Guía del técnico

1. Cómo funciona, en resumen

Un laboratorio Nixorium tiene tres partes.

• El controlador. Un PC del aula, uno libre o el del docente. Guarda la configuración del laboratorio, prepara el sistema de cada PC y lo sirve por la red local desde una caché de paquetes firmada. Se encarga de la instalación por red y de la vista de aula, y es el único equipo que necesita Internet para instalar y actualizar.
• La configuración del laboratorio. Un repositorio Git privado en la carpeta personal del administrador en el controlador, ~/nixorium-deployment. Describe todo el laboratorio: cuántos PC hay, la red, las cuentas, los programas y el escritorio del alumnado. La escribe el menú por ti, después de que revises los cambios.
• Los PC del alumnado. Cada uno se instala una vez desde el controlador; después arranca desde su propio disco y ejecuta sus aplicaciones en local: si el controlador está apagado, la clase sigue, y solo esperan las actualizaciones y la vista de aula.

Qué se guarda dónde:

• En el controlador: la configuración del laboratorio y su historial, las claves privadas, los hashes de las contraseñas y la caché firmada.
• En cada PC, incluido el controlador: su sistema instalado, las versiones anteriores del sistema que aparecen en el menú de arranque, la carpeta personal del alumnado y sus cinco instantáneas.
• Fuera del controlador, si la haces: la copia de seguridad (un archivo cifrado en una unidad USB o un repositorio Git privado) y la frase de contraseña que la abre.

Todo se gestiona desde un menú de texto, Nixorium: inicia sesión en el controlador como admin y ábrelo desde el dock, o escribe nixorium en un terminal. Sus áreas son Computers, Installation, Software y Maintenance, además de Assistant, que es opcional. Cada acción que cambia algo muestra antes un resumen y espera tu confirmación.

¿Por qué Git? Cada vez que guardas en el menú se crea un commit, y cada sistema que prepara el controlador lleva la revisión de la que procede. Un PC está al día cuando ejecuta la última revisión guardada; así el menú sabe qué PC están actualizados. Git guarda además el historial de todos los cambios y se puede copiar como copia de seguridad en un repositorio privado.

Detalles técnicos completos: Arquitectura → Modelo del sistema.

2. Antes de empezar

Necesitas:

• dos PC de 64 bits con UEFI que puedas borrar: el controlador y un primer PC del alumnado;
• una memoria USB con la ISO oficial de NixOS 26.05, Minimal (consola de texto) o Graphical (GNOME);
• Internet en el controlador, que además debe poder llegar a los servidores de hora de Internet, y una red en la que los PC se vean entre sí;
• para la instalación por red, arranque por red UEFI en los PC del alumnado.

Qué se borra. La instalación borra todo el disco que confirmes, en el controlador y en cada PC. No redimensiona Windows ni conserva particiones en ese disco. Windows puede seguir en un segundo disco: el menú de arranque lo encuentra (consulta el arranque dual). Antes, copia en otro sitio lo que necesites.

Quién tiene que estar. Quien guarda la contraseña del administrador, y alguien delante de cada PC mientras se instala: el instalador pregunta, en la pantalla del propio PC, qué equipo es y qué disco borrar.

Acuerda tres cosas con quien gestiona la red del centro:

• Una subred fija para el laboratorio. Además de la dirección que les da el DHCP del centro, el controlador y los PC llevan una dirección fija de laboratorio en una subred IPv4 privada que eliges tú, por ejemplo 10.0.0.0/24. No puede contener la dirección que el DHCP del centro da al controlador: los ajustes rechazan el solapamiento. Una /24 tiene 254 direcciones utilizables.
• La interfaz de red. La configuración inicial propone la tarjeta del controlador; los PC del alumnado normalmente no necesitan ningún ajuste (consulta la sección 4).
• Permiso para el arranque por red. La instalación por red ejecuta en el controlador un servicio ProxyDHCP junto al servidor DHCP del centro. El servidor del centro sigue asignando todas las direcciones; el controlador solo indica a los PC que piden arrancar desde la red dónde está el instalador. El aislamiento por VLAN, una política de DHCP u otro servicio en UDP 67/69 o TCP 8080 pueden impedirlo. El arranque por red necesita el cable; la instalación desde USB funciona sin él.

3. Instalar el controlador

Arranca el controlador desde la ISO de NixOS en modo UEFI, con Internet. La ISO Graphical ayuda cuando la red del centro exige iniciar sesión en el navegador: hazlo en Firefox y después abre Terminal (ignora «Install NixOS»). Ejecuta:

curl -fsSL https://nixorium.org/install.sh | bash

El sitio web cuenta las descargas diarias de este script, solo la fecha y el número (privacidad). El script ofrece la última versión estable (la predeterminada), la última prerelease cuando es más reciente, y master, y luego pregunta:

1. la distribución del teclado, de una lista corta, que se aplica en el acto para que escribas las contraseñas con ella; después, la zona horaria;
2. los nombres de las cuentas del docente y del alumnado (el administrador es siempre admin);
3. tres contraseñas, de administrador, docente y alumnado, cada una escrita dos veces;
4. el perfil de software inicial, como Essential o Programming;
5. el disco.

