VPN

La VPN de la plataforma Mirox proporciona acceso remoto seguro a las redes internas de plantas individuales. En lugar de mantener un perfil VPN separado para cada planta, cada usuario recibe un único perfil VPN personal a través del cual todas las plantas para las que el usuario está autorizado pasan a ser accesibles. Los cambios de permisos, las nuevas plantas, las nuevas subredes o las cooperaciones revocadas se reflejan automáticamente en el perfil VPN — sin que el usuario tenga que reinstalarlo.

Concepto

La VPN se basa en WireGuard, un protocolo VPN moderno, ligero y cifrado, y está diseñada como un túnel de inicio de sesión único personal hacia todas las redes de plantas concedidas:

• Un perfil por usuario: cada usuario autenticado puede emitir exactamente un perfil VPN personal e instalarlo en su dispositivo. La plataforma denomina a este perfil tu certificado VPN — ese es el nombre de producto de tu par de claves WireGuard personal; WireGuard en sí utiliza pares de claves en lugar de certificados X.509.
• Criptografía moderna: WireGuard usa un intercambio de claves Curve25519 (X25519) y cifrado autenticado. Tu clave privada se genera en tu propio dispositivo y Mirox nunca la almacena — Mirox solo ve tu clave pública.
• Túnel dividido (split tunnel): solo el tráfico destinado a las redes privadas de las plantas entra en el túnel. Tu tráfico de internet normal — correo, web, videollamadas — permanece en tu propia conexión y nunca pasa por Mirox.
• Gestión automática de rutas: el conjunto de subredes de plantas accesibles se deriva dinámicamente de tus permisos actuales (rol de organización, rol de trabajo, cooperaciones). Cualquier cambio de permiso actualiza automáticamente el conjunto de rutas.
• Alta disponibilidad: el túnel termina en una infraestructura multirregión de alta disponibilidad y se restablece automáticamente contra un punto de entrada saludable si el actual falla.

Qué ofrece la VPN

Túnel personal a todas las plantas concedidas

Una vez instalado el perfil VPN, el usuario puede dirigirse a todas las redes de plantas para las que tiene permisos — exactamente como si estuviera físicamente en el emplazamiento. Esto suele abarcar:

• Interfaces web de inversores, controladores de seguidores, data loggers, PCs de armario de control
• Acceso SSH a dispositivos de servicio
• Herramientas de diagnóstico Modbus / TCP contra componentes en la red de la planta
• Las propias herramientas del usuario que se comunican directamente con la infraestructura de la planta

Las múltiples plantas con subredes locales solapadas (p. ej. dos plantas que usan ambas 192.168.1.0/24) se desambiguan automáticamente por el sistema, de modo que no es posible la confusión.

Ciclo de vida del certificado

El usuario controla su certificado directamente a través de la interfaz de la plataforma:

• Emitir: crea un nuevo perfil VPN. El archivo de configuración completo que contiene la clave privada se muestra exactamente una vez en el navegador y nunca se almacena en la nube.
• Rotar: sustituye el conjunto de claves sin eliminar el certificado. Útil, por ejemplo, al cambiar de dispositivo o cuando se sospecha de un compromiso. La nueva clave privada se muestra de nuevo solo una vez.
• Revocar: deshabilita el certificado de inmediato. Todas las conexiones en curso se terminan en el siguiente ciclo de sincronización. El rastro de auditoría del certificado se conserva durante el periodo de retención exigido legalmente.

Conflictos de rutas

Las subredes accesibles se derivan de tus permisos y se mantienen actualizadas automáticamente (consulta Cómo se mantienen actualizadas tus rutas). Una única palanca queda en tus manos de cara al usuario: los conflictos entre dos plantas que usan la misma subred local se marcan de forma visible en la vista general de rutas, y tú decides cuál de las plantas en conflicto tiene prioridad para ti — el interruptor Usar este parque de la ruta en conflicto intercambia la prioridad en cualquier momento.

Vista general de sesiones

El usuario dispone de una vista general de sesiones dedicada para su propio certificado dentro de la plataforma:

• Conexiones actuales con tiempo de conexión, duración, origen geográfico, dirección IP y volumen de datos transferidos
• Sesiones históricas para trazabilidad

Esta vista general es la vista de autotransparencia del usuario sobre su propio certificado. El rastro de auditoría completo de cumplimiento — diseñado para cumplir los requisitos de registro de acceso remoto de KRITIS y de la directiva NIS2 de la UE — lo mantiene por separado el operador de la planta y no forma parte de esta vista — consulta Registro de auditoría.

Seguridad y control

¿Quién puede emitir un certificado?

Cualquier usuario autenticado puede emitir un certificado propio — pero el certificado por sí solo no basta para alcanzar ninguna planta. Solo los permisos concedidos a través del sistema de permisos (rol de organización, rol de trabajo, cooperación) abren rutas realmente.

¿Quién puede alcanzar qué planta?

