Seguridad
El perfil de instalación controla la exposición de los servicios de gestión de un Host. Use public si su dirección es accesible desde redes no confiables y private solo en una red de confianza adecuada. Antes de cambiar la exposición, mantenga una consola remota e identifique administradores, pares del Pool e integraciones que necesitan acceso.
Revisar la exposición
El perfil predeterminado es público. Su endpoint de administración suele utilizar TCP 8443. xapi y el tráfico de Pool en 443 se restringen a Hosts del Pool y orígenes administrativos configurados; en el perfil privado, 443 también sirve la consola web. El perfil público no termina automáticamente el aprovisionamiento Edge ni le transfiere la NIC.
El perfil se lee de /etc/conf.d/hv. Los ajustes de exposición del agente están en /etc/hv/agent.toml. Revíselos mediante el procedimiento de configuración del despliegue; al cambiarlos, reinicie los servicios afectados y recargue el firewall. Un endpoint xapi restringido no equivale a una consola web inaccesible: son rutas distintas y pueden usar puertos diferentes.
SSH permanece deshabilitado salvo activación durante la instalación o posteriormente. El acceso solo con claves es el predeterminado, pero el esquema de respuestas permite activar explícitamente contraseñas. Hay que inspeccionar la configuración real en lugar de asumir que todos los Hosts solo admiten claves. Al habilitarlo, SSH público no queda limitado automáticamente al enlace WireGuard de administración.
Proteger la administración
- Verifique la identidad TLS antes de iniciar sesión o registrar otro Pool.
- Use roles de Proyecto y Silo para trabajo habitual y limite la administración de flota.
- Registre segundos factores, conserve códigos de recuperación y después considere exigirlos por política.
- Cree tokens de automatización con ámbitos limitados y revoque los que no se usen.
- Preserve acceso a la consola antes de cambiar rutas, firewall o admisión del proveedor.
El enlace WireGuard administrativo opcional proporciona recuperación independientemente de la consola web. Proteja las configuraciones de pares y retire el acceso cuando deje de ser necesario. Las claves de malla permanecen en sus Hosts; no deben copiarse en un manual ni informe de soporte.
Verificar los controles
Compruebe rc-service hv-firewall status y rc-status después del arranque o de cambiar el firewall. Si no se carga el conjunto de reglas empaquetado, el Host puede quedar sin filtrado: un servicio fallido no representa un estado protegido. Pruebe tanto la ruta administrativa prevista como el rechazo del acceso no autorizado desde las redes correspondientes.
Revise Registro de auditoría tras cambios de roles, repositorios e infraestructura. Las anclas independientes ayudan a detectar alteraciones que una base restaurada no puede revelar por sí sola. Mantenga copias y material de recuperación en otro dominio de fallo y verifique su restauración.
Problemas habituales
Un 404 inesperado en xapi público puede indicar que el origen no está admitido. Un 429 de acceso indica limitación: es preferible corregir la entrada y esperar antes que desactivar controles. Con un proxy inverso, confíe en direcciones reenviadas únicamente por ese proxy controlado y restrinja el acceso directo al backend. Evite ampliar roles globales o acceso de red para resolver una integración concreta; identifique primero su acción y endpoint exactos.