Gateway

O gateway suporta conexões de Proxy, Broker e conectores, consulte nessa documentação as particularidades de cada um

Para permitir o acesso a redes que não são diretamente ou desejavelmente alcançáveis pelo PAM, podem ser implantados Gateways, organizados em Zonas de Conectividade.

Gateways comunicam sentido unico, configurado de acordo com a arquitetura de cada ambiente.

! Permita apenas trafego de saida ou permita apenas trafego de entrada.

! Personalize as portas, encapsule trafego RDP e SSH em HTTPs com 4PAR de validação em túnel seguro.

Proxy

Uma máquina intermediária que o PAM usa como ponto de salto para alcançar ativos que ele não acessa diretamente. É o mecanismo clássico de jump host: em vez de conectar no ativo, o PAM conecta no Proxy e, de dentro dele, alcança o destino final.

Como funciona:

Nessa arquitetura, a conexão parte do PAM em direção à rede do ativo (para o inverso consulte Broker. O PAM abre uma sessão SSH no Proxy usando uma conta cadastrada nele e, por dentro dessa sessão, encaminha o tráfego até o ativo (endereço:porta na rede local do Proxy).

Quando usar:

Quando o PAM tem rota até uma máquina daquela rede, mas não até os ativos em si, por exemplo, uma sub-rede segmentada em que só um servidor é alcançável, ou um ambiente em que apenas um host tem a porta liberada no firewall.

Requisitos

O PAM precisa alcançar o Proxy pela rede (rota e porta SSH abertas no sentido PAM → Proxy). O Proxy precisa de uma conta com credencial cadastrada (é por ela que o salto é feito). O Proxy precisa enxergar os ativos que vai atender. Observação importante. Um ativo usa Proxy ou Gateway de Broker — nunca os dois. São caminhos alternativos para o mesmo objetivo, e o cadastro do ativo obriga a escolher um.

Broker

O ponto de encontro do acesso reverso. É um serviço dedicado (instalado em uma VM) que funciona como central de controle de uma rede overlay de confiança zero: ele não fica dentro da rede do cliente nem dentro do PAM, fica em um lugar que ambos os lados conseguem alcançar.

Como funciona:

Inverte o sentido da conexão. Em vez de o PAM entrar na rede do cliente, são os Gateways e Conectores remotos que discam para o Broker (tráfego de saída). O PAM também se conecta ao Broker, e os dois se encontram ali. O Broker autentica cada ponta por certificado e só permite os ativos que foram explicitamente publicados.

Quando usar:

Quando não existe rota do PAM para a rede do ativo e não se quer (ou não se pode) abrir portas de entrada no firewall do cliente nem montar VPN — cenário típico de acesso a redes de terceiros, filiais, clientes ou ambientes atrás de NAT.

Alta disponibilidade:

O componente do PAM que comunica com o Broker (o tunneler) é redundante, existe uma instância por nó do cluster, cada uma com identidade própria, inscrição automática e recuperação autônoma

• A queda de um nó do PAM não interrompe o acesso reverso, os demais nós continuam atendendo.

• A queda de um nó do Broker não interrompe o acesso reverso, os demais nós continuam atendendo.

Requisitos

VM dedicada, alcançável pelos ambientes remotos que vão se conectar. Porta 443/tcp saida (o ambiente acessa fora) Nome DNS, não IP. O endereço é gravado nos certificados e nos tokens de inscrição e não pode ser alterado depois sem reinstalar o Broker. Um IP literal só funciona para um único caminho de rede atrás de NAT, a LAN e a internet não enxergam o mesmo IP.

\ Benefício de segurança. A rede do cliente não expõe nenhuma porta de entrada.

Conectores

Um agente instalado na própria máquina que se quer acessar. Ele inscreve aquele host no Broker e publica apenas ele mesmo — é a solução para a máquina isolada, que não tem um Gateway na rede dela.

Como funciona:

Tecnicamente é um Gateway que atende a si próprio: em vez de alcançar outros equipamentos da rede, ele expõe o próprio serviço local da máquina (por exemplo, a porta de RDP em 127.0.0.1). O agente disca para o Broker de dentro da máquina, no sentido de saída, e o PAM passa a alcançá-la por esse caminho.

Quando usar:

Quando o alvo é uma máquina avulsa — um notebook, um servidor em nuvem, um equipamento em rede doméstica ou de terceiros — e não faz sentido (ou não é possível) instalar um Gateway para atender a rede inteira.

Requisitos

Instalação do agente na própria máquina alvo (o instalador é distribuído pela tela de Conectores do PAM). Saída de rede da máquina até o Broker. Nenhuma porta de entrada precisa ser aberta. Diferença para o Gateway. O Gateway atende vários ativos de uma rede (fica em uma máquina da rede e publica os demais). O Conector atende um único ativo: ele mesmo. Na interface eles aparecem separados justamente por isso.

Somente usuários com a função de Administrador da Conta podem gerenciar funções, locatários e grupos de usuários no Gateay.