Ambienti air-gapped

Solo CorellixOS

Un’appliance air-gapped non ha alcun traffico verso l’esterno. Tutto ciò che serve arriva da bundle importati a mano.

Che cosa funziona senza Internet

Praticamente tutto. Le funzionalità della piattaforma non dipendono da servizi esterni:

Raccolta dati e correlazione	Sì — le sorgenti sono nella vostra rete
Allarmi e notifiche	Sì — con SMTP interno o webhook interni
Console remote e automazioni	Sì
PAM	Sì
Capacity planning e report	Sì
Corell!A	Sì — il modello gira in locale, è la configurazione predefinita
Portale documentazione	Sì — è un componente del cluster, senza risorse esterne
Service Desk	Sì, salvo l’integrazione con ITSM esterni raggiungibili

Il portale documentazione merita la sottolineatura, perché è la ragione per cui esiste dentro il cluster: in un ambiente disconnesso, una documentazione che sta su Internet è una documentazione che non avete. Ricerca compresa — l’indice è generato a build time e servito come file statici.

Che cosa non funziona

	Alternativa
Aggiornamenti automatici	Bundle importati a mano
Accesso remoto ZTNA	Non disponibile
Verifica delle versioni disponibili online	Contenuto dei bundle
Provider AI esterni	Modello locale

Impostare la modalità

core connectivity set-mode air-gapped
core connectivity show

In modalità air-gapped l’appliance non tenta connessioni verso l’esterno: nessun timeout, nessun errore ricorrente nei log.

Bundle

Un bundle è un archivio firmato che contiene l’immagine di sistema, le immagini dei container, il chart e i metadati di una versione della piattaforma.

Ottenere un bundle

I bundle si scaricano da un sistema connesso, dall’area riservata del portale Corellix. Ogni bundle porta la propria firma e la propria somma di controllo.

Trasferire

Con il supporto rimovibile che la vostra procedura prevede. Il bundle è un file singolo.

Importare

core bundle verify --file /media/usb/corellix-3.1.bundle
core bundle import --file /media/usb/corellix-3.1.bundle
core bundle list

La verifica della firma è un passaggio separato dall’importazione perché è la cosa che vi protegge dal fatto che quel file ha attraversato un supporto fisico. Non saltatela.

Aggiornare

Dopo l’importazione, CoreLCM vede le nuove versioni come disponibili e l’aggiornamento procede normalmente:

core lcm status
core lcm plan --all
core lcm upgrade --all

Vedi Aggiornamenti.

Installazione iniziale air-gapped

1. Scaricate immagine e bundle iniziale da un sistema connesso.

2. Trasferite entrambi.

3. Installate l’appliance dall’immagine — vedi Installare CorellixOS.

4. Impostate la modalità air-gapped prima del setup wizard:

   core connectivity set-mode air-gapped

5. Importate il bundle iniziale.

6. Eseguite il setup wizard.

L’immagine contiene già le immagini dei container della propria versione: il bundle iniziale serve quando volete partire da una versione più recente di quella dell’immagine che avete.

Modalità proxy-only

Via di mezzo per chi non ha un vero air-gap ma non consente traffico diretto:

core connectivity set-mode proxy-only
core connectivity set-proxy --url http://proxy.azienda.loc:3128

Il proxy deve consentire l’accesso al registro delle immagini. L’accesso remoto ZTNA resta non disponibile.

Agent in ambiente air-gapped

Gli agent parlano solo con l’appliance, non con Internet: funzionano identicamente. Gli installer si prendono da Sistema → Download nel portale, che è dentro la vostra rete.

L’aggiornamento automatico degli agent funziona: le versioni arrivano all’appliance dai bundle, e da lì agli agent.

Certificati

Un’appliance air-gapped non può usare CA pubbliche né verificare le liste di revoca online. Usate la CA interna o la vostra PKI, e distribuite la radice ai client. Vedi Certificati e TLS.