Arquitectura y componentes
Los componentes que forman una instancia en ejecución, qué hace cada uno, cómo viaja una sesión entre ellos y cómo se forma la ruta de red desde la solución hasta un activo.
Una instancia no es un solo programa. Es un core que posee la base de datos, la bóveda y todas las decisiones de acceso, rodeado de componentes independientes, uno por familia de protocolos, más los servicios que almacenan las grabaciones, ejecutan el trabajo programado y envían notificaciones. Se registran ellos mismos en el core y se listan, supervisan y escalan de forma individual.
Saber qué componente hace qué es lo que convierte "el PAM se cayó" en "el RDP se cayó y el SSH funciona bien".
La ruta de una sesión
El usuario se autentica contra el core. El core es la API REST que hay detrás de la consola y de todas las integraciones. Resuelve la autorización, la cuenta, la plataforma y la ruta de red que debe usarse.
El core entrega la sesión al componente que habla el protocolo: el conector de terminal para SSH, Telnet y SFTP; el conector gráfico para RDP y VNC; el conector de bases de datos para los protocolos de base de datos; el conector de aplicaciones virtuales para las aplicaciones publicadas.
Ese componente se conecta al activo, ya sea directamente, mediante una máquina de salto o por la ruta inversa, recuperando la credencial del core e inyectándola en el inicio de sesión del destino. La credencial nunca se entrega al navegador ni al cliente del usuario.
Mientras el tráfico circula, el componente lo captura: comandos escritos, salida del terminal, fotogramas de pantalla, archivos transferidos. También aplica los filtros de comandos sobre la marcha, que es la razón por la que el filtrado funciona igual en una sesión web y en un cliente nativo.
Cuando la sesión termina, el componente entrega el archivo de reproducción al servicio de grabación, que lo escribe en el almacenamiento de objetos configurado. Las grabaciones gráficas pasan antes por el servicio de procesamiento de vídeo, para transcodificarse a una forma reproducible.
El servicio de tareas ejecuta todo lo programado alrededor de esto (rotación de credenciales, recopilación de cuentas, comprobaciones de conectividad, limpieza de registros) y el servicio de notificaciones entrega lo que piden las suscripciones.
Los componentes
Core (API)
La API REST. Sirve la consola y las integraciones, posee la base de datos y la bóveda, y toma todas las decisiones de acceso
Todo. La consola es inaccesible y ninguna sesión puede iniciarse
Servicio de tareas
Trabajo asíncrono y programado: rotación, recopilación de cuentas, comprobaciones de conectividad, limpieza
Toda la automatización. Las sesiones siguen funcionando, pero nada programado se ejecuta
Conector de terminal
Proxy para SSH, Telnet y SFTP. Graba comandos, salida del terminal y el archivo de reproducción. Sirve tanto al terminal web como a los clientes nativos
Las sesiones de terminal, en el navegador y por cliente
Conector gráfico
Proxy para RDP y VNC. Graba la sesión de escritorio como vídeo
Las sesiones gráficas
Conector de bases de datos
Proxy para sesiones de base de datos, de modo que los clientes externos alcanzan el activo a través de la solución con las consultas auditadas
Las sesiones de base de datos con cliente nativo
Conector de aplicaciones virtuales
Publica aplicaciones individuales de un servidor remoto (RemoteApp y aplicaciones virtuales), mediadas y grabadas, sin un escritorio completo
Las sesiones de aplicaciones publicadas
Servicio de grabación
Recibe los archivos de reproducción de los componentes de protocolo y los guarda en el almacenamiento de objetos
Las grabaciones nuevas. Las sesiones siguen ejecutándose
Servicio de procesamiento de vídeo
Transcodifica las grabaciones gráficas al formato de reproducción que usan las pantallas de auditoría
La reproducción de las nuevas sesiones gráficas
Servicio de notificaciones
Envía correo electrónico, SMS y los demás canales configurados
Las alertas y las notificaciones de aprobación
Servicio de reconocimiento facial
Verificación de identidad por biometría facial en el inicio de sesión o durante una sesión, cuando está habilitada
Ese método de verificación
Agente de endpoint Windows
Agente opcional en un servidor Windows: información del activo, tareas locales y gestión de cuentas de Windows
Las funciones que dependen de él, solo en ese host
En la consola, un componente se nombra como [Tipo]-NombreDelServidor: [Terminal]-DATADIKE-T, [Database]-DATADIKE. Al hacer clic en el nombre se abren sus detalles.
Cómo se incorporan los componentes a la instancia
Los componentes se registran ellos mismos en el core. Configuración del sistema › Componentes › Básico contiene el interruptor:
Registration
Habilitado de forma predeterminada. Permite que cualquier componente que conozca la dirección del servidor se registre tras su instalación
Client connection
Si los usuarios pueden lanzar un cliente SSH nativo. Deshabilitado, todo acceso de terminal se fuerza por el terminal web grabado
Database proxy
Habilita el conector de bases de datos en toda la plataforma. Deshabilitado, las sesiones de base de datos con cliente nativo desaparecen del producto entero
Vigilar la salud de los componentes
Configuración del sistema › Componentes › Componentes lista en tiempo real todos los componentes registrados. Es la primera pantalla que hay que abrir cuando el acceso falla para un protocolo y no para otro.
