Consideraciones de red y seguridad
FlexxAgent, en su funcionamiento habitual, requiere de una serie de requisitos de red para conectarse a los servicios de orquestación cloud y soportar proxies, así como ecosistemas de red complejos.
Antes de proceder al despliegue de FlexxAgent en los dispositivos, se recomienda validar que a nivel de red estos pueden acceder a los destinos definidos en URLs y puertos.
Uso de ancho de banda
Proceso FlexxAgent
Cuando FlexxAgent arranca, recolecta y envía un reporte inicial aproximado de 75 KB; a partir de ese momento, envía reportes diferenciales de aproximadamente 3-4 KB. Este proceso se ocupa de ejecutar las acciones a demanda o automáticas en el dispositivo. En esos momentos el tráfico de red podría incrementarse.
Proceso FlexxAgent Analyzer
FlexxAgent Analyzer recopila información de la sesión del usuario cada 15 segundos, como los consumos de aplicaciones, el uso de recursos y demás. Y agrega esta información en ficheros de aproximadamente 35-50 KB, que son enviados a las consolas cada 5 minutos, aunque el tiempo puede cambiar en funcionalidades específicas.
En sistemas multiusuario, se ejecutará una única instancia de FlexxAgent y tantas instancias de FlexxAgent Analyzer como sesiones de usuario tenga el sistema.
URLs y puertos requeridos
En cuanto a comunicaciones, FlexxAgent debe ser capaz de contactar con la capa de orquestación del servicio alojada en internet, que incluye:
| URL | Ámbito | Puerto | Región | Producto |
|---|---|---|---|---|
| https://flxsbname***.servicebus.windows.net | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://flxiothub***.azure-devices.net | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://west-eu.agent-api.analyzer.flexxible.com | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://flexxibleglobal.blob.core.windows.net | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://api.ipify.org | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://ras.flexxible.com | Agente – Asistencia remota | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://update.workspaces.flexxible.com | Agente | 443 | West Europe | FXXOne, FlexxClient & FlexxDesktop |
| https://agents-weu.one.flexxible.net | Agente | 443 | West Europe | FXXOne |
| https://agents-weu.flexxible.net | Agente | 443 | West Europe | FlexxClient & FlexxDesktop |
| https://west-eu-01.agent-api.one.analyzer.flexxible.com | Agente | 443 | West Europe | FXXOne |
*** identificador único proporcionado por Flexxible.
Seguridad
Para garantizar una buena experiencia de usuario, en algunos casos será necesario configurar exclusiones en el antivirus; sin embargo, si no se gestionan de forma adecuada, estas exclusiones pueden suponer un riesgo de seguridad.
Por ese motivo, se aconseja realizar análisis periódicos de los archivos y carpetas que hayan sido excluidos del escaneo del antivirus. Tanto Microsoft como Flexxible recomiendan:
-
Utilizar una solución File Integrity Monitoring (FIM) o Host Intrusion Prevention (HIP) para proteger la integridad de los elementos excluidos del análisis en tiempo real.
-
Si se utiliza Azure Sentinel y Windows Defender no está configurado correctamente, pueden surgir problemas de rendimiento. Desactiva Windows Defender con el siguiente comando de PowerShell:
Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -EnableNetworkProtection AuditMode -Force -MAPSReporting Disabled -SubmitSamplesConsent NeverSend
Exclusiones del antivirus
Los elementos para excluir del análisis del antivirus son los siguientes:
Carpetas
C:\Program Files\Flexxible
Procesos
FlexxAgent.exeFlexxibleRA.exeFlexxibleRemoteAssistance_XXXX.exe
Deep SSL Inspection
Para soluciones de seguridad como Deep SSL Inspection (Inspección Profunda de SSL) o Trend Micro, se deben tener en cuenta las indicaciones que se describen a continuación, en favor del óptimo funcionamiento de FlexxAgent.
Se debe procurar deshabilitar Deep SSL Inspection para las siguientes URLs en aquellos dispositivos que lo tengan como solución de seguridad:
- https://flxsbname***.servicebus.windows.net
- https://flxiothub***.azure-devices.net
- https://agents-weu.flexxible.net
- https://ras.flexxible.com
Restricción de procesos PowerShell
Algunas soluciones de seguridad no permiten que la instalación y/o autoactualización de FlexxAgent se realice de forma eficaz, como es el caso de Trend Micro.
Durante el proceso, el instalador puede devolver el mensaje:
The process was terminated with errors. A corrupted installation was detected due to external processes. This is usually caused by antivirus activity. Please check your antivirus settings.
Para solucionarlo, Flexxible recomienda excluir los siguientes archivos del dispositivo:
C:\Windows\Temp\FlexxibleIT
C:\Windows\Temp\UpdateFlexxAgent.ps1
Wake on LAN (WoL)
Wake on LAN permite encender dispositivos mediante el envío de un Magic Packet que da a la tarjeta de red la orden de encendido. Para poder utilizar esta funcionalidad se requiere:
- Tarjeta de red compatible
- Activar WoL en BIOS/UEFI
- Configurar WoL en el sistema operativo
- Un dispositivo
Puenteen la misma red que el dispositivo que se quiera encender, con FlexxAgent instalado y reportando
Wake on LAN (WoL) opera normalmente dentro de una red local, y puede funcionar entre subredes siempre que no existan restricciones impuestas por firewalls o dispositivos de red que bloqueen la transmisión del paquete mágico (Magic Packet). En entornos con segmentación por subredes, es necesario configurar excepciones a nivel de red que permitan el encaminamiento del Magic Packet entre dichas subredes.
Configurar Wake on LAN (WoL) en Windows
Para configurar la funcionalidad de Wake on LAN (WoL) en un dispositivo con sistema operativo Windows, se deben seguir los siguientes pasos:
- Verificar si WoL está activo
En la ventana de CMD, ejecutar el siguiente comando:
powercfg /devicequery wake_programmable
- Activar WoL
Ejecutar el comando:
powercfg /deviceenablewake "Realtek PCIe GbE Family Controller"
Reemplazar "Realtek PCIe GbE Family Controller" por el nombre del controlador que corresponda.
Asistencia remota a través de proxy
Para la asistencia remota, FlexxAgent usará proxy cuando esté configurado y accesible.
En caso de que esté configurado con proxy pero este no sea accesible en ese momento, se lanzará la asistencia remota con la opción “auto detect” que usará la configuración de salida a internet que tenga configurado el usuario final.