> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/connectivity/gateways.md). # Gateways Hosts de salto registrados dentro de un proxy, y cómo se descubren, median y auditan los dispositivos de red y las consolas fuera de banda a los que se suele llegar a través de ellos. Un **gateway** es un host de salto: una máquina dentro de la red de los activos en la que la solución inicia sesión y a través de la cual reenvía el tráfico, para que los activos sin ruta directa sigan siendo alcanzables. Los gateways no son registros independientes: cada uno pertenece a un [Proxy](/es/pam/administration/connectivity/proxy.md), que es la zona a la que se asocian los activos. {% hint style="warning" %} **Dos cosas distintas se llaman "gateway".** Esta página trata del host de salto dentro de una red que la solución sí alcanza, donde la solución marca **hacia dentro**. El otro es el appliance instalado en una sede remota que marca **hacia fuera** contra un [Broker](/es/pam/administration/connectivity/broker.md), usado cuando la solución no alcanza la red en absoluto. No son intercambiables, y un activo usa un camino o el otro, nunca ambos. {% endhint %} ## Qué es esto y cuándo usarlo Use un gateway cuando solo una máquina de una red sea alcanzable: una subred segmentada con un único servidor expuesto, una VLAN de gestión o un entorno donde el cortafuegos abre un solo host. Todo lo que hay detrás se alcanza entonces por ese único salto, con la sesión mediada, grabada y auditada exactamente igual que una sesión directa. Las redes de gestión son el caso habitual, y por eso esta página cubre también las clases de dispositivo que más se encuentran detrás de un host de salto: conmutadores, enrutadores, cortafuegos, balanceadores de carga, puntos de acceso, lectores biométricos, equipos VoIP, controladoras de almacenamiento y consolas fuera de banda. ## Antes de empezar * El host de salto debe estar dado de alta como activo. La plataforma **Puerta de enlace** existe justo para eso: tiene el mismo conjunto de protocolos que **Linux** (SSH 22, SFTP 22, Telnet 23, VNC 5900, RDP 3389) y se mantiene aparte solo para que el papel del host quede claro en el inventario. * El host de salto necesita una cuenta con una credencial que funcione, porque el salto se hace con ella. * Un registro de [Proxy](/es/pam/administration/connectivity/proxy.md) al que asociar el gateway. * En la **plataforma de cada activo destino**, **Puerta de enlace activada** debe estar activo, o las conexiones a esa plataforma no usarán la ruta de salto. ## Pasos 1. Dé de alta el host de salto en el [Inventario](/es/pam/administration/assets/inventory.md) sobre la plataforma **Gateway**, con la dirección que la solución puede alcanzar, y añada una cuenta con su credencial. 2. En **Consola › Puerta de enlace › Proxy**, abra el proxy que representa la red y asocie el host de salto en su pestaña **Puertas de enlace**. 3. Asocie los activos a los que se llegará a través de él y confirme que sus plataformas tienen **Puerta de enlace activada**. 4. Conceda la autorización de acceso a los usuarios o grupos que necesitan esos activos. ## Dispositivos de red y consolas fuera de banda El acceso privilegiado no se limita a servidores y bases de datos. Los equipos de red, almacenamiento y gestión remota se administran como activos corrientes, agrupados por tipo, ubicación y criticidad. {% hint style="info" %} Los equipos de red y fuera de banda comparten el modelo de gobierno de cualquier otro activo: la credencial privilegiada vive en la bóveda, el acceso está mediado y la sesión se graba y se puede auditar. {% endhint %} ### Descubrimiento El descubrimiento mapea los equipos que usan credenciales privilegiadas escaneando subredes, listas de IP o rangos CIDR e identificando dispositivos por sus protocolos de gestión. | Protocolo | Para qué se usa | | ------------------- | ------------------------------------------------------------------------------------------------------------------------ | | **SSH** | Encuentra hosts con servicio SSH activo; recoge el banner y la huella de la clave del host | | **Telnet** | Identifica equipos heredados que todavía exponen una CLI por Telnet | | **HTTPS / GUI web** | Detecta interfaces de administración web: paneles de cortafuegos, controladoras de almacenamiento, consolas de gestión | | **SNMP** | Lee `sysDescr`, `sysObjectID` y otros OID estándar para clasificar fabricante, modelo y función | | **CLI** | Reconoce el tipo de prompt y el sistema operativo de red, de modo que el analizador de comandos encaje con la