Nuevo

Acceso temporal a red
para agentes AI.

Da a agentes AI, consultores externos o cualquier colaborador puntual acceso temporal y acotado a recursos privados. Un binario. Un WebSocket. Auto-expira.

Sin enrollment VPN. Sin credenciales que rotar. Sin tickets al admin. El usuario que ya tiene acceso delega un subconjunto — con audit trail completo y politicas de seguridad configurables.

terminal
# 1. Registro (free tier — self-service, sin portal)
$ wzctl register --broker https://freetier.wireztna.com --email tu@ejemplo.com --save
Registered. Credentials saved to ~/.wzctl/config.json
# 2. Generar token de publisher (define que CIDRs son alcanzables)
$ wzctl token --broker https://freetier.wireztna.com --cidrs "10.0.2.0/24" --name mi-servidor
https://freetier.wireztna.com/enroll/pub_a7c3f...
# 3. En el servidor privado: enrollar publisher
$ sudo ./wireztna-publisher install --token "<url_de_wzctl_token>"
Publisher enrolled. Tunnel active.
# 4. Conectar — modo daemon para CI/Docker/agentes
$ wzctl connect --broker https://freetier.wireztna.com \
--publisher pub_a7c3f --target 10.0.2.30 --port 5432 \
--ttl 30m --local-port 5432 --daemon
Connected. Listening on 127.0.0.1:5432
Expires in 29m58s
# 5. Usalo — cualquier herramienta que hable TCP
$ psql -h localhost -p 5432 -U app production
production=# SELECT count(*) FROM orders;

Como funciona

Dos modos, un binario. El free tier es self-service desde cero. El tier Pro añade access passes delegados — un admin crea un pass acotado y lo comparte con el receptor.

Free Tier Self-service — tu configuras todo
1

Registro via CLI

Ejecuta wzctl register. Self-service, sin portal.

2

Genera un token

Ejecuta wzctl token --cidrs para crear una URL de enrollment.

3

Enrolla publisher

En el servidor privado, instala el publisher con el token.

4

Conecta

Ejecuta wzctl connect --daemon. El recurso en localhost.

Pro Acceso delegado — un usuario crea un pass, el receptor conecta
1

Usuario crea un pass

Via Web UI o wzctl pass create. Acotado a host:port, con TTL.

2

Comparte el pass

Envía el ID al consultor, CI job o agente AI. Es un token opaco corto.

3

El receptor conecta

Ejecuta wzctl connect --pass. Sin registro previo. Recurso en localhost.

4

El pass expira

Conexion cerrada. Audit log escrito. Sin cuentas zombie.

✓ Acotado a hosts + puertos especificos
✓ TTL no renovable (fuerza supervision humana)
✓ Revocacion instantanea por quien delega
✓ Audit completo: quien, que, cuanto, cuanto tiempo
✓ Solo salida por 443 (compatible con firewalls)
✓ Binario estatico de 5MB, cero dependencias
✓ Sin VPN, sin NET_ADMIN, sin root
✓ Limite de trafico opcional (max bytes)

Hecho para maquinas. Funciona para humanos.

El mismo mecanismo sirve para agentes AI operando de forma autonoma y para colaboradores humanos con una ventana de trabajo definida.

Agentes AI y automatizacion

  • → Ops bots debuggeando un cluster K8s — acotado al API server, 30 min
  • → Coding agents (Cursor, Copilot) consultando DBs de staging para validar SQL
  • → MCP servers conectando a APIs internas como backend de herramientas para LLMs
  • → CI/CD ejecutando tests de integracion contra servicios privados sin VPN en el runner

Colaboradores humanos

  • → Consultores externos — 2h de acceso a PostgreSQL para una auditoria de rendimiento
  • → Soporte de proveedor — acceso a tu servicio interno para investigar un ticket
  • → Freelancers — conexion a una API interna durante una ventana de entrega
  • → Equipos cruzados — acceso puntual al microservicio de otro equipo para testing
Para el ecosistema de agentes AI

Secure AI Agents

Expone APIs internas, MCP Servers y herramientas enterprise a agentes AI — sin VPNs, sin endpoints publicos, sin compartir credenciales.

