> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/sonar/deploy-operate/network-requirements.md). # Requisitos de red Las conexiones salientes que abre un endpoint gestionado: la dirección de la API de SONAR y la de acceso remoto en el 443, más los destinos de terceros del agente. ## Qué cubre esta página Las reglas de cortafuegos y de proxy que necesita un **endpoint gestionado**. Todas las conexiones siguientes son **salientes desde el endpoint**: nada se conecta al dispositivo, y no hay que abrir ningún puerto entrante en él ni en su red. El propio servidor de SONAR lo opera DataDike. DataDike proporciona las direcciones de su instancia, y nada de esta página se configura en el servidor. ## Las dos direcciones de SONAR Cada instancia tiene dos direcciones que los endpoints deben alcanzar. DataDike proporciona ambas al entregar la instancia. En esta página aparecen como valores de ejemplo: | Valor de ejemplo | Qué es | | -------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `api.example.com` | La **dirección de la API**. El agente se registra, envía sus datos y recibe comandos a través de ella. Es la dirección incluida en cada instalador que genera la consola | | `remote.example.com` | La **dirección de acceso remoto**. El agente de acceso remoto mantiene su conexión con ella, y el control remoto, el terminal remoto y la transferencia de archivos pasan por ella | ## Conexiones que abre el endpoint | Origen | Destino | Protocolo y puerto | Para qué | | --------------------------------- | -------------------- | -------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Agente de SONAR | `api.example.com` | HTTPS, 443/tcp | Instalación (comprobación del token, registro), informes periódicos (inventario de software, geolocalización, resultados de checks y de tareas), descargas del agente y del módulo de productividad | | Agente de SONAR | `api.example.com` | WebSocket seguro (WSS), 443/tcp, de larga duración | Señal de actividad (heartbeat), inventario y todos los comandos enviados desde la consola. Esta conexión es la que mantiene el dispositivo **online** | | Agente de acceso remoto | `remote.example.com` | WebSocket seguro (WSS), 443/tcp, de larga duración | Control remoto, terminal remoto, transferencia de archivos y el estado **Remote Offline** | | Módulo de productividad (Windows) | `api.example.com` | HTTPS, 443/tcp | Informes de actividad y de sesiones, solicitudes de extensión | | Módulo de productividad (Windows) | `api.example.com` | WebSocket seguro (WSS), 443/tcp, de larga duración | Políticas de acceso enviadas al dispositivo | | Script de instalación para Linux | `api.example.com` | HTTPS, 443/tcp | Descarga del agente | | Script de instalación para Linux | `remote.example.com` | HTTPS, 443/tcp | Descarga del agente de acceso remoto | En Windows y macOS, el agente de acceso remoto se descarga a través de la dirección de la API durante la instalación; el script para Linux lo descarga directamente desde la dirección de acceso remoto. ## Destinos de terceros que usa el agente No son direcciones de SONAR. El agente los contacta para funciones concretas; bloquear uno desactiva solo esa función. | Destino | Plataforma | Cuándo | Qué ocurre si se bloquea | | ----------------------------------------------------------------------------------------------- | ---------- | ---------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- | | `checkip.amazonaws.com`, `icanhazip.com`, `ifconfig.co`, `ifconfig.me` (HTTPS) | Todas | Cada 5 a 8 minutos, uno tras otro hasta que uno responde | El valor **Public IP** del dispositivo queda vacío o desactualizado | | `github.com` (HTTPS, descargas de versiones publicadas en GitHub) | Windows | En el primer inicio del agente, cuando el entorno de ejecución de Python aún no está presente | Los scripts de Python no pueden ejecutarse en el dispositivo | | `github.com` (HTTPS, descargas de versiones publicadas en GitHub) | Todas | Solo donde los entornos de ejecución de scripts Nushell o Deno están habilitados para su instancia, con el soporte de implantación de DataDike | Esos tipos de script no pueden ejecutarse | | `chocolatey.org`, `community.chocolatey.org` (HTTPS) | Windows | Al iniciarse el servicio mientras Chocolatey no esté instalado, y cuando se instala software desde la consola | La instalación de software desde la consola no funciona | | El origen de Windows Update configurado en el dispositivo (Microsoft Update o su servidor WSUS) | Windows | Búsquedas e instalaciones de