plataforma | Hay dos modos disponibles: * **Programado**: usted define los rangos, las credenciales de lectura y una ventana de escaneo; el inventario se refresca periódicamente y se señalan los activos nuevos, modificados o desaparecidos. * **A demanda**: usted escanea un rango concreto y revisa los candidatos antes de promoverlos a activos gestionados, decidiendo qué credenciales se importan a la bóveda. {% hint style="warning" %} Use **credenciales de solo lectura** durante el descubrimiento, por ejemplo una comunidad SNMP `read-only` o un usuario dedicado al inventario. Promueva un dispositivo al acceso privilegiado completo solo después de haberlo clasificado. {% endhint %} ### Fabricantes y equipos Los perfiles de conexión y los analizadores de comandos vienen preconfigurados para los fabricantes más comunes; cualquier otro se acomoda mediante perfiles genéricos de SSH, Telnet o HTTPS. | Fabricante | Tipos de equipo | Protocolos típicos | | ------------- | ---------------------------------------------------------------------------------------------------------- | ------------------------------ | | **Cisco** | Conmutadores, enrutadores, cortafuegos (ASA/Firepower) | SSH, Telnet, HTTPS, SNMP | | **Dell** | Conmutadores, almacenamiento, consolas iDRAC | SSH, HTTPS, SNMP, IPMI | | **HPE** | Conmutadores (Aruba), almacenamiento, consolas iLO | SSH, HTTPS, SNMP, IPMI | | **Fortinet** | Cortafuegos (FortiGate), conmutadores | SSH, HTTPS, SNMP | | **Palo Alto** | Cortafuegos de nueva generación | SSH, HTTPS (GUI web), SNMP | | **Huawei** | Conmutadores, enrutadores, almacenamiento | SSH, Telnet, HTTPS, SNMP | | **Juniper** | Conmutadores, enrutadores, cortafuegos (SRX) | SSH, HTTPS, SNMP | | **Lenovo** | Servidores, conmutadores, consolas XClarity Controller (XCC) | SSH, HTTPS, SNMP, IPMI/Redfish | | **Otros** | Balanceadores de carga, controladoras de almacenamiento y cualquier cosa compatible con un perfil genérico | SSH, Telnet, HTTPS, SNMP, CLI | {% hint style="info" %} Cada perfil de fabricante lleva la configuración correcta del prompt de la CLI, la secuencia de escalada de privilegios (por ejemplo, el modo `enable`) y el diccionario de comandos. Eso es lo que hace que la auditoría y el bloqueo de comandos funcionen bien en cada plataforma. La categoría **Device** de [Plataformas](/es/pam/administration/assets/platforms.md) trae **General**, **Cisco**, **Huawei**, **H3C** y **Fortinet** de forma nativa, todas sobre SSH 22 y Telnet 23; los demás fabricantes se atienden con una plataforma genérica o personalizada. {% endhint %} ### Consolas fuera de banda Las consolas fuera de banda administran un servidor incluso cuando su sistema operativo no está disponible, a nivel de firmware y de hardware. | Tecnología | Fabricante / estándar | Acceso | | ----------------------------- | ------------------------------------------ | ---------------------------------- | | **DRAC / iDRAC** | Dell | HTTPS (GUI web), SSH, IPMI | | **iLO** | HPE | HTTPS (GUI web), SSH, IPMI | | **IPMI** | Estándar abierto multifabricante | IPMI sobre LAN, SSH | | **BMC** | Baseboard Management Controller (genérico) | HTTPS, SSH, IPMI/Redfish | | **XClarity Controller (XCC)** | Lenovo | HTTPS (GUI web), SSH, IPMI/Redfish | Para esas consolas, la solución guarda la credencial administrativa (`root`, `Administrator`, `admin`) en la bóveda de modo que los operadores nunca lleguen a conocerla, media la sesión HTTPS, SSH o IPMI sin revelar la contraseña y graba la sesión, incluido el vídeo de la interfaz web de la consola y los comandos tecleados en la CLI. {% hint style="danger" %} Una consola fuera de banda concede un poder equivalente al acceso físico al equipo: apagar y encender, montar medios virtuales, restablecer el firmware. Restrinja esos activos a los perfiles más fiables y exija aprobación para el check-out siempre que pueda. {% endhint %} ### Auditoría y bloqueo de comandos En las sesiones de línea de comandos, todo comando enviado al equipo se inspecciona en tiempo real. Un comando sensible se puede **bloquear**, **bloquear con alerta** o simplemente **registrar para revisión**, y las listas de comandos prohibidos pueden ser específicas de un fabricante o plataforma. Ejemplos que se bloquean con frecuencia: | Comando (ejemplo) | Riesgo | Acción típica | | --------------------------------------------- | ----------------------------------------------- | ------------------- | | `erase startup-config` | Pérdida de configuración | Bloquear | | `reload` / `reboot` | Caída del equipo | Bloquear con alerta | | `delete` sobre