Instalar Umbral Remote Lite

Prepara Docker en tu equipo y arranca Umbral Remote Lite. Si todavía no tienes tu llave de licencia, pídela gratis. Esta guía es la misma que trae el manual del portal.

Instalar Docker

Umbral Remote Lite es un contenedor de Linux (linux/amd64 y linux/arm64). Corre en cualquier equipo donde Docker pueda correr contenedores de Linux. Esta página explica cómo preparar Docker; el docker run está en Instalación y actualización.

Dónde conviene instalarlo

Equipo	Para qué	Qué hay que saber
Servidor o VM Linux	Lo recomendado para uso diario	Docker Engine es gratis, arranca solo con el equipo y no necesita a nadie con sesión abierta.
Windows Server	Si no tienes otro equipo	Docker Desktop no se instala en Windows Server. Usa una VM Linux en Hyper-V (lo más estable) o WSL.
Windows 10 u 11	Pruebas u oficinas pequeñas	Docker Desktop solo corre con una sesión de Windows abierta.
WSL (Windows)	Pruebas	Para que otros equipos entren hay que configurar la red de WSL.
Mac	Pruebas	Docker Desktop; el Mac no debe entrar en reposo.

Lo que necesita, en cualquier caso:

64 bits (Intel/AMD o ARM), al menos 2 núcleos y 2 GB de memoria libres para el contenedor (en reposo usa unos 300 MB; cada sesión abierta suma) y unos 2 GB de disco para la imagen y los datos.
Salida a Internet para descargar la imagen y renovar la licencia cada hora.
Que tus usuarios lleguen a los puertos 443 (HTTPS) y 80 (HTTP) del equipo, y que el equipo llegue al 3389 (RDP) de tu Windows Server.

Licencia de Docker Desktop: es gratis para uso personal, educación y empresas de menos de 250 personas y menos de US$10 millones al año. Si tu empresa es más grande, Docker Desktop necesita una suscripción de pago. Docker Engine en Linux (también dentro de WSL) es gratis siempre.

Linux

Sirve para Ubuntu, Debian, Red Hat Enterprise Linux, Rocky, Alma y Fedora, en un servidor, una VM o una nube.

Instala Docker Engine con el script oficial de Docker:
```
curl -fsSL https://get.docker.com | sudo sh
```
Si prefieres hacerlo paso a paso con el repositorio de tu distribución, sigue la guía de Docker en docs.docker.com/engine/install. No uses el paquete docker.io de algunas distribuciones si es muy viejo.
Haz que arranque con el equipo:
```
sudo systemctl enable --now docker
```
Comprueba que funciona:
```
sudo docker run --rm hello-world
```

Abre los puertos 80 y 443 si tu servidor tiene cortafuegos:

sudo ufw allow 80,443/tcp                                                     # Ubuntu con ufw
sudo firewall-cmd --permanent --add-service=http --add-service=https && sudo firewall-cmd --reload   # Red Hat, Rocky, Alma

En una nube (AWS, Azure, Google Cloud, OpenStack…), ábrelos también en el grupo de seguridad de la VM.

Los comandos de Instalación van con sudo delante (sudo docker login …, sudo docker run …), o agrega tu usuario al grupo docker con sudo usermod -aG docker $USER y vuelve a entrar.

Windows Server

Docker Desktop no se puede instalar en Windows Server, y el Docker que trae Windows Server solo corre contenedores de Windows, no de Linux. Tienes dos caminos:

Una VM Linux en Hyper-V (recomendado). Crea una VM con Ubuntu Server 24.04 (2 núcleos, 4 GB, 20 GB de disco) conectada a un conmutador externo, para que tenga su propia dirección en tu red. Dentro, sigue Linux. La VM arranca sola con el servidor si en Hyper-V eliges Acción de inicio automático → Iniciar siempre.
WSL en Windows Server 2022 o 2025: sigue WSL.