Nada cambia hasta el resumen del disco, donde escribes ERASE; si te equivocas al escribir, vuelve a preguntar, y una respuesta vacía cancela. El script instala el controlador y guarda la configuración del laboratorio en ~/nixorium-deployment, ya registrada en Git. Retira la memoria USB, escribe reboot, inicia sesión como admin y abre Nixorium. La primera vez muestra el aviso de uso y pregunta por las estadísticas de adopción opcionales, que quedan desactivadas si no las aceptas.

Modo solo controlador. Un controlador nuevo arranca en modo solo controlador: no hay PC del alumnado configurados, así que la red del laboratorio, la caché y los servicios de control remoto están apagados, y el controlador usa solo su dirección del DHCP del centro. El laboratorio se pone en marcha la primera vez que abres Installation.

4. La red del laboratorio

Dos direcciones en una tarjeta. Cada equipo sigue usando el DHCP del centro para su dirección, su ruta predeterminada y el DNS, así que el alumnado navega como siempre. En la misma tarjeta, cada equipo lleva también una dirección fija de laboratorio: la base de la subred más su número. Con 10.0.0.0/24, pc01 es 10.0.0.1, pc02 es 10.0.0.2 y el controlador, pc99 por defecto, es 10.0.0.99. La gestión usa solo estas direcciones fijas: el controlador envía las actualizaciones y abre la vista de aula a través de ellas, y cada PC del alumnado acepta SSH solo desde la dirección de laboratorio del controlador. En un PC del alumnado, la dirección de laboratorio se mantiene aunque no responda ningún servidor DHCP.

Los ajustes del laboratorio. La primera vez que abres Installation → Network boot (PXE) o Installation → USB over SSH, un formulario pide la red fija del laboratorio y la longitud de su prefijo, el número de PC del alumnado (numerados desde pc01), el número de host del controlador (mayor que el de cualquier PC, 99 por defecto), la dirección DHCP actual del controlador y las interfaces. El menú los guarda, crea las claves y aplica la configuración al controlador, que pasa a ser un controlador de laboratorio con su dirección fija. Cuando ya hay PC del alumnado configurados, Change settings deja de modificar la subred, el prefijo y el número del controlador (código NETWORK-LOCKED): los PC instalados conservarían sus direcciones antiguas y perderían el contacto. El número del controlador no cambia, así que elígelo una sola vez; la subred y el prefijo solo cambian con el procedimiento guiado que se explica más abajo.

Nombres de las interfaces de red. Tres ajustes, en Maintenance → Change settings → Network:

• Controller network interface: el controlador usa siempre este nombre. La configuración inicial propone la tarjeta que lleva su ruta predeterminada; cámbialo solo si cambia la tarjeta del controlador.
• Client computers’ network interface: déjalo vacío, como viene por defecto. Así cada PC del alumnado pone la dirección de laboratorio en su tarjeta Ethernet cableada, se llame como se llame, y los PC de modelos distintos no necesitan nada. Nunca se eligen tarjetas inalámbricas, puentes ni dispositivos virtuales. Indica un nombre solo si todos los PC tienen el mismo nombre de tarjeta.
• Shared fallback interface: la usa el controlador cuando su propio nombre está vacío. Los PC del alumnado la ignoran salvo que haya un nombre de cliente.

Un PC con más de una tarjeta cableada necesita una excepción para ese equipo (hostIfaceNames en la configuración del laboratorio); si no, la dirección de laboratorio va a la primera tarjeta que se active, y eso puede cambiar de un arranque a otro. Cambiar una interfaz puede desconectar los PC afectados al aplicar el cambio: el resumen te avisa, así que revisa los cables y ten a mano la consola local.

Wifi. La red del laboratorio es cableada: un PC nunca toma su dirección de laboratorio en una tarjeta wifi, y el arranque por red y Switch on también necesitan el cable. La cuenta del alumnado no puede cambiar conexiones, radios ni DNS; la del docente y la del administrador, sí, salvo la conexión del laboratorio (nixorium-lab): Nixorium la restablece al arrancar y en cada actualización del controlador, así que otros servidores DNS van en la configuración del laboratorio (Assistant puede preparar el cambio).

Llevar el laboratorio a otra red. Con los PC ya configurados, Maintenance → Change network addressing (o nixorium network migrate) pasa el controlador y todos los PC a una subred nueva, por ejemplo de 10.0.0.0/24 a 10.1.0.0/24; cada PC conserva su número. Antes, enciende los PC, guarda los cambios pendientes y detén la instalación por red. Escribes la red nueva como dirección y prefijo, y el resumen muestra la dirección del controlador y de cada PC antes y después, y comprueba que todos los PC respondan (un PC apagado detiene el proceso hasta que lo enciendas o sigas sin él). Guardar no cambia ningún PC. Después vienen los dos pasos de siempre, Apply to controller y Update computers: hasta que termines, el controlador responde en las dos redes y cada PC mantiene su dirección anterior junto a la nueva, así que nada pierde el contacto. La vista general muestra el cambio en curso (NETWORK-CHANGING) con su paso siguiente. Finish aparece cuando todos los PC ejecutan la configuración guardada y responden en su dirección nueva, y Undo funciona en cualquier momento antes de eso. Después, vuelve a preparar la instalación por red: los archivos preparados llevan la dirección del controlador (detalles).

