Requisitos de red

Las conexiones salientes que abre un endpoint gestionado: la dirección de la API de SONAR y la de acceso remoto en el 443, más los destinos de terceros del agente.

Qué cubre esta página

Las reglas de cortafuegos y de proxy que necesita un endpoint gestionado. Todas las conexiones siguientes son salientes desde el endpoint: nada se conecta al dispositivo, y no hay que abrir ningún puerto entrante en él ni en su red.

El propio servidor de SONAR lo opera DataDike. DataDike proporciona las direcciones de su instancia, y nada de esta página se configura en el servidor.

Las dos direcciones de SONAR

Cada instancia tiene dos direcciones que los endpoints deben alcanzar. DataDike proporciona ambas al entregar la instancia. En esta página aparecen como valores de ejemplo:

Valor de ejemplo	Qué es
api.example.com	La dirección de la API. El agente se registra, envía sus datos y recibe comandos a través de ella. Es la dirección incluida en cada instalador que genera la consola
remote.example.com	La dirección de acceso remoto. El agente de acceso remoto mantiene su conexión con ella, y el control remoto, el terminal remoto y la transferencia de archivos pasan por ella

Conexiones que abre el endpoint

Origen	Destino	Protocolo y puerto	Para qué
Agente de SONAR	api.example.com	HTTPS, 443/tcp	Instalación (comprobación del token, registro), informes periódicos (inventario de software, geolocalización, resultados de checks y de tareas), descargas del agente y del módulo de productividad
Agente de SONAR	api.example.com	WebSocket seguro (WSS), 443/tcp, de larga duración	Señal de actividad (heartbeat), inventario y todos los comandos enviados desde la consola. Esta conexión es la que mantiene el dispositivo online
Agente de acceso remoto	remote.example.com	WebSocket seguro (WSS), 443/tcp, de larga duración	Control remoto, terminal remoto, transferencia de archivos y el estado Remote Offline
Módulo de productividad (Windows)	api.example.com	HTTPS, 443/tcp	Informes de actividad y de sesiones, solicitudes de extensión
Módulo de productividad (Windows)	api.example.com	WebSocket seguro (WSS), 443/tcp, de larga duración	Políticas de acceso enviadas al dispositivo
Script de instalación para Linux	api.example.com	HTTPS, 443/tcp	Descarga del agente
Script de instalación para Linux	remote.example.com	HTTPS, 443/tcp	Descarga del agente de acceso remoto

En Windows y macOS, el agente de acceso remoto se descarga a través de la dirección de la API durante la instalación; el script para Linux lo descarga directamente desde la dirección de acceso remoto.

Destinos de terceros que usa el agente

No son direcciones de SONAR. El agente los contacta para funciones concretas; bloquear uno desactiva solo esa función.

Destino	Plataforma	Cuándo	Qué ocurre si se bloquea
checkip.amazonaws.com, icanhazip.com, ifconfig.co, ifconfig.me (HTTPS)	Todas	Cada 5 a 8 minutos, uno tras otro hasta que uno responde	El valor Public IP del dispositivo queda vacío o desactualizado
github.com (HTTPS, descargas de versiones publicadas en GitHub)	Windows	En el primer inicio del agente, cuando el entorno de ejecución de Python aún no está presente	Los scripts de Python no pueden ejecutarse en el dispositivo
github.com (HTTPS, descargas de versiones publicadas en GitHub)	Todas	Solo donde los entornos de ejecución de scripts Nushell o Deno están habilitados para su instancia, con el soporte de implantación de DataDike	Esos tipos de script no pueden ejecutarse
chocolatey.org, community.chocolatey.org (HTTPS)	Windows	Al iniciarse el servicio mientras Chocolatey no esté instalado, y cuando se instala software desde la consola	La instalación de software desde la consola no funciona
El origen de Windows Update configurado en el dispositivo (Microsoft Update o su servidor WSUS)	Windows	Búsquedas e instalaciones de actualizaciones	Las búsquedas de Windows Update y las instalaciones de actualizaciones fallan

El tráfico de Windows Update sigue la configuración de Windows Update del propio dispositivo: el agente controla el cliente de Windows Update del dispositivo, y el cliente descarga desde donde Windows esté configurado para descargar.