El acceso VPN a nivel de red es la capacidad de acceso remoto más potente de la plataforma, y se decide planta por planta. Las subredes de una planta se añaden a tu perfil VPN únicamente cuando tienes el rol de trabajo de Gestor técnico — u Operador — en esa planta. Esta es una regla única y autoritativa — tener un perfil VPN, o poder ver una planta, nunca abre por sí solo una ruta.

Como la comprobación se hace por planta, la concesión puede ser tan estrecha como exija el trabajo: una sola planta, un portfolio o toda la organización. Quien se encarga de la gestión técnica de tres de tus veinte plantas alcanza esas tres redes y ninguna más.

Tienes un rol válido en una planta cuando se te concede de cualquiera de estas formas:

• Directamente — el rol de trabajo de Gestor técnico u Operador se te asigna en esa planta o portfolio concretos.
• Heredado a través de tu organización — los Administradores y Moderadores se asignan a Operador, y los Gestores de activos (técnico) a Gestor técnico, en las plantas propias de su organización.
• A través de una cooperación — otra organización comparte una planta contigo y la cooperación concede Gestor técnico u Operador; un técnico externo obtiene en esa planta las mismas rutas que el personal propio de la planta.

Los roles comerciales y de solo lectura se quedan sin ruta de red, por diseño:

El resultado es una separación entre lo técnico y lo comercial en lugar de un único nivel privilegiado: quien asume la responsabilidad técnica de una planta alcanza su red, con una concesión planta por planta, mientras que el lado comercial y de solo lectura no tiene ninguna ruta hacia ella.

Custodia de claves

• La clave privada se genera en el navegador del usuario y nunca sale del dispositivo.
• Mirox solo conoce la clave pública del usuario y la IP del túnel asignada a él.
• En caso de rotación o revocación, las claves antiguas se invalidan en el servidor de inmediato.

Cómo se mantienen actualizadas tus rutas

Tu lista de plantas accesibles nunca es algo que mantengas a mano. Se deriva de tus permisos en vivo, y Mirox mantiene ambos sincronizados automáticamente:

• Se recalcula cuando cambia un permiso: normalmente en cuestión de segundos y, como máximo, en 10 minutos. La mayoría de los cambios de permiso desencadenan un recálculo inmediato de tu conjunto de rutas. Algunos cambios tienen un alcance demasiado amplio para eso — rebajar el rol de una cooperación puede afectar a la vez a todos los usuarios de ambas partes —, así que en lugar de perseguir cada camino posible con un recálculo inmediato, una sincronización en segundo plano se ejecuta de forma continua y cierra cualquier diferencia restante. El límite máximo garantizado es de 10 minutos; en la práctica son segundos.
• Las nuevas plantas aparecen sin descargar nada de nuevo. Instalas tu perfil VPN una sola vez. Las plantas recién autorizadas aparecen por sí solas en tu lista accesible — nunca reimportas ni reinstalas la configuración para obtener acceso a una planta. Si quieres el estado actual ahora mismo, Actualizar en la pestaña VPN recalcula tus rutas al instante.
• El acceso retirado se elimina y el camino se desmantela. Cuando se retira un permiso — una cooperación finaliza, tu rol de trabajo cambia, una planta se elimina — las rutas correspondientes se eliminan y el camino de red hacia esa planta se desmantela, con la misma temporización: normalmente en segundos y nunca más tarde que el ciclo de sincronización de 10 minutos. No se requiere ninguna acción manual.
• La sincronización en segundo plano es además la red de seguridad. En su ciclo recurrente vuelve a verificar cada perfil activo frente a los permisos actuales y corrige cualquier ruta desincronizada, de modo que un único evento perdido no puede dejar una ruta en pie y tu conjunto accesible siempre converge con tus permisos reales.

Disponibilidad multirregión

La VPN personal está diseñada para alta disponibilidad. Se ejecuta en múltiples regiones de centro de datos independientes, con múltiples servidores VPN de WireGuard en cada región, de modo que no hay un único punto de fallo. La arquitectura de la plataforma está diseñada para ofrecer una disponibilidad del 99,999 %.

• Conmutación por error automática. Tu túnel siempre se conecta a un punto de entrada saludable. Si uno deja de estar disponible, tu conexión se restablece automáticamente contra otro servidor saludable — no tienes que reconfigurar nada.
• Selección de la mejor región. Cuando te conectas, se te enruta a un punto de entrada que ofrece buena accesibilidad para tu ubicación, seleccionado de forma transparente por el sistema.
• Agentes de planta supervisados. El agente de monitorización de cada planta — el componente local o en la nube por el que fluye el tráfico VPN — está supervisado por una capa de orquestación que verifica continuamente que el agente existe y está listo. Si un agente falla, se redespliega o reubica automáticamente en un host saludable, de modo que el fallo de un único host no deja una planta fuera de línea durante mucho tiempo.