Nombre
[Tipo]-NombreDelServidor
Sesiones en línea
Sesiones que ese componente atiende en este momento. Cero significa inactivo; una cifra persistentemente alta indica que toca añadir otra instancia de ese tipo
Stat
Uso de CPU y memoria del proceso del componente. Cerca del 100% es saturación
Load status
Normal, Offline (no responde, revise el servicio en su host) o High load
ID
Identificador único del componente, tal como aparece en registros y diagnósticos
Tipo
Cuál de los componentes anteriores es
Dirección remota
Dirección y puerto del host en el que se ejecuta
La ruta de red hasta un activo
Cuando la solución no puede abrir por sí misma una conexión hasta el activo, uno de cuatro objetos aporta la ruta. Dos de ellos son mitades del mismo mecanismo, que es la fuente de confusión más habitual aquí.
De la solución a la red
La zona: el registro que agrupa las máquinas de salto de una red y al que se asocian los activos. Un centro de datos, una nube, una VPC
De la solución a la red
La máquina de salto en sí, registrada dentro de un proxy. La solución abre una sesión en ella, con una cuenta registrada en ella, y reenvía el tráfico hasta el activo desde dentro
De la red a la solución
Un punto de encuentro en una malla de confianza cero, alcanzable por ambos lados. Los gateways remotos marcan hacia fuera hasta él, la solución también se conecta a él, y ambos se encuentran allí. Para redes que no pueden aceptar ninguna conexión entrante
Conector
De la red a la solución
Un agente en la propia máquina de destino, que inscribe ese único host en el broker y publica solo a sí mismo. Para la máquina aislada sin ningún gateway en su red
El componente que habla con el broker desde el lado de la solución es redundante por diseño: hay una instancia por nodo del clúster, cada una con su propia identidad, inscripción automática y autorrecuperación. Perder un nodo no interrumpe el acceso inverso, y perder un nodo del broker tampoco.
Alcanzar la consola desde fuera
Los usuarios se conectan a la consola por HTTPS en el 443 y, desde ahí, abren sesiones RDP, SSH, Telnet, VNC y de base de datos. No se requiere ninguna conectividad directa entre el usuario y los dispositivos protegidos, que es justamente la idea y lo que hace viable el acceso de terceros sin VPN.
Para los puertos que la solución usa para alcanzar los activos, consulte Puertos y protocolos.
Nodo único y clúster
Los mismos componentes se ejecutan en ambas formas. Lo que añade un clúster:
Base de datos
Replicada entre nodos, con elección automática del primario
Caché y cola
Replicadas, con failover
Grabaciones y adjuntos
En almacenamiento compartido entre los nodos
Dirección
Una dirección virtual delante de los nodos, para que la URL no cambie cuando un nodo falla
Sesiones
Activo-activo: la carga de sesiones se reparte entre los nodos y se redistribuye cuando uno queda no disponible
Actualizaciones
Los componentes se actualizan de uno en uno, sin detener el producto
Los objetivos de diseño del esquema activo-activo son RTO de una hora o menos y RPO de quince minutos o menos.
Errores comunes
La consola es inalcanzable y ninguna sesión inicia
El core está caído
Recupere primero el core; nada más puede diagnosticarse hasta que responda
RDP falla, SSH funciona
El conector gráfico está caído o saturado
Revise Load status y Stat de ese componente
Las sesiones se ejecutan pero no aparece ninguna reproducción en el registro de auditoría
El servicio de grabación, el de procesamiento de vídeo o el almacenamiento
Revise esos componentes y después la configuración de almacenamiento
Nada programado se ejecuta, pero las sesiones van bien
El servicio de tareas está caído
La rotación, la recopilación y la limpieza dependen todas de él
Un componente recién instalado no aparece en la lista
Registration está deshabilitado
Habilítelo, registre el componente y vuelva a deshabilitarlo
El componente muestra Normal pero las sesiones van lentas
Uso alto de recursos, no un fallo
Lea el Stat; cerca del 100% significa añadir otra instancia de ese tipo
La opción de lanzar un cliente de base de datos falta en todas partes
Database proxy está deshabilitado en Configuración del sistema › Componentes › Básico
Habilítelo
Páginas relacionadas
Conceptos fundamentales, los objetos sobre los que actúan los componentes
Proxy, la zona a la que se asocian los activos
Gateways, las máquinas de salto de su interior
Broker, la ruta inversa
Puertos y protocolos, los puertos usados para alcanzar los activos
Atualizado
Isto foi útil?