> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/connectivity/broker.md).

# Broker

Conectividad inversa zero-trust: el gateway remoto y la solución marcan ambos hacia un broker, de modo que los activos en redes que no aceptan conexiones entrantes siguen siendo alcanzables sin VPN.

Un **broker** es el punto de encuentro del acceso inverso. Es un servicio en una VM dedicada que actúa como centro de control de una red overlay zero-trust. No está dentro de la red del cliente ni dentro de la solución, sino en algún lugar que **ambos lados puedan alcanzar**. La pantalla declara la finalidad directamente: *"Conectividad inversa zero-trust: los gateways remotos y el PAM marcan hacia un broker. No se abre ningún puerto entrante en los destinos"*.

## Qué es esto y cuándo usarlo

El broker **invierte el sentido de la conexión**. En lugar de que la solución entre en la red del cliente, los gateways remotos y los conectores marcan hacia el broker, y la solución marca hacia el broker también. Los dos lados se encuentran allí.

```
[destino en la red remota] <--- gateway --marca--> BROKER (público) <--marca-- solución
```

Cada extremo se autentica por certificado, y solo los activos que usted publica explícitamente quedan alcanzables. La red del cliente no expone ningún puerto entrante.

Use un broker cuando no haya ruta de la solución a la red de los activos y usted no pueda, o no quiera, abrir puertos entrantes en el cortafuegos ni montar una VPN. Esa es la situación típica de redes de terceros, sucursales, sedes de clientes y todo lo que está detrás de NAT.

{% hint style="info" %}
**Un gateway de broker no es lo mismo que un gateway de proxy.** Un gateway de broker es un appliance instalado junto a los destinos que solo hace conexiones salientes. Un gateway de proxy es un host de salto al que la solución marca; consulte [Gateways](/es/pam/administration/connectivity/gateways.md). Un activo usa un camino o el otro, nunca ambos.
{% endhint %}

| Situación                                                                 | Mecanismo                                                       |
| ------------------------------------------------------------------------- | --------------------------------------------------------------- |
| La solución alcanza una máquina de la red, pero no los activos            | [Proxy](/es/pam/administration/connectivity/proxy.md)           |
| La solución no alcanza la red, y no se puede abrir ningún puerto entrante | **Broker**                                                      |
| El destino es una única máquina aislada, sin gateway en su red            | [Conectores](/es/pam/administration/connectivity/connectors.md) |

Una vez que el camino existe, nada más cambia: la sesión se media, se graba y se audita exactamente igual que una sesión hacia un activo local, y la grabación de sesión, el filtrado de comandos, la auditoría y las alertas de anomalía se aplican de la misma manera.

## Antes de empezar

* Privilegios de administrador (**SysAdmin**) en la consola.
* Un **broker** aprovisionado y alcanzable, una VM dedicada, entregada como parte de la infraestructura DataDike.
* Una máquina o appliance en la sede remota que actúe como gateway, con acceso **saliente** a internet. No necesita IP pública ni puerto entrante abierto.
* La VM del broker debe aceptar conexiones entrantes en su puerto de control y en su puerto de datos. Las notas del producto indican **1280/tcp** para control y **443/tcp** para datos, mientras que el formulario de alta trae por defecto un puerto de administración `1280` y un puerto de router `3022`. Confirme qué pareja usa su compilación de broker antes de abrir el cortafuegos.

Requisitos del appliance de gateway:

| Recurso | Mínimo recomendado                                                   |
| ------- | -------------------------------------------------------------------- |
| Sistema | Una distribución Linux con soporte activo                            |
| vCPU    | 4                                                                    |
| Memoria | 8 GB                                                                 |
| Disco   | 60 GB                                                                |
| Red     | Acceso **saliente** a internet (sin IP pública, sin puerto entrante) |

{% hint style="danger" %}
**Dé de alta el broker por nombre DNS, nunca por IP.** La dirección queda escrita en los certificados y en los tokens de enrolamiento, y **no se puede cambiar después sin reinstalar el broker**. Una IP literal solo funciona para un camino de red, porque detrás de NAT la LAN e internet no ven la misma IP.
{% endhint %}

Todo se gestiona en **Consola › Puerta de enlace › Brokers**. El único paso fuera de la consola es ejecutar el instalador del gateway una vez, en la sede remota, con un token que genera la consola.

