Mover a una persona sin mover a nadie

Había que dar acceso remoto seguro a los sistemas internos de una empresa sin exponer nada a internet. La tentación es rediseñar la red de todos de una vez — y dejar a todos sin acceso de una vez.

Se hizo al revés: una persona, un equipo, y con la salida de emergencia probada antes de tocar nada.

Por qué el orden importa tanto aquí#

Se instaló Tailscale, una red privada que corre por encima de la existente sin cambiar nada de la red física. Los demás siguieron trabajando igual, sin enterarse. Si fallaba, se revertía un equipo, no una empresa.

Pero había una trampa que casi nos come: tanto el SSH como el escritorio remoto viajaban por Tailscale. Cerrar sesión en Tailscale corta exactamente la conexión desde la que estás trabajando. La vía de rescate y lo que se migra eran la misma cosa.

Por eso el orden no fue "migrar y verificar", sino probar primero la salida de emergencia y solo entonces tocar la red. La salida era AnyDesk, que usa su propio relay y no depende de Tailscale.

El detalle que ya nos había costado caro#

AnyDesk quedó instalado como servicio de Windows, no como aplicación de usuario. La diferencia no es cosmética: una app de usuario muere al cerrar sesión, que es exactamente como se había perdido el acceso a esa planta unas semanas antes.

Es la misma regla que aplicamos a todo lo que debe seguir vivo: si no es servicio, no existe. Un reinicio llega siempre, y llega en el peor momento.

Qué hicimos#

Tailscale instalado equipo por equipo, empezando por una sola persona. AnyDesk como salida de emergencia, instalado como servicio de Windows y probado cerrando la sesión a propósito antes de tocar nada. Y el orden invertido a propósito: primero se verifica la salida, después se mueve la red.

El epílogo, un año después#

Vale la pena contarlo porque valida la decisión mejor que cualquier argumento.

Google deshabilitó, sin aviso, la cuenta que era dueña de ese tailnet. Nadie pudo entrar a administrarlo. Al intentar cerrar sesión, la llave del nodo caducó y el servidor salió de la red privada.

Lo único que permitió entrar a repararlo fueron las dos salidas alternas: AnyDesk y el escritorio remoto por el puerto publicado. Desde ahí se creó una red nueva y se remontó el servidor.

Si esa salida no hubiera estado instalada como servicio y probada de antemano, ese día se habría perdido el acceso al servidor de una empresa en operación.

Lo que nos llevamos#

Los cambios de infraestructura no tienen que ser cortes: lo aditivo se prueba con uno y se revierte con uno. Y antes de tocar el camino por el que estás entrando, hay que tener otro abierto y probado — no planeado, probado. La diferencia entre las dos cosas es un día completo de trabajo perdido.