Help

¿Qué es un túnel SSH en SurveyAnalytica?

Una conexión de túnel SSH permite a SurveyAnalytica acceder de forma segura a recursos de su red privada mediante el establecimiento de un túnel SSH cifrado a través de un servidor de salto (también conocido como bastion host). Esto se usa comúnmente cuando necesita que SurveyAnalytica se conecte a bases de datos internas, APIs o servicios que no son directamente accesibles desde internet, pero que sí son accesibles desde un servidor que tiene SSH expuesto.

Los túneles SSH son una alternativa ligera a las conexiones VPN y son muy adecuados para conectarse a servicios individuales, como una base de datos en un host y puerto específicos.

Requisitos previos

Antes de configurar una conexión de túnel SSH, asegúrese de tener lo siguiente:

Un servidor de salto (bastion host) con acceso SSH que sea accesible desde internet en un puerto conocido (normalmente el puerto 22).
Reenvío de puertos habilitado en el servidor de salto. La configuración del servidor SSH (/etc/ssh/sshd_config) debe permitir AllowTcpForwarding yes.
Conectividad de red desde el servidor de salto hasta el recurso interno de destino (por ejemplo, una base de datos en 10.0.1.50:5432).
Una cuenta de usuario en el servidor de salto para que SurveyAnalytica se autentique.
Acceso administrativo para agregar claves públicas SSH al servidor de salto.

Paso 1: Generar un par de claves SSH

SurveyAnalytica utiliza autenticación basada en claves para los túneles SSH. Genere un par de claves dedicado para esta conexión con el siguiente comando:

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

Cuando se le solicite:

Guarde la clave en un archivo (por ejemplo, ~/.ssh/surveyanalytica_tunnel).
Opcionalmente, establezca una frase de contraseña (déjela vacía para conexiones automatizadas).

Esto genera dos archivos:

surveyanalytica_tunnel — La clave privada (la pegará en SurveyAnalytica).
surveyanalytica_tunnel.pub — La clave pública (la instalará en su servidor de salto).

Nota: Recomendamos las claves Ed25519 por su alta seguridad y tamaño compacto. También se admiten claves RSA (4096 bits).

Paso 2: Autorizar la clave en el servidor de salto

La clave pública debe agregarse a las claves autorizadas en su servidor de salto. Puede hacerlo con ssh-copy-id:

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

Alternativamente, agregue manualmente la clave pública al archivo de claves autorizadas:

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

O bien, si tiene acceso directo al servidor, abra ~/.ssh/authorized_keys en el servidor de salto y pegue el contenido del archivo .pub en una nueva línea.

Verifique que la clave funciona antes de continuar:

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

Paso 3: Configurar el túnel SSH en SurveyAnalytica

En SurveyAnalytica, vaya a Settings → Network Connections y haga clic en Add Connection. Seleccione SSH Tunnel como el tipo de conexión.

Complete los siguientes campos:

Configuración del servidor de salto

Campo	Descripción	Ejemplo
Host	El nombre de host público o la dirección IP de su servidor de salto	`bastion.example.com`
Port	El puerto SSH en el servidor de salto	`22`
Username	La cuenta de usuario SSH en el servidor de salto	`sa-tunnel`
Private Key	Pegue el contenido del archivo de clave privada	Contenido de `surveyanalytica_tunnel`

Configuración del servicio de destino

Campo	Descripción	Ejemplo
Remote Host	El nombre de host interno o la IP del recurso de destino (según se ve desde el servidor de salto)	`10.0.1.50`
Remote Port	El puerto del servicio de destino	`5432`

Haga clic en Test Connection para verificar que SurveyAnalytica pueda establecer el túnel y alcanzar el servicio de destino. Si tiene éxito, haga clic en Save.

Cómo funciona

Cuando una integración o flujo de trabajo necesita acceder a su recurso interno, SurveyAnalytica:

Abre una conexión SSH a su servidor de salto mediante autenticación basada en claves.
Establece un túnel cifrado (reenvío de puertos SSH) desde SurveyAnalytica hasta el host y puerto de destino a través del servidor de salto.
Enruta el tráfico de la integración a través de este túnel para llegar al servicio interno.
Cierra el túnel cuando finaliza la operación.

Prácticas recomendadas de seguridad

Use una cuenta de usuario dedicada: Cree un usuario específico (por ejemplo, sa-tunnel) en el servidor de salto para SurveyAnalytica. No use root ni cuentas compartidas.
Restrinja solo al reenvío de puertos: Configure el usuario SSH para permitir únicamente el reenvío de puertos, no el acceso a shell interactivo. Agregue lo siguiente a ~/.ssh/authorized_keys antes de la clave:
```
no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel
```
Esto restringe la clave para reenviar tráfico únicamente al host y puerto especificados.
Use solo autenticación basada en claves: Deshabilite la autenticación por contraseña para el usuario del túnel. En /etc/ssh/sshd_config, asegúrese de que:
```
Match User sa-tunnel
    PasswordAuthentication no
    AllowTcpForwarding yes
    PermitTunnel no
    X11Forwarding no
```
Rote las claves periódicamente: Genere un nuevo par de claves y actualice tanto SurveyAnalytica como el servidor de salto cada 180 días.
Supervise el acceso: Revise regularmente los registros de inicio de sesión SSH en su servidor de salto en busca de patrones de acceso inesperados.
Restrinja las IPs de origen: Si su servidor de salto lo permite, restrinja el acceso SSH a los rangos de IP de salida de SurveyAnalytica’s (disponibles previa solicitud al soporte).

Solución de problemas

Conexión rechazada

Verifique que el host y el puerto del servidor de salto sean correctos y que el servicio SSH esté en ejecución.
Compruebe que su firewall permita conexiones SSH entrantes desde los rangos de IP de SurveyAnalytica’s.

Fallo de autenticación

Confirme que la clave pública se haya agregado a ~/.ssh/authorized_keys en el servidor de salto.
Verifique que la clave privada pegada en SurveyAnalytica coincida con la clave pública del servidor.
Compruebe los permisos de archivo: ~/.ssh debe ser 700, authorized_keys debe ser 600.

Túnel establecido pero destino inalcanzable

Desde el servidor de salto, verifique que pueda alcanzar el destino: nc -zv 10.0.1.50 5432.
Compruebe que AllowTcpForwarding esté configurado en yes en la configuración del servidor SSH.
Asegúrese de que la restricción permitopen (si se usa) incluya el host y el puerto de destino correctos.

We use cookies