🛠 Accès distant sans VPN : enregistrer un CM5 dans Raspberry Pi Connect

Objetivos

Un CM5 suele acabar en un producto: caja de pared, armario técnico, terminal en las instalaciones del cliente. Abrir puertos o montar una VPN es entonces inaceptable. Raspberry Pi Connect, el servicio oficial, invierte el modelo: es el CM5 quien inicia una salida cifrada hacia el servicio, y luego te conectas desde el navegador o la aplicación — cero redirección de puertos, cero IP pública. Este tutorial: instalar el demonio, asociar el dispositivo a tu cuenta, abrir un terminal SSH remoto y verificar desde el CM5 que ningún puerto está a la escucha.

Material

• 1 × CM5 en una placa CM5IO, Raspberry Pi OS de 64 bits actualizado, conectado a Internet (Ethernet o Wi-Fi según SKU)
• Una cuenta de Raspberry Pi (gratuita) y un segundo dispositivo para probar (teléfono u otro PC)
• SSH activado en el CM5 (raspi-config o preconfiguración con Imager)

Código completo

# 1) Installer le démon officiel Raspberry Pi Connect
curl -fsSL https://connect.raspberrypi.com/install -sSf | sudo sh

# 2) Configurer et associer l'appareil (une URL s'affiche à ouvrir dans le navigateur)
sudo raspberry-pi-connect configure

# 3) Vérifier le service
systemctl status raspberry-pi-connect --no-pager | head -6
journalctl -u raspberry-pi-connect -n 10 --no-pager

# 4) Depuis un autre appareil : ouvrir raspberryconnect.com dans un navigateur,
#    sélectionner l'appareil en ligne et lancer un terminal SSH.

# 5) Côté CM5, prouver qu'aucun port n'est exposé au monde :
sudo ss -tulpn | grep LISTEN

Verificación esperada

El dispositivo aparece «online» en el panel de control de Raspberry Pi Connect; el terminal remoto abre una sesión SSH real en el CM5; ss -tulpn solo muestra servicios a la escucha localmente (sin el puerto 22 abierto en la interfaz pública — ese es todo el interés del modelo de salida). Tras sudo reboot, el dispositivo vuelve a estar en línea en menos de un minuto.

Errores frecuentes

• SSH desactivado en el SO: Connect se apoya en sshd; sin sudo raspi-config → Interface Options → SSH, la sesión remota falla.
• La URL de asociación ha expirado: el enlace mostrado por configure es de un solo uso y temporal; vuelve a ejecutar configure si la cuenta nunca se ha vinculado.
• Confundirlo con una VPN: Connect no crea una red — proxifica sesiones (SSH, archivos) hacia el dispositivo; no hay difusión mDNS ni acceso a otras máquinas de la LAN remota.
• Firewall de salida corporativo: el CM5 debe poder salir por HTTPS/WSS hacia el servicio; en redes restringidas, realiza la prueba antes del despliegue.