Conectividad VPN

Un túnel WireGuard dedicado entre tu planta y nuestro concentrador. Nosotros nunca entramos a tu red; tú abres un tubo mínimo que solo deja pasar el tráfico al subnet OT donde vive tu PLC.

¿Para qué sirve?

Los PLCs viven detrás del firewall de la planta. Para que Rela AI pueda leer sus registros Modbus, OPC UA, S7 o EtherNet/IP, necesita una forma de cruzar el firewall sin exponer el PLC a Internet. La VPN self-service resuelve eso con un túnel dedicado, auditable y revocable en segundos — sin tocar tu VPN corporativa ni abrir puertos públicos.

¿Cómo funciona?

1. Vas a Configuración → Conectividad VPN en el dashboard.
2. Le pones un nombre al túnel (por ejemplo "Planta Torreón") y pulsas Crear.
3. Te asignamos automáticamente una subnet privada /24 dentro del rango 10.200.0.0/16.
4. Elegís tu equipo (pfSense, OPNsense, Mikrotik, Ubiquiti, Linux, Windows, Docker) y descargás la configuración adaptada.
5. La pegas en tu router/firewall — una sola vez.
6. Al primer handshake (10–30 segundos después), el dashboard te muestra Conectado y ya podés crear fuentes Modbus apuntando a la IP privada de tu PLC.

La llave privada de tu extremo del túnel nunca sale de tu equipo: si cambiás de proveedor, la borras y en segundos ya no llegamos a tu red.

Beneficios

Alta del túnel — paso a paso

1. Crear el peer en el dashboard

Entrá a /settings/connectivity y pulsá Crear túnel. Poné un nombre legible que identifique la planta (por ejemplo "Planta Monterrey Norte"). Al crear, el sistema:

• Te asigna una subnet privada única (10.200.X.0/24).
• Genera un par de llaves WireGuard. La privada se cifra con GCP KMS y solo se sirve una vez en la descarga.
• Publica un evento al concentrador para aceptar tu peer.

2. Descargar la configuración para tu equipo

Arriba del panel aparece un selector de 7 equipos. Elegí el tuyo:

3. Aplicar en el router y validar

Una vez pegada la configuración y activada la interfaz, el túnel hace un handshake cada 25 segundos (PersistentKeepalive). El primero suele ocurrir a los 10–30 segundos.

En el dashboard vas a ver el widget cambiar:

• Pendiente de conexión (estado inicial).
• Conectado (llegó el primer handshake — listo).
• Sin conexión reciente (handshake más de 5 minutos viejo — revisá tu router).

4. Crear la fuente Modbus/OPC UA

Una vez conectado el túnel, ya podés crear una fuente apuntando a la IP privada de tu PLC dentro de tu red interna. El routing es automático: cualquier paquete al rango 10.200.0.0/16 sale por el túnel.

Detalles por equipo

pfSense

Abrí el XML descargado y copiá el contenido. En la consola web del router:

1. VPN → WireGuard → Tunnels.
2. Clic en el botón de Import (icono de subir archivo).
3. Pegás el XML y Save.
4. La interfaz se activa automáticamente; en Status → WireGuard ves el peer y el último handshake.
5. Verificá que en Firewall → Rules hay una regla que permite el tráfico entre tu LAN OT y la interfaz rela_vpn.

OPNsense

Misma idea que pfSense pero el path del menú es VPN → WireGuard → Instances:

1. VPN → WireGuard → Instances → Add.
2. Copiás los valores del XML manualmente (OPNsense no tiene importador XML directo para WireGuard — en su defecto, usá los valores del archivo).
3. VPN → WireGuard → Peers → Add, pegás la pubkey del servidor.
4. Activá la interfaz en Interfaces → Assignments.

Mikrotik RouterOS 7+

Abrí Terminal (WinBox o SSH) y pegá línea por línea el contenido de rela-vpn-mikrotik.rsc. El script crea:

• Una interfaz WireGuard rela-vpn.
• Una address en esa interfaz.
• Un peer apuntando al concentrador con allowed-address de nuestra subnet.
• Una ruta estática hacia 10.200.X.0/24 vía rela-vpn.

Después revisá /interface wireguard peers print — last-handshake debería quedar bajo 30 segundos.

Ubiquiti EdgeRouter / EdgeOS

SSH al router y pegá el batch configure... set... commit... save... exit. Si al guardar da error, revisá que tenés el paquete WireGuard instalado (EdgeOS 2.x lo trae nativo; v1.x requiere .deb manual).

Linux / Raspberry Pi

sudo mv ~/Downloads/rela-vpn.conf /etc/wireguard/rela-vpn.conf
sudo chmod 600 /etc/wireguard/rela-vpn.conf
sudo wg-quick up rela-vpn
sudo systemctl enable wg-quick@rela-vpn

El systemctl enable hace que el túnel sobreviva a un reboot.

Windows

1. Descargar el cliente oficial: wireguard.com/install/
2. Add Tunnel → Import tunnel(s) from file → seleccionás rela-vpn.conf.
3. Clic en Activate.
4. Windows Services → Run on startup para que se reactive al bootear.

Docker Compose

Poné docker-compose.yml y rela-vpn.conf en el mismo directorio. Luego:

docker compose up -d
docker compose logs -f rela-vpn

Si el contenedor muere por falta de capabilities, asegurate que el host soporta NET_ADMIN y SYS_MODULE (cualquier Linux moderno lo hace).

Troubleshooting

El handshake nunca aparece

• Verificá que el UDP 51820 saliente no está bloqueado en tu firewall o ISP.
• Revisá que la pubkey que muestra tu router es la que generó el dashboard (copy-paste a veces recorta caracteres).
• Si tu router está detrás de NAT, asegurate que PersistentKeepalive = 25 está activo para que el NAT no cierre el mapping.

Handshake activo pero no llega tráfico al PLC

• Revisá que el PLC y el router están en el mismo subnet.
• En pfSense/OPNsense: Firewall → Rules → WireGuard interface debe tener una regla de Allow entre tu LAN OT y el router.
• En Mikrotik: /ip route print debe mostrar la ruta 10.200.X.0/24 → rela-vpn.

El dashboard dice "Sin conexión reciente"

• Tu router perdió el túnel. Causas comunes: cambio de IP pública (DHCP del ISP), reboot del router sin systemctl enable, corte de luz.
• Revisá los logs del router. En Linux: sudo journalctl -u wg-quick@rela-vpn.

¿Por qué no usamos tu VPN corporativa?

Esta es la pregunta más común de tu equipo de IT. La respuesta corta es: por seguridad, por compliance, y porque tu VPN corporativa está pensada para humanos, no máquinas. Los 9 motivos técnicos detallados los tenés en ¿Por qué un túnel dedicado?.