## Pasos

1. **Dé de alta el broker.** En **Consola › Puerta de enlace › Brokers**, use **Registrar broker** e indique el host del broker, el puerto de administración (por defecto `1280`), el puerto de router (por defecto `3022`) y el token de administración del broker. El token se almacena enmascarado y cifrado en la bóveda y no se vuelve a mostrar tras guardarlo. A continuación, ejecute **Probar conexión**: el estado debería volver como *en línea*, con la versión del broker y los routers activos.
2. **Enrole el gateway de la sede.** Abra el broker y, en la pestaña **Puertas de enlace**, use **Enrolar gateway** y nómbrelo según la sede (por ejemplo, `gateway-branch-sp`). La consola emite un **JWT de un solo uso**, mostrado una única vez. Ejecute el instalador del gateway en la máquina remota con ese token:

   ```bash
   sudo ./install-gateway.sh --token "<PASTE-THE-TOKEN-HERE>"
   ```

   En cuanto el gateway se conecta al broker, aparece como *en línea* en la pestaña **Puertas de enlace**.
3. **Publique el destino.** En la pestaña **Destinos**, use **Publicar destino** e indique el gateway que ve el activo, la dirección del destino como `IP:puerto` **tal como es alcanzable desde el gateway** (por ejemplo, `10.0.0.5:22` para SSH o `:3389` para RDP), un nombre de servicio único y un puerto local alto y dedicado en la solución, **12000 o superior**.
4. **Dé de alta el activo.** Registre el activo como siempre, apuntando su dirección al **puerto local** del paso anterior. La plataforma, las cuentas y las credenciales se configuran exactamente igual que para un activo local.
5. **Conceda acceso y conecte.** Conceda la [autorización](/es/pam/administration/access/authorizations.md) normal al usuario o grupo. El usuario se conecta desde el navegador, sin nada que instalar.

{% hint style="warning" %}
El token de enrolamiento es de **un solo uso** y ya lleva incrustada la dirección del broker, así que el operador de la sede nunca teclea una IP. Si el token caduca o se consume sin que la instalación llegue a completarse, genere uno nuevo desde la pantalla.
{% endhint %}

## Lo que debería ver

![La pantalla de Broker](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-7321e43d1c63630412512e65fe4fa08cbf8c0d1c%2Fbroker.png?alt=media)

**1** Cuántos brokers están registrados.

La lista muestra los brokers registrados, cada uno con su dirección y su **estado de conexión** (por ejemplo, *En línea*). En el detalle de un broker:

* la pestaña **Puertas de enlace** lista cada sede enrolada con su estado;
* la pestaña **Destinos** lista cada destino publicado con su gateway, su dirección y el puerto local correspondiente en la solución.

## Cómo verificar que funcionó

1. El broker figura como *En línea* en la lista, y **Probar conexión** devuelve la versión del broker y sus routers activos.
2. El gateway pasa a *en línea* en la pestaña **Puertas de enlace** a los pocos instantes de terminar el instalador. Si no lo hace, el token se consumió o caducó.
3. El destino publicado aparece en la pestaña **Destinos** con su puerto local.
4. Abrir una sesión desde el navegador conecta y arranca la grabación, la prueba de que toda la cadena funciona de extremo a extremo.
5. Confirme que la sede remota **no abrió ningún puerto entrante**. Si alguien abrió uno "para que funcionara", no es el modelo inverso el que está llevando el tráfico.

## Errores comunes

| Síntoma                                                          | Causa                                                                              | Solución                                                                                                                        |
| ---------------------------------------------------------------- | ---------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------- |
| El gateway nunca pasa a *en línea* tras ejecutar el instalador   | El token de un solo uso ya se había consumido o ha caducado                        | Genere un token nuevo en la pestaña **Puertas de enlace** y vuelva a ejecutar el instalador                                     |
| **Probar conexión** falla justo después de dar de alta el broker | Host equivocado, pareja de puertos equivocada o token de administración equivocado | Revise la dirección y los puertos; vuelva a introducir el token, que no se puede leer una vez guardado                          |
| El broker funciona, pero ahora hay que cambiar la dirección      | La dirección está grabada en los certificados y en los tokens de enrolamiento      | Reinstale el broker. Dé de alta por nombre DNS desde el principio, para que una VM restaurada conserve válidos sus certificados |
| No se puede llegar a un destino publicado                        | La dirección se escribió tal como la ve la solución, no como la ve el gateway      | Use `IP:puerto` tal como es alcanzable **desde el gateway**, en la propia LAN de ese gateway                                    |
| El alta del activo no encuentra el activo remoto                 | El activo apunta a la dirección remota real en vez de al puerto local              | Apunte el activo al puerto local asignado cuando se publicó el destino                                                          |
| Un activo rechaza el camino del broker                           | Ya está vinculado a un proxy                                                       | Un activo usa un proxy o un gateway de broker, nunca ambos                                                                      |
| El acceso a través de un broker deja de funcionar                | La VM de ese broker no está disponible                                             | Nada que hacer a mano; véase Disponibilidad, más abajo                                                                          |

## Disponibilidad

El broker corre sobre **una sola VM**, que aloja tanto el plano de control como el plano de datos. Esta versión no tiene replicación ni conmutación por error automática entre varias VM de broker.

