Broker

Conectividad inversa zero-trust: el gateway remoto y la solución marcan ambos hacia un broker, de modo que los activos en redes que no aceptan conexiones entrantes siguen siendo alcanzables sin VPN.

Un broker es el punto de encuentro del acceso inverso. Es un servicio en una VM dedicada que actúa como centro de control de una red overlay zero-trust. No está dentro de la red del cliente ni dentro de la solución, sino en algún lugar que ambos lados puedan alcanzar. La pantalla declara la finalidad directamente: "Conectividad inversa zero-trust: los gateways remotos y el PAM marcan hacia un broker. No se abre ningún puerto entrante en los destinos".

Qué es esto y cuándo usarlo

El broker invierte el sentido de la conexión. En lugar de que la solución entre en la red del cliente, los gateways remotos y los conectores marcan hacia el broker, y la solución marca hacia el broker también. Los dos lados se encuentran allí.

[destino en la red remota] <--- gateway --marca--> BROKER (público) <--marca-- solución

Cada extremo se autentica por certificado, y solo los activos que usted publica explícitamente quedan alcanzables. La red del cliente no expone ningún puerto entrante.

Use un broker cuando no haya ruta de la solución a la red de los activos y usted no pueda, o no quiera, abrir puertos entrantes en el cortafuegos ni montar una VPN. Esa es la situación típica de redes de terceros, sucursales, sedes de clientes y todo lo que está detrás de NAT.

Un gateway de broker no es lo mismo que un gateway de proxy. Un gateway de broker es un appliance instalado junto a los destinos que solo hace conexiones salientes. Un gateway de proxy es un host de salto al que la solución marca; consulte Gateways. Un activo usa un camino o el otro, nunca ambos.

Situación	Mecanismo
La solución alcanza una máquina de la red, pero no los activos	Proxy
La solución no alcanza la red, y no se puede abrir ningún puerto entrante	Broker
El destino es una única máquina aislada, sin gateway en su red	Conectores

Una vez que el camino existe, nada más cambia: la sesión se media, se graba y se audita exactamente igual que una sesión hacia un activo local, y la grabación de sesión, el filtrado de comandos, la auditoría y las alertas de anomalía se aplican de la misma manera.

Antes de empezar

• Privilegios de administrador (SysAdmin) en la consola.

• Un broker aprovisionado y alcanzable, una VM dedicada, entregada como parte de la infraestructura DataDike.

• Una máquina o appliance en la sede remota que actúe como gateway, con acceso saliente a internet. No necesita IP pública ni puerto entrante abierto.

• La VM del broker debe aceptar conexiones entrantes en su puerto de control y en su puerto de datos. Las notas del producto indican 1280/tcp para control y 443/tcp para datos, mientras que el formulario de alta trae por defecto un puerto de administración 1280 y un puerto de router 3022. Confirme qué pareja usa su compilación de broker antes de abrir el cortafuegos.

Requisitos del appliance de gateway:

Recurso	Mínimo recomendado
Sistema	Una distribución Linux con soporte activo
vCPU	4
Memoria	8 GB
Disco	60 GB
Red	Acceso saliente a internet (sin IP pública, sin puerto entrante)

Dé de alta el broker por nombre DNS, nunca por IP. La dirección queda escrita en los certificados y en los tokens de enrolamiento, y no se puede cambiar después sin reinstalar el broker. Una IP literal solo funciona para un camino de red, porque detrás de NAT la LAN e internet no ven la misma IP.

Todo se gestiona en Consola › Puerta de enlace › Brokers. El único paso fuera de la consola es ejecutar el instalador del gateway una vez, en la sede remota, con un token que genera la consola.

Pasos

1. Dé de alta el broker. En Consola › Puerta de enlace › Brokers, use Registrar broker e indique el host del broker, el puerto de administración (por defecto 1280), el puerto de router (por defecto 3022) y el token de administración del broker. El token se almacena enmascarado y cifrado en la bóveda y no se vuelve a mostrar tras guardarlo. A continuación, ejecute Probar conexión: el estado debería volver como en línea, con la versión del broker y los routers activos.

