Configuración de conectores de red privada para Microsoft Entra Private Access y el proxy de aplicación de Microsoft Entra

Los conectores son agentes ligeros que se colocan en un servidor en una red privada y facilitan la conexión saliente del servicio de Global Secure Access. Los conectores deben instalarse en un servidor de Windows Server con acceso a los recursos y aplicaciones de back-end. Puede organizar los conectores en grupos; cada grupo controla el tráfico a aplicaciones concretas. Para obtener más información sobre los conectores, consulte Comprender los conectores de red privada de Microsoft Entra.

Requisitos previos

Para agregar recursos privados y aplicaciones a Microsoft Entra ID, necesita:

• El producto requiere una licencia. Para obtener más información sobre las licencias, consulte la sección de licencias de ¿Qué es Acceso global seguro? Si es necesario, puede comprar una licencia u obtener licencias de prueba.
• Una cuenta de administrador de aplicaciones.

Las identidades de usuario se deben sincronizar desde un directorio local, o bien se deben crear directamente en los inquilinos de Microsoft Entra. Sincronización de identidades permite a Microsoft Entra ID realizar una autenticación previa de los usuarios antes de concederles acceso a aplicaciones publicadas en Application Proxy y tener la información del identificador de usuario necesarios para realizar el inicio de sesión único (SSO).

Windows Server

El conector de red privada de Microsoft Entra requiere un servidor que ejecute Windows Server 2012 R2 o posterior. Instalará el conector de red privada en el servidor. Este servidor del conector debe conectarse al servicio de Microsoft Entra Private Access o al servicio proxy de aplicación y a los recursos o aplicaciones privados que planea publicar.

• Para conseguir una alta disponibilidad del entorno, se recomienda disponer de más de un servidor Windows Server.
• La versión mínima de .NET necesaria para el conector es v4.7.1+.
• Para más información, consulte Conectores de red privada
• Para obtener más información, consulte Cómo: Determinar qué versiones de .NET Framework están instaladas.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"EnableDefaultHTTP2"=dword:00000000

Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

Requisitos de Seguridad de la capa de transporte (TLS)

El servidor del conector de Windows debe tener TLS 1.2 habilitado antes de instalar el conector de red privada.

Para habilitar TLS 1.2, siga estos pasos:

1. Establezca las claves del Registro.

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001
   

2. Reinicie el servidor.

Recomendaciones para el servidor de conector

• Optimice el rendimiento entre el conector y la aplicación. Ubique físicamente el servidor del conector cerca de los servidores de aplicaciones. Para obtener más información, consulte Optimizar el flujo de tráfico con el proxy de aplicaciones Microsoft Entra.
• Asegúrese de que el servidor del conector y los servidores de aplicaciones web estén en el mismo dominio de Active Directory o que abarquen dominios de confianza. Tener los servidores en el mismo dominio o en dominios de confianza es un requisito para usar el inicio de sesión único (SSO) con la autenticación integrada de Windows (IWA) y la delegación restringida de Kerberos (KCD). Si el servidor de conector y los servidores de aplicaciones web están en diferentes dominios de Active Directory, use la delegación basada en recursos para el inicio de sesión único.

Preparación del entorno local

Para preparar tu entorno para el proxy de aplicación de Microsoft Entra, primero debes habilitar la comunicación con los centros de datos de Azure. Si hay un firewall en la ruta de acceso, asegúrate de que está abierto. Un firewall abierto permite que el conector realice solicitudes HTTPS (TCP) al proxy de aplicación.

Abrir puertos

Abre los siguientes puertos al tráfico saliente.

Si el firewall fuerza el tráfico según los usuarios de origen, abre también los puertos 80 y 443 para el tráfico de los servicios de Windows que se ejecutan como un servicio de red.

Permiso de acceso a direcciones URL

Permita el acceso a las siguientes direcciones URL:

Si el firewall o el servidor proxy te permiten configurar reglas de acceso basadas en sufijos de dominio, puedes permitir conexiones a *.msappproxy.net, *.servicebus.windows.net y a otras direcciones URL anteriores. Si no es así, deberás permitir acceso a Intervalos IP de Azure y etiquetas de servicio: nube pública. Los intervalos IP se actualizan cada semana.

Instalación y registro de un conector

Para usar Acceso privado, instala un conector en cada servidor Windows que uses para Acceso privado de Microsoft Entra. El conector es un agente que administra la conexión saliente desde los servidores de aplicación locales a Acceso global seguro. Puedes instalar un conector en los servidores que también tienen otros agentes de autenticación instalados, como Microsoft Entra Connect.

