Conexión segura con otros sistemas
Conexiones mediante HTTPS o directamente a un host y puerto, TLS 1.2 como estándar mínimo, certificados que usted mismo suba y una prueba que indique exactamente qué falló.
Una conexión, ubicada en Plataforma → Conectividad → Integración → Conexiones, es un conector que apunta a un sistema real: su antiguo ERP, un directorio, un servidor de correo o la API de un socio. Almacena la ubicación del sistema, cómo verificar su identidad y las credenciales que TRANXACT le presenta, cifradas durante la transmisión y que nunca se muestran de vuelta.
Dos maneras de llegar a un sistema
| Transporte | Lo que rellenas | Cuándo usarlo |
|---|---|---|
| HTTPS | URL del punto final. Debe comenzar con https:// — en todos los entornos, incluidos los de prueba y desarrollo. | Una API o servicio web, al que se accede a través de Internet o de su propia red. |
| Directo | Host (solo un nombre o una dirección), puerto y protocolo. | Una base de datos, un directorio o un puerto de servicio al que se accede a través de una ruta de red como una VPN, una interconexión o un emparejamiento. |
Una conexión directa nombra su protocolo, porque los sistemas inician TLS de dos maneras diferentes:
- tls — TLS desde el primer byte. LDAPS, SAP HANA, SQL Server con cifrado estricto, SMTPS, AMQPS y Kafka funcionan de esta manera.
- postgres — PostgreSQL, que se conecta sin cifrar por un momento y luego negocia TLS antes de que se diga cualquier otra cosa.
No existe la opción de texto plano ni la excepción exclusiva para pruebas. Una conexión utilizada "solo para pruebas" contiene credenciales reales desde el momento en que alguien la copia, por lo que la regla que se aplica en producción se aplica en todas partes.
TLS 1.2 o superior, y siempre verificado.
- Cada protocolo de enlace utiliza TLS 1.2 o superior. La versión TLS más baja puede elevarla a TLS 1.3 para la conexión; no se puede elegir ninguna versión anterior, y la base de datos también la rechaza, por lo que no se puede configurar mediante una importación ni un script.
- El certificado del servidor siempre se verifica. No existe una opción para "no verificar", ya que una conexión que acepta cualquier certificado se cifra para quien responde, lo cual no es lo mismo que cifrarse para el sistema al que te referías.
- El nombre del servidor se utiliza cuando el certificado especifica un host diferente al que se conecta; por ejemplo, si se accede a la base de datos en 10.20.0.15, su certificado indica hana.corp.local. Se usa tanto para solicitar el certificado correcto como para verificarlo.
- La huella digital fija es opcional: se trata de la huella digital SHA-256 del certificado del servidor. Si está activada, se rechazará cualquier otro certificado, incluso uno válido. Recuerde cambiarla cuando renueve el certificado del servidor.
Certificados
La pantalla de Certificados, en la misma sección de Integración, contiene los certificados de confianza o presentes en las conexiones. Hay dos tipos.
| Amable | Para qué sirve |
|---|---|
| CA de confianza | Una autoridad de certificación administrada por su propia organización. Un servidor dentro de su red generalmente tiene un certificado emitido por su CA, que ninguna raíz pública conoce; cargue la CA aquí y selecciónela como CA de confianza en la conexión. Si se deja en blanco, la conexión confiará en las raíces públicas. |
| Certificado de cliente | Presentado por TRANXACT al servidor, para TLS mutuo: el servidor verifica quién llama y viceversa. Después de cargarlo, use Almacenar clave privada. La clave debe pertenecer a ese certificado, se mantiene sellada en reposo y nunca se vuelve a mostrar; solo se puede reemplazar. |
Pegue el certificado en formato PEM, desde -----BEGIN CERTIFICATE----- hasta -----END CERTIFICATE-----; puede incluir una cadena de caracteres. No es necesario escribir el sujeto, el emisor, la validez ni la huella digital, ya que se leen del propio certificado, por lo que la lista no puede contener información que el certificado no incluya. La lista muestra los días restantes, marca un certificado como próximo a caducar o caducado y cuenta cuántas conexiones lo utilizan, para que sepa qué dejará de funcionar antes de que lo haga.
Prueba
La prueba de conexión realiza un intercambio de claves TLS real y verificado con el destino especificado (y, en el caso de HTTPS, una sola solicitud) y comprueba que exista algo con lo que autenticarse. Si falla, indica qué parte falló, ya que el mensaje "no se pudo conectar" no proporciona información sobre qué hacer a continuación.
| Lo que dice la prueba | ¿Qué hacer? |
|---|---|
| El certificado del servidor no es de confianza. | Cargue la CA que lo emitió en la sección Certificados y selecciónela como CA de confianza en la conexión. |
| El certificado no menciona este host. | Establezca el nombre del servidor con el nombre que contiene el certificado. |
| El servidor no ofrece nada en TLS 1.2 o superior. | El servidor debe actualizarse. TRANXACT no funcionará a una versión anterior. |
| El servidor requiere un certificado de cliente. | Cargue un certificado de cliente, guarde su clave privada y selecciónelo en la conexión. |
¿Podemos conectarnos directamente?
La comprobación de conexión directa responde a la pregunta con la que comienza toda integración. Intenta conectarse al host en el puerto configurado y en los habituales: PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 y 30041, SAP Business One Service Layer 50000, Oracle 1521 y 2484, MySQL 3306, LDAPS 636, el catálogo global de Active Directory 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 y 8443, desde la propia red del servidor TRANXACT, e informa qué puertos responden Y completan un protocolo de enlace TLS 1.2 o superior.
- "Es posible una conexión directa", seguido de los puertos, servicios y versiones TLS que funcionaron, significa que puede configurar la conexión como directa hoy mismo.
- De lo contrario, indica que se necesita una ruta de red (una VPN, una interconexión o un emparejamiento con ese host), lo cual es algo que se debe conversar con quien administra la red, en lugar de configurarlo aquí.
La lista de conexiones muestra el transporte de cada conexión, el punto final, la versión TLS que negoció por última vez y la conexión directa: posible, no accesible o no marcada.
Las direcciones de metadatos en la nube nunca se consultan. Proporcionan las credenciales del servidor a cualquier entidad que las solicite, razón por la cual una prueba de conexión no debe ser una forma de solicitarlas.