Antes de empezar
- Una máquina dentro de la red — Linux (x86_64 o ARM64), macOS en Apple silicon o Windows (x64) — que llegue a los sistemas que quieres sincronizar.
- HTTPS saliente (puerto 443) desde esa máquina hacia
bridgestick.com(las descargas) yapi.bridgestick.com(adonde se conectan los agentes). Detrás de un proxy, defineHTTPS_PROXY. - Permisos de administrador para instalar el servicio (
sudoen Linux y macOS, un PowerShell de administrador en Windows). - Una cuenta de BridgeStick: empieza gratis o inicia sesión.
1. Crea una clave de autenticación
En BridgeStick, abre Enlaces, crea un enlace para la red (o ábrelo) y añade una clave de autenticación. Elige si es de un solo uso o reutilizable, cuándo caduca y si los agentes que se unan con ella quedan aprobados de antemano o esperan tu aprobación. La clave (bslk_…) se muestra una sola vez, con el comando de instalación de cada sistema ya completo: cópiala ahora.
2. Instala y une
Ejecuta uno de estos comandos en la máquina. Cambia bslk_… por tu clave de autenticación. --server vale https://api.bridgestick.com por defecto; los comandos que te muestra BridgeStick ya lo incluyen.
Linux y macOS
Descarga el agente, lo verifica, lo instala como servicio y lo une.
curl -fsSL https://assets.bridgestick.com/downloads/install.sh | sh -s -- --auth-key bslk_…Debian y Ubuntu (apt)
Añade el repositorio apt firmado de BridgeStick, instala el paquete y lo une.
curl -fsSL https://assets.bridgestick.com/downloads/apt/bridgestick.gpg | sudo tee /usr/share/keyrings/bridgestick.gpg >/dev/nullecho 'deb [signed-by=/usr/share/keyrings/bridgestick.gpg] https://assets.bridgestick.com/downloads/apt stable main' | sudo tee /etc/apt/sources.list.d/bridgestick.listsudo apt-get update && sudo apt-get install -y bridgesticksudo bridgestick up --auth-key bslk_…Windows
En PowerShell, como administrador.
$env:BRIDGESTICK_AUTH_KEY='bslk_…'; iwr https://assets.bridgestick.com/downloads/install.ps1 -UseBasicParsing | iexYa instalado
En una máquina donde el comando bridgestick ya está instalado.
bridgestick up --auth-key bslk_… --server https://api.bridgestick.comSi bridgestick status muestra not running (el agente no se está ejecutando), arranca su servicio con sudo bridgestick install-service (una consola de administrador en Windows).
3. Aprueba el agente
Un agente que se unió con una clave no aprobada de antemano muestra waiting for approval (esperando aprobación), en su estado y en la página del enlace. Apruébalo ahí; desde entonces recibe llamadas. Con una clave aprobada de antemano te saltas este paso.
4. Permite a qué puede llegar
El agente empieza con la lista de permitidos vacía: no llega a nada hasta que añadas reglas. Antes de abrir un conector, cada equipo y puerto al que se conectará se resuelve y se comprueba con la lista, y cada archivo con sus carpetas; todo lo demás se rechaza. Solo el agente aplica la lista, así que una nube comprometida no puede usarlo para llegar a lo que no permitiste.
| Regla | Qué deja pasar |
|---|---|
internet | Cualquier dirección pública, en cualquier puerto |
10.0.0.0/8 | Una red, en cualquier puerto |
10.0.0.0/8:5432 | Una red, en un puerto |
10.1.2.3:1433-1434 | Una dirección, en un rango de puertos |
sap.corp.local:44300 | Un nombre de equipo, y cada dirección que tenga |
*.corp.local:* | Nombres de equipo por patrón, en cualquier puerto |
[fd00::5]:5432 | Una dirección IPv6, en un puerto |
path:/srv/exports | Archivos bajo una carpeta (SQLite), por ruta absoluta |
Ejemplos
sudo bridgestick allow add sap.corp.local:44300sudo bridgestick allow add 10.20.0.0/16:1433sudo bridgestick allow add path:/srv/exportssudo bridgestick allow list- Un nombre de equipo se juzga por cada dirección a la que resuelve: un nombre que lleva a otro sitio se juzga por adónde lleva. Una regla de nombre de equipo coincide por el propio nombre.
internetadmite solo direcciones públicas — nunca una privada, de bucle local o de enlace local.- Da a todos los agentes de un enlace las mismas reglas: cada uno aplica su propia lista.
- Cuando el agente se ejecuta como servicio, ejecuta estos comandos con
sudo(una consola de administrador en Windows): su carpeta pertenece al servicio.
5. Usa el enlace
En BridgeStick, pon como Red de un origen o de un destino el enlace. Sus equipos pueden ser privados (10.0.0.5, sap.corp.local), y sus archivos están en la máquina del agente. Una conexión con un extremo privado se ejecuta en los agentes del enlace: las filas nunca pasan por BridgeStick.
