eso Lightsail ofrece máquinas Windows Server con precio fijo al mes, licencia incluida, y una consola que no obliga a saber de redes.

La diferencia con una máquina Linux es cómo se entra: en vez de una terminal, un escritorio remoto (RDP), con pantalla, ratón y teclado como si estuvieras delante. Y ahí está el peligro: un Windows con el escritorio remoto abierto a todo internet recibe miles de intentos de contraseña al día desde el primer minuto. Esta guía crea la máquina, te conecta desde Windows y desde Mac, cierra la puerta para que solo entres tú y termina con actualizaciones, copias y qué parte del precio es licencia.

Paso a paso

1. Crea la máquina Windows

   En la consola de Lightsail, pulsa Crear instancia. Elige la región cercana (para España, París o Irlanda). En la plataforma, marca Microsoft Windows. En las plantillas verás Solo SO con Windows Server (2022 y 2025, según la región) y Aplicaciones + SO con SQL Server ya instalado. Para un servidor de aplicación o un escritorio compartido, el Windows Server más reciente en Solo SO.

   Elige el plan. Windows necesita más que Linux: para un uso normal, uno con 4 GB de memoria es el mínimo cómodo; con SQL Server, 8 GB. Los precios son más altos que los de Linux del mismo tamaño: es la licencia (lo explicamos al final). Ponle nombre (gestion-oficina) y pulsa Crear instancia. Windows tarda en estar listo: cuenta con diez minutos hasta que puedas entrar.

2. Consigue la contraseña de administrador

   Pulsa la máquina y ve a la pestaña Conectar. Abajo hay una sección con el usuario (Administrator) y un botón Mostrar la contraseña predeterminada (o "Recuperar contraseña predeterminada"). Lightsail la genera al crear la máquina y la descifra con la clave de tu cuenta, así que no tienes que descargar nada. Si el botón dice que todavía no está disponible, es que Windows aún se está instalando: espera unos minutos y recarga.

   Guárdala en un gestor de contraseñas, no en un papel ni en un correo. Es provisional: la vas a cambiar en el paso 5. Antes de seguir, en la pestaña Redes, Crear IP estática y asígnala a la máquina. Si no, la IP cambia al reiniciar y tu conexión guardada dejará de funcionar.

3. Conéctate por escritorio remoto desde Windows o Mac

   La forma más rápida de probar es el botón Conectar mediante RDP en la propia consola: abre un escritorio dentro del navegador. Sirve para salir del paso, pero es lento y no copia bien ficheros. Para trabajar, usa un cliente de verdad:

   • Desde Windows: pulsa Inicio, escribe Conexión a Escritorio remoto (o mstsc) y ábrelo. En "Equipo" pega la IP estática, pulsa Mostrar opciones y en "Usuario" escribe Administrator. Guarda la conexión con Guardar como. Al conectar avisará de que el certificado no es de confianza: es normal en una máquina nueva, acepta. Pega la contraseña.
   • Desde Mac: instala Windows App de Microsoft desde la App Store (el antiguo Microsoft Remote Desktop). Pulsa +, Añadir PC, escribe la IP estática y crea una cuenta de usuario con Administrator y la contraseña. Doble clic para conectar; acepta el aviso del certificado.

   Si ves un error de tiempo de espera, es el cortafuegos: compruébalo en Redes. Si entra, Windows abre el Administrador de servidor; puedes cerrarlo.

4. Cierra el 3389 a todo el mundo menos a ti

   Este es el paso que casi nadie da y el que más problemas evita. Ve a la pestaña Redes de la máquina, sección Reglas de firewall IPv4. Verás la regla RDP, puerto 3389, con origen "Cualquier dirección IPv4". Pulsa el lápiz para editarla, marca Restringir a dirección IP y escribe tu IP pública (la ves buscando "cuál es mi IP" en el navegador). Puedes poner varias: la oficina, tu casa. Deja marcada la casilla de permitir el cliente RDP del navegador de Lightsail, para poder entrar desde la consola si un día cambias de IP y te quedas fuera. Guarda.

