Caso de uso común
Monitoriza servicios privados sin exponerlos
Comprueba servicios privados sin publicar endpoints de salud ni dar a cada sonda acceso amplio a la red.
Respuesta breve
Usa un pase de wzctl supervisado por cada sonda TCP fija. Elige el cliente completo cuando un colector fiable necesite varios destinos privados.
El problema
La monitorización externa no suele llegar a endpoints privados. Publicar rutas de salud crea superficie pública; desplegar una plataforma completa en cada red aumenta el coste operativo.
Elige y limita el modelo de conexión
Usa puertos locales aislados para sondas fijas. Si un colector controlado necesita varios destinos, dale DNS y rutas privadas directas mediante el cliente completo y la política de grupo prevista.
- 1Despliega un publisher que pueda alcanzar el servicio monitorizado.
- 2Para una sonda aislada, crea un pase con el ID del publisher, la IP exacta y el puerto TCP.
- 3Ejecuta wzctl con un supervisor de servicios o contenedores y configura la sonda para su puerto en 127.0.0.1.
- 4Para varios destinos autorizados, usa el cliente completo en un colector fiable y consulta directamente sus direcciones privadas.
Flujo de acceso de ejemplo
Proceso
Agente de monitorización con wzctl supervisado
Endpoint local
http://127.0.0.1:19100Destino del pase
10.0.8.12:9100 (/32)Límite de autorización
Un destino TCP de exporter por pase
Cuándo encaja este patrón
- Una sonda comprueba un endpoint HTTP, HTTPS, exporter u otro servicio TCP.
- El entorno de monitorización puede supervisar uno o varios procesos wzctl.
- Un colector fiable necesita varios destinos y puede ejecutar el cliente completo.
- Las credenciales, la validación TLS y las alertas se gestionan por separado.
Límite de seguridad y consideraciones
- Un pase de wzctl solo admite TCP. No transporta sondas UDP, ping ICMP, descubrimiento de servicios ni DNS privado.
- Varios destinos fijos exigen varios pases. Un colector con cliente completo recibe los CIDRs autorizados salvo que reglas efectivas los reduzcan.
- El servicio monitorizado sigue controlando autenticación, TLS, datos expuestos y límites de frecuencia.
Preguntas frecuentes
¿Puede wzctl funcionar sin intervención para una sonda?+
Sí. Usa un gestor de servicios o supervisor de contenedores que mantenga el proceso en primer plano y lo renueve cuando sea necesario.
¿Puede un pase monitorizar una subred completa?+
No. Un pase asigna un puerto local a una IP y puerto TCP exactos. Usa varios pases o un cliente completo autorizado de forma deliberada.
¿WireZTNA proporciona métricas y alertas?+
No. Proporciona alcance de red. La plataforma de monitorización se encarga de recopilar, almacenar, visualizar y generar alertas.