2. Enrole el gateway de la sede. Abra el broker y, en la pestaña Puertas de enlace, use Enrolar gateway y nómbrelo según la sede (por ejemplo, gateway-branch-sp). La consola emite un JWT de un solo uso, mostrado una única vez. Ejecute el instalador del gateway en la máquina remota con ese token:

   sudo ./install-gateway.sh --token "<PASTE-THE-TOKEN-HERE>"

   En cuanto el gateway se conecta al broker, aparece como en línea en la pestaña Puertas de enlace.

3. Publique el destino. En la pestaña Destinos, use Publicar destino e indique el gateway que ve el activo, la dirección del destino como IP:puerto tal como es alcanzable desde el gateway (por ejemplo, 10.0.0.5:22 para SSH o :3389 para RDP), un nombre de servicio único y un puerto local alto y dedicado en la solución, 12000 o superior.

4. Dé de alta el activo. Registre el activo como siempre, apuntando su dirección al puerto local del paso anterior. La plataforma, las cuentas y las credenciales se configuran exactamente igual que para un activo local.

5. Conceda acceso y conecte. Conceda la autorización normal al usuario o grupo. El usuario se conecta desde el navegador, sin nada que instalar.

El token de enrolamiento es de un solo uso y ya lleva incrustada la dirección del broker, así que el operador de la sede nunca teclea una IP. Si el token caduca o se consume sin que la instalación llegue a completarse, genere uno nuevo desde la pantalla.

Lo que debería ver

La pantalla de Broker

1 Cuántos brokers están registrados.

La lista muestra los brokers registrados, cada uno con su dirección y su estado de conexión (por ejemplo, En línea). En el detalle de un broker:

• la pestaña Puertas de enlace lista cada sede enrolada con su estado;

• la pestaña Destinos lista cada destino publicado con su gateway, su dirección y el puerto local correspondiente en la solución.

Cómo verificar que funcionó

1. El broker figura como En línea en la lista, y Probar conexión devuelve la versión del broker y sus routers activos.

2. El gateway pasa a en línea en la pestaña Puertas de enlace a los pocos instantes de terminar el instalador. Si no lo hace, el token se consumió o caducó.

3. El destino publicado aparece en la pestaña Destinos con su puerto local.

4. Abrir una sesión desde el navegador conecta y arranca la grabación, la prueba de que toda la cadena funciona de extremo a extremo.

5. Confirme que la sede remota no abrió ningún puerto entrante. Si alguien abrió uno "para que funcionara", no es el modelo inverso el que está llevando el tráfico.

Errores comunes

Síntoma	Causa	Solución
El gateway nunca pasa a en línea tras ejecutar el instalador	El token de un solo uso ya se había consumido o ha caducado	Genere un token nuevo en la pestaña Puertas de enlace y vuelva a ejecutar el instalador
Probar conexión falla justo después de dar de alta el broker	Host equivocado, pareja de puertos equivocada o token de administración equivocado	Revise la dirección y los puertos; vuelva a introducir el token, que no se puede leer una vez guardado
El broker funciona, pero ahora hay que cambiar la dirección	La dirección está grabada en los certificados y en los tokens de enrolamiento	Reinstale el broker. Dé de alta por nombre DNS desde el principio, para que una VM restaurada conserve válidos sus certificados
No se puede llegar a un destino publicado	La dirección se escribió tal como la ve la solución, no como la ve el gateway	Use IP:puerto tal como es alcanzable desde el gateway, en la propia LAN de ese gateway
El alta del activo no encuentra el activo remoto	El activo apunta a la dirección remota real en vez de al puerto local	Apunte el activo al puerto local asignado cuando se publicó el destino
Un activo rechaza el camino del broker	Ya está vinculado a un proxy	Un activo usa un proxy o un gateway de broker, nunca ambos
El acceso a través de un broker deja de funcionar	La VM de ese broker no está disponible	Nada que hacer a mano; véase Disponibilidad, más abajo

Disponibilidad

El broker corre sobre una sola VM, que aloja tanto el plano de control como el plano de datos. Esta versión no tiene replicación ni conmutación por error automática entre varias VM de broker.

