Control remoto

Tomar la pantalla de cualquier equipo de tus clientes en segundos, sin VPN y sin pedirle nada a la persona que está del otro lado.

El acceso es desatendido: el técnico se conecta cuando lo necesita y no hace falta que nadie acepte nada en la máquina remota. Es lo que hace que puedas resolver a las tres de la mañana sobre un servidor donde no hay nadie sentado. Por eso mismo, quién puede entrar a qué máquina se controla desde el panel, y todo intento queda registrado.

Dónde está

Tenés tres lugares para apretar Conectar:

• Equipos, en la fila de cada máquina del listado.
• La ficha del equipo, en la cabecera.
• El Mural, en la celda de cada pantalla.

Desde el teléfono, el botón del listado no aparece. Hay que entrar a la ficha del equipo.

Qué necesitás antes de empezar

• El permiso Control remoto. Sin él el botón no se muestra.
• El visor de KairosLink instalado en tu PC. Se instala una sola vez por computadora tuya, no por equipo del cliente.
• El equipo tiene que estar online y tener su credencial. Si le falta alguna de las dos, el botón sale gris.
• Un equipo Windows o macOS. En Linux no hay escritorio remoto.

Si el equipo es una Mac

macOS exige que el usuario de la Mac conceda tres permisos del sistema antes de que se pueda ver la pantalla:

Se conceden en Ajustes del Sistema, Privacidad y seguridad. No hay forma de concederlos en remoto: macOS reserva esa decisión a quien está sentado frente al equipo. El agente de sesión se los pide al usuario en la Mac.

Sin ellos el equipo se administra igual, pero la pantalla no se ve. Está detallado en el instructivo Instalar el agente macOS.

Conectarte por primera vez

1. Entrá a Equipos.
2. Si nunca instalaste el visor en esta PC, usá el enlace Instalar viewer de arriba y ejecutá el instalador.
3. En la fila del equipo, tocá Conectar.
4. El botón pasa a Generando y después a Abriendo viewer.
5. El visor se abre solo y la sesión arranca.

Si el visor no estaba instalado, a los dos segundos aparece el cartel Falta instalar el viewer con un botón para descargarlo.

Un detalle que ahorra frustración: ese cartel tiene un enlace que dice "Ya lo instalé, reintentar conexión". No lo uses. El permiso de conexión vive 60 segundos y un instalador tarda más que eso, así que el reintento va con un permiso vencido. Después de instalar el visor, cerrá el cartel y volvé a apretar Conectar.

Cómo viaja la conexión

El visor prueba tres caminos, en este orden, y se queda con el primero que funcione:

No hay nada que configurar: la elección es automática. El visor te muestra en su barra por cuál de los tres quedó conectada la sesión, así que podés comprobarlo vos mismo en vez de creernos.

La caída al relay es normal y frecuente en redes residenciales de América Latina, donde el proveedor bloquea las conexiones directas. Que una sesión pase por el relay no es una falla.

Quién puede entrar a qué

Por defecto, cualquier técnico de tu organización puede entrar a cualquier equipo de tu organización. Eso se llama modo permisivo y es como arranca toda cuenta nueva.

Si necesitás acotarlo, el control está en Configuración, sección Seguridad, tarjeta Acceso a equipos.

Las cuatro capacidades

Lo que se controla no es "entrar sí o no", sino qué puede hacer cada técnico sobre cada máquina. Están agrupadas por riesgo:

Los dos modos

Permisivo. Sin reglas, el técnico puede todo. Las reglas de denegar recortan.

Restrictivo. Sin reglas, el técnico no puede nada. Las reglas de permitir habilitan.

Antes de pasar a restrictivo, la pantalla te avisa cuántos técnicos quedarían sin acceso en el acto. Leelo: el cambio es inmediato para todos.

Cómo se resuelven las reglas

Cuando hay varias reglas que aplican al mismo equipo, ganan en este orden:

1. Owner puede siempre. No se le aplican reglas.
2. Denegar le gana a permitir cuando las dos tienen la misma prioridad.
3. Gana la más específica: equipo, después grupo de AD, después unidad organizativa, después cliente, después todos los equipos.
4. Entre reglas del mismo alcance, gana el número de prioridad más bajo.
5. Si no se puede determinar el grupo de AD o la unidad organizativa del equipo, esa regla no se aplica. El sistema no adivina.

Un Administrador no está exento. A diferencia del Owner, a un Admin las reglas sí se le aplican. La pantalla lo dice, pero conviene tenerlo presente al armar el esquema.

Restringir a un técnico a ciertos equipos

Con la organización en modo permisivo:

1. Configuración, sección Seguridad, Acceso a equipos.
2. En la tabla de técnicos, menú de tres puntos, Ver reglas.
3. Agregá una regla Denegar con alcance Todos los equipos, marcando las capacidades que querés cerrar.
4. Agregá una regla Permitir por cada equipo al que sí debe entrar.

Gana la más específica, así que las de permitir se imponen sobre la de denegar general.

Todo cambio de modo y toda alta o baja de regla queda registrada en la auditoría de seguridad, con quién lo hizo y cuándo.