Comandos
| Comando | Qué hace |
|---|---|
bridgestick up --auth-key bslk_… [--server URL] [--hostname NAME] [--force] | Une el enlace (una vez) y lo mantiene activo. --server indica la dirección de BridgeStick, --hostname el nombre que muestra el agente y --force deja antes el enlace actual. |
bridgestick down | Desactiva el enlace. El demonio sigue; bridgestick up lo reactiva. |
bridgestick status [--json] | Qué hace el agente: su enlace, estado, servidor, lista de permitidos y versión — y si salió una más nueva. --json para scripts. |
bridgestick allow list | add RULE | remove RULE | Lista, añade o quita reglas de la lista de permitidos. Por defecto no se permite nada. |
bridgestick logout | Deja el enlace: olvida la clave del agente y su unión. |
bridgestick daemon | Ejecuta el demonio (bridgestickd) en primer plano, para verlo trabajar. |
bridgestick install-service [--user NAME] | Ejecuta el demonio al arrancar: systemd, launchd o una tarea programada de Windows. --user fija la cuenta en Linux (por defecto bridgestick). |
bridgestick uninstall-service | Deja de ejecutar el demonio al arrancar. |
bridgestick update [--check] [--version X.Y.Z] | Instala la última versión (o --version esa) como se instaló el agente — apt, o el instalador, verificado con la firma de la versión — y mantiene su enlace y su lista de permitidos. --check solo dice si salió una. Con sudo (o una consola de administrador en Windows) cuando está instalado para toda la máquina. |
bridgestick version | -v | --version | La versión del agente. |
bridgestick --home FOLDER … | Usa otra carpeta para el estado del agente (con cualquier comando). |
Archivos y servicio
El agente guarda su configuración, su clave (legible solo por su propietario) y su estado en una carpeta. BRIDGESTICK_AGENT_HOME la cambia.
| Sistema | Carpeta |
|---|---|
| Linux, como root (el servicio) | /var/lib/bridgestick |
| Linux, como usuario | ~/.local/state/bridgestick |
| macOS, como root (el servicio) | /Library/Application Support/BridgeStick |
| macOS, como usuario | ~/Library/Application Support/BridgeStick |
| Windows | C:\ProgramData\BridgeStick |
- Linux: una unidad de systemd,
bridgestickd.service, que se ejecuta con el usuario sin privilegiosbridgestick, se reinicia siempre y está reforzada (sin nuevos privilegios, el sistema de solo lectura, su carpeta escribible). Registros:journalctl -u bridgestickd. - macOS: un launch daemon,
com.bridgestick.agent, siempre activo. Registros:/Library/Logs/bridgestickd.log. - Windows: una tarea programada,
BridgeStick Agent, que se ejecuta al arrancar como SYSTEM.
Alta disponibilidad
- Instala el agente en dos o más máquinas de la red y une cada una al mismo enlace (una clave reutilizable, o una clave para cada una).
- El agente que lleva más tiempo conectado es el principal. Cuando se desconecta o pierde tres latidos (de 15 segundos cada uno), el siguiente toma el relevo y las nuevas llamadas van a él.
- Una llamada en curso en un agente perdido falla como un error transitorio: una lectura se reintenta, y una sincronización sigue desde su último punto de control en su próxima ejecución.
- Los agentes se reconectan solos, esperando 1 segundo y duplicando hasta 60, con variación aleatoria, para que agentes cortados a la vez no vuelvan a la vez.
- Da a cada agente la misma lista de permitidos: el que sea principal debe llegar a cada extremo.
Revocar o quitar
- Revoca un agente en la página del enlace: su sesión se cierra al momento y queda fuera.
- Revoca una clave de autenticación para que no se unan más agentes con ella; los que ya se unieron se quedan.
- En la máquina,
bridgestick logoutolvida la clave del agente y su unión, ybridgestick uninstall-servicedetiene el demonio. - Los agentes efímeros se eliminan cuando se desconectan.
Solución de problemas
| Ves | Qué hacer |
|---|---|
… cannot be reached: … | Permite HTTPS saliente (443) desde la máquina hacia api.bridgestick.com. Detrás de un proxy, define HTTPS_PROXY para el comando y para el servicio. |
… refused to join: … | La clave de autenticación está usada, caducada o revocada: crea una nueva en la página del enlace. |
This agent is on the link … already | Ejecuta antes bridgestick logout, o bridgestick up --auth-key bslk_… --force. |
Estado: waiting for approval | Aprueba el agente en la página del enlace, o únelo con una clave aprobada de antemano. |
Estado: refused | BridgeStick revocó o eliminó este agente: vuelve a unirlo con una clave nueva y --force. |
Estado: reconnecting | El canal se cortó y el agente lo reintenta solo; la línea Error dice por qué. Revisa la red o el proxy si dura. |
Estado: not running | El demonio no se está ejecutando: sudo bridgestick install-service, o bridgestick daemon para ejecutarlo en primer plano. |
… is not in this agent's allow list | Añade una regla para ese equipo y puerto — bridgestick allow add equipo:puerto — en cada agente del enlace. |
… is not under a folder of this agent's allow list | Añade la carpeta: bridgestick allow add path:/carpeta. |
… the host name does not resolve | Arregla la resolución de nombres en la máquina del agente, o indica el equipo por su dirección. |
… (run it as the agent's user, or with sudo) | La carpeta del agente pertenece al servicio: ejecuta el comando con sudo. |
| El enlace aparece desconectado en BridgeStick | No hay ningún agente conectado: ejecuta bridgestick status en cada máquina. Las ejecuciones se rechazan y los turnos programados se pierden hasta que se conecte uno; no cuentan como fallos de sus orígenes. |
| Cualquier otra cosa | Escribe a team@davait.com con lo que muestra bridgestick status y las últimas líneas del registro del agente. |