Configuración de un Túnel SSH de Soporte Técnico a Demanda para Dispositivos Virtuales Umbrella

Introducción

Este documento describe la configuración de un túnel SSH de soporte técnico a demanda para los appliances virtuales Umbrella.

Túnel SSH de soporte técnico bajo demanda

Un ingeniero de soporte técnico puede solicitar acceso remoto a su dispositivo virtual (VA) para diagnosticar un caso de soporte y, posiblemente, revisar o actualizar la configuración para mejorar la disponibilidad del VA. Para que un ingeniero de soporte técnico de Umbrella pueda obtener acceso a un VA de Umbrella in situ en su ubicación, deben seguirse estas directrices.  

Nota: Esta información solo se aplica al AV con la versión 2.1.0 o superior.

Prerequisites

• Deben cumplirse todos los requisitos para configurar un VA en VMWare o Hyper-V de la documentación de configuración.
• Cualquier firewall debe configurarse para permitir las conexiones salientes a s.tunnels.ironport.com.
• El VA intenta conectar en los puertos TCP 22, 25, 53, 80, 443 o 4766 en sucesión.

Para probar la conectividad, puede conectarse mediante telnet al túnel de soporte:

telnet s.tunnels.ironport.com 25

Intentando 63.251.108.107...

Conectado a s.tunnels.ironport.com.

El carácter de escape es '^]'.

SSH-2.0-OpenSSH_6.2 Túneles de Cisco1

Habilitación del túnel

El túnel SSH se conecta a s.tunnels.ironport.com. La duración de la conexión es configurable, con un valor predeterminado de 72 horas.

Habilitación del túnel en dispositivos virtuales alojados en VMware e Hyper-V 

Los túneles se pueden habilitar desde la consola de VA mediante el comando de teclado "CTRL+T".  

Seleccione Yes cuando se le solicite:

115013855903

En primer lugar, se le solicita que defina la longitud de la sesión de túnel:

115013856003

Seleccione OK y aparecerá una ventana que muestra el número de serie y la contraseña para el túnel de soporte. Esta información debe transmitirse al técnico de soporte. Después de seleccionar OK, el VA intenta establecer una conexión con el servidor de túnel de soporte:

115013853243

Haga clic en Aceptar para cerrar la ventana.  Verifique que la consola VA muestre "Túnel de soporte remoto: Conectado".

360000820923

Habilitación del túnel en dispositivos virtuales alojados en otras plataformas

Conéctese al VA sobre SSH y utilice el comando config como se muestra a continuación:

• Para habilitar el túnel de soporte, ingrese config tunnel enable <duration in hours>.
• Para inhabilitar el túnel de soporte, ingrese config tunnel disable.
• Para verificar el estado del túnel de soporte, ingrese config tunnel status.
• Para ver estas opciones, ingrese config tunnel help.

Obtener sus credenciales para compartirlas con el soporte técnico

El número de serie y la contraseña que se muestran en la consola del VA o cuando se utiliza el comando config tunnel status deben ser entregados al técnico de soporte. 

Nota: La contraseña que recupere y comparta con el servicio de asistencia no se puede utilizar directamente para acceder al dispositivo virtual. Por razones de seguridad, la contraseña real se deriva criptográficamente de la contraseña que ve. Para obtener el número de serie y la contraseña de la consola VA, realice una captura de pantalla después de habilitar el túnel con Ctl+T. Asegúrese de que la captura de pantalla sea legible por el usuario.

Desactivación/reactivación del túnel

De forma predeterminada, el túnel permanece establecido durante 72 horas. Sin embargo, puede ampliar la duración del túnel mediante la opción Volver a habilitar.

En VMware e Hyper-V, el túnel se puede inhabilitar o volver a habilitar en cualquier momento con el comando de teclado CTRL-T:

115013688906

Nota: El estado del túnel puede tardar hasta un minuto en cambiar de Conectado a Desactivado, tanto en la interfaz de usuario como en el back-end, ya que el túnel se desactiva correctamente en lugar de finalizarse.

En otras plataformas, puede utilizar este comando:

• config tunnel reenable <duration in hours>

Si intenta volver a activar el túnel inmediatamente después de desactivarlo, esto puede dar lugar a una condición extraña y a un mensaje de error, ya que el túnel no está completamente desactivado en esta etapa.

La reactivación del túnel no cambia la contraseña de la sesión de túnel existente del dispositivo virtual. De forma predeterminada, al seleccionar la opción Re-enable, se agregan 72 horas de duración de túnel a la hora actual.

Estados de túnel

Conectado

El estado cambia de Desactivado a Conectado en cuanto se activa el túnel. Si la conexión es exitosa, observe que el estado permanece en el modo de conexión durante aproximadamente un minuto, cuando el VA intenta establecer su túnel con el servidor. 

Inhabilitado

Si no ha activado explícitamente el túnel, se muestra el estado Desactivado. Tenga en cuenta que después de haber desactivado explícitamente el túnel, el estado del túnel tarda aproximadamente un minuto en cambiar de Conectado a Desactivado.

Conectado

En el estado de conexión, el VA está intentando establecer el túnel (probando los puertos 22, 25, 53, 80, 443 y 4766 secuencialmente) con un retraso de 5 minutos entre cada intento. El dispositivo virtual permanece en este estado hasta que se establece una conexión o han transcurrido 30 minutos sin que se haya realizado una conexión correcta.

La conexión puede fallar debido a problemas de red (por ejemplo, puertos bloqueados).

Tiempo de espera

Si el VA no puede establecer una conexión con el servidor remoto, el estado pasa a Tiempo de espera. El tiempo de espera se produce aproximadamente 30 minutos después de que el VA haya intentado establecer un túnel con el servidor remoto.

Persistencia del túnel

Una vez que se habilita un túnel de soporte, el VA respeta el valor de duración ingresado incluso si el VA se reinicia o actualiza. No necesita realizar ninguna acción adicional. Si el VA se reinicia o se actualiza, y aún queda tiempo en la duración especificada, el VA intenta volver a conectarse automáticamente al servidor de túnel SSH.