SSH es el protocolo para el shell remoto seguro y la transferencia de archivos. Funciona en una amplia gama de equipos, desde servidores y equipamiento de red hasta las pasarelas y los controladores embebidos comunes en OT (una pasarela MOXA en este ejemplo), y suele protegerse con una única credencial compartida difícil de rotar. Con el acceso remoto, Access Gate intermedia cada sesión SSH a través de un proxy basado en navegador: las credenciales del dispositivo residen en Access Gate y se inyectan en el inicio de sesión, de modo que el operador nunca posee la clave ni la contraseña.
Qué obtiene
- Una sesión proxy, no una ruta de red. El punto final nunca obtiene una ruta directa hacia el destino. La máquina del operador solo habla con el proxy; el proxy habla con el dispositivo.
- Credenciales del lado del servidor. La clave SSH o la contraseña se almacena en Access Gate y se inyecta en el inicio de sesión, nunca se expone al usuario final.
- Revocación por concesión. Revocar el acceso significa revocar una concesión, no rotar una credencial del dispositivo.
Configuración
1. Crear el activo y su servicio SSH
Añada el dispositivo como un activo. Luego abra el activo y haga clic en Edit Network. En la lista de activos, asegúrese de que el servicio SSH:22 esté declarado e introduzca la información del servicio de acceso remoto.
2. Crear un enclave
Cree un enclave que contenga el activo y el usuario o grupo al que desea conceder acceso.
3. Habilitar el acceso remoto en la concesión
Para conceder el acceso remoto, una sesión proxy que mantiene Access Gate, seleccione la opción Remote Access. Con esta opción, las credenciales almacenadas en Access Gate se usan en el inicio de sesión, sin exponerse al usuario final. Luego conceda el acceso.
Del lado del usuario
El usuario se autentica a través de una pantalla de acceso y ve las sesiones de acceso remoto que puede activar.
Al hacer clic en el enlace se abre una sesión de navegador con acceso remoto a la máquina de destino.
Las credenciales no residen en la máquina del operador. La concesión (creds=...) se inyecta del lado del servidor, de modo que la persona ante el teclado nunca posee la clave SSH ni la contraseña del equipo MOXA. Revocar el acceso es revocar una concesión, no rotar una credencial del dispositivo.
Resumen
Cargó las credenciales del dispositivo en Access Gate y concedió el acceso remoto, de modo que un usuario se autentica una vez y alcanza el destino a través de una sesión remota en una pestaña del navegador.
Lo que está ejecutando es SSH, ya cifrado de extremo a extremo, envuelto en una consola basada en navegador que alcanza el destino a través del proxy de Access Gate sobre TLS. Para el modelo más amplio de sesión de administración (RDP, VNC, grabación de sesión), consulte Gestión de acceso privilegiado.