Categoría: Gestión de equipos
Fleet gestionado: MDM de software libre con inventario y parches en vuestro servidor
Saber qué portátiles tenéis, qué llevan instalado, cuáles van atrasados con las actualizaciones y cuáles no cumplen lo mínimo, desde un panel de código abierto montado en vuestro servidor.
- Dónde se monta
- En vuestra cuenta, a vuestro nombre
- Copias
- Con restauración probada
- Actualizaciones
- Planificadas y documentadas
- Licencia
- Versión gratuita MIT; funciones de Fleet Premium con licencia comercial
En resumen
Fleet es una plataforma de código abierto para gestionar equipos Windows, Mac y Linux, y también móviles y Chromebooks. Su agente, fleetd, se basa en osquery: inventaría hardware y software, detecta programas con vulnerabilidades conocidas y comprueba políticas. Lo montamos en vuestro servidor, desplegamos el agente, escribimos las políticas en código y lo mantenemos al día.
O llamadnos al 644 00 76 20
¿Qué nos encargamos de mantener?
En cuanto hay más de unos pocos portátiles, nadie sabe de memoria cuáles tienen el disco cifrado, cuáles llevan meses sin actualizarse o quién se ha instalado qué. Fleet responde a esas preguntas con datos de cada equipo. Para que sirva, hay que llevar el agente a todos, decidir qué se comprueba y mirar los resultados.
Servidor
Fleet, MySQL y Redis dimensionados, con certificado TLS, copias y actualizaciones.
Agentes
fleetd en cada equipo, control de los que dejan de informar y alta de los equipos nuevos.
Inventario
Hardware, sistema y programas de cada equipo, consultables y exportables.
Políticas
Preguntas de sí o no sobre cada equipo, con la lista de los que no cumplen.
Vulnerabilidades
Programas instalados con vulnerabilidades conocidas (CVE), equipo por equipo.
GitOps
Políticas, consultas, scripts y perfiles en un repositorio, aplicados con fleetctl.
¿Qué entra en la versión gratuita y qué no?
La versión gratuita cubre lo que más necesita una pyme o una empresa de software: saber qué hay y qué no cumple. Lo que obliga a los equipos a hacer algo por su cuenta, como cifrar el disco o instalar las actualizaciones del sistema, está en Fleet Premium.
| Necesidad | Versión gratuita (MIT) | Fleet Premium |
|---|---|---|
| Inventario de hardware y software | Sí | Sí |
| Software con vulnerabilidades conocidas (CVE) | Sí | Sí, con puntuaciones EPSS y CVSS y el catálogo CISA KEV |
| Políticas y scripts | Sí | Sí |
| Perfiles de configuración en Mac y Windows | Sí | Sí |
| Forzar el cifrado del disco y guardar las claves | No | Sí (FileVault, BitLocker y LUKS) |
| Forzar las actualizaciones del sistema | No | Sí |
| Instalar aplicaciones y bloquear o borrar un equipo a distancia | No | Sí |
| Roles por grupo de equipos y doble factor propio del panel | No | Sí |
Con la versión gratuita, el cifrado del disco y las actualizaciones se pueden comprobar con políticas y corregir con scripts; lo que no hace es imponerlos. Para el doble factor en el panel, lo habitual es entrar con el inicio de sesión único de la empresa, que sí está en la versión gratuita.
¿Qué problemas encontramos más a menudo?
- Agentes que dejan de informar: equipos que salen de la oficina y no llegan al servidor, o un agente desinstalado sin que nadie lo note.
- Certificado de Apple caducado: si no se renueva a tiempo, o se renueva con otra cuenta de Apple, los Mac dejan de recibir órdenes del MDM.
- Políticas que nadie mira: el panel en rojo durante semanas porque los fallos no llegan a ninguna persona.
- Cambios hechos a mano en el panel: nadie sabe quién cambió una política ni por qué.
- Base de datos sin copia: si se pierde MySQL, se pierde el inventario y la configuración del MDM.
¿Cuándo no tiene sentido?
Con tres o cuatro ordenadores, un inventario en una hoja y una revisión periódica suelen bastar, y montar un servidor más no compensa. Si ya pagáis Microsoft 365 con Intune y todos los equipos son Windows, conviene aprovecharlo antes de añadir otra herramienta. Y si lo que buscáis es detectar ataques, no inventariar, encaja mejor un SIEM como Wazuh. Fleet compensa cuando hay equipos de varios sistemas, cuando os piden evidencias de que los equipos cumplen unas reglas o cuando queréis los datos en vuestro servidor.
¿Cómo hacemos copias y actualizaciones?
Toda la información de Fleet vive en MySQL, así que la copiamos cada día fuera del servidor y restauramos de prueba. La configuración está además en el repositorio con GitOps, de modo que se puede reconstruir. Actualizamos el servidor de Fleet siguiendo sus notas de versión, después de copiar la base de datos, y dejamos que el agente fleetd se actualice solo, que es como viene configurado. El certificado de Apple se renueva con la misma cuenta de la empresa antes de que caduque.
