Cuando el panel no está disponible

El agente nunca necesita el panel para proteger el servidor: la detección y todos los bloqueos funcionan en el propio servidor. Pero hay dos situaciones distintas.

No se puede contactar con el panel#

Los errores de red, los tiempos de espera agotados, los fallos de DNS y los errores del servidor (5xx) nunca se tratan como un rechazo. La protección sigue activa el tiempo que haga falta:

• los bloqueos, la lista blanca, los bloqueos por país y los puertos cerrados siguen en vigor;
• los ataques nuevos se siguen detectando y bloqueando;
• los bloqueos caducan a su hora en el servidor;
• el estado se guarda en /var/lib/infrafence/protection-state.json, así que un reinicio durante la interrupción lo restaura antes de configurar el firewall;
• los eventos esperan en una cola (hasta 5.000) y se envían cuando el panel vuelve a responder.

El panel rechaza el agente#

El panel rechaza un agente de forma explícita cuando su token está revocado o es desconocido (401), cuando la organización está suspendida (403 suspended) o cuando el servidor supera el límite del plan (403 plan_limit), por ejemplo tras una cancelación o una factura impagada.

1. Primeras 24 horas. La protección local sigue en vigor. El agente espera antes de volver a preguntar, desde 1 minuto y duplicando hasta 30 minutos; a una organización suspendida se le pregunta cada 30 minutos. El log del agente dice qué ha pasado, por ejemplo the dashboard refused the agent token (401). Local protection stays in force.
2. Tras 24 horas de rechazo sin una sola respuesta correcta, el agente desactiva su protección de forma ordenada: se eliminan sus cadenas, saltos e ipsets (bloqueos, lista blanca, bloqueos por país, listas de amenazas, puertos cerrados, bloqueos de salida), sus reglas de ModSecurity, los parches virtuales y el bloqueo por user agent se retiran del servidor web, el vigilante de malware en tiempo real se detiene y la detección continúa solo en modo monitor. Las reglas de otras herramientas nunca se tocan. Después se comprueba SSH.
3. Aviso al iniciar sesión. Donde la distribución usa /etc/motd.d, el agente escribe /etc/motd.d/infrafence: InfraFence no longer protects this server: the account is suspended or the subscription ended. Reactivate it at https://infrafence.com/billing.
4. Reactivación. El agente sigue funcionando y pregunta al panel cada 30 minutos. En la primera sincronización correcta, la protección se vuelve a activar y el aviso se elimina.

El reloj del rechazo sobrevive a los reinicios. Los propietarios reciben un correo 12 horas antes de la desactivación, en el momento de la desactivación y cuando se restablece el acceso. Este comportamiento necesita el agente 1.0.32 o posterior.