Si esa VM deja de estar disponible, solo se detienen los accesos que pasan por **ese** broker. Los activos de acceso directo, los que usan un [proxy](/es/pam/administration/connectivity/proxy.md) y los vinculados a otro broker siguen funcionando.

La recuperación **no necesita intervención manual**: cuando el broker vuelve, los gateways y los conectores remarcan por su cuenta y la solución reconcilia el estado mediante sus rutinas periódicas. En la práctica, el acceso vuelve en torno a uno o dos minutos.

Hasta que exista alta disponibilidad nativa:

1. Proporcione **alta disponibilidad en la capa de virtualización**, con reinicio automático de la VM.
2. **Haga copia de seguridad de la VM, sobre todo de su PKI.** Los certificados son la raíz de confianza de todos los gateways y conectores. Perder la VM sin copia de seguridad significa reinstalar el broker y volver a enrolar cada endpoint remoto.
3. **Use siempre un nombre DNS**, para poder apuntarlo a una VM restaurada y mantener los certificados válidos.
4. **Segmente con brokers separados** por sede o por criticidad, para reducir el radio de impacto. Esto no es conmutación por error: un activo pertenece al gateway de un broker concreto y no migra por su cuenta.

## Desmontaje y revocación

| Acción                                                | Efecto                                                                                           |
| ----------------------------------------------------- | ------------------------------------------------------------------------------------------------ |
| **Revocar** en la pestaña **Puertas de enlace**       | Termina el acceso de esa sede                                                                    |
| **Despublicar** en la pestaña **Destinos**            | Retira el destino del overlay                                                                    |
| **Desvincular gateway** en la ficha de un dispositivo | Elimina el vínculo del dispositivo con un gateway de broker. No disponible cuando no hay vínculo |
| Panel de sesiones                                     | Supervisa y termina sesiones en curso en tiempo real                                             |

Publique solo los destinos que necesite, y revoque los gateways y destinos que ya no estén en uso. Mantenga la grabación de sesión como obligatoria para los accesos que pasan por un broker, igual que para cualquier acceso privilegiado, y no comparta nunca el token de administración del broker por un canal inseguro.

## Referencia de campos

### Alta de un broker

| Campo                    | Significado                                                                                                     |
| ------------------------ | --------------------------------------------------------------------------------------------------------------- |
| **Host**                 | Dirección del broker. Use un nombre DNS, porque queda escrito en los certificados y no se puede cambiar después |
| Puerto de administración | Puerto de administración, por defecto `1280`                                                                    |
| Puerto de router         | Puerto de router, por defecto `3022`                                                                            |
| Token de administración  | El token de admin del broker. Se almacena enmascarado y cifrado, y no se vuelve a mostrar                       |

### Publicación de un destino

| Campo                 | Significado                                                                                        |
| --------------------- | -------------------------------------------------------------------------------------------------- |
| **Puerta de enlace**  | El gateway en línea que ve el activo en su propia red                                              |
| Dirección del destino | `IP:puerto` alcanzable **desde ese gateway**                                                       |
| Nombre del servicio   | Identificador único del servicio publicado, por ejemplo `db-prod-01`                               |
| Puerto local          | Puerto alto dedicado en la solución, **12000 o superior**, contra el que se dará de alta el activo |

### Acciones por broker

| Acción               | Qué hace                                                       |
| -------------------- | -------------------------------------------------------------- |
| **Instalador**       | Genera el instalador que hay que ejecutar en la máquina remota |
| **Probar conexión**  | Comprueba que la solución alcanza el broker                    |
| **Rotar credencial** | Rota el secreto de administración del broker                   |
| **Editar**           | Cambia el alta                                                 |
| **Duplicar**         | Crea una copia del alta                                        |
| **Desinstalar**      | Deshace la instalación                                         |
| **Eliminar**         | Retira el registro                                             |

**Registrar broker** y **Exportar** están en la barra superior.

## Páginas relacionadas

* [Gateways](/es/pam/administration/connectivity/gateways.md): el otro tipo de gateway, al que la solución marca
* [Proxy](/es/pam/administration/connectivity/proxy.md): el camino alternativo, donde la solución marca hacia dentro de la red
* [Conectores](/es/pam/administration/connectivity/connectors.md): un agente en la propia máquina destino, para un host aislado
* [Autorizaciones](/es/pam/administration/access/authorizations.md): conceder acceso a un activo publicado
* [Conceptos básicos](/es/pam/get-started/core-concepts.md): cómo encajan activos, cuentas y sesiones