actualizaciones | Las búsquedas de Windows Update y las instalaciones de actualizaciones fallan | El tráfico de Windows Update sigue la configuración de Windows Update del propio dispositivo: el agente controla el cliente de Windows Update del dispositivo, y el cliente descarga desde donde Windows esté configurado para descargar. ## Proxies El agente acepta un proxy HTTP en el momento de la instalación con el argumento `-proxy` (`-proxy "http://proxyserver:port"`), que figura en **Optional Arguments** en las instrucciones de instalación manual. El proxy se guarda en la configuración del agente y se usa para: * las solicitudes de instalación y las descargas que hace el agente, incluidas las actualizaciones del agente; * las solicitudes HTTPS del agente a la dirección de la API; * en Windows, la instalación del agente de acceso remoto. La conexión WebSocket de larga duración con `api.example.com` se abre directamente, no a través de ese proxy. Por lo tanto, un dispositivo detrás de un proxy sigue necesitando una ruta saliente directa a `api.example.com` en 443/tcp. El módulo de productividad también se conecta directamente. ## Inspección TLS y filtrado web Las dos direcciones de SONAR transportan conexiones WebSocket de larga duración. Los proxies, cortafuegos y filtros web que inspeccionan TLS, cierran rápidamente las conexiones inactivas o no permiten la actualización (upgrade) a WebSocket las interrumpen, y el dispositivo aparece sin conexión o con **Remote Offline** aunque las solicitudes HTTPS sigan funcionando. * Excluya `api.example.com` y `remote.example.com` de la inspección TLS. * Permita la actualización a WebSocket hacia ambas direcciones. * Permita que las conexiones permanezcan abiertas indefinidamente. El agente envía un keepalive aproximadamente cada 35 a 45 segundos y se vuelve a conectar automáticamente tras un corte. ## Cómo verificar que funcionó Desde el endpoint, antes o después de la instalación: * **Windows**, en PowerShell: `Test-NetConnection api.example.com -Port 443` y `Test-NetConnection remote.example.com -Port 443` deben devolver ambos `TcpTestSucceeded : True`. El instalador de PowerShell ejecuta la misma prueba contra la dirección de la API y muestra *Unable to connect to server* cuando falla. * **Linux y macOS:** `curl -sS -o /dev/null -w "%{http_code}\n" https://api.example.com/` y lo mismo para `https://remote.example.com/` deben devolver un código de estado HTTP y no un error de conexión. Tras la instalación, el dispositivo aparece en **Dashboard › Sysadmin** con **Agent Status** **Online**, y su panel de detalles no muestra el indicador **Remote Offline** una vez que el agente de acceso remoto se ha conectado. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------- | | El instalador de PowerShell muestra *Waiting for network* tres veces y después *Unable to connect to server* | El endpoint no puede abrir 443/tcp hacia la dirección de la API | Abra la salida 443/tcp hacia `api.example.com` y compruebe la resolución de nombres | | El dispositivo se registra pero nunca aparece como **Online**, o se desconecta una y otra vez | La conexión WebSocket con la dirección de la API está bloqueada, inspeccionada o cortada por un proxy | Permita una conexión 443/tcp directa, sin inspección y con actualización a WebSocket, hacia `api.example.com` | | El dispositivo está en línea pero muestra **Remote Offline**, y el control remoto no se abre | El agente de acceso remoto no puede alcanzar la dirección de acceso remoto | Permita la salida 443/tcp con actualización a WebSocket hacia `remote.example.com` | | **Public IP** está vacío | Todos los servicios de consulta de IP pública están bloqueados | Permita al menos uno de ellos, o acepte la columna vacía | | Los scripts de Python fallan en un dispositivo Windows nuevo | No se pudo descargar el entorno de ejecución de Python desde GitHub | Permita las descargas de `github.com` y después reinicie el servicio del agente | | Las instalaciones de software desde la consola fallan | No se puede alcanzar Chocolatey | Permita `chocolatey.org` y `community.chocolatey.org` | ## Páginas relacionadas * [Requisitos de los dispositivos](/es/sonar/deploy-operate/requirements.md) * [Instalar el agente en Windows](/es/sonar/deploy-operate/install-agent-windows.md) * [Desplegar agentes a escala](/es/sonar/deploy-operate/mass-deployment.md) * [Solucionar problemas de los agentes](/es/sonar/deploy-operate/troubleshooting.md) * [Acceso remoto](/es/sonar/administration/remote-access.md)