Security Center:Incorporación de activos con restricción de red (acceso por proxy)

Casos de uso

VPC sin conexión directa a Security Center

Si su VPC de Alibaba Cloud tiene restricciones de acceso estrictas y no puede conectarse directamente a Security Center, utilice el acceso por proxy para conectar las instancias ECS a Security Center y protegerlas.

Centros de datos locales

Nubes híbridas

Límites

Solo los servidores Linux pueden funcionar como servidores proxy.

Los servidores conectados mediante acceso por proxy admiten la mayoría de las funciones de Security Center, pero no son compatibles con las siguientes. Para consultar la lista completa de funciones, véase Functions and features.

Funciones de Security Center no compatibles con el acceso por proxy

Requisitos previos

• Prepare uno o más servidores con acceso a Internet para que funcionen como servidores proxy. Estos deben cumplir los siguientes requisitos:

  • Reserve suficiente ancho de banda de red. Cada servidor conectado requiere 10 Kbit/s de ancho de banda. Por ejemplo, conectar 50 servidores requiere reservar 500 Kbit/s de ancho de banda en el servidor proxy.

  • Los puertos 80, 443 y 8080 deben estar abiertos en el servidor proxy para permitir conexiones desde hosts o contenedores.

• Si utiliza varios servidores como proxies, emplee acceso por nombre de dominio. Asegúrese de contar con un nombre de dominio para los servidores proxy y de que este resuelva a las direcciones IP del servidor proxy, a las IP de balanceo de carga o a las direcciones IP virtuales (VIP).

• Para escenarios de nube híbrida, establezca conectividad de red entre los servidores de nubes de terceros y las VPC de Alibaba Cloud.

Paso 1: Crear un clúster de proxy

1. Inicie sesión en la consola de Security Center.

   • En el panel de navegación izquierdo, vaya a System Configuration > Feature Settings. En la esquina superior izquierda de la consola, seleccione la región de los activos que desea proteger: Chinese Mainland o Outside Chinese Mainland.

2. En la pestaña Agent > Proxy Access, haga clic en Create Cluster.

3. En el cuadro de diálogo Create Cluster, configure el nombre del clúster, la dirección de comunicación y la descripción; luego haga clic en OK.

   • Address: Introduzca la dirección IP o el nombre de dominio del servidor proxy. Una vez creado el clúster, los hosts o contenedores se conectarán al servidor proxy a través de esta Address.

   • Cuando la Address se establece como una dirección IP de servidor proxy, solo puede configurar un servidor proxy. Utilice este método cuando conecte una cantidad pequeña de hosts o contenedores (por ejemplo, 5).

   • Para configurar varios servidores proxy, utilice un nombre de dominio como Address y asegúrese de que el nombre de dominio resuelva a las direcciones IP del servidor proxy, a las IP de balanceo de carga o a las direcciones IP virtuales (VIP).

   • Después de crear el clúster, no es posible modificar el nombre ni la dirección de comunicación. Introduzca un nombre de clúster descriptivo y una dirección de comunicación accesible.

Paso 2: Desplegar un servidor proxy

1. En la pestaña Agent > Proxy Access, en la columna Actions del clúster objetivo, haga clic en Deploy Proxy.

2. En el panel Deploy Proxy Server, seleccione un modo de despliegue y complete la configuración.

   Si el servidor proxy ya tiene instalado el agente de Security Center y está en línea, seleccione el despliegue rápido. Si el servidor proxy no tiene instalado el agente de Security Center, utilice el despliegue manual.

   • Despliegue rápido

     Al seleccionar Quick Deployment, elija en la lista de activos el servidor Linux que funcionará como servidor proxy y haga clic en OK.

   • Despliegue manual

     Al seleccionar Manual Deployment, copie el comando de despliegue manual de la página, inicie sesión en el servidor proxy como administrador y ejecute el comando.

   Aproximadamente 5 minutos después del despliegue, podrá consultar el estado en línea del servidor proxy en la pestaña Agent > Proxy Access.