volúmenes de almacenamiento | Pérdida de datos | Bloquear | | `username ... privilege 15` | Cuenta privilegiada creada fuera de la solución | Bloquear con alerta | | `factory-reset` en una consola fuera de banda | Restablecimiento de hardware o firmware | Bloquear | {% hint style="warning" %} Revise las listas de bloqueo periódicamente con los equipos de red y de seguridad. Una lista demasiado amplia detiene mantenimientos legítimos; una demasiado estrecha deja disponibles los comandos destructivos. {% endhint %} El acceso a estos dispositivos también se puede restringir combinando dimensiones: perfil de usuario, tipo de equipo, franja horaria y origen de la conexión (rangos de IP, redes de confianza, segmentos de administración). Las reglas se combinan, así que una política como "los operadores de red júnior llegan a los conmutadores de las sedes solo en horario laboral y solo desde la red de administración" se expresa como un único conjunto de reglas. ## Cómo verificar que funcionó 1. Ejecute **Probar conectividad** sobre un activo que está detrás del gateway, desde su bloque **Actualización rápida** en el [Inventario](/es/pam/administration/assets/inventory.md). Eso ejercita la ruta de salto, no el registro del gateway. 2. Abra una sesión real, para un dispositivo de red una [sesión SSH](/es/pam/administration/sessions/ssh.md), y confirme que conecta y que arranca la grabación. 3. Revise el registro de comandos de esa sesión. Las sesiones se indexan por equipo, usuario, fecha y comando, de modo que una pregunta de auditoría como "¿quién ejecutó `reload` en este enrutador la semana pasada?" se responde desde el índice y no viendo grabaciones. 4. Tras una ejecución de descubrimiento, confirme que los dispositivos aparecen como candidatos, clasificados por tipo, fabricante, ubicación y protocolos disponibles, antes de promoverlos. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------- | | Las sesiones hacia activos detrás del host de salto fallan | La solución no tiene ruta ni puerto abierto hasta el propio host de salto | Abra el camino de la solución al host de salto; en esta ruta la solución siempre marca hacia dentro | | Las conexiones se saltan el host de salto | La plataforma del activo destino tiene **Puerta de enlace activada** desactivado | Actívelo para esa plataforma | | El salto funciona pero el activo es inalcanzable | El host de salto no ve ese activo desde su propia posición de red | Pruebe el alcance desde el host de salto, no desde la solución | | El bloqueo o la auditoría de comandos se comporta de forma extraña en un dispositivo | El activo está sobre una plataforma genérica cuyo prompt y diccionario de comandos no coinciden con el fabricante | Mueva el activo a la plataforma del fabricante, o duplique una nativa y ajústela | | El descubrimiento devuelve dispositivos pero sin datos de inventario aprovechables | Las credenciales de escaneo no pueden leer los protocolos de gestión | Proporcione credenciales SSH o SNMP de solo lectura para los rangos escaneados | | Un activo no acepta la ruta de salto | Ya está vinculado a un gateway de broker | Un activo usa un proxy o un gateway de broker, no ambos | ## Referencia de campos | Elemento | Qué es | | ----------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Plataforma **Gateway** | Plataforma basada en Linux para hosts de salto, con SSH 22, SFTP 22, Telnet 23, VNC 5900 y RDP 3389. Separada de **Linux** solo para que el papel del host quede claro en el inventario | | **Puerta de enlace activada** | Interruptor de plataforma, en **Actualización rápida**, que permite que las conexiones a esa plataforma pasen por un gateway | | Pestaña **Puertas de enlace** | En el panel de detalle de un proxy: las máquinas de salto asociadas a ese proxy | | **Desvincular gateway** | Acción en la ficha de un dispositivo que elimina su vínculo con un gateway de *broker*. No disponible cuando no existe tal vínculo | ## Páginas relacionadas * [Proxy](/es/pam/administration/connectivity/proxy.md): el registro al que pertenece un gateway y al que se asocian los activos * [Broker](/es/pam/administration/connectivity/broker.md): el otro tipo de gateway, que marca hacia fuera desde la sede remota * [Plataformas](/es/pam/administration/assets/platforms.md): la plataforma **Gateway** y **Puerta de enlace activada** * [Inventario](/es/pam/administration/assets/inventory.md): dar de alta el host de salto y probar la conectividad * [Sesiones SSH](/es/pam/administration/sessions/ssh.md): la forma habitual de llegar a los dispositivos de red