Tailscale VPN crea una red en malla punto a punto (tailnet) que conecta dispositivos sin obligar a que el tráfico pase por un servidor central. Tailscale PAM (privileged access management) no sustituye esa capa de red: añade una capa de control y auditoría diseñada para gestionar el acceso privilegiado a infraestructura y aplicaciones.
Qué cambia con Tailscale PAM
La diferencia principal es funcional: mientras el VPN de Tailscale se ocupa de establecer conexiones seguras y de aplicar controles de identidad y ACLs a nivel de red, Tailscale PAM se centra en quién puede acceder a qué recursos, cuándo y con qué permisos, y en dejar un registro detallado de esas sesiones.
Para lograrlo, PAM introduce los llamados PAM connectors: procesos (en contenedores, máquinas o servidores) que se despliegan en la misma red que los servicios a los que se desea dar acceso. Cada conector establece un túnel cifrado con los dispositivos del usuario y actúa como mediador entre el tailnet y el recurso local.
Cómo funciona en la práctica
- Identidad unificada: PAM reutiliza la capa de identidad de Tailscale, de modo que los permisos se aplican por usuario y por dispositivo registrado en el mismo admin console.
- Acceso a servicios específicos: los conectores permiten controlar accesos a SSH, bases de datos (varias variantes), clústeres Kubernetes, RDP y aplicaciones web, sin necesidad de instalar cliente Tailscale en cada servidor.
- Credential injection: los conectores pueden inyectar credenciales o tokens a servicios, evitando compartir contraseñas persistentes entre usuarios y facilitando la rotación centralizada de credenciales.
- Políticas de privilegio fino: se pueden definir permisos muy concretos —por ejemplo, permitir inserciones en una tabla pero bloquear eliminaciones— y aprobar conexiones en tiempo real.
Registro y auditoría: el valor añadido
Una de las ventajas que destaca Tailscale es la visibilidad que aporta PAM: cada conexión puede quedar registrada con identidad de usuario, dirección IP, información del dispositivo, localización aproximada, hora y duración. Además, para servicios concretos es posible activar grabación de sesión: logs de consultas para bases de datos, registros de texto y replays en vídeo para SSH, y grabación de actividades en HTTP, Kubernetes o S3.
Las grabaciones se almacenan por defecto en la infraestructura administrada por Tailscale; quienes necesiten control total sobre los datos pueden configurarlas para que se guarden en un bucket de Amazon S3, según la compañía.
¿A quién afecta y qué debe hacer un administrador?
Tailscale PAM está pensado para equipos que ya usan Tailscale para conectar dispositivos y quieren gestionar accesos administrativos y de servicio con mayor control y trazabilidad. Afecta especialmente a responsables de operaciones, seguridad y a dueños de bases de datos o clústeres que requieren controlar quién ejecuta qué en producción.
Acciones prácticas recomendadas:
- Evaluar redes o VLANs donde desplegar al menos un PAM connector por segmento que se quiera alcanzar; considerar desplegar varios conectores por redundancia.
- Revisar e integrar la capa de identidad existente (proveedor SSO/IdP) con Tailscale para aplicar permisos centrados en usuarios y dispositivos.
- Planificar el uso de credential injection para eliminar la distribución manual de contraseñas y definir una política de rotación centralizada.
- Decidir el nivel de grabación/auditoría: activar logs básicos o grabaciones completas según requisitos de cumplimiento y retención; si se necesita control total de datos, configurar almacenamiento en S3.
Limitaciones y notas prácticas
Arquitectónicamente, el uso de PAM connectors introduce un punto agregado en la topología que se parece a un hub local; Tailscale mitiga esto permitiendo múltiples conectores por red para redundancia. Además, aunque los usuarios con cliente Tailscale pueden acceder de forma transparente a aplicaciones locales, PAM permite también accesos vía navegador cuando instalar cliente no es viable.
En resumen, Tailscale PAM no reemplaza el VPN: lo complementa aportando gestión granular de accesos, eliminación de credenciales compartidas y un registro detallado de sesiones que facilita auditorías y respuesta a incidentes.
Lee también:
- Por qué las alertas aisladas no bastan: la red como hilo que une incidentes en el SOC
- Exploit PHP2Shell se usa con apoyo de IA para atacar infraestructuras PHP y un organismo público europeo
Fuente: Blog on Tailscale