El agente de la planta es el único punto de entrada

Todo el tráfico VPN hacia una planta fluye a través del propio agente de monitorización de esa planta. El agente es el punto de estrangulamiento entre Mirox y la red de la planta, y el diseño mantiene esa frontera estricta:

• El agente solo marca hacia afuera, hacia Mirox. Abre una conexión saliente hacia la plataforma; la red de la planta nunca tiene que exponer un puerto entrante a internet para que el acceso VPN funcione.
• Sin agente, sin acceso. Una planta simplemente es inalcanzable por VPN hasta que su agente está en línea. Hasta entonces, la planta aparece como «aún no accesible» en tu lista de rutas y se activa automáticamente en cuanto el agente se conecta.
• Limitado a su propia planta. Cada agente está confinado a la red de su propia planta. Es la única vía hacia esa planta y nunca cruza hacia la red de otra planta o de otra organización.

Aislamiento entre plantas y organizaciones

Mirox opera la VPN como infraestructura de plataforma compartida, pero el tráfico de cada usuario está estrictamente confinado:

• Tu túnel solo transporta tus propias rutas. Cada conexión se sirve con su propio conjunto aislado de rutas, derivado únicamente de las plantas en las que tienes un rol técnico válido.
• Las subredes no autorizadas nunca se enrutan. Las redes de plantas para las que no estás autorizado no se limitan simplemente a estar bloqueadas — directamente no existe ninguna ruta hacia ellas, por lo que no hay ningún camino para alcanzarlas.
• Las organizaciones no pueden verse entre sí. Como la accesibilidad se deriva por usuario a partir de sus propias autorizaciones, las organizaciones que comparten la plataforma nunca pueden ver las redes de plantas de las demás.
• Defensa en profundidad frente al escaneo. Además del aislamiento de rutas por usuario, los puntos de entrada de la VPN aplican una limitación de velocidad que protege frente al escaneo y sondeo de red.

Auditoría y cumplimiento

Cada acceso a través de la VPN es auditado en su totalidad por el sistema Mirox. El rastro de auditoría registra:

• Qué usuario se conectó, cuándo y desde dónde
• A qué subredes de plantas se accedió durante la sesión
• A qué dispositivos específicos (IP, protocolo, puerto) se accedió y con qué frecuencia
• Cuánto volumen de datos se transfirió por sesión y subred

El rastro de auditoría se conserva durante al menos 730 días y solo es accesible para la organización operadora responsable de la planta respectiva — no para el propio usuario conectado. Está diseñado para cumplir los requisitos de registro de acceso remoto de las normas KRITIS alemanas y de la directiva NIS2 de la UE; los registros de auditoría no pueden ser editados ni eliminados por los usuarios. Para más detalles, consulta Registro de auditoría de acceso.

Distinción de funciones relacionadas

Mirox ofrece varias modalidades de acceso remoto que es fácil confundir. La VPN personal descrita en esta página es una de cinco; la tabla muestra para qué sirve cada una y quién la controla.

La VPN personal es la herramienta adecuada para el personal técnico que necesita usar de forma productiva herramientas arbitrarias contra dispositivos de varias plantas. El Proxy de navegador es la elección correcta cuando solo hace falta abrir la interfaz web de un dispositivo — sin instalación de VPN, directamente desde el navegador. Las VPN de organización y directas de planta son túneles a nivel de infraestructura gestionados de forma centralizada, en lugar de un perfil personal que llevas contigo.

IPv6

Mirox llega a una planta por IPv6 con la misma naturalidad que por IPv4.

• Conexiones de planta solo IPv6. El túnel que llega a una planta puede publicarse como solo IPv6, solo IPv4 o ambos — para los tres protocolos de túnel (WireGuard, OpenVPN e IPsec). Una planta cuya línea no ofrece una IPv4 pública utilizable — por ejemplo una conexión DS-Lite o CGNAT — se alcanza únicamente por IPv6, sin nada que preparar en la planta más allá de su propio router. El ajuste se describe en Configurar servidores VPN por agente.
• Doble pila por defecto. Cuando una planta dispone de ambos, se publican ambos registros de dirección y el router de la planta usa el que pueda.
• Preparado para IPv6 dentro del túnel. Las redes de planta a las que accede por la VPN se direccionan hoy mediante IPv4. La plataforma ya está preparada para rangos IPv6 privados en el lado de la planta, de modo que puede habilitarse la compatibilidad para las plantas que lo necesiten — póngase en contacto con nosotros si opera una red de planta solo IPv6.

Funciones relacionadas

• Proxy — acceso basado en navegador a los dispositivos de la planta sin cliente VPN
• Registro de auditoría de acceso — rastro de auditoría completo de todos los accesos por VPN y Proxy
• Sistema de permisos — controla qué usuario alcanza qué plantas
• Cooperaciones — compartir plantas con organizaciones de terceros
• Inspector de red local — comprobaciones de accesibilidad de la red de la planta desde el lado de la plataforma
• Preguntas frecuentes sobre acceso remoto — respuestas a preguntas habituales sobre el acceso por VPN y Proxy, el enrutamiento, el aislamiento y la disponibilidad