NAiOS Tunnel: tus servicios de casa, al alcance del chat

El dato que necesitas está ahí, pero encerrado

Casi toda empresa tiene información valiosa viviendo en una máquina de casa: la base de datos del programa de gestión, el ERP con las facturas y los clientes, una aplicación interna que solo funciona en la oficina, un panel de control, un servidor de ficheros. Está a pocos metros de quien la necesita, pero a la vez está incomunicada. Tu asistente de IAAI CopilotAsistente de IA integrado en herramientas de trabajo puede buscar en internet, redactar un correo o resumir un documento, pero no puede mirar la fila que está en tu base de datos ni el pedido que está en tu programa de gestión.

La razón es sencilla: esos servicios viven detrás del firewall de la empresa, y abrir un puerto hacia internet para llegar a ellos es justo lo que nadie quiere hacer. Es la puerta por la que entran los problemas. Así que el dato se queda donde está, y alguien acaba exportando un Excel a mano cada vez que hace falta.

NAiOS Tunnel: un puente seguro hasta tus servicios locales

NAiOS Tunnel es el nuevo módulo que conecta esos servicios de casa —cualquiera que hable por red— con NAiOS sin abrir un solo puerto. Instalas un pequeño agente en el equipo donde vive el servicio —el servidor de la base de datos, la máquina del ERP, el PC donde corre la aplicación interna— y a partir de ahí NAiOS puede llegar hasta él en vivo.

El truco está en la dirección de la conexión. El agente no espera a que nadie lo llame: es él quien abre una conexión hacia fuera, hacia el túnel de NAiOS. Como cuando tu navegador abre una web, la conversación la inicia el equipo de dentro. Por eso no hay que tocar el router, ni abrir puertos en el firewall, ni exponer nada a internet. Y es un túnel propio de NAiOS: sin ngrok, sin Cloudflare, sin terceros por medio.

Cero puertos abiertos, y con permiso para cada cosa

Cada equipo con el agente tiene una lista de destinos permitidos que defines tú. El túnel solo puede llegar exactamente a lo que hayas autorizado —por ejemplo, «la base de datos en el puerto 5432» o «la aplicación interna en el 8080»— y a nada más. El token de cada equipo se puede revocar en un clic, y en cuanto lo haces, ese agente deja de tener acceso al instante.

El agente es ligero y va en Windows (con un icono en la bandeja del sistema para verlo de un vistazo) y en Linux (como servicio, para los servidores). Se instala en un momento con un código de emparejamiento de un solo uso, y se actualiza solo: cuando publicamos una versión nueva, se pone al día al reconectar sin que tengas que reinstalar nada.

Dos maneras de usarlo

Una vez el equipo está en línea, el túnel se aprovecha de dos formas, según lo que necesites.

1. Pregúntalo directamente en el chat

Defines un «perfil» sobre el túnel y ese servicio queda al alcance del asistente. Hoy hay tres tipos, pensados para cubrir la mayoría de los casos:

• Bases de datos PostgreSQL y MySQL — el asistente puede ver el esquema y responder preguntas sobre tus datos: «¿cuántos pedidos entraron ayer?», «dame los diez clientes que más facturaron este mes». Las consultas se ejecutan siempre en modo solo lectura, así que preguntar nunca puede modificar nada.

• APIs y aplicaciones internas — ese servicio a medida que solo responde dentro de la oficina (un panel, un microservicio, una herramienta propia) queda disponible por su API, con autenticación si la necesita. El asistente puede consultarlo, y también hacer acciones que escriben, siempre con una confirmación por delante.

• SAP Business One — como ejemplo de integración lista para usar, el módulo trae un perfil específico para el Service Layer de SAP: preguntar por socios de negocio, facturas abiertas o stock en lenguaje natural, e incluso crear una oferta con confirmación previa. Es la muestra de hasta dónde puede llegar un perfil bien hecho sobre el túnel.

2. Conecta tus propias herramientas

A veces no quieres preguntar: quieres trabajar con tu programa de siempre. Con un reenvío, NAiOS Tunnel abre un puerto en tu ordenador que sale por el túnel hasta el servicio remoto, igual que un ssh -L de toda la vida. Sirve para cualquier servicio TCP: tu cliente de base de datos (psql, DBeaver…), una consola de administración, una herramienta interna. Copias el comando que se genera —con un permiso acotado a ese destino y con caducidad— y apuntas tu programa a localhost, como si el servicio estuviera en tu propia máquina.

Pensado para no dar sustos

Cuando lo que hay al otro lado es la base de datos o el ERP de la empresa, la seguridad no es un extra: es el punto de partida. Por eso NAiOS Tunnel se diseñó con varias capas:

• El agente solo abre conexiones hacia fuera: nunca hay un puerto escuchando en el equipo del cliente.