La hora. El controlador mantiene en hora el reloj del laboratorio con los servidores de hora de Internet, así que debe poder llegar a ellos (UDP 123 de salida), y da la hora solo a la red del laboratorio: abre UDP 123 en la tarjeta del laboratorio y en ningún otro sitio. Cada PC pide la hora al controlador y a ningún servidor de Internet: un PC con la pila del reloj agotada arranca con la hora correcta aunque no tenga Internet propio, y los certificados, las fechas de los archivos y los registros siguen siendo correctos. Si el controlador no llega a Internet, sigue dando su propia hora, a partir de cinco minutos después de arrancar. No hay nada que configurar: el cambio llega a cada PC en su próxima actualización y al controlador cuando lo aplicas, y una instalación en modo solo controlador conserva sus ajustes de hora anteriores (detalles).

Qué cambia la instalación por red y qué deja igual. Al prepararla se construyen el instalador y el sistema de cada PC y se registra la dirección DHCP actual del controlador; la red todavía no cambia. Cuando la inicias (Intro en su resumen), el controlador registra la sesión, quita su dirección fija de laboratorio de la tarjeta y sirve los archivos de arranque y la caché firmada en su dirección DHCP. Un PC que arranca desde la red toma su dirección del DHCP del centro, carga el instalador desde el controlador y descarga su sistema de la caché, verificado con la clave de firma de la caché. Al detener la instalación por red, el controlador recupera su dirección fija; tras un corte de luz, hace lo mismo al arrancar. Mientras está activa, las demás operaciones, como las actualizaciones y los controles de la vista de aula, se rechazan con el código PXE-ACTIVE, así que detenla cuando el aula esté instalada. Si el DHCP del centro da al controlador una dirección nueva, basta con volver a prepararla (detalles). En el PC instalado no queda nada temporal: arranca con su dirección DHCP más su dirección fija de laboratorio. La instalación por USB nunca toca la dirección del controlador.

Detalles técnicos completos: Arquitectura → Instalación por red.

5. El primer PC del alumnado

Instala un solo PC y compruébalo antes que los demás. Cada pantalla de Nixorium muestra su siguiente paso como la acción de Intro resaltada sobre el pie de teclas, en rojo cuando borra o sustituye datos; el pie enumera las demás teclas.

Arranque por red. Installation → Network boot (PXE) muestra un solo paso cada vez: preparar los archivos, iniciar, instalar y, si hace falta, recuperar la red. Arranca el PC desde la red, con el arranque por red UEFI antes que el disco. El instalador se abre solo en su pantalla, muestra el hardware y los discos y pregunta qué equipo configurado es. Rechaza una identidad cuya dirección de laboratorio ya responde, pero que una dirección no responda no la reserva: lleva tu propia lista de qué PC es cuál. Solo ofrece discos con espacio para el sistema más 2 GiB. En el resumen de identidad y disco, escribe ERASE. Instala desde la caché del controlador, comprueba el resultado y te pregunta «Reboot now? [y/N]»: responde y, o pulsa Intro para quedarte en el instalador. En el orden de arranque del PC, pon el arranque por red después del disco, para que arranque desde su disco. Si la instalación por red se interrumpió, esa pantalla pasa a ser Recover the controller network: explica con palabras sencillas lo que ha encontrado, e Intro devuelve la red del controlador a la normalidad sin tocar ningún PC del alumnado.

El instalador del PC, iniciado por arranque por red o por USB, muestra tres pasos numerados y termina con un bloque «Next» que incluye la huella de la clave SSH del equipo: anótala, porque la revisión de clave que el controlador pide tras una reinstalación se puede comparar con ella. La lista de archivos copiados, los avisos del cargador de arranque y las trazas de las herramientas de disco van a /tmp/nixorium-install.log; si la instalación falla, la pantalla muestra las últimas líneas y la ruta del registro.

USB over SSH. Úsalo cuando el PC no puede arrancar desde la red. Arranca el PC desde la ISO de NixOS (Minimal con 4 GB de RAM o menos), conecta su cable (la wifi con nmtui solo sirve para la instalación: el PC instalado necesita su cable antes del reinicio) y, en su consola, ejecuta:

passwd
systemctl is-active sshd
ip -4 -br address
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Deja esa pantalla a la vista. En el controlador, elige Installation → USB over SSH, selecciona el equipo e introduce solo la dirección IPv4 de la sesión en vivo. El controlador lee la clave SSH del PC sin enviar ninguna contraseña y muestra su huella SHA256:. Compárala con la de la pantalla del PC y escribe MATCH; solo entonces pide la contraseña temporal, de modo que la contraseña llega únicamente al PC que tienes delante. Elige el disco y confirma su resumen. Deja la memoria USB puesta y confirma el reinicio: el PC arranca desde su disco nuevo y la memoria se retira después de ese reinicio; después, el controlador comprueba el PC instalado en su dirección de laboratorio. Si la instalación se detiene a medias, la pantalla se abre como Resume or close the USB installation: indica si el PC aún responde desde la memoria USB y si se ha tocado su disco, y solo ofrece las salidas seguras, como Resume the installation o Cancel safely. Para cerrar el registro de la instalación cuando ya se ha escrito en el disco, tienes que escribir CLOSE; también puedes cerrarlo así cuando el PC no vuelve tras el reinicio o no se puede comprobar el resultado. El controlador queda libre; revisa ese PC o instálalo de nuevo.