¿Cómo es el soporte día a día?
En una oficina, Fleet entra en el mantenimiento informático para empresas: lo usamos para saber qué equipos van atrasados y corregirlos. En una empresa de software, el inventario de software de los portátiles del equipo completa la gestión de vulnerabilidades de la plataforma. En los dos casos, cada mes os llega el estado de los equipos: los que no cumplen alguna política, los que tienen software vulnerable y lo que se ha corregido. Lo contamos con más detalle en la guía de gestión de equipos con Fleet.
- fleetdAgente con osquery en cada equipo
- FleetServidor, panel y API
- MySQLInventario, políticas y configuración
- RedisColas y caché
¿Dónde lo montamos?
En vuestra cuenta, en el proveedor que ya uséis o en el que mejor encaje. Si los datos tienen que quedarse en la UE, Hetzner y OVHcloud son las opciones europeas.
Proveedores en los que lo montamos
- Hetzner
- AWS
- Google Cloud
- Servidor propio
| Proveedor | Cómo lo montamos | A tener en cuenta |
|---|---|---|
| Hetzner | Un servidor cloud con Fleet, MySQL y Redis, o MySQL aparte en un segundo servidor, con copias a Object Storage. | Suficiente para los equipos de una pyme o de una empresa de software mediana. |
| AWS | Fleet en contenedores con RDS para MySQL y ElastiCache para Redis; Fleet publica una guía con Terraform para AWS. | |
| Google Cloud | Fleet en contenedores o en una máquina virtual, con Cloud SQL para MySQL y Memorystore para Redis. | |
| Servidor propio | Fleet, MySQL y Redis en vuestro servidor o en una máquina virtual, publicado con un certificado TLS válido. | Los equipos tienen que poder llegar al servidor desde fuera de la oficina; si no, dejan de informar cuando se los llevan a casa. |
Qué incluye
- Fleet en vuestro servidor o vuestra cuenta cloud, con MySQL, Redis y certificado TLS, y el panel detrás de VPN o inicio de sesión único.
- El agente fleetd instalado en los equipos Windows, Mac y Linux, con los instaladores guardados para las altas nuevas.
- Inventario de equipos y software al día, con aviso de los programas que tienen vulnerabilidades conocidas.
- Políticas de sí o no (disco cifrado, firewall activo, sistema actualizado, bloqueo de pantalla) con los equipos que no las cumplen.
- Scripts para corregir lo habitual en un equipo sin que la persona tenga que hacer nada.
- MDM de Mac y Windows cuando hace falta: certificado de Apple, perfiles de configuración y su renovación anual.
- Configuración en un repositorio con GitOps, para que cada cambio quede revisado y se pueda deshacer.
- Copias de la base de datos con restauración probada y actualizaciones del servidor y del agente.
Preguntas frecuentes
¿Fleet es gratis?
La versión gratuita tiene licencia MIT y la podéis usar sin pagar nada al fabricante: inventario, políticas, scripts, detección de software vulnerable, perfiles de configuración y GitOps. Algunas funciones, como forzar el cifrado del disco o las actualizaciones del sistema, instalar aplicaciones o bloquear y borrar un equipo a distancia, son de Fleet Premium, que se paga al fabricante por número de equipos. Os decimos antes qué necesitáis de verdad.
¿Qué ve Fleet de cada persona?
Datos del equipo: hardware, sistema, programas instalados, configuración y el resultado de las políticas. Fleet explica en su documentación que no recoge pulsaciones de teclado, correos ni la cámara. Aun así, conviene avisar al equipo de qué se recoge y para qué, y lo dejamos por escrito.
¿Sirve para los Mac?
Sí. Para usarlo como MDM en Mac, iPhone y iPad hace falta conectar Fleet con el servicio de notificaciones de Apple mediante un certificado que se renueva cada año, siempre con la misma cuenta de Apple. Lo dejamos a nombre de la empresa y con la renovación en el calendario.
¿Necesitamos Intune o Microsoft Entra ID para los Windows?
No necesariamente. Fleet puede dar de alta los equipos Windows en su MDM a través de su propio agente, sin Intune. Solo si queréis el alta automática con Entra o Autopilot hacen falta Fleet Premium y una licencia Microsoft Entra ID P1 por persona.
¿Fleet sustituye a un antivirus o a Wazuh?
No. Fleet sirve para saber cómo están los equipos y corregirlos: inventario, parches, configuración y políticas. La detección de amenazas y la recogida de eventos es otra cosa; si la necesitáis, la montamos con Wazuh.
Contadnos vuestro caso
Llamadnos o escribidnos y os decimos dónde estáis y por dónde empezar. Gratis y sin compromiso.
O llamadnos al 644 00 76 20
Documentación oficial consultada
Los datos técnicos de esta página se basan en:
- Fleet: funciones de la versión gratuita y de Fleet Premium
- Fleet documentation: Reference architectures
Revisado el