Aprobación de dispositivos y claves de alta: paso a paso
Para dar de alta el portátil de un técnico en prialo, un administrador emite una clave de alta de un solo uso con caducidad, el portátil se une con prialo install y queda pendiente de aprobación manual. El día que el técnico se va, se elimina ese dispositivo, se revocan las claves vigentes y el registro de auditoría lo documenta.
Cómo funcionan juntas las claves de alta y la aprobación de dispositivos en prialo
Cada dispositivo de prialo tiene su propio par de claves WireGuard y no hay usuario ni contraseña en la ruta de datos. La clave de alta solo sirve para presentar un dispositivo nuevo al servidor de coordinación; a partir de ahí se identifica por su propia clave, y eso es lo que el administrador elimina cuando termina el acceso.
Las claves de alta de prialo pueden ser de un solo uso o reutilizables, caducan y se pueden revocar antes de su caducidad. La aprobación de dispositivos añade un segundo filtro: un portátil que ha presentado una clave válida espera hasta que un administrador lo aprueba. Cada evento administrativo queda en el registro de auditoría.
En el servicio alojado, la aprobación manual forma parte del plan Teams, a 5 EUR por persona y mes sin IVA, según los planes y precios de prialo. En el paquete autohospedado los mismos controles funcionan en tu propio servidor.
Claves de alta de un solo uso o reutilizables para el portátil de un técnico
Una clave de un solo uso da de alta un dispositivo y queda gastada; una reutilizable admite tantos dispositivos como haga falta hasta que caduca o se revoca. La tabla las compara para el caso de este artículo.
| Tipo de clave de alta | Uso habitual | Si la clave se filtra | Cuándo revocarla |
|---|---|---|---|
| Un solo uso, con caducidad | El portátil de un técnico, dado de alta una vez | Como mucho se une un dispositivo, y solo antes de caducar | Si el portátil no llegó a darse de alta, o el último día del técnico |
| Reutilizable, con caducidad | Varios servidores desplegados en la misma sesión | Pueden unirse dispositivos sin límite hasta que caduque o se revoque | En cuanto termina el despliegue |
| Cualquiera de las dos con aprobación | Mallas Teams o autohospedadas que quieren una segunda comprobación | Los dispositivos nuevos quedan pendientes hasta que un administrador los aprueba | Las mismas reglas; aprobar no sustituye a revocar |
Para un técnico y un portátil, la regla es una clave de un solo uso con caducidad corta, suficiente para instalar el cliente ese mismo día. Una clave que nunca se usa deja de funcionar sola, así que no queda nada pendiente de limpiar.
Alta del portátil de un técnico con prialo install
El cliente de línea de comandos de prialo funciona hoy en Linux y macOS; en Windows es una versión preliminar sin instalador ni firma, las apps de Mac e iPhone siguen en la cola de revisión de Apple y Android está en preparación. En un servidor autohospedado, el panel se abre por un túnel SSH, porque la API de administración del puerto 8080 nunca se publica en Internet.
- Crear la clave: emite una clave de alta de un solo uso con caducidad corta y anota para quién es.
- Entregarla en privado: envíala por un canal que solo lea el técnico, nunca en un ticket o chat compartido.
- Instalar como root: el técnico ejecuta el comando siguiente con la dirección del servidor y la huella SPKI fijada.
- Comprobar el canal de control: prialo status debe mostrar 'Control: tls, pinned' y una IP dentro de 100.64.0.0/10.
- Aprobar el dispositivo: el administrador aprueba el portátil pendiente en el panel y la aprobación queda en el registro de auditoría.
- Probar la conectividad: prialo peers lista los demás nodos y prialo ping <host-or-ip> confirma el camino hasta un servidor concreto.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>La dirección fija dentro de 100.64.0.0/10, el espacio compartido del RFC 6598, no choca con la red 192.168.x.x de casa del técnico ni con una LAN 10.x.x.x de un cliente. No se abre nada en ningún router: si el camino directo falla, un relay en TCP 4430 reenvía paquetes que no puede descifrar.
Dar de baja el portátil de un técnico en prialo el día que se va
El acceso en prialo pertenece a la clave WireGuard del dispositivo, así que la baja consiste en eliminar el dispositivo, no en cambiar una contraseña. Se hace en el plano de control y no depende de recuperar el portátil.
- Eliminar el dispositivo: borra el portátil de la malla en el panel para que el resto de nodos deje de aceptarlo como par.
- Revocar las claves abiertas: revoca cualquier clave de alta, de un solo uso o reutilizable, que el técnico creara o recibiera y siga vigente.
- Revisar las rutas de subred: solo Linux puede ser router; si el portátil usaba Linux y anunciaba una LAN, retira esa ruta aprobada.
- Limpiar el portátil si se devuelve: ejecuta prialo down y prialo logout antes de asignarlo a otra persona.
- Leer el registro de auditoría: confirma que la eliminación y cada revocación aparecen como eventos.
Dónde guarda prialo las claves de alta, las aprobaciones y la auditoría
El paquete autohospedado de prialo son tres contenedores de Docker Compose (servidor de coordinación, relay y PostgreSQL) y el cliente conserva las claves y la base de datos en su propio servidor. Sinergia no aloja ni accede a esa instancia; el artículo sobre el plano de control autohospedado detalla puertos y copias.
NIS2 (Directiva (UE) 2022/2555), el RGPD (Reglamento (UE) 2016/679) y el Esquema Nacional de Seguridad (Real Decreto 311/2022) son solo contexto: prialo no tiene ninguna certificación bajo ellos. Lo que ofrece es que nombres de dispositivos, claves, direcciones, políticas y registros de auditoría se quedan en el servidor del cliente, como se explica en NIS2 y RGPD para MSP.
Preguntas frecuentes
¿Una clave de alta de prialo da acceso a la red por sí sola?
No. La clave de alta de prialo solo presenta un dispositivo nuevo al servidor de coordinación. Con la aprobación de dispositivos activada, el dispositivo queda pendiente hasta que un administrador lo aprueba, y después se identifica por su propio par de claves WireGuard.
¿Qué pasa si la clave de alta de un técnico caduca antes de usarla?
Una clave de alta de prialo caducada ya no puede dar de alta ningún dispositivo. El administrador emite una nueva clave de un solo uso y se la entrega por un canal privado; la clave caducada no requiere limpieza, aunque el evento sigue en el registro de auditoría.
¿Puede un técnico dar de alta hoy un portátil con Windows en prialo?
El cliente de prialo para Windows existe como versión preliminar, sin instalador ni firma. El cliente de línea de comandos funciona hoy en Linux y macOS, las apps de Mac e iPhone están en revisión de Apple y Android está en preparación.
¿Hay que recuperar el portátil para dar de baja a un técnico en prialo?
No. La baja de un técnico en prialo se hace en el plano de control: se elimina el dispositivo y se revocan sus claves de alta vigentes. Si el portátil se devuelve, prialo down y prialo logout lo dejan limpio antes de reasignarlo.
¿Prefieres tu propio servidor? Guía del paquete autoalojado de prialo