Comprueba antes de seguir:

• el PC arranca desde su disco hasta el escritorio del alumnado, y funcionan las aplicaciones, el teclado, la pantalla y los periféricos de tus clases;
• con la sesión del docente iniciada en el controlador, Classroom view muestra la pantalla del PC;
• Computers → Computer inventory muestra el PC como al día;
• un archivo de prueba guardado por el alumno desaparece tras reiniciar y se encuentra en las instantáneas (consulta la sección 7);
• una actualización desde Computers → Update computers termina bien.

6. El resto del aula y la primera copia de seguridad

Con la instalación por red activa, arranca los demás PC desde la red uno tras otro, eligiendo la identidad de cada uno y escribiendo ERASE en cada uno. Después detén la instalación por red, con lo que el controlador recupera su dirección fija. Para añadir PC más adelante, aumenta el número de equipos en Maintenance → Change settings → Computers, aplica el cambio y vuelve a preparar la instalación por red.

Después haz una copia de seguridad con Maintenance → Back up lab: permite que un controlador nuevo se haga cargo del aula sin reinstalar los PC. Hay dos tipos:

• Archivo cifrado: toda la configuración del laboratorio, su historial, las claves privadas y los hashes de las contraseñas en un único archivo cifrado con tu frase de contraseña. Back up lab propone una unidad USB conectada para el archivo, o la carpeta personal si no hay ninguna.
• Repositorio Git privado: un repositorio privado de GitHub o GitLab al que se accede por SSH. Las claves y los hashes de las contraseñas viajan cifrados en un archivo de recuperación; la configuración queda legible para los miembros del repositorio. Tras la primera copia verificada, cada cambio guardado se envía mientras Nixorium está abierto.

Usa una frase de contraseña de al menos 12 caracteres y guárdala lejos del controlador: Nixorium nunca la guarda. La vista general te recuerda cuándo toca hacer una copia (código BACKUP-DUE): con un archivo, cuando la configuración, las claves o las contraseñas han cambiado desde la última, o pasados 30 días; con Git, cuando cambian las claves, las contraseñas o los equipos de confianza, por ejemplo después de instalar un PC. Un recordatorio nunca bloquea nada.

Sustituir un controlador. Instala el nuevo controlador como de costumbre, inicia sesión como admin y abre Nixorium. Elige Maintenance → Restore lab. Con un archivo, Restore lab propone el nixorium-backup-*.age más reciente de una unidad conectada y una carpeta donde restaurar; introduce la frase de contraseña y confirma. Después elige Use this lab on this controller: el laboratorio que creó el instalador se aparta, el restaurado ocupa su lugar y se instalan sus claves. No se borra ni se activa nada hasta que Review controller lo aplica tras la revisión habitual. Los PC no hay que reinstalarlos, pero los reinstalados después de la copia muestran «SSH key changed»: compara la huella de su pantalla antes de confiar en ellos.

Detalles técnicos completos: Arquitectura → Límites de red y confianza.

7. El día a día

El docente inicia sesión en el controlador y abre Classroom view desde el dock: todas las pantallas del alumnado a la vez, una pantalla en su propia ventana con Take control, y además Lock («Eyes on the teacher»), Share screen, Share files, Block/Allow Internet, Restart y Shut down. Internet vuelve cuando un PC se reinicia; un PC apagado aparece como Off or not reachable. Ninguno de estos controles cambia la configuración del laboratorio. Siguen funcionando mientras la persona administradora actualiza los equipos: solo se deja en paz a un PC que se está actualizando, o cuya última actualización se interrumpió, y el resumen lo dice.

Save screenshot, Collect from students’ desktops y Switch on amplían esos controles. Save screenshot, en la ventana de un equipo, guarda una imagen de su pantalla en Nixorium/Screenshots, en la carpeta personal de quien usa la vista de aula; solo funciona mientras la pantalla está en directo, así que un equipo apagado, tras su propia pantalla de bloqueo o sin nadie con la sesión iniciada no tiene nada que guardar. Collect from students’ desktops, en el menú Share files junto a Send a folder… y Send a file…, copia los archivos de los escritorios de los equipos seleccionados en Nixorium/Collected, dentro de esa misma carpeta personal, una carpeta por equipo, tras un resumen: se excluyen los archivos ocultos y los enlaces, no cambia nada en los equipos del alumnado, y un equipo con más de 2000 elementos o 500 MB se señala y no se guarda nada suyo. Actualiza antes los equipos: un equipo sin actualizar figura como todavía no preparado para la recogida. Switch on, en Power dentro de la vista de aula y en Computers → Power controls, envía un paquete Wake-on-LAN a los equipos seleccionados que están apagados. Que el paquete salga no demuestra que el equipo arranque: su firmware (BIOS/UEFI) debe permitir el encendido desde la red, el equipo debe haberse reiniciado una vez después de la actualización de cliente que activa Wake-on-LAN y debe seguir enchufado. Nadie escribe ninguna dirección: el controlador aprende por sí solo la dirección de la tarjeta de red de cada equipo mientras está encendido y la vista de aula está abierta o se ejecuta Computer inventory, y se omite el equipo cuya dirección todavía no conoce (detalles).

