Gateways

Hosts de salto registrados dentro de un proxy, y cómo se descubren, median y auditan los dispositivos de red y las consolas fuera de banda a los que se suele llegar a través de ellos.

Un gateway es un host de salto: una máquina dentro de la red de los activos en la que la solución inicia sesión y a través de la cual reenvía el tráfico, para que los activos sin ruta directa sigan siendo alcanzables. Los gateways no son registros independientes: cada uno pertenece a un Proxy, que es la zona a la que se asocian los activos.

Dos cosas distintas se llaman "gateway". Esta página trata del host de salto dentro de una red que la solución sí alcanza, donde la solución marca hacia dentro. El otro es el appliance instalado en una sede remota que marca hacia fuera contra un Broker, usado cuando la solución no alcanza la red en absoluto. No son intercambiables, y un activo usa un camino o el otro, nunca ambos.

Qué es esto y cuándo usarlo

Use un gateway cuando solo una máquina de una red sea alcanzable: una subred segmentada con un único servidor expuesto, una VLAN de gestión o un entorno donde el cortafuegos abre un solo host. Todo lo que hay detrás se alcanza entonces por ese único salto, con la sesión mediada, grabada y auditada exactamente igual que una sesión directa.

Las redes de gestión son el caso habitual, y por eso esta página cubre también las clases de dispositivo que más se encuentran detrás de un host de salto: conmutadores, enrutadores, cortafuegos, balanceadores de carga, puntos de acceso, lectores biométricos, equipos VoIP, controladoras de almacenamiento y consolas fuera de banda.

Antes de empezar

• El host de salto debe estar dado de alta como activo. La plataforma Puerta de enlace existe justo para eso: tiene el mismo conjunto de protocolos que Linux (SSH 22, SFTP 22, Telnet 23, VNC 5900, RDP 3389) y se mantiene aparte solo para que el papel del host quede claro en el inventario.

• El host de salto necesita una cuenta con una credencial que funcione, porque el salto se hace con ella.

• Un registro de Proxy al que asociar el gateway.

• En la plataforma de cada activo destino, Puerta de enlace activada debe estar activo, o las conexiones a esa plataforma no usarán la ruta de salto.

Pasos

1. Dé de alta el host de salto en el Inventario sobre la plataforma Gateway, con la dirección que la solución puede alcanzar, y añada una cuenta con su credencial.

2. En Consola › Puerta de enlace › Proxy, abra el proxy que representa la red y asocie el host de salto en su pestaña Puertas de enlace.

3. Asocie los activos a los que se llegará a través de él y confirme que sus plataformas tienen Puerta de enlace activada.

4. Conceda la autorización de acceso a los usuarios o grupos que necesitan esos activos.

Dispositivos de red y consolas fuera de banda

El acceso privilegiado no se limita a servidores y bases de datos. Los equipos de red, almacenamiento y gestión remota se administran como activos corrientes, agrupados por tipo, ubicación y criticidad.

Los equipos de red y fuera de banda comparten el modelo de gobierno de cualquier otro activo: la credencial privilegiada vive en la bóveda, el acceso está mediado y la sesión se graba y se puede auditar.

Descubrimiento

El descubrimiento mapea los equipos que usan credenciales privilegiadas escaneando subredes, listas de IP o rangos CIDR e identificando dispositivos por sus protocolos de gestión.

Protocolo	Para qué se usa
SSH	Encuentra hosts con servicio SSH activo; recoge el banner y la huella de la clave del host
Telnet	Identifica equipos heredados que todavía exponen una CLI por Telnet
HTTPS / GUI web	Detecta interfaces de administración web: paneles de cortafuegos, controladoras de almacenamiento, consolas de gestión
SNMP	Lee sysDescr, sysObjectID y otros OID estándar para clasificar fabricante, modelo y función
CLI	Reconoce el tipo de prompt y el sistema operativo de red, de modo que el analizador de comandos encaje con la plataforma

Hay dos modos disponibles:

• Programado: usted define los rangos, las credenciales de lectura y una ventana de escaneo; el inventario se refresca periódicamente y se señalan los activos nuevos, modificados o desaparecidos.

