Para mejorar la seguridad, Bastionhost admite las operaciones de O&M web a través de una red privada. Este tema describe cómo habilitar el portal de O&M privado para acceder a su instancia de Bastionhost desde una red privada.
Contexto
Bastionhost utiliza PrivateLink para crear una conexión privada y segura entre su VPC y el servicio de Bastionhost. Esto le permite acceder al portal de O&M y ejecutar operaciones de O&M web mediante una red privada, lo que mejora significativamente la seguridad.
Ediciones
Solo las ediciones Enterprise Edition y SM-compliant Edition de Bastionhost admiten el portal de O&M privado. Para comprar o actualizar una instancia, consulte Purchase an instance y Upgrade instance specifications.
Impactos
Al habilitar el portal de O&M privado se producen los siguientes efectos en su instancia de Bastionhost:
La dirección IP resuelta del portal de O&M privado cambia. Debe usar el nombre de dominio de O&M que proporciona la consola para todas las operaciones.
Si cuenta con directivas de control de acceso basadas en la dirección IP privada anterior, como reglas de firewall, actualícelas con la nueva dirección.
Después de habilitar el portal de O&M privado, es posible que experimente errores de inicio de sesión al conectarse a Bastionhost con el cliente Xshell debido a problemas de compatibilidad.
Procedimiento
Inicie sesión en la consola de Bastionhost. En la barra de navegación superior, seleccione la región donde se encuentra su instancia de Bastionhost.
En la página Instances, ubique la instancia de destino y vaya a .
-
En el panel Enable Private O&M, seleccione un security group de endpoint de PrivateLink y haga clic en OK.
ImportanteSi tiene directivas de control de acceso basadas en la dirección IP privada de salida, como reglas de firewall, actualícelas con la nueva dirección.
Durante la actualización, no es posible acceder a la instancia y su estado cambia a Updating Configuration. El proceso tarda aproximadamente 20 minutos. Ejecute esta operación fuera del horario de mayor actividad para minimizar las interrupciones.
Una vez configurado el security group de endpoint de PrivateLink seleccionado, no es posible modificarlo.
Pasos siguientes
Configurar las reglas de acceso del cliente
Para las operaciones de O&M web privadas, el cliente debe conectarse a la VPC de la instancia de Bastionhost. También es necesario agregar reglas al security group de endpoint de PrivateLink para permitir el tráfico del cliente; de lo contrario, el cliente no podrá acceder a la dirección de O&M privada. A continuación se muestran los servicios y puertos comunes de Bastionhost. Configure las reglas de acceso según sus necesidades.
O&M por SSH: 60022
O&M por RDP: 63389
Puerto de reproducción de sesiones: 9443
Puerto de O&M de host y del portal de O&M: 443
Puerto de Bastionhost Assistant: 20045
Por ejemplo, para configurar una regla de security group que permita las operaciones de O&M por SSH desde un cliente con la dirección IP 192.168.0.1, consulte Add a security group rule.
En las reglas de entrada del security group, agregue una regla con la siguiente configuración: establezca Action en Allow, priority en 1, protocol type en Custom TCP, Source en 192.168.0.1 y port range en 60022/60022.
Al habilitar el portal de O&M privado, el security group de endpoint de PrivateLink solo se puede seleccionar dentro de la VPC donde reside la instancia de Bastionhost. No es posible asociar ni reutilizar directamente security groups de otras regiones.
Para acceder al portal de O&M privado de Bastionhost desde un cliente ubicado en otra región, siga estos pasos:
Utilice Cloud Enterprise Network (CEN) para conectar las VPC entre regiones.
Una vez conectadas las VPC, agregue manualmente reglas de entrada en los security groups de cada región para permitir la dirección IP privada de salida de Bastionhost.
Solucionar errores de acceso
Si ya configuró las reglas de acceso del cliente pero aún no logra acceder al portal de O&M privado, compruebe los siguientes escenarios:
Escenario 1: La reproducción de sesiones falla y no es posible hacer ping al nombre de dominio de O&M
Confirme que Private O&M esté habilitado para la instancia. Para obtener más información, consulte la sección Procedimiento de este tema.
-
Compruebe si el security group de endpoint de PrivateLink permite el acceso de entrada en los siguientes puertos:
Puerto de reproducción de sesiones:
9443Puerto de O&M de host y del portal de O&M:
443
Escenario 2: Falla la conexión a una instancia de ECS entre cuentas o entre VPC (por ejemplo, no es posible hacer ping a la dirección IP interna de la instancia de ECS remota)
Además de comprobar si el security group permite los puertos relacionados con Bastionhost (como 60022), revise lo siguiente:
Conflictos de rutas: Compruebe si el cliente o la instancia de ECS de destino tiene una ruta que entra en conflicto con el bloque CIDR de la VPC (por ejemplo, el bloque CIDR predeterminado de Docker
172.17.0.0/16). Para resolverlo, modifique el bloque CIDR de Docker o agregue una ruta más específica.Direcciones IP públicas utilizadas dentro de una red privada: Si la dirección IP del servidor de destino pertenece a un rango enrutable públicamente pero se usa de forma privada (por ejemplo,
172.x.x.x), agregue el bloque CIDR de la IP del servidor a la configuración Public IP addresses used within a private network en la consola de Bastionhost.
Preguntas frecuentes
¿Por qué no hay un menú de configuración de lista de permitidos en la consola de Bastionhost?
El menú de configuración de lista de permitidos corresponde a la función de lista de permitidos de acceso público. Este menú solo se muestra después de habilitar una dirección de O&M pública para la instancia. Si la instancia no tiene habilitado el acceso a la red pública, el menú de configuración de lista de permitidos no se muestra en la consola. Para que aparezca, habilite el acceso a la red pública en la instancia.
Documentos relacionados
Para conocer cómo los ingenieros de O&M ejecutan operaciones de O&M web, consulte Web-based O&M.