Message → Send a message… muestra un texto de hasta 300 caracteres sobre las pantallas de los equipos seleccionados, por delante de todo, incluidos el bloqueo y una pantalla compartida. Permanece hasta que el alumno lo cierra (Close aparece a los 10 segundos), durante 30 segundos o 2 minutos, o hasta que desbloqueas el equipo; Remove message lo quita. El alumnado conserva el teclado y el ratón salvo que el equipo esté bloqueado, y al cerrar la sesión el mensaje desaparece. Actualiza antes los equipos y pide al alumnado que vuelva a iniciar sesión: un equipo sin actualizar figura como todavía no preparado para mostrar mensajes (detalles).

Para preparar el aula para un examen, usa Internet → Block Internet, Lock y Message uno a uno, y después Share files → Collect from students’ desktops.

Lo que ven los alumnos. Mientras la vista de aula está abierta, todos los PC del alumnado muestran en la barra superior el icono de pantalla compartida de GNOME, mire o no el docente ese PC; desaparece en menos de un minuto tras cerrar la vista o minimizar su ventana. Si una ventana está a pantalla completa y GNOME oculta la barra, el PC muestra en una esquina la etiqueta “Classroom view open”. Mientras controlas un PC con tu ratón y tu teclado, su pantalla muestra “Teacher in control”; y con Save screenshot o Collect from students’ desktops el PC muestra un aviso breve que se desvanece a los pocos segundos. Estas etiquetas las muestra la extensión de aula de GNOME Shell, así que tras una actualización aparecen en el siguiente inicio de sesión del alumno. Para desactivar o activar toda la vista, usa Maintenance → Change settings → Classroom view; en la siguiente actualización el software se retira de los equipos del alumnado.

Schedule enciende y apaga solos los equipos del alumnado. Abre Power → Schedule… en la vista de aula (Save y Clear), o usa nixorium schedule set --on 07:50 --off 18:00 en un terminal, como docente o como administrador. Admite como máximo una hora de encendido y una de apagado, para los días de la semana que elijas (de lunes a viernes salvo que --days indique otra cosa), en la zona horaria del controlador. El encendido es el Switch on de siempre, así que se aplican las condiciones anteriores y se omite el equipo cuya dirección de red no se conoce. El apagado nunca interrumpe a nadie: un equipo que alguien está usando, o cuya sesión no se puede leer, sigue encendido. Si una instalación por red o por USB le impide empezar, lo reintenta cada minuto durante diez minutos y después desiste ese día. Una actualización de los equipos no lo frena: el apagado solo deja encendidos los PC que se están actualizando y dice por qué. La programación solo existe en el controlador, fuera de la configuración y de la copia de seguridad: vuelve a configurarla después de sustituir el controlador (detalles).

En cada arranque de un PC, antes de la pantalla de inicio de sesión, se ejecuta la restauración de la carpeta personal. La carpeta anterior del alumnado pasa a ser una de las cinco instantáneas rotativas, de solo lectura y sin datos de ejecución como los paquetes npm globales, las imágenes de Docker y los inicios de sesión guardados. Después se restaura una carpeta limpia a partir del entorno del alumnado preparado, y la sesión del alumnado se inicia automáticamente. El docente encuentra las instantáneas en Snapshots, en la barra lateral de Archivos, con la sesión iniciada en ese PC. Las instantáneas están en el mismo disco, así que no son copias de seguridad: si el disco se avería se pierden, y una sesión desaparece al cabo de cinco arranques más. El trabajo que deba conservarse va en una memoria USB o en el almacenamiento en la nube del centro. Si una restauración no puede terminar, el PC bloquea el inicio de sesión: no la reintentes; primero, que el administrador lea el registro del sistema (detalles).

Cuentas.

• admin, el administrador: es el propietario de la configuración del laboratorio en el controlador, con sudo y SSH.
• El docente: una carpeta personal que se conserva, la vista de aula con sus controles y acceso de lectura a las instantáneas.
• El alumnado: una única cuenta compartida en todos los PC, con inicio de sesión automático, sin permisos de administrador y con la carpeta personal restaurada en cada arranque. Su contraseña es la misma en todas partes.

Las cuentas forman parte de la configuración, así que passwd no las cambia. Usa Maintenance → Change settings → Accounts, con Change account names y Change account passwords. Una contraseña nueva entra en vigor en el controlador cuando aplicas la configuración, y en cada PC cuando lo actualizas. Una cuenta renombrada empieza con una carpeta personal nueva y vacía.

8. Cambiar algo

Todos los cambios siguen el mismo camino: editar en el menú, revisar, guardar (un commit en la configuración del laboratorio) y aplicar. Guardar, por sí solo, no cambia ningún PC en marcha.

• Software. En Software, busca en el conjunto de paquetes fijado por el laboratorio, o elige una sugerencia o un perfil completo (p). Elige adónde va: compartido (el controlador y todos los PC, presentes y futuros), solo el controlador, todos los PC del alumnado, un grupo o PC concretos. Intro sobre un paquete configurado te permite cambiar su destino (c) o quitarlo (x).
• El escritorio del alumnado. En Maintenance → Change settings → Student workspace editas el dock, los favoritos y el escritorio, el navegador predeterminado y los archivos iniciales de la carpeta del alumnado. Assistant cambia bajo petición los ajustes y las extensiones de VS Code del alumnado, porque VS Code no siempre está instalado; las extensiones gestionadas desde el perfil siguen siendo la vía recomendada. Si el perfil tiene la extensión de Java y el software incluye un JDK, sus ajustes apuntan a ese JDK. Un programa descargado fuera de Nix, como una extensión del Marketplace que trae sus propios binarios, también funciona para el personal, que conserva su carpeta personal; las carpetas del alumnado pierden esas instalaciones en la restauración.
• Ajustes. En Maintenance → Change settings encontrarás la red, los equipos, las cuentas, la configuración regional, el navegador y Git.

