Conectividad con las fuentes

Teramot ofrece cuatro formas de llegar a una base de datos. La elección depende de dónde esté el sistema y de las políticas de red del cliente.

En todos los casos, Teramot inicia la conexión hacia el origen y solo lee datos. Qué métodos ofrece cada motor, y cómo configurar cada uno, está en Conectá tus datos.

Red privada IPsec

Teramot opera un gateway IPsec propio que establece una VPN sitio a sitio con el firewall o el concentrador VPN del cliente. Es la forma recomendada de conectar sistemas que viven en una red privada.

    flowchart LR
    subgraph Teramot["Teramot"]
        W[Extractores] -->|mTLS| P[Proxy de conexión]
        P --> G[Gateway IPsec<br/>IP pública fija]
    end
    subgraph Cliente["Red del cliente"]
        F[Firewall / VPN] --> DB[(Sistema de origen)]
    end
    G <-->|IKEv2 / IPsec| F
  

Cómo funciona

• Cada conexión de cliente corre aislada en su propio espacio de red dentro del gateway. El tráfico de un cliente no puede cruzarse con el de otro, aunque los dos usen los mismos rangos de IP.
• Los extractores no ven las direcciones internas del cliente. Llegan al origen a través de un proxy autenticado con TLS mutuo, usando una referencia opaca a la conexión.
• Para su lado del túnel, Teramot asigna un bloque /29 del rango 100.64.0.0/10 (RFC 6598), que no choca con las redes privadas habituales.
• Si hace falta, se puede configurar la resolución DNS interna del cliente en cada conexión.

Parámetros del túnel

El túnel es IKEv2 con una clave precompartida que Teramot genera y muestra una sola vez, y Perfect Forward Secrecy es obligatorio. Hay un perfil moderno (AES-256-GCM, ECP-256) y uno compatible (AES-256, MODP-2048), ambos con SHA-256. No se aceptan IKEv1, 3DES, DES, SHA-1, MD5 ni MODP-1024, y el gateway solo acepta tráfico IKE (UDP 500 y 4500) desde las IP públicas que declaró cada cliente.

Las conexiones privadas se habilitan por workspace, y un admin las crea desde la aplicación. Las propuestas exactas, los tiempos de vida y los pasos del lado del cliente están en Conexiones privadas.

Túnel SSH

1. Teramot genera un par de claves RSA de 4096 bits por workspace.
2. El cliente instala la clave pública en su servidor bastión, en un usuario dedicado.
3. Teramot abre un túnel SSH hasta el bastión y, desde ahí, se conecta al sistema de origen en la red interna.

La clave privada nunca sale de Teramot.

Acceso por Internet con lista blanca de IP

Las conexiones hacia las fuentes salen de Teramot desde estas direcciones IP de salida fijas. La aplicación muestra la misma lista al configurar la fuente. El cliente puede restringir el acceso a su sistema solo a esas IP.

Las conexiones a bases de datos usan cifrado TLS cuando el motor lo ofrece.

Requisitos de red

El firewall del cliente debe permitir el tráfico entrante desde las IP de salida de Teramot hacia el puerto del sistema de origen. El puerto por defecto de cada motor está en Bases de datos y warehouses, y los de MongoDB y SAP ECC en Aplicaciones y fuentes en la nube. Además:

• Un bastión SSH necesita el TCP 22 (o el puerto configurado) abierto a las IP de Teramot.
• Una conexión privada necesita UDP 500 y 4500 hacia y desde el gateway IPsec, 32.192.124.113.
• Databricks, Snowflake, BigQuery y las aplicaciones SaaS se alcanzan por HTTPS (TCP 443) en los endpoints públicos del proveedor.

Para preparar el usuario y los permisos en cada sistema, ver Preparar tus fuentes.

Aplicaciones SaaS

Las aplicaciones SaaS se conectan a través de sus API públicas, con las credenciales que pide cada una (ver Aplicaciones y fuentes en la nube). No requieren configuración de red.