Para instalar el conector desde el centro de administración Microsoft Entra:

1. Inicia sesión en el Centro de administración Microsoft Entra como Administrador de aplicaciones del directorio que usa Application Proxy.

   • Por ejemplo, si el dominio del inquilino es contoso.com, el administrador debe ser admin@contoso.com o cualquier otro alias de administrador de ese dominio.

2. En la esquina superior derecha, selecciona el nombre de usuario. Compruebe que ha iniciado sesión en el directorio que usa Application Proxy. Si necesita cambiar directorios, seleccione Cambiar directorio y elija un directorio que use Application Proxy.

3. Vaya a Acceso global seguro>Conectar>Conectores.

4. Seleccione Descargar servicio de conector.

   

5. Lea los términos del servicio. Cuando esté listo, seleccione Aceptar las condiciones y descargar.

6. En la parte inferior de la ventana, seleccione Ejecutar para instalar el conector. Se abre un asistente para la instalación.

7. Siga las instrucciones del asistente para instalar el servicio. Cuando se le pida que registre el conector en Application Proxy para el inquilino de Microsoft Entra, proporcione las credenciales del Administrador de la aplicación.

   • En Internet Explorer (IE), si la opción Configuración de seguridad mejorada de IE está activada, puede que no aparezca la pantalla de registro. Para acceder, siga las instrucciones del mensaje de error. Asegúrese de que la configuración de seguridad mejorada de Internet Explorer está desactivada.

Cosas que debe saber

Si anteriormente ha instalado un conector, vuelva a instalarlo para obtener la última versión. Al actualizar, desinstale el conector existente y elimine las carpetas relacionadas. Para consultar información sobre las versiones publicadas anteriormente y qué cambios incluyen, consulte Application Proxy: Version Release History (Proxy de aplicación: Historial de lanzamiento de versiones).

Si elige tener más de un servidor Windows Server para las aplicaciones locales, debe instalar y registrar el conector en cada servidor. Puede organizar los conectores en grupos. Para más información, vea grupos de conectores.

Para obtener información sobre los conectores, el planeamiento de la capacidad y cómo se mantienen actualizados, consulte Descripción de los conectores de red privada de Microsoft Entra.

Verifique la instalación y el registro

Puede usar el portal de Global Secure Access o Windows Server para confirmar que el nuevo conector se ha instalado correctamente.

Para obtener información sobre cómo solucionar problemas de proxy de aplicación, consulte Problemas de depuración de aplicaciones de proxy de aplicación.

Comprobación de la instalación mediante el centro de administración de Microsoft Entra

Para confirmar que el conector se ha instalado y registrado correctamente:

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones del directorio que usa Application Proxy.

2. Vaya a Acceso global seguro>Conectar>Conectores

   • Todos los conectores y grupos de conectores aparecen en esta página.

3. Vea un conector para verificar sus detalles.

   • Expanda el conector para ver los detalles si aún no está expandido.
   • Una etiqueta activa verde indica que el conector puede conectarse al servicio. Sin embargo, aun cuando la etiqueta es verde, un problema de red podría impedir que el conector reciba mensajes.

   

Para obtener más ayuda con la instalación de un conector, consulte solución de problemas de conectores.

Comprobación de la instalación mediante el servidor de Windows

Para confirmar que el conector se ha instalado y registrado correctamente:

1. Seleccione la clave de Windows y escriba services.msc para abrir Service Manager de Windows.

2. Compruebe si el estado de los servicios siguientes es En ejecución.

   • Conector de red privada de Microsoft Entra permite la conectividad.
   • El actualizador del conector de red privada de Microsoft Entra es un servicio de actualización automatizado.
   • El actualizador busca nuevas versiones del conector y lo actualiza según sea necesario.

   

3. Si el estado de los servicios no es En ejecución, haga clic con el botón derecho en cada servicio y elija Iniciar.

Creación de grupos de conectores

Para crear tantos grupos de conectores como desee:

1. Vaya a Acceso global seguro>Conectar>Conectores.
2. Seleccione Nuevo grupo de conectores.
3. Asigne un nombre al nuevo grupo de conectores y use luego el menú deplegable para seleccionar qué conectores pertenecen a este grupo.
4. Seleccione Guardar.

Para obtener más información sobre los conectores, consulte Comprender los grupos de conectores de red privada de Microsoft Entra.

Pasos siguientes

El siguiente paso para empezar a trabajar con Acceso privado de Microsoft Entra es configurar la aplicación Acceso rápido o Global Secure Access:

• Configure Acceso rápido a sus recursos privados
• Configurar el acceso por aplicación para Acceso privado de Microsoft Entra