Guía de inicio
Sigue estos pasos para activar WorksLink Access y acceder a tu primer servicio remoto con tus propias herramientas.
Antes de empezar
| Rol | Dónde se instala | Función |
|---|---|---|
| Pasarela de acceso | En el servidor, PC industrial, equipo perimetral u ordenador que deseas alcanzar | Expone servicios permitidos del equipo o de su LAN |
| Cliente de acceso | En el ordenador del técnico o un bastión de operaciones | Mapea servicios a puertos locales o abre sesiones SSH, SFTP o de escritorio remoto |
Ambos extremos necesitan salida hacia WorksLink, sin IP pública ni reenvío de puertos. Si la salida está restringida, usa Test connection en el instalador Windows de la pasarela o workslink doctor en otras plataformas.
El reloj del sistema debe tener un desfase inferior a 2 minutos; de lo contrario, la protección contra repetición rechaza la conexión.
Primera conexión
- 1
Activar
Un administrador abre Secure Remote Access en la consola WorksLink y activa el servicio. Se conservan la cuenta de organización y los permisos existentes.
- 2
Añadir una pasarela
Genera un token de pasarela. En Linux ejecuta el comando de instalación de la consola; en Windows introduce la dirección y el token en el instalador. El equipo aparecerá en Gateways.
- 3
Exponer servicios
Añade SSH, escritorio remoto o puertos de bases de datos a la lista permitida. El destino puede ser la pasarela o un equipo de su LAN. Los demás puertos no son accesibles.
- 4
Añadir clientes
Genera tokens para los empleados. Cada uno instala el cliente e introduce dirección y token. El ordenador aparecerá en Connectors.
- 5
Definir reglas
Indica mediante etiquetas qué clientes acceden a qué pasarelas y servicios. Revisa la vista previa y guarda para aplicar la regla.
- 6
Conectar y revisar
Conecta mediante workslink ssh, mapeo de puertos o tus herramientas. Los administradores ven sesiones y eventos en Activity.
Instalar la pasarela
Windows
- Ejecuta workslink-access-gateway-setup.exe e introduce dirección y token de la consola. Usa Test connection para comprobar la salida.
- Incluye OpenSSH Server sin conexión y cierra la entrada del puerto 22. Usa /NOSSH si no lo necesitas.
- Funciona como servicio antes del inicio de sesión. Icono verde: conectado; amarillo: sin registrar o desconectado; gris: servicio detenido.
- Para despliegues masivos, instalación silenciosa:
Linux
- Ejecuta el comando de la consola tras generar el token. Detecta la arquitectura, verifica el paquete, crea un usuario workslink sin privilegios y registra el servicio systemd.
- x86_64 y ARM64; compilación estática, independiente de las versiones de bibliotecas del sistema.
Para otros equipos de la LAN, usa su dirección como destino, por ejemplo 192.168.1.100:3306. No necesitan instalación, pero deben ser accesibles desde la pasarela y estar permitidos.
Si instalaste sin token, actívala desde http://127.0.0.1:8586/ui/setup en ese equipo, sin reiniciar el servicio.
Instalar el cliente
Windows
- Ejecuta workslink-access-client-setup.exe. Por defecto queda en la bandeja; abre 127.0.0.1:8585 en un navegador local para gestionar puertos.
- Para mantener túneles sin sesión de usuario, elige el modo de servicio Windows o añade /SERVICE a la instalación silenciosa.
- El acceso directo workslink del menú Inicio abre una consola lista para ejecutar comandos.
macOS
- Elige el .pkg para Apple Silicon o Intel. Tras instalar, abre la consola desde el icono de la barra de menús.
- La herramienta está en /Applications/workslink.app/Contents/MacOS/workslink.
Linux
- workslink-conn abre túneles bajo demanda y sale al terminar. Para mapeos persistentes, usa la plantilla systemd creada por el instalador.
- El modo compartido (workslink ui --mode=cloud) escucha en puertos HTTPS y de reenvío. Está pensado para un bastión del equipo: planifica orígenes y certificados antes de activarlo.
Formas de conexión
Abre la consola gráfica en 127.0.0.1:8585. Comandos habituales:
| workslink list | Lista pasarelas autorizadas, estado y servicios |
| workslink connect <device-id> <service> | Mapea un servicio remoto a un puerto local que se reutiliza |
| workslink ssh <device-id> | Abre una sesión SSH; sftp y rdp funcionan igual |
| workslink rdp <device-id> | Abre el cliente de escritorio remoto del sistema para Windows |
| workslink proxy <device-id> ssh | Usa SSH ProxyCommand sin abrir un puerto local |
| workslink exec <device-id> --timeout 2m -- <command> | Ejecuta comandos remotos con salida en tiempo real y código de retorno |
Para VS Code Remote-SSH y otras herramientas SSH:
Preguntas frecuentes
¿Hay que instalarlo en todos los equipos?
No. Una pasarela puede exponer servicios propios o de otros equipos de su LAN, siempre que sean accesibles y estén en su lista permitida.
¿Se abre toda la red?
No. Solo se conectan clientes autorizados por una regla a servicios de la lista permitida. El resto se deniega y no se abre toda la subred.
¿Necesito IP pública o reenvío de puertos?
No. La pasarela y el cliente solo realizan conexiones salientes; los servicios no necesitan IP pública ni reenvío de puertos.
¿En qué se diferencia del escritorio remoto?
Usa Remote Desktop para ver pantallas y manejar software; WorksLink Access para servidores, bases de datos, sistemas internos o comandos. Comparten consola.
¿Qué velocidad ofrece y qué pasa sin conexión directa?
Se conecta entre pares cuando es posible; si no, retransmite automáticamente con cifrado. La velocidad depende de ambas redes, la ruta y las políticas de salida. Diagnostica con workslink doctor.
¿Cuándo se aplica una revocación?
Las nuevas solicitudes siguen la política inmediatamente. Los equipos en línea suelen recibirla en segundos y cerrar conexiones; si no reciben el aviso o están desconectados, sincronizan en el siguiente sondeo, en unos dos minutos.
¿Se registran accesos y comandos?
La consola registra altas, permisos, denegaciones, cambios de tokens y reglas y desconexiones. Los detalles de comandos quedan en la consola local de la pasarela; no es una grabación completa de sesión.
¿Abre puertos en mi ordenador?
Los mapeos escuchan solo en 127.0.0.1 y SSH ProxyCommand no abre puerto local. El modo compartido Linux escucha en puertos HTTPS y de reenvío y requiere planificación aparte.
Diagnóstico
workslink doctor comprueba estos nueve puntos en orden y propone soluciones:
- Permisos del directorio de configuración
- Integridad del par de claves local
- Configuración y rol de la consola
- Acceso HTTPS a la consola
- Desfase del reloj inferior a 2 minutos
- Autenticación de firma
- Sintaxis de la lista permitida
- Prueba de conexión directa
- Obtención de la lista de equipos autorizados
¿Sigues teniendo problemas?