CGNAT en seus i teletreball: pas a pas sense IP pública
Connectar oficines i teletreballadors sota CGNAT és viable sense contractar adreces IP públiques estàtiques ni tocar els tallafocs perimetrals. Una xarxa de malla basada en WireGuard estableix camins directes amb STUN i utilitza un repetidor TCP xifrat de suport quan cap dels dos extrems té adreçament públic.
La problemàtica de la connectivitat entre seus sense IP pública
Les operadores de telecomunicacions proporcionen de manera habitual connexions sotmeses a CGNAT o NAT simètric tant a llars com a seus corporatives, impedint la recepció de connexions entrants. La configuració d'una VPN clàssica requereix que almenys una oficina tingui una adreça IPv4 pública accessible i ports redirigits cap a un concentrador intern.
Sense direccionament públic a cap extrem, la negociació estàndard de túnels resulta impossible per falta de visibilitat mútua. Això sol forçar les organitzacions a publicar serveis a Internet o recórrer a concentradors centrals vulnerables, un factor clau en analitzar la decisió entre una xarxa de malla privada o VPN tradicional.
Negociació STUN i retransmissió pel port TCP 4430
STUN s'executa al pla de control mitjançant UDP 3478 per determinar la visibilitat externa de cada dispositiu i perforar els tallafocs dels dos costats. Quan el foradament (hole punching) té èxit, els paquets flueixen directament d'un extrem a un altre mitjançant WireGuard, on cada màquina gestiona el seu propi parell de claus asimètriques sense utilitzar usuaris ni contrasenyes en el trànsit de dades. WireGuard és una marca registrada de Jason A. Donenfeld.
Si tots dos extrems es troben darrere d'un CGNAT rígid o d'un NAT simètric que altera els ports d'origen, el canal directe no es pot establir. El sistema desvia automàticament el flux cap a un repetidor que escolta al port TCP 4430. Aquest servidor reenvia les trames xifrades en aproximadament 23 ns per paquet sense capacitat de desxifrar-les, amb un rendiment constant independentment del nombre de dispositius actius.
Cada dispositiu connectat a la malla rep una adreça fixa de l'espai 100.64.0.0/10 definit a l'RFC 6598. Aquest rang d'adreces compartides prevé qualsevol col·lisió amb xarxes locals convencionals com 192.168.x.x o 10.x.x.x, facilitant tasques crítiques com connectar mitjançant SSH i RDP a servidors de clients.
Comparativa de connexions per a seus i usuaris sota CGNAT
| Tipus de transport | Requisits de ports | Nivell de xifratge | Consum mensual de dades |
|---|---|---|---|
| Punt a punt directe (STUN) | Cap port obert | WireGuard punt a punt | Sense límit per quota |
| Repetidor relay (TCP 4430) | Només sortida a TCP 4430 | Inaccessible per al repetidor | SSH < 1 MB/h; RDP 0,5-1 GB/h |
| Subxarxa remota anunciada | Cap port obert al router | Encapsulat al node Linux | Depèn del trànsit intern |
Arquitectura del pla de control allotjat pel client
El paquet autoallotjat de prialo es desplega amb tres contenidors mitjançant Docker Compose: el servidor de coordinació (gRPC a TCP 50051 i STUN a UDP 3478), el repetidor a TCP 4430 i una base de dades PostgreSQL. Amb 2 vCPU i 2 GB de RAM n'hi ha prou per gestionar centenars de nodes sobre sistemes Linux x86_64 o arm64 equipats amb Docker Engine 24 o posterior i Compose v2. El paquet complet està disponible des de la secció de servidor autoallotjat per a Linux.
L'API d'administració al port 8080 mai no es publica directament a la xarxa externa; l'accés es gestiona mitjançant un túnel SSH cap al servidor. La seguretat del pla de control s'assegura amb el fixatge SPKI (sha256:...) del certificat TLS, evitant la intervenció d'autoritats de certificació públiques. L'empresa Sinergia, establerta a Barcelona, no té accés a les bases de dades ni a les claus privades allotjades pels usuaris.
Instal·lació del client i publicació de subxarxes pas a pas
- Instal·lació del client: executeu l'ordre d'inscripció com a administrador en el dispositiu Linux o macOS indicant els punts d'accés del servidor.
- Comprovació de l'estat: valideu amb l'ordre
prialo statusque la sortida mostra 'Control: tls, pinned' i una adreça assignada a 100.64.0.0/10. - Verificació d'extrems: comproveu la connexió amb
prialo peersi executeuprialo ping <host-or-ip>per monitorar la latència cap a la seu remota. - Anunci de la LAN: publiqueu la xarxa local desitjada des d'un node Linux mitjançant
prialo up --advertise-routes=192.168.50.0/24. - Aprovació d'administració: valideu formalment la ruta des del servidor executant
prialo node routes <router> --approve 192.168.50.0/24. - Recepció als clients: afegiu el paràmetre
--accept-routesen els nodes que necessitin connectar amb els serveis de la subxarxa aprovada.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>Només els dispositius Linux poden funcionar com a encaminadors de xarxes locals; els sistemes Windows i els telèfons intel·ligents no permeten acceptar subxarxes de tercers actualment. El 17 d'octubre de 2026, les aplicacions per a Mac i iPhone segueixen a la cua de revisió d'Apple i no es poden descarregar; la versió per a Windows és una compilació inicial sense instal·lador ni signatura, i la versió per a Android roman en preparació.
En l'àmbit normatiu europeu i estatal, la Directiva NIS2 (Directiva UE 2022/2555), el reglament RGPD (Reglament UE 2016/679) i l'Esquema Nacional de Seguretat (Reial Decret 311/2022) exigeixen traçabilitat dels registres tècnics. prialo no té certificacions en aquestes normatives; el seu model garanteix que el registre d'auditoria, les rutes i les claus romanguin exclusivament dins de la infraestructura privada de l'organització.
Preguntes freqüents
Com connecten dues seus si totes dues tenen connexions amb CGNAT?
El programari prova inicialment de foradar el tallafocs amb STUN pel port UDP 3478 per establir un túnel directe amb WireGuard. Si el CGNAT impedeix el contacte directe, la sessió s'encamina a través del repetidor al port TCP 4430 sense desxifrar mai les dades.
Què succeeix quan una xarxa supera la quota de trànsit al repetidor?
Si la variable PRIALO_MESH_QUOTA_BYTES està definida i una malla excedeix el límit assignat, el repetidor comença a descartar els paquets addicionals i a comptabilitzar-los, però manté la sessió dels clients activa sense desconnectar cap node.
Es pot utilitzar un ordinador amb Windows per encaminar una subxarxa?
No, únicament les màquines amb Linux tenen capacitat per anunciar i fer d'encaminador de subxarxes locals cap a la malla. A més, els clients per a Windows i telèfons intel·ligents encara no poden acceptar aquestes rutes.
Quins requeriments de maquinari té el servidor autoallotjat?
El conjunt autoallotjat requereix 2 vCPU i 2 GB de RAM en entorns Linux x86_64 o arm64 que disposin de Docker Engine 24 o superior i Compose v2. Aquests recursos permeten coordinar centenars de nodes distribuint el servidor, el repetidor i PostgreSQL.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo