Gateways

Para qué sirve#

Un gateway es un servidor de tu red, con salida a internet, que recibe los datos de otros servidores y los reenvía a Lymen. No hace falta comprar nada: cualquier servidor que ya tenga el agente instalado y llegue a Lymen puede cumplir ese rol.

Un gateway sirve para tres cosas:

1. Servidores sin salida a internet. Se instalan, se administran y mandan sus datos a través del gateway.
2. Equipos de red. Los switches, routers y firewalls los consulta un gateway desde adentro de tu red. Ver Equipos de red.
3. Chequeos internos. Pruebas a servicios que solo se ven desde tu red (una página de intranet, un puerto de base de datos).

Cuándo usarlo#

Cómo se crea uno#

1. Instalá el agente en un servidor que llegue a Lymen (Linux o Windows).
2. En Infraestructura, abrí ese servidor.
3. En la sección Gateway de la red, activá Este servidor es gateway.
4. Escribí la dirección dentro de tu red que van a usar los otros servidores, por ejemplo 10.0.0.5:4390. Si no ponés puerto, se usa el 4390.
5. Tocá Guardar.
6. Abrí el puerto en el firewall del gateway, desde los servidores que lo van a usar.
7. Esperá un minuto: el gateway publica su certificado y pasa a mostrarse como Enlace cifrado en Agregar datos.

Solo puede ser gateway un servidor Conectado y con salida directa a Lymen. Para dejar de serlo, antes tenés que sacarlo de la lista de cada servidor que lo usa.

Estado de un gateway#

En Agregar datos › Gateways cada gateway muestra:

Listas de gateways#

Cada servidor puede tener una lista ordenada de hasta 5 gateways:

• El primero es el preferido. Los demás son de repuesto.
• Si uno no responde, el servidor pasa al siguiente. Cuando el preferido vuelve, regresa a él.
• Podés Subir, Bajar, Sacar y Agregar un gateway desde el detalle del servidor.
• Los gateways se pueden encadenar (un gateway que sale por otro), hasta 5 saltos y sin ciclos. Sirve para redes segmentadas.
• La sección Por dónde sale muestra por cuál gateway salen los datos ahora, si alguno no responde y cuántas veces cambió.
• Un servidor sin salida directa a Lymen no puede quedarse sin su último gateway. Para quitarlos todos hay que reinstalar el agente desde una red con salida.

El muestreo de trazas (cuántas guardás) lo ejecuta el último gateway de la cadena: si usás gateways, ahí se decide qué se descarta. Se configura en Muestreo.

Cifrado (TLS) entre servidores y gateways#

Por defecto, el servidor habla con sus gateways por https y acepta solo el certificado propio de cada gateway (queda "fijado" con una huella). Eso evita que alguien en tu red se haga pasar por el gateway y vea el token o los datos.

• El gateway genera su certificado la primera vez y lo renueva con la misma clave, así los servidores que lo tienen fijado no quedan afuera.
• El portal pone la huella en el comando de instalación; por eso conviene copiar siempre el comando completo.
• En Linux la huella es de la clave pública (sha256//…); en Windows, el SHA-256 del certificado.

Lista permitida de chequeos internos#

Lymen puede pedirle a un gateway que pruebe un servicio de tu red (una URL o un puerto). Para que nadie, ni siquiera Lymen, pueda mandar al gateway a probar cualquier cosa, esa lista la definís vos en un archivo del propio gateway. Todo lo que no figura se rechaza.

El archivo se lee en cada chequeo: no hace falta reiniciar nada. Si no existe, está vacío o tiene un error de formato (por ejemplo, un campo que no existe), se rechaza todo.

Campos de cada entrada de chequeos#

Reglas fijas: tiempo máximo de 30 segundos por chequeo (10 si no se indica), no se siguen redirecciones y nunca se devuelve el cuerpo de la respuesta: Lymen solo recibe si anduvo, el código, cuánto tardó y los días que le quedan al certificado.

Ejemplo#

chequeos:
  - tipo: http
    url: http://intranet.local:8080/salud
    metodos: [GET]
  - tipo: http
    url: https://agenda.clinica.local/api/*
    tls_inseguro: true       # certificado propio
  - tipo: tcp
    destino: 10.0.0.5:5432

Problemas comunes#