termalUn NAS o un pequeño servidor doméstico es la mejor razón que la mayoría tiene para aprender SSH: es tu almacenamiento, tus copias de seguridad, tu multimedia, quizá un puñado de contenedores — y quieres llegar a él desde el sofá, desde el trabajo, desde tu teléfono. SSH es la forma de hacerlo sin una pantalla enchufada a la máquina — desde un portátil, o desde un cliente SSH para iPhone o iPad cuando estás lejos de tu escritorio. La trampa es el salto de «funciona en mi propia red» a «alcanzable desde cualquier lugar», donde el atajo equivocado pone tu laboratorio doméstico en el internet abierto. Aquí está el camino seguro, de principio a fin.
Paso uno: llega a él en tu propia red
Antes de nada ingenioso, confirma que SSH funciona mientras estás en casa en la misma Wi-Fi o LAN.
Activa SSH. La mayoría de los NAS vienen con él desactivado. En un Synology, Terminal & SNMP → Enable SSH service; en un QNAP, Control Panel → Telnet/SSH; en TrueNAS, Services → SSH. Un servidor doméstico Linux normal ya suele correr sshd. Sea cual sea la máquina, hay un interruptor — actívalo, y anota el puerto (22 por defecto, a veces movido).
Encuentra su dirección. La lista de clientes de tu router la muestra, o la página de administración del NAS muestra su IP de LAN (algo como 192.168.1.50). Luego:
ssh admin@192.168.1.50El nombre de usuario es la cuenta con la que inicias sesión en el NAS — admin en muchos appliances, tu propio usuario en una máquina Linux, a veces root. Si conecta y te deja en una shell, la parte difícil está hecha; todo lo de abajo es solo cómo llegar a esta misma shell desde fuera de casa.
Paso dos: llegar desde fuera — sin exponer el puerto 22
El movimiento obvio es reenviar el puerto 22 de tu router al NAS. No lo hagas. Un puerto SSH alcanzable públicamente lo encuentran los escáneres en minutos — tus registros se llenarán de Connection reset by peer y miles de intentos de inicio de sesión desde el momento en que lo pongas en marcha. Cuatro formas mejores que nunca abren tu router, más o menos en el orden en que las recomendaría (el manual de SSH detrás de NAT (en inglés) profundiza en cada una):
Una red superpuesta (la opción fácil y segura por defecto). Herramientas como Tailscale o una configuración de WireGuard ponen tus dispositivos en una red privada que solo ellos pueden ver. Tu portátil y tu NAS obtienen direcciones privadas estables, y haces ssh admin@100.x.y.z desde cualquier lugar como si estuvieras en casa — la máquina nunca se expone al internet público en absoluto. Para la mayoría de los laboratorios domésticos esta es la respuesta completa.
Un connector gestionado, solo de salida. Si prefieres no montar tú mismo una malla o un VPS, el Connector de Termalin es un pequeño agente que instalas en el NAS con una línea. Marca hacia fuera a Termalin — sin puerto de entrada en tu router — y llegas a la shell de la máquina desde la app o el navegador, autenticándote con un certificado de corta duración en lugar de una clave que vive en el NAS. El mismo principio de sin puerto de entrada que la red superpuesta, sin que tú ejecutes el relé.
Un túnel inverso hacia un VPS barato. Si ya alquilas un servidor pequeño, el NAS puede marcar hacia fuera a él y reenviar de vuelta su puerto SSH — luego llegas al NAS conectándote al VPS. Nunca se abre nada de entrada en tu router doméstico. Este es el patrón del túnel inverso (en inglés), el primo artesanal del connector de arriba, y la herramienta adecuada cuando una red superpuesta no es una opción.
DNS dinámico + reenvío de puertos (la forma antigua — solo si no hay más remedio). Si insistes en exponer SSH, al menos: sácalo del puerto 22, permite solo claves (PasswordAuthentication no), y ejecuta fail2ban. Un nombre de host de DNS dinámico maneja tu IP doméstica cambiante. Esto funciona, pero ahora estás manteniendo una superficie de ataque de cara a internet para una máquina llena de tus datos personales — la red superpuesta existe precisamente para que no tengas que hacerlo.
Paso tres: claves, no contraseñas
Elijas la ruta que elijas, inicia sesión con una clave, no con una contraseña. Genera una moderna — mira Ed25519 vs RSA (en inglés) para la versión de treinta segundos — pon su mitad pública en el authorized_keys del usuario del NAS, y en cuanto eso funcione, desactiva el inicio de sesión por contraseña. Una clave que puedes revocar por dispositivo le gana a una contraseña que comparten todas las cuentas, y es lo que hace que la postura de «no exponer nada, solo clave» de arriba se sostenga de verdad.
Dejar que un agente de IA ayude a llevar la máquina
Hacia aquí van los laboratorios domésticos en 2026: en lugar de entrar tú mismo por SSH para ver por qué murió un contenedor o se llenó un disco, le pides a un asistente — Claude Code, Cursor, un modelo local — que mire. Eso es genuinamente útil. También es justo donde la gente comete el error que nunca cometería con un desconocido: entregarle al agente una shell en la máquina que guarda sus copias de seguridad.
El instinto de dudar es acertado. Un agente con la clave de tu NAS puede hacer cualquier cosa que puedas hacer tú, y se le puede convencer de cosas con una línea de registro envenenada o un nombre de archivo malicioso que lea por el camino — el radio de impacto (en inglés) es toda la máquina, no la única tarea que pediste. La solución no es renunciar a la idea; es cambiar lo que recibe el agente. En lugar de la clave y una shell en crudo, el agente debería pasar por algo que:
- le guarda la clave — el agente se conecta, pero nunca ve ni almacena la credencial, así que un contexto de agente filtrado no es un inicio de sesión del NAS filtrado;
- limita lo que puede ejecutar — una política por host que dice que este agente puede ejecutar estos comandos en el NAS y nada más (leer registros y uso de disco, sí;
rm -rf, no); - se mantiene visible — observas la sesión en vivo y queda escrita en un registro de auditoría, así que «el agente liberó algo de espacio» es algo que de verdad puedes comprobar, no dar por hecho.
Este es el mismo principio que el túnel inverso y el inicio de sesión solo con clave de arriba — no expongas más de lo que el trabajo necesita (en inglés) — aplicado al agente en lugar de a internet.
Dónde encaja Termalin
Termalin es un cliente SSH multiplataforma — Windows, macOS y Linux en el escritorio, además de una app nativa para iPhone y iPad y un cliente de navegador — hecho exactamente para esta forma de problema. Maneja los túneles (en inglés) que llegan a una máquina doméstica sin abrir tu router, mantiene juntos el usuario, la clave y el puerto de cada host para que un NAS sea un clic y no una IP memorizada, y muestra el disco, la memoria y la carga de la máquina en vivo en la barra de estado — así que «¿la máquina siquiera está encendida, y está lleno el disco?» se responde antes de que teclees un comando.
Y cuando quieres que un agente ayude, se conecta a través del servidor MCP integrado de Termalin: el agente trabaja sobre tu acceso SSH sin llegar a tener nunca tu clave, acotado por una política de comandos por host (en inglés) que tú fijas, reflejado en un watch grid en vivo, y registrado. El laboratorio doméstico recibe un asistente capaz; el asistente nunca se queda con las llaves. El plan Free no tiene límite de hosts — agárralo y apúntalo a tu NAS.
Termalin es un cliente SSH gratuito y multiplataforma con un servidor MCP integrado — acceso SSH seguro para ti y para los agentes de IA a los que dejes ayudar. Descárgalo, o lee el modelo de seguridad.