InfraFenceInfraFence

Live Security Operations

Empezar

Instalación

Instala el agente InfraFence en Linux con install.sh - requisitos, todas las opciones del instalador, dónde van los archivos y cómo reinstalar o mover un servidor.

Última actualización:

El agente funciona como un servicio en el servidor: systemd, upstart o sysvinit. Para contenedores, consulta Docker y Kubernetes.

Requisitos

  • Linux en x86-64 (x86_64) o ARM64 (aarch64). Cualquier otra arquitectura detiene el instalador con Unsupported architecture.
  • Acceso root.
  • systemd, upstart o sysvinit.
  • apt-get, dnf o yum, para instalar lo que falte: curl, iptables y ca-certificates. También se instala ipset cuando la comprobación de solo lectura dice que es seguro hacerlo.
  • HTTPS de salida hacia infrafence.com, github.com y release-assets.githubusercontent.com: el agente solo se descarga de sus releases en GitHub.

La página de distribuciones compatibles lista las 15 distribuciones en las que se prueba cada versión.

Instalar

Crea un token de instalación en el panel (Servidores › Añadir servidor) y, después, en el servidor:

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <YOUR_TOKEN>

El instalador nunca hace preguntas, así que también funciona desde scripts de aprovisionamiento.

Opciones del instalador

Opción Efecto
--token <TOKEN> El token de instalación de un solo uso del panel. Necesario para un registro nuevo.
--dry-run Descarga el agente, ejecuta la comprobación de solo lectura e imprime lo que haría una ejecución real. No se instala ni se cambia nada, y no hace falta token.
--no-ipset No instala nunca ipset. Los bloqueos siguen funcionando, como una regla de firewall por dirección (hasta 500); el bloqueo por país y el bloqueo de las listas de inteligencia de amenazas pasan a solo detectar.
--install-only Instala el binario y el servicio sin registrar. El servicio queda habilitado pero no iniciado; el instalador imprime el comando infrafence-agent register que hay que ejecutar después.
--force-register Vuelve a registrar aunque exista /etc/infrafence/config.json, con un token nuevo.
--skip-checksum Instala aunque no se pueda descargar el checksum de la release. Inseguro: el binario no se verifica. Sin esta opción, un checksum que falta o no coincide detiene el instalador y no se instala nada.
--uninstall Elimina el agente y lo que añadió. Consulta Desinstalar.

El instalador también lee estas variables de entorno:

Variable Predeterminado Efecto
INFRAFENCE_AGENT_NAME el nombre de host corto El nombre que recibe el servidor en el panel.
INFRAFENCE_SERVER_URL https://infrafence.com El panel en el que se registra el agente.

Pásalas a través de sudo, por ejemplo:

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo INFRAFENCE_AGENT_NAME=web-01 bash -s -- --token <YOUR_TOKEN>

Dónde va cada cosa

Ruta Qué es
/usr/local/bin/infrafence-agent El binario del agente. Tras una actualización, la versión anterior se conserva como infrafence-agent.bak.
/etc/infrafence/config.json Dirección del panel y token propio del agente (modo 0600, directorio 0750).
/var/lib/infrafence/ Estado: bloqueos, lista blanca, bloqueos por país, puertos cerrados, archivos en cuarentena.
/etc/systemd/system/infrafence-agent.service La unidad de systemd (upstart: /etc/init/infrafence-agent.conf; sysvinit: /etc/init.d/infrafence-agent).
/usr/local/bin/infrafence-agent-recover.sh Se ejecuta antes de cada arranque con systemd: si el binario está dañado, restaura la copia de seguridad o vuelve a descargar la versión, comprobando su suma de verificación y su firma.

El agente escribe sus logs en el journal con systemd (journalctl -u infrafence-agent) y en syslog con upstart o sysvinit.

Volver a ejecutarlo

Ejecutar de nuevo el instalador sin --token en un servidor registrado actualiza el binario y el servicio y mantiene el registro:

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash

Imprime Existing config found at /etc/infrafence/config.json — keeping current registration. Para conectar el servidor a otra organización, o como un servidor nuevo, usa --force-register con un token nuevo.

Si algo falla

El instalador explica cada fallo en un recuadro con el siguiente paso: una dependencia que falta, una descarga fallida o un registro fallido (Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan). Consulta Solución de problemas.