Un técnico no ve un equipo que debería ver

Primero, algo importante: un equipo sobre el que el técnico no tiene ninguna capacidad no aparece en su listado. No aparece tachado ni deshabilitado: no aparece. Y el refresco automático aplica el mismo filtro, así que tampoco se puede espiar desde la consola del navegador.

Revisalo en este orden, que es el orden en que el sistema decide:

1. ¿Es Owner? Entonces no hay nada que investigar, pasa siempre.
2. ¿Tiene el permiso Control remoto? Sin ese permiso no hay conexión, aunque las reglas la permitan.
3. ¿En qué modo está la organización? Si está en restrictivo y el técnico no tiene reglas, no ve nada. Es lo esperado.
4. ¿Qué reglas tiene cargadas? Entrá a sus reglas y leelas con el criterio de arriba.
5. ¿Hay reglas por grupo de AD o por unidad organizativa? Si el equipo no está emparejado con Active Directory, esas reglas se saltean y el resultado cambia.
6. Mirá la auditoría filtrando por ese técnico y estado Denegada. Cada intento bloqueado deja su fila.

Si el equipo se ve pero el botón Conectar sale gris, el problema no es de permisos: es del equipo. Está offline o le falta la credencial.

Ver quién se conectó a qué

Menú lateral, Seguridad, Sesiones remotas. Hace falta el permiso Gestionar equipos.

La pantalla te da quién, a qué equipo, de qué cliente y cuándo, con filtros por rango de fechas, técnico, cliente, equipo y estado. Exportar CSV baja el filtro completo, no solo la página que estás viendo.

Desde la ficha de cada equipo también tenés sus últimas sesiones, con enlace a la auditoría ya filtrada por esa máquina.

Los estados

Error y Denegada están separadas a propósito y se pintan distinto: Denegada va en rojo. Un administrador que ve "denegada" tiene que poder entender de inmediato que alguien intentó entrar donde no debía, y no confundirlo con un equipo mal enrolado.

Sobre la duración

La columna de duración dice No confirmada, y eso es exacto.

El panel registra el arranque de la sesión, no el cierre. Lo sabe con certeza porque el visor le pide permiso al panel para empezar. Por eso no vas a ver un número, y tampoco un guion: un guion se leería como cero.

No estimamos la duración por vencimiento del permiso ni por ninguna otra vía. En una auditoría, un número inventado es peor que un dato faltante.

Por el mismo motivo, una fila en Iniciada no quiere decir "conexión en curso ahora mismo": quiere decir que arrancó. El panel no sabe si sigue abierta.

Errores comunes

El botón Conectar está gris. El equipo está offline o le falta su credencial. No es un problema de permisos.

"Falta instalar el viewer" y el visor está instalado. La detección es una heurística de dos segundos y a veces se equivoca. Cerrá el cartel y volvé a apretar Conectar.

Aprieto Conectar y no pasa nada. El permiso de conexión vive 60 segundos. Si el visor tardó en abrir, volvé a apretar Conectar para pedir uno nuevo.

Desde el Mural aprieto el botón y no hace nada. El Mural no avisa cuando el acceso está bloqueado. Si sospechás que es eso, probá desde el listado de Equipos, donde el botón sale gris y la razón se ve.

Un técnico dice que "desapareció" un equipo. No desapareció: dejó de tener capacidades sobre él. Revisá sus reglas de acceso.

Conecto a una Mac y la pantalla no se ve, o el teclado y el mouse no responden. Faltan permisos del sistema en el equipo. Revisá los tres en Ajustes del Sistema, Privacidad y seguridad. Los concede el usuario de la Mac, no vos.

Preguntas frecuentes

¿Sobre qué sistemas puedo tomar control remoto? Windows y macOS. En Linux no hay escritorio remoto.

¿La persona que usa el equipo tiene que aceptar algo? No. El acceso es desatendido. Por eso se controla desde el panel quién puede entrar a qué, y por eso todo intento queda auditado. En una Mac la excepción es de una sola vez: los tres permisos del sistema los concede el usuario del equipo antes de la primera conexión, no en cada sesión.

¿Cuánto vive el permiso de conexión? 60 segundos. Es de un solo uso.

¿Puedo cortar una sesión desde el panel? No. El panel no tiene forma de cerrar una sesión en curso.

¿Puedo ver si una sesión está abierta en este momento? No. El panel sabe cuándo arrancó, no si sigue viva.

¿Cuánto duró una sesión? La duración no se registra. Ver la explicación de arriba.

¿Por dónde viajó una sesión, LAN, directa o relay? El camino de la conexión se ve en el visor, no en la auditoría: el visor te lo muestra en su barra mientras estás conectado.

Le quito el acceso a un técnico que está conectado en este momento. ¿Se corta? No. Las reglas se evalúan al pedir el permiso de conexión. Quien ya está adentro sigue adentro hasta que cierre la ventana.

¿Puedo conectarme desde el teléfono? Desde el listado no: el botón no aparece en la vista móvil. Entrá a la ficha del equipo.

¿Se puede borrar una fila de la auditoría? No. Es evidencia, y por diseño no se borra.

¿Hasta cuántas filas exporta el CSV? Veinte mil. Si necesitás más, partí el rango de fechas.