Si esa VM deja de estar disponible, solo se detienen los accesos que pasan por ese broker. Los activos de acceso directo, los que usan un proxy y los vinculados a otro broker siguen funcionando.

La recuperación no necesita intervención manual: cuando el broker vuelve, los gateways y los conectores remarcan por su cuenta y la solución reconcilia el estado mediante sus rutinas periódicas. En la práctica, el acceso vuelve en torno a uno o dos minutos.

Hasta que exista alta disponibilidad nativa:

1. Proporcione alta disponibilidad en la capa de virtualización, con reinicio automático de la VM.

2. Haga copia de seguridad de la VM, sobre todo de su PKI. Los certificados son la raíz de confianza de todos los gateways y conectores. Perder la VM sin copia de seguridad significa reinstalar el broker y volver a enrolar cada endpoint remoto.

3. Use siempre un nombre DNS, para poder apuntarlo a una VM restaurada y mantener los certificados válidos.

4. Segmente con brokers separados por sede o por criticidad, para reducir el radio de impacto. Esto no es conmutación por error: un activo pertenece al gateway de un broker concreto y no migra por su cuenta.

Desmontaje y revocación

Acción	Efecto
Revocar en la pestaña Puertas de enlace	Termina el acceso de esa sede
Despublicar en la pestaña Destinos	Retira el destino del overlay
Desvincular gateway en la ficha de un dispositivo	Elimina el vínculo del dispositivo con un gateway de broker. No disponible cuando no hay vínculo
Panel de sesiones	Supervisa y termina sesiones en curso en tiempo real

Publique solo los destinos que necesite, y revoque los gateways y destinos que ya no estén en uso. Mantenga la grabación de sesión como obligatoria para los accesos que pasan por un broker, igual que para cualquier acceso privilegiado, y no comparta nunca el token de administración del broker por un canal inseguro.

Referencia de campos

Alta de un broker

Campo	Significado
Host	Dirección del broker. Use un nombre DNS, porque queda escrito en los certificados y no se puede cambiar después
Puerto de administración	Puerto de administración, por defecto 1280
Puerto de router	Puerto de router, por defecto 3022
Token de administración	El token de admin del broker. Se almacena enmascarado y cifrado, y no se vuelve a mostrar

Publicación de un destino

Campo	Significado
Puerta de enlace	El gateway en línea que ve el activo en su propia red
Dirección del destino	IP:puerto alcanzable desde ese gateway
Nombre del servicio	Identificador único del servicio publicado, por ejemplo db-prod-01
Puerto local	Puerto alto dedicado en la solución, 12000 o superior, contra el que se dará de alta el activo

Acciones por broker

Acción	Qué hace
Instalador	Genera el instalador que hay que ejecutar en la máquina remota
Probar conexión	Comprueba que la solución alcanza el broker
Rotar credencial	Rota el secreto de administración del broker
Editar	Cambia el alta
Duplicar	Crea una copia del alta
Desinstalar	Deshace la instalación
Eliminar	Retira el registro

Registrar broker y Exportar están en la barra superior.

Páginas relacionadas

• Gateways: el otro tipo de gateway, al que la solución marca

• Proxy: el camino alternativo, donde la solución marca hacia dentro de la red

• Conectores: un agente en la propia máquina destino, para un host aislado

• Autorizaciones: conceder acceso a un activo publicado

• Conceptos básicos: cómo encajan activos, cuentas y sesiones