Conectar un sistema dentro de su propia red

Algunos sistemas —SAP Business One es el que admitimos hoy— se ejecutan en su propio hardware y no en la nube de un proveedor. Conectar uno requiere algo de trabajo por parte de dos personas distintas: alguien que gestione su red y un administrador de su espacio de trabajo. Esta página está escrita para ambos, y cada mitad indica para quién es.

Quién hace qué

Ninguna de las dos mitades funciona por sí sola, y el orden importa: la regla del cortafuegos debe existir antes de poder crear la conexión.

Parte 1 — para su equipo de TI o de redes

Cinco pasos. No se instala nada en sus servidores y no necesitamos acceso al cliente de SAP, a su base de datos ni a la máquina en la que se ejecuta.

1. Publique el Service Layer, o confirme que ya lo está

   Nos comunicamos con SAP Business One a través de su Service Layer, la interfaz web que viene incluida. Esa interfaz debe ser accesible desde Internet. Si un partner de alojamiento gestiona el sistema por usted, es muy probable que ya lo publique: pídale la URL del Service Layer y pase al paso 3. Si no, asígnele un nombre de host público y redirija a la máquina interna, igual que publicaría cualquier otro servicio web.

2. Asígnele un certificado de una autoridad pública

   Se requiere HTTPS y el certificado debe encadenar con una raíz pública. Un certificado autofirmado se rechaza, algo que conviene saber de antemano porque las instalaciones internas suelen tener uno. Basta con un certificado gratuito de Let’s Encrypt para el nombre de host público.

3. Restrinja la entrada a nuestra única dirección fija

   No querrá abrir el Service Layer a todo Internet, y no hace falta. Permita las conexiones entrantes desde la única dirección que aparece abajo; nada más necesita alcanzarlo.

4. Confirme la dirección exacta, con puerto y versión

   El valor que necesitamos es la raíz completa del Service Layer, no solo el host. Normalmente escucha en el puerto 50000 y termina en un segmento de versión. Funcionan tanto /b1s/v1 como /b1s/v2.

5. Cree un usuario dedicado para nosotros

   Cree un usuario de Business One para esta conexión en lugar de reutilizar uno que pertenezca a una persona. Así todo lo que hagamos será atribuible a ese usuario en los registros del propio sistema, podrá revocar nuestro acceso desactivando una sola cuenta, y no se romperá cuando alguien cambie su contraseña o se marche. Concédale solo los permisos que quiera darnos: lo que no esté concedido simplemente se rechazará, que es el resultado correcto y no un fallo.

Todas las peticiones que hacemos a un sistema dentro de la red de un cliente salen de esa única dirección, así que es la única que necesita abrir. Si esa limitación le supone un problema, díganoslo antes de crear la regla.

La misma dirección se muestra dentro del producto, en el formulario de conexión y en Ajustes › Integraciones › Destinos de red privada, de modo que nadie tiene que copiarla de esta página.

Comprobar que la regla funciona de verdad

Ejecute esto desde una máquina fuera de su red, no desde la LAN de la oficina, que es el error que hace que un puerto cerrado parezca abierto:

curl -sS -o /dev/null -w "%{http_code} %{ssl_verify_result}\n" \
  https://sap.yourcompany.com:50000/b1s/v1/

Cualquier código HTTP significa que la ruta funciona. Un segundo número igual a 0 significa que el certificado se verificó. Un bloqueo o un rechazo de conexión significa que la regla no está haciendo lo que parece.

Parte 2 — para el administrador del espacio de trabajo

Haga esto cuando su equipo de TI haya terminado la parte 1. Lleva un par de minutos y no requiere conocimientos técnicos, pero sí ser administrador del espacio de trabajo para el primer paso.

1. Indíquenos a qué servidor podemos llamar

   En Ajustes › Integraciones › Destinos de red privada, añada el nombre de host del servidor: solo el host, sin puerto ni ruta, por ejemplo sap.suempresa.com. Esta lista empieza vacía y no se permite nada hasta que usted lo añada.

2. Conéctelo

   Abra Integraciones, busque SAP Business One y pulse Conectar. Se le pedirán cuatro valores: la URL completa del Service Layer, el nombre de la base de datos de la empresa, y un usuario y una contraseña.

3. Decida qué puede hacer

   Cuando se conecte, abra Integraciones › SAP Business One para ver todas las acciones que ofrece y activarlas o desactivarlas una a una. Las acciones que modifican datos están marcadas, y puede exigir que alguien las confirme antes de ejecutarse.

Lo que necesitará al pulsar Conectar

Dos listas que apuntan en sentidos opuestos

La regla del cortafuegos de la parte 1 dice qué dirección puede alcanzar su sistema. El ajuste de la parte 2 dice a cuáles de sus sistemas podemos llegar nosotros. No son la misma lista y ninguna sustituye a la otra.

La segunda existe porque la dirección del Service Layer es un valor que alguien escribe, y la máquina que la consulta está dentro de nuestra propia red. Sin la lista, un valor mal escrito o malintencionado podría apuntar nuestra infraestructura a una dirección que nadie eligió. Cada cambio queda registrado en su registro de auditoría, y retirar un host detiene de inmediato las conexiones dirigidas a él, no en su siguiente renovación.

Si se rechaza, esto es lo que significa el mensaje