Si es el mismo Windows Server que publica tus apps: funciona, pero es mejor un equipo aparte; si el Windows se reinicia por actualizaciones, también se cae Umbral Remote Lite. Si ese servidor tiene Acceso web de Escritorio remoto (IIS), ya ocupa el 443: publica Umbral Remote Lite en otro puerto (ver Instalación).

Windows 10 u 11 con Docker Desktop

En PowerShell como administrador, instala WSL (Docker Desktop lo usa por dentro) y reinicia:
```
wsl --install
```
Descarga Docker Desktop de docker.com/products/docker-desktop e instálalo con la opción Use WSL 2 marcada.
Ábrelo y, en Settings → General, marca Start Docker Desktop when you sign in to your computer.

Abre los puertos en el cortafuegos de Windows (PowerShell como administrador):

New-NetFirewallRule -DisplayName "Umbral Remote Lite" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow

Corre los comandos de Instalación en PowerShell. En PowerShell cada línea que sigue termina con un acento grave en lugar de la diagonal invertida (\); lo más simple es escribir el docker run en una sola línea:

docker run -d --name umbral-lite --restart unless-stopped --stop-timeout 30 -p 443:8443 -p 80:8080 -e UMBRAL_PUERTO_HTTPS=443 -v umbral-lite:/data -e UMBRAL_LICENSE_KEY='UMB1-...' --read-only --tmpfs /tmp:size=256m registry.umbralremote.com/umbral-lite:latest

Docker Desktop, y con él Umbral Remote Lite, solo corre mientras alguien tiene la sesión de Windows abierta. Si el equipo se reinicia, alguien tiene que entrar. Configura también que el equipo no entre en reposo (Configuración → Sistema → Inicio/apagado y suspensión → Nunca).

WSL

WSL corre un Linux dentro de Windows. Docker Engine se instala en ese Linux, sin Docker Desktop. Necesita Windows 10 u 11, o Windows Server 2022 o 2025.

En PowerShell como administrador, instala Ubuntu y reinicia si te lo pide:
```
wsl --install -d Ubuntu-24.04
```
Abre Ubuntu 24.04 desde el menú Inicio, crea tu usuario y revisa que systemd esté encendido (en Ubuntu reciente ya viene así):
```
cat /etc/wsl.conf
```
Debe decir systemd=true en [boot]. Si no, agrégalo con sudo nano /etc/wsl.conf:
```
[boot]
systemd=true
```
y en PowerShell corre wsl --shutdown para que tome el cambio.
Dentro de Ubuntu, sigue los pasos 1 a 3 de Linux.
Que otros equipos lleguen. Por omisión WSL solo se ve desde el mismo Windows (https://localhost). En Windows 11 22H2 o posterior, enciende la red en espejo: crea o edita %UserProfile%\.wslconfig con
```
[wsl2]
networkingMode=mirrored
```
corre wsl --shutdown, vuelve a abrir Ubuntu y abre los puertos en los cortafuegos de Windows y de WSL (PowerShell como administrador):
```
New-NetFirewallRule -DisplayName "Umbral Remote Lite" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow
Set-NetFirewallHyperVVMSetting -Name '{40E0AC32-46A5-438A-A0B2-2B479E8F2E90}' -DefaultInboundAction Allow
```
Con la red en espejo, Umbral Remote Lite queda en la misma dirección IP que el Windows.
Que siga corriendo. WSL apaga Linux cuando no hay ninguna ventana de WSL abierta. Para que Umbral Remote Lite siga en pie, crea una tarea programada que lo mantenga encendido desde que arranca Windows (PowerShell como administrador, cambia TU_USUARIO por tu usuario de Windows):
```
$accion = New-ScheduledTaskAction -Execute "wsl.exe" -Argument "-d Ubuntu-24.04 --exec sleep infinity"
$inicio = New-ScheduledTaskTrigger -AtStartup
Register-ScheduledTask -TaskName "Umbral Remote Lite (WSL)" -Action $accion -Trigger $inicio -User "TU_USUARIO" -RunLevel Highest
```
Windows te pide la contraseña de esa cuenta para correr la tarea sin sesión abierta. Con systemd encendido, Docker y el contenedor (por su --restart unless-stopped) arrancan solos cuando arranca Ubuntu.

