> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/product-docs/product-guide/configuracoes/pam/sysadmin/gateway/broker.md). # Broker Conectividade reversa de confiança zero: os gateways remotos e o PAM discam para o broker, sem abrir porta de entrada nos alvos. O **Broker** é o ponto de encontro do acesso reverso. É um serviço instalado em uma VM dedicada que funciona como central de controle de uma rede overlay de confiança zero. Ele não fica dentro da rede do cliente nem dentro do PAM, e sim em um lugar que **ambos os lados conseguem alcançar**. A própria tela resume a função: *"Zero-trust reverse connectivity: remote gateways and the PAM dial out to a broker. No inbound port is opened on the targets"*.

Tela Brokers: brokers registrados, com estado de conexão e ações por item

## Como funciona O Broker **inverte o sentido da conexão**. Em vez de o PAM entrar na rede do cliente, são os **gateways e conectores remotos que discam para o Broker**, em tráfego de saída. O PAM também se conecta ao Broker, e os dois se encontram ali. Cada ponta é autenticada por certificado, e só os ativos explicitamente publicados ficam acessíveis. A rede do cliente não expõe nenhuma porta de entrada. ## Quando usar Quando não existe rota do PAM para a rede do ativo e não se quer, ou não se pode, abrir portas de entrada no firewall nem montar VPN. É o cenário típico de acesso a redes de terceiros, filiais, clientes e ambientes atrás de NAT. ## A tela A listagem mostra os brokers registrados, cada um com o seu endereço e o **estado de conexão** (por exemplo, *Online*). ### Ações por broker | Ação | O que faz | | ------------------- | --------------------------------------------------- | | **Installer** | Gera o instalador a ser executado na máquina remota | | **Test connection** | Verifica se o PAM alcança o broker | | **Rotate secret** | Rotaciona o segredo de administração do broker | | **Edit** | Altera o cadastro | | **Duplicate** | Cria uma cópia do cadastro | | **Uninstall** | Desfaz a instalação | | **Delete** | Remove o registro | Na barra superior ficam **Register broker**, para registrar um novo, e **Export**. ## Requisitos * VM dedicada, alcançável pelos ambientes remotos que vão se conectar * Portas **1280/tcp** (controle) e **443/tcp** (dados) abertas nessa VM * **Nome DNS, não IP.** O endereço é gravado nos certificados e nos tokens de inscrição, e **não pode ser alterado depois** sem reinstalar o broker. Um IP literal só funciona para um único caminho de rede, porque atrás de NAT a LAN e a internet não enxergam o mesmo IP ## Disponibilidade O Broker roda em **uma única VM**, que concentra o plano de controle e o plano de dados. Não há, nesta versão, replicação ou failover automático entre múltiplas VMs de Broker. Se a VM ficar indisponível, deixam de funcionar **apenas** os acessos que passam por aquele Broker. Continuam normais os ativos de acesso direto, os que usam **Proxy** e os vinculados a outro Broker. A recuperação **não exige intervenção manual**: quando o Broker volta, os gateways e conectores rediscam sozinhos, e o PAM reconcilia o estado por rotinas periódicas. Na prática o acesso se restabelece em cerca de um a dois minutos. Recomendações enquanto não houver alta disponibilidade nativa: 1. **Alta disponibilidade na camada de virtualização**, com reinício automático da VM 2. **Backup da VM, especialmente da PKI.** Os certificados são a base de confiança de todos os gateways e conectores. Perder a VM sem backup significa reinstalar o Broker e reinscrever cada ponto remoto 3. **Sempre usar nome DNS**, o que permite apontar para uma VM restaurada mantendo os certificados válidos 4. **Segmentar por Brokers distintos** por site ou criticidade, o que reduz o raio de impacto. Atenção: isso não é failover, um ativo pertence a um gateway de um Broker específico e não migra automaticamente ## Relacionados * [Proxy](/product-docs/product-guide/configuracoes/pam/sysadmin/gateway/proxy.md): o mecanismo alternativo, em que o PAM disca para dentro da rede * [Conectores](/product-docs/product-guide/configuracoes/pam/sysadmin/gateway/conectores.md): agente instalado na própria máquina alvo, para host isolado