> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://helpdesk.ggcircuit.com/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# ¿Qué es Tailscale?

## 🔐 Acceso Remoto Seguro con Tailscale Mesh VPN

Tailscale es una VPN mesh moderna que reemplaza los aparatos VPN tradicionales y los esquemas de redirección de puertos con **redes conscientes de identidad**. En el entorno de servicios administrados, Tailscale permite comunicación segura y cifrada entre **estaciones de trabajo de soporte autorizadas** y **servidores de clientes**, mientras reduce significativamente la superficie de ataque y la complejidad.

### 🚫 No Se Requieren Puertos Abiertos en el Firewall

A diferencia de las VPN heredadas, Tailscale **no requiere que se abran puertos de entrada** en los firewalls. Los dispositivos inician conexiones salientes sobre HTTPS hacia el servicio de coordinación de Tailscale y establecen túneles cifrados usando WireGuard.

Esto permite:

* Traversal NAT completo
* **Sin cambios en los firewalls de la red del cliente**
* Riesgo de seguridad reducido al **eliminar servicios expuestos**

---

### 🌐 Conectividad Mesh con Control de Acceso Granular

Tailscale forma una **red mesh punto a punto**, con acceso restringido mediante una **Lista de Control de Acceso (ACL)** basada en etiquetas de dispositivos e identidad.  
Aquí está cómo se gestiona el acceso:

#### ✅ Rutas de Comunicación Permitidas:

* **Las estaciones de trabajo de soporte** pueden comunicarse con:

  + **Otras estaciones de trabajo de soporte** en **todos los puertos**
  + **Servidores de clientes** en **puertos TCP 443, 9090 y 22**
  + Servidores de clientes mediante **Tailscale SSH** (distinto del SSH tradicional sobre el puerto 22)
  + Servidores de clientes usando **ICMP (ping)** para diagnósticos básicos de red (a través del pseudo-puerto `:1`)

#### 🚫 Comunicación Bloqueada:

* **Los servidores de clientes no pueden comunicarse entre sí** – este tráfico este-oeste está intencionalmente bloqueado para contener amenazas potenciales e implementar segmentación.
* Ningún usuario externo o dispositivo puede acceder a sistemas conectados a Tailscale a menos que se permita explícitamente a través de ACL.

---

### 🔐 Restricciones a Nivel de Puerto y Protocolo

| Protocolo/Puerto | Propósito | Quién Puede Acceder |
| --- | --- | --- |
| TCP 443 | Interfaces web / APIs (HTTPS) | Solo estaciones de trabajo de soporte |
| TCP 9090 | Cockpit u otros paneles de administración | Solo estaciones de trabajo de soporte |
| TCP 22 | SSH tradicional, SCP, Rsync | Solo estaciones de trabajo de soporte |
| Tailscale SSH | SSH cifrado sobre Tailscale | Solo estaciones de trabajo de soporte |
| ICMP (Ping) | Diagnósticos de red | Solo estaciones de trabajo de soporte |

Tailscale SSH **no** utiliza el puerto TCP 22. Es una característica integrada que permite a los usuarios autorizados iniciar sesiones SSH basadas en identidad, no en IP o puerto.

---

### 🛡️ Seguridad Basada en Identidad y Etiquetado

Cada dispositivo en la red Tailscale está etiquetado con un rol funcional. Estos etiquetas los asignan los administradores y se utilizan en políticas de ACL para controlar estrictamente el acceso.

Beneficios:

* **El acceso se basa en roles, no en IP**
* **Las IPs dinámicas** o cambios de red no tienen impacto en el acceso
* Todo acceso es **registrado y auditable**

---

### ✅ Resumen de Beneficios

| Característica | VPN Tradicional | Tailscale Mesh VPN |
| --- | --- | --- |
| Requiere reglas de firewall de entrada | ✅ Sí | ❌ No |
| Se necesita una puerta de enlace VPN centralizada | ✅ Sí | ❌ No (punto a punto) |
| Conectividad punto a punto | ❌ No | ✅ Sí |
| Restricciones de acceso basadas en puertos | ⚠️ ACLs complejas | ✅ Simple, aplicado vía config |
| Seguridad basada en identidad de dispositivo | ❌ Basada en IP | ✅ Basada en usuario y dispositivo |
| Acceso granular por rol/etiqueta | ⚠️ Limitado | ✅ Totalmente personalizable |
| Comunicación servidor a servidor | ❌ Posible por defecto | ✅ Explícitamente bloqueada |
| Control SSH con auditabilidad | ❌ Dependencia externa | ✅ Integrada vía Tailscale SSH |
| Acceso de diagnóstico (ICMP) | ⚠️ Raramente permitido | ✅ Controlado vía puerto ficticio |

---

### 🧠 Notas Adicionales

* **No se requiere configuración de cliente VPN** en las redes de clientes—solo el cliente Tailscale instalado en dispositivos administrados.
* **No se necesita gestión de IP estática**; los nombres de dispositivo e identidades permanecen consistentes en cambios de red.
* **Registro y auditabilidad**: Tailscale SSH y las acciones de aplicación de ACL se registran y son trazables para revisiones de seguridad.

---