No se escribe nada hasta que confirmas el resumen. La mayoría de los resúmenes se confirman con Intro (en un terminal, nixorium pregunta Continue? [y/N]); Esc cancela. Solo se escribe una palabra antes de algo que no se puede deshacer: borrar un disco, restablecer la plantilla de configuración, descartar cambios sin guardar, confiar en la clave de un equipo nuevo, eliminar versiones antiguas y, en un terminal, apagar o reiniciar PC que alguien está usando. Después vienen dos pasos separados:

• Apply to controller. Tras guardar, el menú ofrece Apply to this controller; también está en Maintenance → Advanced. El controlador construye la configuración guardada y cambia a ella, tras un resumen que muestra qué cambia. Todo cambio de ajustes lo necesita. El software guardado como compartido o solo para el controlador lo hace por sí mismo justo después de guardar.
• Update computers. En Computers → Update computers, o con Update affected computers tras guardar software, selecciona los PC (n elige los que lo necesitan; los PC cuya actualización en cola está desfasada ya vienen seleccionados) y pulsa Intro en el resumen. El motor de actualización propio de Nixorium construye los sistemas una sola vez, copia cada uno en su PC, y el PC cambia a él en un servicio que sigue funcionando aunque se corte la conexión. Después el menú comprueba qué PC ejecutan ya la revisión aprobada. El registro de la actualización muestra cuándo empezó cada paso y cuánto duró, con el tiempo total al final, además del avance y los mensajes de activación de cada PC.

Nada llega a un PC del alumnado hasta que lo actualizas. Un PC apagado entra en una cola (opción activada por defecto en el resumen). Un PC que se apaga mientras se construye la actualización se queda como está y se informa de que no se actualizó, o entra también en la cola si elegiste esa opción; nunca frena a los demás, ni tampoco un PC que falla. Un PC que pierde la conexión durante la actualización termina por sí solo: la actualización se cierra sola en cuanto cada PC ha informado de cómo acabó, y solo un PC cuyo resultado es realmente desconocido la mantiene abierta para una revisión. El controlador lo intenta cada minuto y actualiza juntos los PC en espera que responden; mientras otra operación está en marcha, espera al minuto siguiente. Computers → Queued updates los muestra. Una entrada no se aplica si la configuración ha cambiado entretanto: el siguiente Update computers selecciona esos PC por ti y su resumen los incluye. Mientras actualizas equipos, los controles del aula siguen funcionando para los demás PC. Tras una actualización, el PC muestra una notificación: pide reiniciar si han cambiado el kernel o systemd; si no, indica que la actualización ya está aplicada y solo sugiere reiniciar si algo no funciona como debería. Un PC nunca se reinicia solo. Los cambios del entorno del alumnado aparecen en el siguiente arranque normal, cuando se restaura la carpeta personal.

Deshacer el último cambio guardado. Cuando el último cambio que guardaste (ajustes, software o el entorno del alumnado) da problemas, vuelve a la configuración guardada antes de él: en Maintenance → Review Git changes pulsa u (Undo the last saved change), o ejecuta nixorium git undo plan como admin. El resumen muestra la descripción, la fecha y los archivos de ese cambio. Al confirmarlo con Intro (y en un terminal) se guarda un cambio nuevo, «Undo: …», y los archivos vuelven a su estado anterior; el cambio deshecho sigue en el historial y no se envía nada. Todavía no cambia ningún equipo: ejecuta Apply to controller y después Update computers, como con cualquier cambio. Antes, guarda o descarta los demás cambios sin guardar. Solo se puede deshacer el último cambio, una vez, y solo si es un cambio guardado normal: se rechaza, indicando el paso siguiente, cuando ese cambio es la primera versión guardada, una fusión o ya un deshacer, cuando actualizó Nixorium o la base de paquetes (consulta la recuperación de actualizaciones), cuando registró claves, cuando forma parte de un cambio de la red del laboratorio o cuando sus archivos no pueden volver atrás con seguridad (detalles).

Los PC idénticos comparten una configuración. Los PC con el mismo software y el mismo tipo de tarjeta de red comparten un solo sistema, de modo que el resumen dice, por ejemplo, que construye 2 configuraciones para 20 PC: se construye una vez, no una por PC. Cada PC conserva su nombre y su dirección del laboratorio gracias a un pequeño registro de identidad, /var/lib/nixorium/identity.json, que solo contiene su número. Lo escribe la actualización o el instalador antes de que el PC arranque su nuevo sistema, y una actualización nunca sobrescribe un registro que nombra a otro PC. Si un PC dice «This computer has no Nixorium identity», o una actualización dice “identity record names another computer”, consulta la tabla de Cuando algo falla. Un módulo privado que usa el nombre o la dirección de un PC necesita que ese PC figure en hostModules o en updateValidationHosts; si no, la evaluación se detiene y lo dice.

Detalles técnicos completos: Arquitectura → Actualizaciones del sistema.