• A demanda: usted escanea un rango concreto y revisa los candidatos antes de promoverlos a activos gestionados, decidiendo qué credenciales se importan a la bóveda.

Use credenciales de solo lectura durante el descubrimiento, por ejemplo una comunidad SNMP read-only o un usuario dedicado al inventario. Promueva un dispositivo al acceso privilegiado completo solo después de haberlo clasificado.

Fabricantes y equipos

Los perfiles de conexión y los analizadores de comandos vienen preconfigurados para los fabricantes más comunes; cualquier otro se acomoda mediante perfiles genéricos de SSH, Telnet o HTTPS.

Fabricante	Tipos de equipo	Protocolos típicos
Cisco	Conmutadores, enrutadores, cortafuegos (ASA/Firepower)	SSH, Telnet, HTTPS, SNMP
Dell	Conmutadores, almacenamiento, consolas iDRAC	SSH, HTTPS, SNMP, IPMI
HPE	Conmutadores (Aruba), almacenamiento, consolas iLO	SSH, HTTPS, SNMP, IPMI
Fortinet	Cortafuegos (FortiGate), conmutadores	SSH, HTTPS, SNMP
Palo Alto	Cortafuegos de nueva generación	SSH, HTTPS (GUI web), SNMP
Huawei	Conmutadores, enrutadores, almacenamiento	SSH, Telnet, HTTPS, SNMP
Juniper	Conmutadores, enrutadores, cortafuegos (SRX)	SSH, HTTPS, SNMP
Lenovo	Servidores, conmutadores, consolas XClarity Controller (XCC)	SSH, HTTPS, SNMP, IPMI/Redfish
Otros	Balanceadores de carga, controladoras de almacenamiento y cualquier cosa compatible con un perfil genérico	SSH, Telnet, HTTPS, SNMP, CLI

Cada perfil de fabricante lleva la configuración correcta del prompt de la CLI, la secuencia de escalada de privilegios (por ejemplo, el modo enable) y el diccionario de comandos. Eso es lo que hace que la auditoría y el bloqueo de comandos funcionen bien en cada plataforma. La categoría Device de Plataformas trae General, Cisco, Huawei, H3C y Fortinet de forma nativa, todas sobre SSH 22 y Telnet 23; los demás fabricantes se atienden con una plataforma genérica o personalizada.

Consolas fuera de banda

Las consolas fuera de banda administran un servidor incluso cuando su sistema operativo no está disponible, a nivel de firmware y de hardware.

Tecnología	Fabricante / estándar	Acceso
DRAC / iDRAC	Dell	HTTPS (GUI web), SSH, IPMI
iLO	HPE	HTTPS (GUI web), SSH, IPMI
IPMI	Estándar abierto multifabricante	IPMI sobre LAN, SSH
BMC	Baseboard Management Controller (genérico)	HTTPS, SSH, IPMI/Redfish
XClarity Controller (XCC)	Lenovo	HTTPS (GUI web), SSH, IPMI/Redfish

Para esas consolas, la solución guarda la credencial administrativa (root, Administrator, admin) en la bóveda de modo que los operadores nunca lleguen a conocerla, media la sesión HTTPS, SSH o IPMI sin revelar la contraseña y graba la sesión, incluido el vídeo de la interfaz web de la consola y los comandos tecleados en la CLI.

Una consola fuera de banda concede un poder equivalente al acceso físico al equipo: apagar y encender, montar medios virtuales, restablecer el firmware. Restrinja esos activos a los perfiles más fiables y exija aprobación para el check-out siempre que pueda.