   Haz lo mismo con la regla de IPv6 si la hay. Las reglas HTTP (80) y HTTPS (443) solo deben existir si la máquina sirve una web; si no, bórralas.

   Nunca dejes el 3389 abierto a todos "solo un rato": los intentos de contraseña empiezan a los minutos y no paran. Si tu IP cambia a menudo (fibra doméstica sin IP fija), edita la regla cuando cambie; la opción robusta es una VPN, que es otro tema.

5. Cambia la contraseña y crea otro usuario

   Dentro del escritorio remoto, pulsa Ctrl + Alt + Fin (es el equivalente de Ctrl + Alt + Supr en una sesión remota) y elige Cambiar una contraseña. Pon una larga, generada por tu gestor de contraseñas. A partir de ese momento el botón "Mostrar la contraseña predeterminada" de Lightsail deja de valer: guárdala bien.

   Ahora un usuario para trabajar. Pulsa Inicio, escribe Administración de equipos, abre Usuarios y grupos locales, Usuarios, botón derecho, Usuario nuevo. Nombre (maria), contraseña, y crea. Después, botón derecho sobre el usuario, Propiedades, pestaña Miembro de, Agregar y escribe Usuarios de escritorio remoto; sin ese grupo no podrá conectarse. Si debe instalar programas, añádelo también a Administradores; si no, mejor que no. Cada persona debería tener su usuario: compartir el Administrador es la forma más fácil de no saber nunca quién hizo qué.

6. Mantén Windows actualizado

   Lightsail no actualiza Windows por ti. Pulsa Inicio, Configuración, Windows Update, Buscar actualizaciones. La primera vez habrá muchas; instala y reinicia (la máquina vuelve sola en un par de minutos y la IP estática no cambia). Después déjalo en automático con las horas activas ajustadas para que no se reinicie a media jornada: en Windows Update, Opciones avanzadas, Horas activas. Y antes de cualquier actualización grande, el siguiente paso.

7. Programa las instantáneas

   Pestaña Instantáneas de la máquina. Pulsa Crear instantánea para tener una ahora que todo funciona y está limpio; ponle un nombre que diga qué es (gestion-limpio-2026-10). Luego activa las instantáneas automáticas y elige una hora de madrugada en tu zona. Lightsail guarda las siete últimas y borra las anteriores; las manuales no se borran solas.

   Las instantáneas se hacen con la máquina encendida. Si tienes SQL Server u otra base de datos, haz además copias desde el propio programa: una instantánea a mitad de una escritura puede dejar la base de datos en un estado que haya que reparar. Para restaurar, en la instantánea pulsa Crear instancia nueva, elige el mismo plan o uno mayor, pásale la IP estática y borra la máquina estropeada. Se cobra por el espacio que ocupan, en GB al mes; poco comparado con la máquina.

Qué pasa con las licencias en el precio

Una máquina Windows en Lightsail cuesta bastante más que una Linux del mismo tamaño. La diferencia es la licencia de Windows Server, que AWS incluye en el plan: no tienes que comprarla, activarla ni renovarla, y es legal usarla para lo que sea mientras la máquina exista. Lo mismo con las plantillas de SQL Server: las ediciones Express son gratuitas y cuestan lo que la máquina; las Standard y Web llevan la licencia incluida y el precio sube de forma notable.

Lo que no va incluido son las licencias de acceso de escritorio remoto para varios usuarios (las CAL de RDS). Windows Server permite dos sesiones administrativas a la vez sin más; si quieres que cinco personas trabajen a la vez en la misma máquina, necesitas CAL propias, que se compran a Microsoft o a un distribuidor. Para una o dos personas que entran por turnos, no hace falta nada.

Como en cualquier máquina Lightsail, el precio es por paquete mensual y se cobra mientras la máquina exista, encendida o parada. Parar un Windows por la noche no ahorra; borrarlo con una instantánea hecha, sí.

Qué puede salir mal