El problema que nadie esta resolviendo bien

Todo el ecosistema de agentes AI — OpenAI Agents SDK, Claude Code, Cursor, Docker MCP, LangGraph, CrewAI, AutoGen — depende cada vez mas de MCP (Model Context Protocol) para conectar agentes con herramientas. Pero la mayoria de herramientas enterprise viven detras de redes privadas. Hoy tus opciones son: exponerlas a internet (peligroso), ejecutar el agente dentro de la VPN (complejo), o renunciar al acceso a herramientas privadas.

wzctl lo resuelve en una linea:

# Tu MCP server conecta a una API interna via wzctl
wzctl connect --broker $BROKER --publisher $PUB --target 10.0.2.5 --port 8080 --ttl 30m --local-port 8080 --daemon &
# Claude, GPT o cualquier agente llama tools MCP que apuntan a localhost:8080
# Sin endpoint publico. Sin VPN en el host del agente. Auto-expira.
M

MCP Servers

Da a tu MCP server acceso a bases de datos, APIs o servicios internos — sin exponerlos publicamente. El agente llama herramientas MCP; las herramientas alcanzan infra privada a traves del tunel.

C

Coding agents

Cursor, Copilot, Windsurf, Claude Code — que consulten DBs de staging, APIs internas o registros privados de paquetes. Acotado, temporal, auditado.

O

Agentes ops e infra

Bots autonomos diagnosticando incidencias, consultando clusters K8s, Prometheus, o ejecutando playbooks contra infraestructura privada. Tiempo limitado por diseno.

R

Pipelines RAG

Agentes de extraccion que necesitan acceso temporal de lectura a bases de datos o document stores internos para indexar knowledge bases. Sin credenciales permanentes.

W

Workflows agenticos

Workflows multi-paso con LangGraph, CrewAI o AutoGen que necesitan interactuar con servicios privados en pasos concretos. Cada paso recibe su propio pass acotado.

S

Ejecucion sandboxed

Agentes en Docker, Firecracker, E2B o cualquier sandbox sin NET_ADMIN. Solo necesita HTTPS saliente — wzctl corre sin privilegios.

Por que importa ahora

Todos los frameworks de agentes AI estan convergiendo en MCP para acceso a herramientas. Pero la capa de transporte asume que las herramientas son publicas o locales. Las herramientas enterprise no son ninguna de las dos. wzctl cierra ese gap: tu MCP server corre donde quieras (cloud, portatil, CI), y alcanza recursos privados a traves de un tunel acotado, temporal y auditable. Sin VPN en el host del agente. Sin endpoints publicos. Sin credenciales que filtrar.

Por que no simplemente crear una cuenta VPN?

Porque el acceso temporal deberia ser temporal. No "temporal hasta que alguien se acuerde de revocarlo."

Cuenta VPN completa Access Pass
Setup para el receptor Enrollment, login, instalar cliente, configurar Un binario, un comando
Alcance Todo lo de su grupo Solo host:port especifico
Ciclo de vida Permanente hasta que el admin revoque Auto-expira. Zero limpieza.
Quien lo provisiona Admin (ticket, cadena de aprobacion) El usuario que ya tiene acceso
Contexto de auditoria Generico "usuario accedio a la red" Quien delego, por que, cuanto tiempo, que hizo
Requisitos WireGuard, NET_ADMIN, root/admin HTTPS saliente. Eso es todo.

Descargar

Binario estatico. Sin runtime, sin dependencias.

Linux amd64 Linux arm64 macOS arm64 (Apple Silicon) macOS amd64 (Intel)

O instala via Go: go install github.com/wireztna/wzctl@latest

Empieza en 5 minutos

Descarga wzctl, regístrate, despliega un publisher, conecta. Guía paso a paso completa con ejemplos para Docker, CI/CD y macOS.

Guía de inicio rápido Free Tier

Ejemplos de integracion

Funciona en cualquier lugar donde puedas ejecutar un binario o importar un paquete.

// MCP tool: acceso a una DB privada para un agente AI
// El agente llama a este tool, obtiene acceso temporal a la DB
const tunnel = await wireztna.connect({
pass: process.env.WIREZTNA_PASS,
broker: process.env.WIREZTNA_BROKER,
localPort: 5432
});
// Ahora conecta a localhost:5432 como si fuera la DB privada
const db = new Client("postgresql://localhost:5432/app");

Deja de compartir credenciales.

wzctl esta incluido en todos los planes WireZTNA. Sin coste adicional.

Hablemos Descargar binario