9. Actualizar

Dos actualizaciones separadas, ambas en Maintenance:

• Update Nixorium cambia el framework: los menús, los módulos y el programa de gestión. Muestra las versiones publicadas, las estables por defecto, y oculta las anteriores a la configurada: el menú nunca ofrece volver a una versión anterior. Cambia flake.nix y flake.lock y, cuando una versión lo necesita, los archivos propios de la configuración del laboratorio (véase más abajo).
• Update system and packages lleva NixOS y todos los paquetes a una revisión más reciente del mismo canal. Pasar a otra versión de NixOS es una elección aparte y explícita (m), en la que aceptas que su compatibilidad no está verificada.

Ambas construyen de verdad la versión candidata y muestran qué cambia (F4 añade todas las versiones y los cambios línea a línea); Intro la guarda y después reconstruye y verifica el controlador. Update Nixorium también puede cambiar los archivos propios del laboratorio, como modules/workstation.nix, cuando una versión lo necesita, en lugar de pedirte que los edites a mano. El resumen muestra cada cambio como Migration, con un motivo en una línea, o como Manual change cuando has editado tú ese punto o falta el archivo: en ese archivo no se toca nada, y la línea de debajo dice qué sustituir. Haz ese cambio como un cambio revisado normal y vuelve a actualizar. Al guardar se escriben los archivos cambiados y se registran junto con la actualización, puedes deshacerlos con Git como cualquier actualización, y nixorium-migrations.json anota qué cambios se hicieron para que cada uno se haga una sola vez; no lo edites a mano. La nueva versión trae el programa que hace el cambio y lo ejecuta sobre una copia en un entorno aislado y cerrado; la actualización se rechaza si falla o cambia algo inesperado. Un controlador con la versión 3.9.0 o anterior no puede hacerlo durante la actualización a una versión que lo necesita: sigue antes el paso único. Tras Update Nixorium, el resultado se queda en pantalla: Intro vuelve a abrir la interfaz con la nueva versión, Esc sigue con la que está en marcha. Los PC mantienen su sistema hasta que los actualizas: actualiza un PC, compruébalo y luego los demás. Antes de instalar más PC, vuelve a preparar la instalación por red. Si entonces Update computers indica PIN-OUTDATED, abre Maintenance → Update Nixorium, selecciona la versión configurada, marcada como «Current · select to repair», y confirma.

Versiones del sistema y menú de arranque. Cada aplicación en el controlador y cada actualización de un PC añade en ese equipo una nueva versión del sistema, una generación; las antiguas se conservan, y el menú de arranque (GRUB) muestra hasta diez. Si un PC, o el controlador, deja de arrancar o pierde la red tras una actualización, reinícialo y elige la versión anterior en el menú de arranque, PC por PC; después corrige la configuración antes de volver a aplicarla. Un PC sin red no se puede reparar desde el controlador. Volver atrás cambia el sistema, no los datos, como una base de datos ya migrada. Las versiones antiguas ocupan disco: el menú avisa cuando queda poco espacio en el disco del controlador, y Maintenance → Advanced → Free disk space conserva las diez más recientes, la que está en marcha y aquella con la que arrancó el PC; para confirmarlo se escribe CLEAN.

10. Cuando algo falla

Cuando algo bloquea una operación, el menú explica en una frase sencilla qué se ha detenido, por qué y qué hacer a continuación. Pulsa Intro sobre ese aviso para abrir la pantalla que lo resuelve; Esc lo cierra, y d muestra el mensaje técnico. La vista general enumera con las mismas palabras todo lo que haya quedado interrumpido, y cada rechazo indica un código. No empieces borrando archivos, claves ni direcciones.

