Installer le relais
Déclarer un site, installer l'agent Docker sur une machine du réseau avec les commandes fournies par l'application, le voir apparaître prêt, vérifier la joignabilité et le maintenir disponible pendant les tests.
Prérequis#
- Les scans internes activés par SpectrAI sur votre espace (voir Scans internes).
- Une session vérifiée par second facteur : ajouter un site, un agent ou une autorisation le demande.
- Docker sur une machine du site : Linux, macOS ou Windows avec Docker Desktop. La machine reste allumée pendant les tests.
- Un accès sortant HTTPS vers la passerelle SpectrAI, direct ou par le proxy de l'entreprise. L'agent n'ouvre aucun port entrant.
- L'accès réseau depuis cette machine vers les applications à tester.
1. Déclarer le site#
- Ouvrez Sites et agents dans l'espace client.
- Choisissez Ajouter un site, nommez-le (par exemple « Siège Lyon ») et déclarez ses plages IPv4 privées : de 1 à 16 plages CIDR dans
10.0.0.0/8,172.16.0.0/12,192.168.0.0/16ou100.64.0.0/10.
Déclarer des plages n'autorise pas à les scanner : c'est le mandat qui autorise une application.
2. Inscrire un agent#
- Dans le site, choisissez Ajouter un agent puis Générer le jeton et les commandes.
- Copiez les commandes affichées tout de suite : le jeton à usage unique n'est affiché qu'une fois et expire au bout de 15 minutes.
- Exécutez les commandes sur la machine du site. L'installateur télécharge l'image signée, vérifie son empreinte et sa signature, vous demande le code d'inscription, lance l'agent et le configure pour redémarrer avec la machine.
- À la fin, l'installateur affiche l'identifiant de l'agent : c'est celui qui apparaît dans la liste des agents du site.
Derrière un proxy d'entreprise, ajoutez --proxy http://proxy:port à la fin de la commande. Sur Linux, préfixez-la par sudo si votre compte n'a pas accès à Docker.
3. Vérifier que l'agent est prêt#
L'agent apparaît dans la liste du site sans recharger la page, prêt en moins d'une minute. Il est prêt quand il s'est connecté dans les 90 dernières secondes ; la ligne indique sa date d'inscription et son dernier contact. Si aucun agent n'est connecté, vérifiez que la machine est allumée et que le conteneur tourne, consultez ses journaux, ou inscrivez un nouvel agent.
4. Autoriser les tests#
Posez ensuite le mandat : voir Le mandat de test. Sans mandat en cours, aucun test ne passe par le site.
5. Vérifier la joignabilité#
Une fois un agent prêt et un mandat en cours, Vérifier la joignabilité demande à l'agent d'ouvrir une seule connexion TCP vers l'hôte et le port d'une adresse couverte par le mandat. Rien n'est envoyé à l'application et aucun test n'est lancé. Le résultat (joignable, injoignable, refusée, expirée) et son explication restent dans l'historique du site.
Maintenir le relais#
- Gardez la machine allumée et le conteneur actif pendant toute la durée d'un scan.
- Si l'agent se déconnecte pendant un scan, les résultats partiels sont conservés et la reprise est proposée une fois l'agent revenu.
- Plusieurs agents peuvent être inscrits sur un même site ; la liste indique combien sont prêts.
Retirer un agent#
Arrêtez et supprimez le conteneur sur la machine. Un agent qui ne se connecte plus n'est plus prêt ; sans agent prêt, aucun test ne passe par le site.