OS Network Admin

os-network-admin es el plano de control de una Red Privada PointSav (PPN). Se ejecuta en la máquina del administrador de red — típicamente en hardware físico en el sitio principal del operador, o dentro de un contenedor LXC en el nodo de flota local — y proporciona dos funciones: un sustrato de enrutamiento e integridad de túnel para la malla WireGuard, y una superficie de aprobación del operador para la ceremonia de unión de nodos.

Posición en la pila

os-network-admin lleva el prefijo os-, que lo marca como un componente de la capa Foundation — por debajo de la capa de aplicación, proporcionando servicios a nivel de sistema sin lógica orientada al usuario. Es un complemento de Capa 1 para os-console, no uno de los tres sistemas operativos de nivel de archivo (os-totebox, os-console, os-orchestration).

Componente	Capa	Rol
os-totebox	Nivel de archivo	Bóveda soberana de datos por entidad
os-console	Nivel de archivo	Terminal del operador orientada al teclado
os-orchestration	Nivel de archivo	Agregador de datos de múltiples archivos
os-network-admin	Foundation	Plano de control PPN + superficie de ceremonia

Esta distinción es importante: os-network-admin no almacena ni procesa datos de negocio. No contiene claves de archivo, credenciales MBA ni cartuchos F-key. Es una capa de transporte segura y ciega para la infraestructura PPN — la entidad que gestiona qué nodos físicos están autorizados en la malla, no lo que se ejecuta en ellos.

Qué hace

Enrutamiento e integridad de túnel

os-network-admin establece y mantiene la malla WireGuard en la interfaz wg0. Gestiona la distribución del mapa de pares, supervisa la actividad del túnel y aplica las reglas del Diodo que restringen qué nodos pueden enviar comandos a qué destinos. No inspecciona el contenido del tráfico que fluye a través de los túneles.

Ceremonia de unión de nodos

Cuando un nuevo nodo físico quiere unirse a la malla PPN, genera un código corto en base32 de Crockford (ocho caracteres, aproximadamente 40 bits de entropía). El operador ingresa este código en os-network-admin. Un intercambio CPace PAKE establece una clave de sesión compartida a través del canal de código corto; una comparación de Cadena Corta Autenticada (SAS) cierra la brecha de intermediario. Bajo esta clave, el nodo que se une envía su clave pública WireGuard, recibe un certificado firmado por la CA del clúster y el mapa de pares se distribuye automáticamente.

La implementación mínima actual consulta el backend service-ppn-pairing en busca de solicitudes pendientes y las imprime en la salida estándar. La aprobación del operador se emite mediante una solicitud HTTP POST a ese backend — ilustrada abajo contra una dirección de marcador de posición (según el rango de documentación de la RFC 5737), no un punto de conexión real de despliegue:

PAIRING_SERVER=http://192.0.2.10:9205 ./os-network-admin

# Aprobar una unión pendiente desde otra terminal:
curl -s -X POST http://192.0.2.10:9205/v1/node-join/approve \
     -H 'Content-Type: application/json' \
     -d '{"code":"XXXX-XXXX"}'

Se planea una TUI completa controlada por teclado — con teclas de aprobación/denegación (a/d), visualización de código QR mediante system-pairing-codes::qr_unicode y cuenta regresiva de vencimiento — como superficie del operador de producción.

Relación con app-network-admin

app-network-admin es la interfaz del Terminal F8 que se ejecuta sobre os-network-admin. Proporciona dos superficies:

• Superficie de comandos HTTP en el puerto 8085 — acepta la intención del operador en lenguaje natural, la enruta a través de service-slm para producir un comando autorizado y lo despacha a la malla
• Transmisión UDP a la malla en el puerto 9206 por defecto (PPN_MESH_LISTEN_PORT lo puede sobrescribir) — envía cargas útiles binarias firmadas a las direcciones de pares PPN. El puerto 8090 pertenece a un crate distinto, system-udp, que habla un protocolo de difusión diferente, basado en JSON, en su propio MESH_PORT — son dos mecanismos distintos, no dos nombres para el mismo.

La división os- / app- sigue la convención de nomenclatura estándar Foundation/Aplicación: os-network-admin es el sustrato del SO; app-network-admin es la aplicación orientada al operador que se ejecuta sobre él.

Relación con route-network-admin

route-network-admin es el nombre de instancia de despliegue para el nodo de administración de red en la flota del cliente. No es una base de código separada. Una entrada route-network-admin-1 en un manifiesto de flota significa que un nodo físico en esa ubicación está ejecutando os-network-admin como su carga de trabajo principal.

Hardware de destino

El hardware de referencia canónico es una plataforma Intel Sandy Bridge i5-2400S con una NIC Broadcom 14e4:16b4. Esta máquina es especialmente adecuada como nodo de autoridad de comando: tiene VT-x de hardware real (para ejecutar VMs en la misma máquina si es necesario), una NIC Broadcom para la que system-substrate-broadcom proporciona el sustrato de detección de silicio, y una ubicación física estable en el sitio del operador.

Para despliegues donde dedicar hardware físico no es práctico, os-network-admin puede ejecutarse dentro de un contenedor LXC en el nodo de flota local, con la interfaz WireGuard puenteada desde el host.

Autoridad criptográfica nula

os-network-admin no contiene F-keys, credenciales MBA ni capacidades de carga útil. No puede leer el contenido del estado interno de las VMs. No puede aprobar el acceso a archivos. Su función es conocer qué nodos físicos están en la malla y hacer cumplir esa membresía — nada más. Esta restricción arquitectónica es intencional: mantener el plano de control de red separado del plano de datos significa que una brecha en la capa de enrutamiento no otorga acceso a los contenidos del archivo.

Disciplina del Diodo

Los comandos fluyen hacia abajo: os-network-admin → os-infrastructure (capa hipervisor) → VMs. Ninguna VM puede emitir comandos de regreso a os-network-admin. Ningún archivo puede instruir a la malla para agregar o eliminar un nodo. Esta disciplina unidireccional es el mismo Diode standard que rige el nivel de archivo (os-console → os-orchestration → os-totebox).

Véase también

• Malla Soberana — la superposición WireGuard y el protocolo de comando binario de 16 bytes
• Protocolo Génesis — la secuencia de arranque autónomo que ejecuta os-network-admin en un nodo nuevo
• Autorización basada en máquina — el modelo de emparejamiento MBA que gobierna el acceso al nivel de archivo
• os-infrastructure — Sistema Operativo de Nodo PPN — la capa de hipervisor Tipo I que gestiona os-network-admin
• Estándar del diodo — la jerarquía de autoridad y las reglas de tráfico que aplica el plano de control