Proxies

El agente acepta un proxy HTTP en el momento de la instalación con el argumento -proxy (-proxy "http://proxyserver:port"), que figura en Optional Arguments en las instrucciones de instalación manual. El proxy se guarda en la configuración del agente y se usa para:

• las solicitudes de instalación y las descargas que hace el agente, incluidas las actualizaciones del agente;

• las solicitudes HTTPS del agente a la dirección de la API;

• en Windows, la instalación del agente de acceso remoto.

La conexión WebSocket de larga duración con api.example.com se abre directamente, no a través de ese proxy. Por lo tanto, un dispositivo detrás de un proxy sigue necesitando una ruta saliente directa a api.example.com en 443/tcp. El módulo de productividad también se conecta directamente.

Inspección TLS y filtrado web

Las dos direcciones de SONAR transportan conexiones WebSocket de larga duración. Los proxies, cortafuegos y filtros web que inspeccionan TLS, cierran rápidamente las conexiones inactivas o no permiten la actualización (upgrade) a WebSocket las interrumpen, y el dispositivo aparece sin conexión o con Remote Offline aunque las solicitudes HTTPS sigan funcionando.

• Excluya api.example.com y remote.example.com de la inspección TLS.

• Permita la actualización a WebSocket hacia ambas direcciones.

• Permita que las conexiones permanezcan abiertas indefinidamente. El agente envía un keepalive aproximadamente cada 35 a 45 segundos y se vuelve a conectar automáticamente tras un corte.

Cómo verificar que funcionó

Desde el endpoint, antes o después de la instalación:

• Windows, en PowerShell: Test-NetConnection api.example.com -Port 443 y Test-NetConnection remote.example.com -Port 443 deben devolver ambos TcpTestSucceeded : True. El instalador de PowerShell ejecuta la misma prueba contra la dirección de la API y muestra Unable to connect to server cuando falla.

• Linux y macOS: curl -sS -o /dev/null -w "%{http_code}\n" https://api.example.com/ y lo mismo para https://remote.example.com/ deben devolver un código de estado HTTP y no un error de conexión.

Tras la instalación, el dispositivo aparece en Dashboard › Sysadmin con Agent Status Online, y su panel de detalles no muestra el indicador Remote Offline una vez que el agente de acceso remoto se ha conectado.

Errores comunes

Síntoma	Causa	Solución
El instalador de PowerShell muestra Waiting for network tres veces y después Unable to connect to server	El endpoint no puede abrir 443/tcp hacia la dirección de la API	Abra la salida 443/tcp hacia api.example.com y compruebe la resolución de nombres
El dispositivo se registra pero nunca aparece como Online, o se desconecta una y otra vez	La conexión WebSocket con la dirección de la API está bloqueada, inspeccionada o cortada por un proxy	Permita una conexión 443/tcp directa, sin inspección y con actualización a WebSocket, hacia api.example.com
El dispositivo está en línea pero muestra Remote Offline, y el control remoto no se abre	El agente de acceso remoto no puede alcanzar la dirección de acceso remoto	Permita la salida 443/tcp con actualización a WebSocket hacia remote.example.com
Public IP está vacío	Todos los servicios de consulta de IP pública están bloqueados	Permita al menos uno de ellos, o acepte la columna vacía
Los scripts de Python fallan en un dispositivo Windows nuevo	No se pudo descargar el entorno de ejecución de Python desde GitHub	Permita las descargas de github.com y después reinicie el servicio del agente
Las instalaciones de software desde la consola fallan	No se puede alcanzar Chocolatey	Permita chocolatey.org y community.chocolatey.org

Páginas relacionadas

• Requisitos de los dispositivos

• Instalar el agente en Windows

• Desplegar agentes a escala

• Solucionar problemas de los agentes

• Acceso remoto