Auditoría y bloqueo de comandos

En las sesiones de línea de comandos, todo comando enviado al equipo se inspecciona en tiempo real. Un comando sensible se puede bloquear, bloquear con alerta o simplemente registrar para revisión, y las listas de comandos prohibidos pueden ser específicas de un fabricante o plataforma. Ejemplos que se bloquean con frecuencia:

Comando (ejemplo)	Riesgo	Acción típica
erase startup-config	Pérdida de configuración	Bloquear
reload / reboot	Caída del equipo	Bloquear con alerta
delete sobre volúmenes de almacenamiento	Pérdida de datos	Bloquear
username ... privilege 15	Cuenta privilegiada creada fuera de la solución	Bloquear con alerta
factory-reset en una consola fuera de banda	Restablecimiento de hardware o firmware	Bloquear

Revise las listas de bloqueo periódicamente con los equipos de red y de seguridad. Una lista demasiado amplia detiene mantenimientos legítimos; una demasiado estrecha deja disponibles los comandos destructivos.

El acceso a estos dispositivos también se puede restringir combinando dimensiones: perfil de usuario, tipo de equipo, franja horaria y origen de la conexión (rangos de IP, redes de confianza, segmentos de administración). Las reglas se combinan, así que una política como "los operadores de red júnior llegan a los conmutadores de las sedes solo en horario laboral y solo desde la red de administración" se expresa como un único conjunto de reglas.

Cómo verificar que funcionó

1. Ejecute Probar conectividad sobre un activo que está detrás del gateway, desde su bloque Actualización rápida en el Inventario. Eso ejercita la ruta de salto, no el registro del gateway.

2. Abra una sesión real, para un dispositivo de red una sesión SSH, y confirme que conecta y que arranca la grabación.

3. Revise el registro de comandos de esa sesión. Las sesiones se indexan por equipo, usuario, fecha y comando, de modo que una pregunta de auditoría como "¿quién ejecutó reload en este enrutador la semana pasada?" se responde desde el índice y no viendo grabaciones.

4. Tras una ejecución de descubrimiento, confirme que los dispositivos aparecen como candidatos, clasificados por tipo, fabricante, ubicación y protocolos disponibles, antes de promoverlos.

Errores comunes

Síntoma	Causa	Solución
Las sesiones hacia activos detrás del host de salto fallan	La solución no tiene ruta ni puerto abierto hasta el propio host de salto	Abra el camino de la solución al host de salto; en esta ruta la solución siempre marca hacia dentro
Las conexiones se saltan el host de salto	La plataforma del activo destino tiene Puerta de enlace activada desactivado	Actívelo para esa plataforma
El salto funciona pero el activo es inalcanzable	El host de salto no ve ese activo desde su propia posición de red	Pruebe el alcance desde el host de salto, no desde la solución
El bloqueo o la auditoría de comandos se comporta de forma extraña en un dispositivo	El activo está sobre una plataforma genérica cuyo prompt y diccionario de comandos no coinciden con el fabricante	Mueva el activo a la plataforma del fabricante, o duplique una nativa y ajústela
El descubrimiento devuelve dispositivos pero sin datos de inventario aprovechables	Las credenciales de escaneo no pueden leer los protocolos de gestión	Proporcione credenciales SSH o SNMP de solo lectura para los rangos escaneados
Un activo no acepta la ruta de salto	Ya está vinculado a un gateway de broker	Un activo usa un proxy o un gateway de broker, no ambos

Referencia de campos

Elemento	Qué es
Plataforma Gateway	Plataforma basada en Linux para hosts de salto, con SSH 22, SFTP 22, Telnet 23, VNC 5900 y RDP 3389. Separada de Linux solo para que el papel del host quede claro en el inventario
Puerta de enlace activada	Interruptor de plataforma, en Actualización rápida, que permite que las conexiones a esa plataforma pasen por un gateway
Pestaña Puertas de enlace	En el panel de detalle de un proxy: las máquinas de salto asociadas a ese proxy
Desvincular gateway	Acción en la ficha de un dispositivo que elimina su vínculo con un gateway de broker. No disponible cuando no existe tal vínculo

Páginas relacionadas

• Proxy: el registro al que pertenece un gateway y al que se asocian los activos

• Broker: el otro tipo de gateway, que marca hacia fuera desde la sede remota

• Plataformas: la plataforma Gateway y Puerta de enlace activada

• Inventario: dar de alta el host de salto y probar la conectividad

• Sesiones SSH: la forma habitual de llegar a los dispositivos de red