Mac

Sirve en Mac con Apple Silicon (M1 en adelante) o Intel. La imagen trae las dos arquitecturas, así que no hay emulación.

Descarga Docker Desktop de docker.com/products/docker-desktop (elige Apple Silicon o Intel) e instálalo.
Ábrelo y, en Settings → General, marca Start Docker Desktop when you sign in to your computer.
Corre los comandos de Instalación en Terminal.
Que el Mac no duerma: en Ajustes del Sistema → Energía (o Batería → Opciones), enciende Evitar el reposo automático cuando la pantalla esté apagada. Si el macOS pregunta si Docker puede recibir conexiones, di que sí.

Como en Windows, Docker Desktop solo corre con una sesión abierta en el Mac. Para uso diario, mejor un servidor Linux.

Comprobar

Con Docker listo y Umbral Remote Lite creado (Instalación):

docker ps --filter name=umbral-lite
docker logs umbral-lite

docker ps debe mostrar el contenedor como Up … (healthy) y los logs, «Umbral Remote Lite está listo». Después abre https://<dirección del equipo> desde otro equipo de tu red. Si no abre, revisa los puertos del cortafuegos y Problemas comunes.

Instalación y actualización

Umbral Remote Lite es una imagen de Docker para linux/amd64 y linux/arm64. Corre en cualquier equipo con Docker y salida a Internet. Si todavía no tienes Docker, empieza por Instalar Docker (Linux, Windows, WSL y Mac).

Instalar

Entra al registro de imágenes con tu llave (la contraseña es la llave UMB1-… que te llegó por correo):
```
docker login registry.umbralremote.com -u lite
```

Crea el contenedor:

docker run -d --name umbral-lite --restart unless-stopped --stop-timeout 30 \
  -p 443:8443 -p 80:8080 \
  -v umbral-lite:/data \
  -e UMBRAL_LICENSE_KEY='UMB1-...' \
  -e UMBRAL_TLS=auto \
  -e UMBRAL_PUERTO_HTTPS=443 \
  -e TZ=America/Mexico_City \
  --read-only --tmpfs /tmp:size=256m \
  registry.umbralremote.com/umbral-lite:latest

Abre https://<tu servidor> en el navegador. La primera vez aparece Crea tu administrador: pega tu llave de licencia (la misma del comando, empieza con UMB1-), elige tu usuario y tu contraseña y da clic en Crear y entrar. Después registras tu verificación en dos pasos.
La llave prueba que el servidor es tuyo: sin ella nadie puede crear el administrador. En cuanto existe la primera cuenta, esta pantalla ya no aparece.

Variables

Variable	Qué es
`UMBRAL_LICENSE_KEY`	La llave `UMB1-…`. Obligatoria la primera vez; después queda guardada en el volumen.
`UMBRAL_TLS`	`auto`: certificado autofirmado (por omisión). `acme`: Let's Encrypt, pide `UMBRAL_DOMINIO` y `UMBRAL_ACME_EMAIL`. `proxy`: HTTP en el 8080 detrás de tu propio proxy, que debe mandar `X-Forwarded-Proto`.
`UMBRAL_DOMINIO`	El nombre con el que se entra, por ejemplo `remoto.tuempresa.mx`.
`UMBRAL_ACME_EMAIL`	Correo para Let's Encrypt.
`UMBRAL_PUERTO_HTTPS`	El puerto HTTPS que ven tus usuarios, para mandar ahí a quien entra por `http://`. Por omisión 8443 (443 con `acme`). Si publicas `-p 443:8443`, ponlo en `443`.
`UMBRAL_PROXY_CONFIABLE`	Con `proxy`: de qué redes se aceptan `X-Forwarded-*` (por omisión, las privadas), por ejemplo `172.17.0.0/16`.
`TZ`	Zona horaria.

