SSH i RDP a servidors de clients: pas a pas per a MSP
Un proveïdor de serveis gestionats pot administrar servidors per SSH i RDP sense obrir ports entrants als tallafocs dels clients. Mitjançant túnels WireGuard de prialo, un encaminador Linux publica la xarxa local del client com a ruta de subxarxa després de l'aprovació manual de l'administrador i el consentiment del tècnic.
El risc d'exposar serveis SSH i RDP en tallafocs perimetrals
Obrir els ports TCP 22 per a SSH o TCP 3389 per a RDP al tallafoc d'un client exposa les màquines a intents constants d'intrusió a Internet. La redirecció de ports tradicionals requereix mantenir adreces IP públiques estàtiques i complexes regles de NAT individuals per cada equip intern, generant una càrrega de manteniment inviable per a qualsevol MSP.
Les xarxes privades convencionals solen canalitzar tot el flux a través d'un concentrador central que afegeix retards innecessaris i centralitza el risc d'accés. Avaluar una xarxa de malla privada o VPN tradicional permet entendre com establir comunicacions xifrades directes entre extrems sense dependre de passarel·les intermèdies vulnerables.
Arquitectura de comunicacions de prialo per a suport tècnic
Cada dispositiu connectat a prialo genera el seu propi parell de claus WireGuard i rep una adreça IP fixa dins del bloc 100.64.0.0/10 definit per l'RFC 6598. Aquest espai compartit evita col·lisions d'adreçament amb les xarxes d'àrea local 192.168.x.x o 10.x.x.x habituals a les seus dels clients atesos.
La negociació d'enllaços directes s'executa mitjançant STUN al port UDP 3478 del pla de control fent servir perforació de NAT. Quan el proveïdor d'Internet aplica CGNAT o el client disposa de tallafocs simètrics, el trànsit es desvia de manera transparent cap a un servidor relay en TCP 4430 que reexpedeix paquets que no pot desxifrar.
El pla de control de prialo empra gRPC sobre el port TCP 50051 amb xifratge TLS fixat per empremta SPKI sha256:... Els nodes rebutgen automàticament qualsevol connexió amb servidors que no presentin la clau pública fixada, eliminant la dependència d'autoritats de certificació en el model de confiança de la infraestructura.
4 passos per habilitar rutes de subxarxa i validar dispositius
Per connectar amb qualsevol recurs de la xarxa local d'un client sense instal·lar programari a cada estació de treball, l'MSP configura un encaminador Linux intermediari:
- Instal·lació de l'encaminador Linux: el tècnic afegeix la màquina a la xarxa de malla utilitzant una clau d'enrolament d'un sol ús i l'empremta TLS fixada del servidor.
- Publicació de la subxarxa local: el servei prialo del node Linux anuncia el rang IP de la seu del client cap al pla de control centralitzat.
- Aprovació administrativa de la ruta: l'administrador de l'MSP autoritza de manera explícita que aquest node concret pugui encaminar paquets cap al segment anunciat.
- Acceptació local per part del tècnic: el client de l'operador activa l'opció d'acceptar rutes de la xarxa per enviar sessions RDP o SSH directament a les IP locals del client.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>
prialo up --advertise-routes=192.168.50.0/24
prialo node routes <router> --approve 192.168.50.0/24Després d'executar les ordres, la comanda prialo status verifica l'estat 'Control: tls, pinned' i l'adreça assignada dins de 100.64.0.0/10. Cap ruta s'encamina per defecte sense confirmació expressa. Actualment només els sistemes Linux poden actuar com a encaminadors de subxarxa a prialo, i els clients de Windows o mòbils encara no accepten rutes.
Taula comparativa de solucions de xarxa en malla per a MSP
Els equips tècnics analitzen diferents alternatives de connectivitat segons el protocol criptogràfic utilitzat, la ubicació del servidor de control i el model de retransmissió:
| Plataforma | Protocol de dades | Servidor de control | Mecanisme de retransmissió |
|---|---|---|---|
| prialo | WireGuard | Autogestionat o allotjat | Relay TCP 4430 sense desxifrar |
| Tailscale | WireGuard | Gestionat per Tailscale Inc. | Servidors DERP de la companyia |
| Headscale | WireGuard | Codi obert autogestionat | Servidors DERP compatibles |
| NetBird | WireGuard | Allotjat o autogestionat | Relays de xarxa propis |
| ZeroTier | Protocol propi (sense WireGuard) | Controladors allotjats o propis | Arrels i llunes pròpies |
Soberania de dades i funcionament autogestionat a les seus de l'MSP
El projecte prialo és desenvolupat per Sinergia, empresa amb seu a Barcelona que emet factures sota marc legal espanyol. El paquet de servidors independents, accessible al servidor autohospedat per a Linux, s'executa mitjançant tres contenidors Docker Compose: servidor de coordinació (gRPC i STUN), node de retransmissió relay i base de dades PostgreSQL.
Una instància amb 2 vCPU i 2 GB de RAM sobre Linux x86_64 o arm64 amb Docker Engine 24 o superior i Compose v2 pot gestionar centenars de dispositius d'un MSP. L'API d'administració al port 8080 mai no es publica a Internet i s'hi accedeix exclusivament mitjançant un túnel SSH, garantint que el registre d'auditoria i les claus romanguin privades.
Pel que fa a regulacions com la Directiva NIS2 (Directiva UE 2022/2555), l'RGPD (Reglament UE 2016/679) o l'Esquema Nacional de Seguretat espanyol (Reial Decret 311/2022), prialo no disposa de certificacions específiques sota aquests marcs. No obstant això, la modalitat autogestionada garanteix que cap dada tècnica o registre d'esdeveniments abandoni la infraestructura del proveïdor.
A data de 17 d'octubre de 2026, el paquet autogestionat i el client de terminal funcionen a Linux i macOS, amb una compilació inicial per a Windows sense instal·lador ni signatura. Les aplicacions oficials per a Mac i iPhone continuen en procés de revisió a Apple, mentre que el client per a Android es troba actualment en fase de preparació.
Preguntes freqüents
Quin volum de dades consumeixen les connexions SSH i RDP pel relay de prialo?
El servidor relay de prialo triga uns 23 ns a reenviar cada paquet amb independència del volum de clients. Una sessió SSH consumeix menys d'1 MB per hora, mentre que l'escriptori remot RDP consumeix entre 0,5 i 1 GB per hora de dades retransmeses.
Com actua el relay quan una malla supera el límit mensual establert?
El paràmetre PRIALO_MESH_QUOTA_BYTES defineix la quota mensual de trànsit de sortida del relay. Si la malla supera aquest volum, el servidor relay descarta i comptabilitza els paquets sobrants d'aquella malla sense interrompre les connexions directes punt a punt operatives.
És possible connectar-se per SSH a un servidor de client des d'un telèfon?
Els telèfons intel·ligents encara no accepten rutes de subxarxa a prialo. Si necessiteu accedir directament per SSH des d'un iPhone o iPad a servidors amb prialo actiu, podeu fer servir Termi1, un client professional d'administració per a iOS.
Quin cost té el servei al núvol de prialo per a proveïdors gestionats?
El pla Teams de prialo costa 5 EUR al mes per persona sense IVA mitjançant Cifrago. Ofereix usuaris i equips il·limitats, aprovació manual de màquines, regles d'accés, 100 GB mensuals de trànsit relay per persona i suport tècnic per correu electrònic en 2 dies laborables.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo