Requisitos para instalar el sensor
Última actualización: 10 de noviembre de 2026
El sensor es el programa de Kuntur que vigila tu red. Se instala en una computadora de tu empresa que quede siempre encendida y envía a Kuntur solo información sobre lo que pasa en la red, nunca el contenido de tus archivos ni de tus correos. Esta página reúne todo lo que necesitas. Si no tienes personal técnico, puedes contratar la instalación asistida desde el panel (Sensores) y lo hacemos contigo en una sesión remota.
1. Resumen
| Modo básico | Modo completo | |
|---|---|---|
| Qué vigila | Equipos y vulnerabilidades de tu red, registros del firewall y tráfico del propio sensor | Todo lo anterior y el tráfico de toda la red |
| Procesador | 64 bits, 2 núcleos (x86-64 con SSE4.2, o ARM64) | 4 núcleos |
| Memoria | 4 GB | 8 GB |
| Disco libre | 32 GB | 100 GB |
| Tarjetas de red | 1 | 2: una para internet y otra para el puerto espejo |
| Switch | Cualquiera | Administrable, con puerto espejo (SPAN) |
| Tráfico máximo | — | Hasta 1 Gbps por sensor |
| Encendido | Siempre (24/7) | Siempre (24/7) |
Una red con varias sedes necesita un sensor por sede. Puedes empezar en modo básico y pasar al completo cuando conectes el puerto espejo, sin reinstalar.
2. Formas de instalarlo y sistemas compatibles
| Forma | Compatible con | Modo |
|---|---|---|
| Una línea en Linux | Ubuntu 22.04 y 24.04 LTS, Debian 12 y 13, Rocky Linux, AlmaLinux y Red Hat Enterprise Linux 9 (x86-64 y ARM64). Raspberry Pi 4 o 5 con sistema de 64 bits | Básico o completo |
| Instalador de Windows | Windows 10 y 11 de 64 bits, Windows Server 2019, 2022 y 2025 | Básico |
| Kuntur OS en memoria USB | Cualquier PC de 64 bits de los últimos 10 años (UEFI o BIOS) que puedas dedicar al sensor. Se borra todo su disco. Memoria USB de 2 GB o más | Básico o completo |
| Máquina virtual | Hyper-V (generación 2), VMware Workstation o ESXi, VirtualBox 7 y Proxmox, con la imagen Kuntur OS | Básico o completo |
| Paquetes .deb o .rpm | Los mismos sistemas Linux, para equipos de IT | Básico o completo |
- En Windows el sensor no analiza el tráfico de la red: recibe los registros del firewall y, si instalas Nmap (gratuito), busca equipos y vulnerabilidades.
- En máquinas virtuales, elige el procesador del equipo («host» en Proxmox): Suricata, el motor de detección, necesita la instrucción SSE4.2.
- Para el modo completo en una máquina virtual, la segunda tarjeta virtual debe conectarse a la tarjeta física que va al puerto espejo y aceptar tráfico en modo promiscuo.
3. Red y conexiones
Salida a internet (desde el sensor):
| Destino | Puerto | Para qué |
|---|---|---|
enroll.kuntur.nexelion.us | 443/TCP (HTTPS) | Conectar el sensor la primera vez y renovar su certificado |
ingest.kuntur.nexelion.us | 443/TCP (HTTPS) | Enviar los eventos y recibir ajustes y bloqueos aprobados |
kuntur.nexelion.us | 443/TCP (HTTPS) | Descargar el sensor y sus actualizaciones |
| Repositorios de tu sistema operativo | 80 o 443/TCP | Instalar Suricata, Nmap y las actualizaciones de seguridad |
rules.emergingthreats.net y www.openinfosecfoundation.org | 443/TCP | Reglas de detección de Suricata, una vez al día |
| Tu servidor de hora (NTP) | 123/UDP | Hora correcta: el certificado del sensor la exige |
- No hace falta abrir ningún puerto desde internet hacia tu red.
- La conexión sale directa, sin proxy HTTP. Si tu red solo permite salir por un proxy, escríbenos antes de instalar.
Entrada (solo desde tu red interna, opcional):
| Origen | Puerto | Para qué |
|---|---|---|
| Tu firewall y tus servidores | 514/UDP y 514/TCP | Recibir sus registros (Syslog) |
Recomendamos una dirección IP fija o una reserva de DHCP para el sensor, porque el firewall enviará sus registros a esa dirección.
4. Puerto espejo (solo modo completo)
El puerto espejo (SPAN o «port mirroring») es una función del switch que envía una copia de todo el tráfico a un puerto. El sensor solo mira esa copia: si se apaga, tu red sigue funcionando igual.
- Hace falta un switch administrable. Casi todos los de marcas como Cisco, HPE Aruba, Ubiquiti, TP-Link Omada, MikroTik, Netgear, D-Link o Fortinet lo tienen.
- Copia el puerto que va hacia tu firewall o router (la salida a internet) o el enlace principal de la red.
- El puerto del sensor debe ser de la misma velocidad o mayor que el puerto copiado.
- La tarjeta del sensor conectada al puerto espejo no lleva dirección IP; la configura el asistente.
5. Firewall (opcional)
- Registros: sirve cualquier firewall o servidor que envíe Syslog. Configúralo para enviarlo a la dirección del sensor, puerto 514.
- Bloqueos con tu aprobación (desde el plan Business): pfSense, OPNsense, FortiGate y MikroTik. Necesitas un usuario de API con permiso solo sobre la lista o alias de Kuntur. Ningún bloqueo se aplica sin que una persona de tu equipo lo apruebe, y todos se pueden deshacer.
6. Permisos y personas
- Una cuenta de administrador en el equipo del sensor (en Linux,
sudo). - Para la instalación asistida: una persona con acceso al equipo, y las credenciales del switch y del firewall si se van a configurar. La sesión dura alrededor de una hora.
- El código de instalación lo genera un administrador en el panel (Sensores). Dura 24 horas.
7. Aviso a tus empleados
Vigilar la red de una empresa exige, en muchos países, informar a los empleados de que el tráfico de la red se analiza por seguridad. Hazlo antes de activar el sensor, según la ley de tu país. Kuntur no guarda el contenido de las comunicaciones, solo datos sobre ellas (direcciones, puertos, nombres de dominio y alertas). Antes de generar el primer código de instalación, el panel (Sensores) muestra un modelo de aviso para copiarlo o descargarlo y pide que un administrador confirme que la empresa avisó; queda registrado quién lo confirmó y cuándo.
8. Verificar las descargas
Todo lo que publicamos está firmado con la clave GPG de Nexelion. La instalación de una línea lo comprueba sola. Para comprobarlo a mano:
curl -fLO https://kuntur.nexelion.us/descargas/SHA256SUMS.txt curl -fLO https://kuntur.nexelion.us/descargas/SHA256SUMS.txt.asc curl -fLO https://kuntur.nexelion.us/descargas/kuntur-release.gpg gpgv --keyring ./kuntur-release.gpg SHA256SUMS.txt.asc SHA256SUMS.txt sha256sum -c SHA256SUMS.txt --ignore-missing
La clave pública también está en kuntur-release.asc. En Windows, compara la huella con Get-FileHash kuntur-sensor-windows.exe en PowerShell. El instalador de Windows todavía no lleva la firma de Microsoft: si aparece «Windows protegió su PC», comprueba la huella y elige «Más información» y «Ejecutar de todas formas».