NIS2 i RGPD per a MSP: taula comparativa i arquitectura
El desplegament d'un pla de control autohospedat per a xarxes de malla assegura que metadades, topologies i registres d'auditoria romanguin dins del perímetre sobirà del proveïdor de serveis gestionats. Tot i que simplifica les obligacions del Reglament (UE) 2016/679 i la Directiva (UE) 2022/2555, no substitueix les mesures de seguretat de l'administrador.
Metadades gestionades pel servidor de coordinació de la xarxa
El servidor de coordinació opera mitjançant gRPC al port TCP 50051 i emmagatzema inventaris de màquines, claus públiques de WireGuard, adreces del rang 100.64.0.0/10 i registres d'auditoria. Segons el Reglament (UE) 2016/679 (RGPD), els identificadors d'equips, adreces IP i usuaris associats són dades protegides que demanen garanties clares de custòdia. Centralitzar aquests registres en servidors de tercers fora de la Unió Europea afegeix obligacions legals sobre transferències internacionals que els proveïdors de serveis gestionats (MSP) han de documentar.
El canal de dades manté una separació estricta atès que cada dispositiu reté el seu propi parell de claus WireGuard, sense transmetre credencials ni contrasenyes. WireGuard és una marca registrada de Jason A. Donenfeld. Els terminals negocien connexions directes punt a punt mitjançant STUN al port UDP 3478. Quan existeixen entorns de CGNAT o tallafocs simètrics, el trànsit es canalitza per un repetidor al port TCP 4430 que reenvia paquets xifrats sense capacitat de descodificar-los, protegint la confidencialitat de la informació.
Models de desplegament i sobirania per al proveïdor europeu
El paquet autohospedat agrupa tres contenidors amb Docker Compose: el servidor de coordinació amb gRPC i STUN, el repetidor i una base de dades PostgreSQL. Està preparat per a Linux x86_64 o arm64 amb Docker Engine 24 o posterior i Compose v2, necessitant 2 vCPU i 2 GB de RAM per coordinar centenars d'equips. Aquest programari és desenvolupat a Barcelona per Sinergia, que no emmagatzema ni té accés a les instal·lacions dels usuaris.
En planificar la gestió d'infraestructures crítiques, els administradors avaluen alternatives de coordinació segons s'explica a Alternatives a Tailscale el 2026: taula comparativa. Tailscale centralitza la coordinació i els repetidors DERP a la seva infraestructura, Headscale ofereix una implementació de codi obert per autohospedar el servidor amb clients Tailscale, NetBird distribueix servidors de gestió lliures i ZeroTier empra controladors propis. Disposar del pla de coordinació en infraestructura pròpia evita riscos legals associats al Capítol V de l'RGPD.
| Model d'arquitectura | Custòdia de metadades | Cadena de subministrament | Responsabilitats per a l'MSP |
|---|---|---|---|
| Coordinació SaaS centralitzada | Acollida en servidors externs en diferents regions globals | Dependència de la plataforma proveïdora i els seus encarregats | Supervisar acords de dades i transferències internacionals |
| Coordinació local autohospedada | Retinguda en PostgreSQL dins de maquinari sota control propi | Limitada als sistemes propis i les imatges base dels contenidors | Mantenir pedaços del sistema, gestionar còpies i aïllar la xarxa |
| Esquema mixt amb repetidor | Metadades en seu pròpia i trànsit opac mitjançant repetidors | Pla de control local juntament amb proveïdors del repetidor | Monitorar disponibilitat i fixar certificats TLS mitjançant SPKI |
Limitacions reguladores que l'autohospedatge no resol d'ofici
Prialo no disposa de cap certificació sota la Directiva (UE) 2022/2555 (NIS2), el Reglament (UE) 2016/679 (RGPD) ni el Reial Decret 311/2022 (Esquema Nacional de Seguretat). Emmagatzemar claus i bases de dades en servidors propis redueix l'exposició a proveïdors externs, però no equival per si sol al compliment normatiu. L'administrador ha de gestionar la seguretat dels sistemes finals, la contenció d'incidents i la notificació a les autoritats competents.
L'article 21 de NIS2 estableix que les entitats essencials i importants han d'aplicar polítiques de control d'accessos i gestió de riscos cibernètics. En administrar connexions crítiques com a SSH i RDP a servidors de clients: pas a pas per a MSP, la xarxa de malla evita exposar ports a Internet. No obstant això, cal aplicar el principi de mínim privilegi, limitar la caducitat de les claus d'enrolament i revisar els registres d'esdeveniments administratius.
Comandaments d'incorporació i procediment de validació tècnica
L'enllaç d'un equip Linux o macOS al pla de control s'executa validant la clau d'enregistrament i fixant la petjada SPKI per evitar dependències d'autoritats de certificació públiques.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>- Comprovar la sessió xifrada verificant que prialo status mostri l'estat Control: tls, pinned i una adreça assignada a 100.64.0.0/10.
- Segmentar la xarxa local anunciant rutes amb prialo up --advertise-routes=192.168.50.0/24 i aprovant-les mitjançant prialo node routes <router> --approve 192.168.50.0/24.
- Aïllar el port d'administració garantint que el port 8080 romangui inaccessible des d'Internet i accedint al tauler només per túnel SSH.
- Supervisar els extrems actius executant prialo peers, prialo ip i prialo routes per revisar l'estat de les comunicacions.
- Revocar accessos puntuals establint claus d'un sol ús o desconnectant nodes mitjançant prialo logout quan acabi la intervenció.
Pel que fa a la disponibilitat a data de 2026-10-17, el servidor autohospedat i el client de consola funcionen a Linux i macOS. Per a Windows es distribueix una versió preliminar sense instal·lador ni signatura digital, les aplicacions per a Mac i iPhone resten pendents de revisió per Apple, i la compatibilitat amb Android es troba en preparació.
Preguntes freqüents
El pla de control autohospedat garanteix el compliment de NIS2?
El pla de control autohospedat no garanteix per si sol el compliment de NIS2. La directiva exigeix protocols d'anàlisi de riscos, gestió d'incidents i polítiques organitzatives que depenen íntegrament de la gestió de l'MSP, tot i facilitar el control dels actius tècnics.
Com simplifica l'arquitectura autohospedada les exigències de l'RGPD?
L'arquitectura autohospedada manté noms d'equips, claus públiques i assignacions RFC 6598 a la base de dades PostgreSQL de l'entitat. En no dependre de plataformes externes per a la coordinació, s'elimina el risc de transferències internacionals de dades personals.
Té el repetidor capacitat per inspeccionar el contingut del trànsit?
El repetidor no té capacitat tècnica per inspeccionar les dades. WireGuard xifra el contingut directament d'extrem a extrem. El servei repetidor al port TCP 4430 canalitza blocs opacs a aproximadament 23 nanosegons per trama sense accés al contingut en clar.
Quins recursos de servidor requereix el desplegament autohospedat?
El desplegament autohospedat demana un servidor Linux x86_64 o arm64 amb Docker Engine 24 o posterior i Compose v2. Una assignació de 2 vCPU i 2 GB de RAM resulta suficient per coordinar de manera estable xarxes de centenars de nodes.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo