McAfee ePolicy Orchestrator 4.5

Gestión de equipos desde la DMZ mediante un Administrador de Agentes

La versión 4.5 del servidor de McAfee ePolicy Orchestrator (ePO) ha permitido la separación de los servicios del servidor que gestionan las solicitudes de los agente y ha añadido una lógica de gestión para permitir el despliegue de las instancias de estos servicios.

Este nuevo componente de la infraestructura de ePO se ha denominado Administrador de Agentes.

En las versiones 4.0 y anteriores de ePolicy Orchestrator (ePO) existía únicamente un servidor ePO al que los agentes se podían conectar y recibir actualizaciones de directivas y de tareas.

Puesto que el servidor ePO era el responsable de la gestión del todos los agentes que se conectaban a él, se producía una limitación en el tamaño del despliegue de equipos que un único servidor ePO podía manejar.

Hasta entonces la única manera de aumentar la escalabilidad de un único servidor ePO era moviendo la base de datos a otro servidor o bien mediante escalabilidad vertical (cambio de hardware por uno más potente) en vez de escalabilidad horizontal (mediante varios servidores para equilibrar la carga).

La introducción de Administradores de Agentes en la versión 4.5 de McAfee ePolicy Orchestrator (ePO) ofrece a los clientes la posibilidad de escalar su infraestructura ePO horizontalmente mediante la implementación de Administradores de Agentes.

Pero uno de los escenarios de implementación más solicitado es la posibilidad de tener un Administrador de Agentes en una DMZ, lo que permitiría una correcta gestión y actualización de los clientes externos mediante WAN (Ver Figura 1).

 Figura 1: Esquema de un Administrador de Agentes en DMZ

La Figura 1 muestra como un Administrador de Agentes en DMZ puede gestionar equipos que se conecten vía WAN y, además, puede realizar las funciones de un servidor ePO de failover si la actividad del servidor principal se interrumpe (y si se ha habilitado la comunicación entre el Administrador de Agentes y los equipos de la red local)

Esto es posible, aunque el Administrador de Agentes requiere de acceso continuo tanto a la base de datos de ePO como al servidor de aplicaciones por lo que se necesita crear algunas
reglas en el cortafuegos corporativo (Ver Figura 2).

No obstante, y debido a que el Administrador de Agentes realiza conexiones continuas a la base de datos de ePO y al servidor de aplicaciones, se requiere una conexión rápida entre los dos; esto significa que la instalación de un Administrador de Agentes en una sede remota que se conecta a la sede principal vía Internet es una mala idea puesto que en poco rato colapsaría la línea. También hay que tener en cuenta que se requiere el agente ePO 4.5  como mínimo para que los clientes puedan utilizar esta nueva funcionalidad.

 Figura 2: Reglas de cortafuegos necesarias para el uso de un Administrador de Agentes en DMZ

Para realizar la instalación del Administrador de Agentes se requiere de un sistema operativo servidor (Windows Server 2003 o 2008) mediante el instalador que se encuentra en la capeta AgentHandler, dentro del propio archivo ZIP de instalación de ePO.

Una vez instalado bastará configurar el uso de dicho Administrador de Agentes mediante el servidor McAfee ePolicy Orchestrator (ePO) 4.5 (Ver Figura 3) asignando los grupos que deban utilizar el servidor ePO principal o bien al Administrador de Agentes.

 Figura 3: Acceso al menú de configuración de Administradores de Agentes desde ePO 4.5

SATINFO, SERVICIO DE ASISTENCIA TÉCNICA INFORMATICA   10 de Diciembre de 2010