   Si tras desplegar el servidor proxy no se instala el agente de Security Center, el servidor solo tendrá capacidades de proxy y no podrá utilizar funciones de seguridad como la detección de vulnerabilidades ni las comprobaciones de línea base. Para proteger el servidor proxy, instale el agente de Security Center. Para obtener más información, consulte install the Security Center agent.

Paso 3: Conectar servidores al clúster de proxy

Después de crear el clúster y desplegar el servidor proxy, agregue servidores como clientes al clúster de proxy para conectarlos a Security Center mediante acceso por proxy.

1. En la pestaña Agent > Proxy Access, en la columna Actions del clúster objetivo, haga clic en Install Agent.

2. En el panel Install Agent, seleccione un modo de acceso y complete la configuración.

   Si el servidor ya tiene instalado el agente de Security Center y está en línea, selecciónelo directamente. Si el servidor no tiene instalado el agente de Security Center, utilice el comando de instalación.

   • Seleccionar servidores directamente

     En la lista de activos, seleccione los servidores que desea conectar y haga clic en OK.

   • Usar comandos de instalación

     1. Haga clic en Generate Installation Command.

     2. En la pestaña Agent > Installation Command, haga clic en Create Installation Command.

     3. En el cuadro de diálogo Create Installation Command, configure los parámetros y haga clic en OK.

        Parameter	Description
        Expiration Time	Hora de caducidad del comando de instalación.
        Service Provider	Proveedor de servicios del servidor.
        Default Group	Grupo al que pertenece el servidor en la lista de activos de host de Security Center.
        OS	Sistema operativo del servidor.
        Create Image System	Indica si se debe crear una imagen para el servidor. Mantenga el valor predeterminado No.
        Select Proxy	Seleccione Self-managed Proxy Cluster y luego elija el clúster de proxy al que desea conectarse.

     4. En la lista de comandos de instalación, consulte y copie el comando correspondiente. Después de generar el comando, confirme que el campo Proxy Access muestre el nombre del clúster de proxy seleccionado; luego haga clic en el icono de copia situado en la esquina superior derecha del área del comando.

     5. Inicie sesión en el servidor que desea conectar como administrador y ejecute el comando de instalación correspondiente a su sistema operativo.

Aproximadamente 5 minutos después de la instalación, haga clic en el número de la columna Client Connected del clúster de proxy para ver la lista de servidores conectados a través del proxy.

(Opcional) Paso 4: Configurar una política de clúster de proxy

De forma predeterminada, Security Center envía los datos recopilados por los servidores proxy de vuelta al servidor sin límites de ancho de banda ni frecuencia. Para cambiar el modo de transmisión de datos o establecer límites de ancho de banda y frecuencia, siga estos pasos.

1. En la pestaña Agent > Proxy Access, en la columna Actions del clúster objetivo, haga clic en Proxy Settings.

2. En el cuadro de diálogo Proxy Settings, configure los ajustes y haga clic en OK.

   El modo de transmisión de datos admite las opciones Send Data Back to Management Center y Directly Cache to Specified Directory.

   Transmission mode	Description
   Send Data Back to Management Center	Envía datos a Security Center para la detección de riesgos y amenazas. Puede configurar manualmente el ancho de banda y la frecuencia de comunicación entre el servidor proxy y Security Center. Opciones: Unlimited: Sin límites de ancho de banda ni frecuencia. Custom: Establezca límites personalizados de ancho de banda y frecuencia. Mantenga el uso de ancho de banda y los procesos de comunicación por debajo del 60% del total de recursos.
   Directly Cache to Specified Directory	Realiza la detección de riesgos y amenazas para tipos de datos específicos dentro de su red empresarial (IDC local, VPC, etc.). Los registros se almacenan de forma predeterminada en /usr/local/aegis/proxy/log/export.log en el servidor proxy. Puede cambiar el directorio de caché. El directorio de caché admite hasta 10 GB. Cuando el almacenamiento supera los 10 GB, el sistema sobrescribe los registros más antiguos de manera circular.

Operaciones relacionadas

Preguntas frecuentes