• Todo el tráfico va cifrado, y el túnel solo alcanza los destinos de tu lista blanca.

• Las credenciales se guardan cifradas; en Windows, el propio token del agente se protege con el cifrado del sistema.

• Las bases de datos son siempre de solo lectura a nivel de motor, no solo por convención: una escritura es imposible aunque se intente.

• Cualquier acción que escriba —crear un registro, llamar a un endpoint que modifica— pide confirmación antes de ejecutarse.

Es un túnel acotado y en un solo sentido —NAiOS llega al servicio que tú autorizas, no al revés—, no una VPN que abre la red de par en par.

¿Qué puedes conectar? Casos reales, llevados al límite

Si algo en tu empresa habla por red, es candidato a entrar por el túnel. Para hacerse una idea de hasta dónde llega, unos cuantos ejemplos por sector:

• Gestión, ERP y TPV — SAP Business One, pero también el ERP de turno, el programa de facturación, el software de almacén o el terminal de punto de venta: consultar pedidos, clientes, stock o facturas desde el chat, o dejar que un agente prepare un presupuesto, siempre con confirmación antes de escribir.

• Bases de datos y BI — la base de datos que alimenta tus informes: preguntas en lenguaje natural sobre ventas, márgenes o inventario sin exportar nada, y tus herramientas de siempre (DBeaver, un cliente de BI a través de un reenvío) apuntando como si la base estuviera en tu propia mesa.

• Aplicaciones y APIs internas — el microservicio a medida, la intranet, el panel de control, un CRM propio: quedan disponibles por su API para consultar y también para actuar, siempre con confirmación en lo que modifica.

• IoT e industria (Industria 4.0) — dispositivos con IP en tu red: un broker MQTT, autómatas y PLCs por Modbus TCP, cámaras, sensores, un hub domótico con API local. Puedes leer telemetría desde el chat —«¿a qué temperaturaTemperatureParámetro que controla la creatividad vs. precisión de la IA está la cámara frigorífica?»— o enchufar tu cliente industrial por un reenvío. (Los aparatos por USB o puerto serie necesitan un pequeño puente que los saque a la red antes.)

• Hostelería, retail, logística, despachos, clínicas… — la disponibilidad de un hotel, el stock de una tienda, el estado de una flota, el sistema de un despacho o una gestoría, el historial de una clínica: cualquier dato que hoy solo se consulta estando delante de un ordenador concreto.

• Herramientas y sistemas heredados — una consola de administración, un servidor de ficheros, un servicio de correo interno, o ese programa antiguo pero imprescindible que solo vive en un PC: sin migrarlo ni exponerlo, al alcance de la IA.

Qué hace hoy y qué todavía no (es una V1)

Esto es una primera versión, y preferimos decir con claridad dónde están los límites de hoy:

• Tuneliza servicios que hablan por red sobre TCP (y HTTP): bases de datos, APIs, MQTT, Modbus TCP… Todavía no soporta UDP, así que algún protocolo IoT o de streaming que va por UDP queda fuera por ahora.

• Llega a lo que tiene IP y puerto. Un dispositivo por USB, puerto serie, Bluetooth o Zigbee necesita un puente que lo exponga a la red para poder tunelizarlo.

• Es un túnel en un solo sentido y acotado a tu lista blanca: NAiOS llega al servicio que autorizas, y a nada más. No es una VPN que abra la red entera.

• Está en despliegue controlado: hoy lo activamos caso a caso, acompañando la puesta en marcha, más que como autoservicio para cualquiera.

Lo que viene (2026–2027)

El rumbo lo marca lo que nos pedís. Sin prometer fechas, en el horizonte de 2026 y 2027 estamos mirando UDP y más protocolos (para cubrir más IoT, voz y streaming), más integraciones listas para usar al estilo de la de SAP —para los ERPs, CRMs y sistemas más habituales—, y una puesta en marcha cada vez más autoservicio. Lo iremos abriendo según la demanda real, con la seguridad siempre por delante.

Disponible en NAiOS

NAiOS Tunnel nació de una necesidad muy concreta —conectar el sistema de un colaborador sin montarle media infraestructura— y se ha convertido en una pieza que sirve para cualquier servicio que viva puertas adentro: una base de datos, un ERP, una aplicación interna, un panel a medida. Estamos desplegándolo de forma gradual: si en tu empresa hay algo que te encantaría poder consultar o manejar desde el chat, hablémoslo y lo activamos para tu caso.

Porque la IA es mucho más útil cuando puede mirar tus datos. NAiOS Tunnel es el puente para que llegue hasta ellos, sin bajar la guardia.