Síntoma	Qué hacer
Un PC no arranca desde la red	Comprueba que la instalación por red está activa, que el arranque por red va antes que el disco y que el PC está en la red del laboratorio. Guía
El instalador se carga pero falla	Detén la instalación por red, vuelve a prepararla y después iníciala. Guía
Un PC está instalado pero no se ve	Comprueba la alimentación, el cable y la dirección de laboratorio; con dos tarjetas cableadas hace falta una excepción de interfaz. Guía
Un PC aparece como Off or not reachable	Está apagado o la red no llega a él: Computer inventory te dice cuál de las dos cosas. Guía
Una actualización quedó pendiente (DEPLOY-PENDING)	Abre Review the interrupted update (Intro sobre el aviso, o desde la vista general). Muestra, para cada PC, si ha terminado, si sigue actualizándose o si no responde: pulsa c para continuar sin los PC que no responden y después Intro para marcar la actualización como revisada. En los PC no cambia nada; después, vuelve a actualizar. A menudo no hace falta ninguna revisión: la actualización se cierra sola cuando cada PC ha informado de su resultado. El mantenimiento espera, y los controles del aula (Internet, apagar, reiniciar, la programación) siguen funcionando: solo dejan en paz a los PC que nombra la actualización. Update Nixorium y Apply to controller siguen funcionando, y si una versión anterior sigue sin poder activar el controlador, consulta el último recurso. Guía
Un PC dice «This computer has no Nixorium identity»	Su registro de identidad falta o no es válido, así que arranca sin su dirección del laboratorio. En el PC, reinicia y elige la versión anterior en el menú de arranque, y después actualízalo desde el controlador; si no, escribe su número en el registro o reinstálalo. Guía
La actualización dice «identity record names another computer»	La actualización dejó ese PC sin cambios a propósito y nunca sobrescribe el registro. Decide qué PC es cuál, corrige el registro en ese PC y vuelve a actualizar. Guía
El resumen de Update Nixorium muestra «Manual change»	La versión no pudo cambiar uno de tus archivos porque has editado tú ese punto. Haz el cambio que indica la línea, guárdalo en Maintenance → Review Git changes y vuelve a actualizar. Guía
Update Nixorium se rechaza por los cambios en tus archivos	Los cambios de la nueva versión fallaron o fueron más allá de lo declarado; la versión que usas sigue funcionando. Corrige lo que dice el mensaje, o quédate en ella y recoge un informe de soporte. Guía
Apply to controller ha fallado	Lee el error indicado, corrígelo y haz una nueva revisión. Guía
Un PC ya no arranca tras una actualización	Elige la versión anterior en el menú de arranque y después corrige la configuración. Guía
Copia de seguridad de más de 30 días (BACKUP-DUE)	Haz una nueva con Maintenance → Back up lab. Guía
Un alumno ha perdido un archivo	Como docente en ese PC, abre Snapshots en Archivos. Guía
El controlador está averiado o se sustituye	Instala uno nuevo con el mismo número y la misma red, y luego Maintenance → Restore lab y Use this lab on this controller; no hay que reinstalar los PC. Guía
Se interrumpió un guardado o una restauración de la plantilla	Abre el elemento pendiente en la vista general, Finish or undo the reset, y lee lo que ha encontrado. Si no cambia ningún archivo, Intro confirma; solo si hay archivos antiguos y nuevos mezclados tienes que escribir RESTORE. No borres nada. Guía
Se interrumpió una instalación por USB o por red	Abre Resume or close the USB installation o Recover the controller network desde la vista general o desde las pantallas de Installation y sigue lo que te ofrece. Durante una instalación por USB sin terminar, Update Nixorium y Apply to controller siguen disponibles, salvo mientras se escribe el disco del PC; una instalación por red abierta sí los detiene. Guía
El docente ve un código como OP-BUSY	Espera a que termine la operación en curso o sigue la fila de ese código. Guía

11. Assistant

Assistant es un servicio de pago opcional del menú del administrador. Describe un cambio con tus propias palabras; revisas su propuesta antes de guardarla y luego aplicas y actualizas como siempre. Para un programa que se distribuye como descarga (AppImage, deb o tarball), descarga el archivo una vez en el controlador y fija él mismo su hash, así que no tienes que calcular nada. Si nada ha cambiado desde la evaluación que hizo Assistant, el resumen la reutiliza e indica hace cuánto se verificó, en lugar de volver a evaluar el laboratorio. Tras un consentimiento más, puede leer archivos del sistema del controlador y de los PC, como el menú de arranque o los ajustes de /etc, por ejemplo para poner Windows como entrada de arranque predeterminada sin pedirte que busques nada. Nunca lee carpetas personales, contraseñas, claves ni credenciales wifi. También puede listar los dispositivos que ve cada equipo (USB, PCI, pantallas, tarjetas de audio y colas de impresión, sin números de serie) para encontrar uno que no se detecta, y proponer el número de equipos, los nombres de las cuentas y el interruptor de la vista de aula con los mismos avisos y la misma revisión que el menú. Si el servicio corta una respuesta, Assistant lo indica y te pide que vuelvas a enviar el mensaje. Una conversación retomada en modo de solo lectura se desplaza con las flechas; Tab elige entre continuar en una conversación nueva y volver atrás. Por defecto, Assistant guarda tus conversaciones en el servicio de Assistant durante 90 días para detectar y corregir errores de Assistant (preguntas, respuestas y resultados de las herramientas que usó, tras una redacción lo mejor posible); se desactiva en los ajustes de Assistant (“Save conversations on the service”). Nixorium funciona por completo sin él (planes y prueba gratuita).

12. Límites y precauciones

• La instalación borra todo el disco confirmado, Windows incluido si está en ese disco.
• Las instantáneas están en el mismo disco y se renuevan cada cinco arranques: no son copias de seguridad.
• Las cuentas son locales y fijas: un administrador, un docente y una cuenta compartida para el alumnado, con la misma contraseña en todos los PC. No hay inicios de sesión individuales para cada alumno ni directorio del centro.
• No hay instalación desatendida: alguien confirma cada PC delante de su pantalla, o su huella por SSH.
• La red del laboratorio es cableada: un laboratorio de PC solo con wifi no es compatible. Puede que el arranque por red no funcione con todos los firmwares y redes de centro; la alternativa es USB over SSH.
• «Monitoring stopped on this PC» es una ayuda para la clase, no una barrera de seguridad. Un alumno no puede detener la vista de aula desde el terminal de la sesión: se reinicia en pocos segundos, y mientras tanto la tarjeta del PC lo indica. Si un alumno enmascara su unidad, la vista de aula no vuelve hasta el siguiente reinicio, cuando se restaura la carpeta personal.
• Las versiones se validan en máquinas virtuales; empieza con un controlador y un PC propios.

Guías completas

En inglés, en la revisión de Nixorium que describe esta página:

• Guía del administrador
• Referencia del sistema
• Solución de problemas y recuperación