Puertos y datos

Dentro del contenedor, 8443 es HTTPS y 8080 redirige a HTTPS, salvo en modo proxy, donde sirve el portal. Con -p 443:8443 -p 80:8080 tus usuarios entran por los puertos de siempre.
Todo lo que guarda Umbral Remote Lite va en el volumen **/data**: la base, la licencia, la unidad virtual, la bitácora, las impresiones y los certificados. Respáldalo; sin él, empiezas de cero.
El contenedor no tiene shell: no hay docker exec al que entrar. Lo que pasa adentro se ve con docker logs umbral-lite.

Otro puerto

Si el 443 del equipo ya está ocupado (por ejemplo, por el Acceso web de Escritorio remoto o por otro sitio), publica Umbral Remote Lite en otro puerto y díselo:

docker run -d --name umbral-lite --restart unless-stopped --stop-timeout 30 \
  -p 8443:8443 -p 8080:8080 \
  -v umbral-lite:/data \
  -e UMBRAL_LICENSE_KEY='UMB1-...' \
  -e UMBRAL_PUERTO_HTTPS=8443 \
  --read-only --tmpfs /tmp:size=256m \
  registry.umbralremote.com/umbral-lite:latest

Tus usuarios entran a https://<servidor>:8443. Let's Encrypt (acme) necesita los puertos 80 y 443: si no los tienes libres, usa auto o pon Umbral Remote Lite detrás de tu proxy (proxy).

Actualizar

Cuando hay una versión nueva, la administración lo avisa arriba y en Acerca de con los comandos para copiar:

docker pull registry.umbralremote.com/umbral-lite:latest
docker stop umbral-lite
docker rm umbral-lite

Luego vuelve a correr el docker run: el aviso ya lo trae armado con las opciones con que arrancaste este contenedor (modo de certificado, dominio, zona horaria). Si publicaste otros puertos o le pusiste otro nombre al volumen, cámbialos por los tuyos. La llave de licencia ya está guardada en el volumen, así que no hace falta repetirla. Tus usuarios, conexiones y la licencia están en /data y no se pierden; la base se pone al día sola al arrancar.

Umbral Remote Lite revisa si hay versión nueva al arrancar y después cada 6 horas.
Actualizar toma un minuto: las sesiones abiertas se cortan. Hazlo fuera del horario de trabajo.
Si docker pull pide usuario, entra otra vez al registro con docker login registry.umbralremote.com (la contraseña es tu llave de licencia).

Actualizar sola con Watchtower

Si prefieres que se actualice sin que nadie corra los comandos, puedes usar Watchtower, una herramienta de la comunidad que revisa el registro, baja la imagen nueva y vuelve a crear el contenedor con las mismas opciones. Es opcional y no es parte de Umbral Remote Lite: el proyecto original (containrrr/watchtower) dejó de mantenerse en diciembre de 2025 y la copia que sigue activa es nickfedor/watchtower.

Con el registro ya abierto (docker login), en el mismo equipo:

docker run -d --name watchtower --restart unless-stopped \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v ~/.docker/config.json:/config.json:ro \
  nickfedor/watchtower --schedule "0 0 4 * * *" --cleanup umbral-lite

Revisa todos los días a las 4:00 (hora del contenedor de Watchtower) y solo toca el contenedor umbral-lite; --cleanup borra la imagen anterior.
Si hiciste docker login con sudo, el archivo es /root/.docker/config.json: monta ese.
Watchtower controla Docker en ese equipo (por eso monta docker.sock). Úsalo solo si confías en esa imagen; si no, actualiza a mano con el aviso.
Para dejar de usarlo: docker rm -f watchtower.