Nelle reti segmentate il problema raramente e il GLPI Agent in se, ma il percorso. Filiali senza VPN, DMZ, reti OT/ICS e laboratori hanno spesso solo l'uscita HTTP e mai un percorso diretto verso il server di inventario. Quando gestiamo parchi GLPI per i clienti, e qui che la modalita proxy del GLPI Agent smette di essere una curiosita della documentazione e diventa architettura di produzione: un agente per rete concentra l'inventario dei vicini e lo inoltra a GLPI attraverso un unico canale controllato.
Dove la modalita proxy aiuta davvero (e dove no)
La modalita proxy non esiste per "risparmiare agenti". Esiste per ridurre N regole di firewall a una sola. Senza proxy, ogni postazione di una filiale dovrebbe raggiungere il server GLPI, il che significa aprire l'intero parco verso il data center o dipendere da una VPN che raramente copre la rete delle stampanti, i controllori di fabbrica o il segmento ospiti. Con il proxy, solo il concentratore parla con GLPI. Dove lo adottiamo:
- Filiali senza VPN diretta verso il data center, con solo la navigazione web consentita.
- Reti isolate: DMZ, OT/ICS (reparto produttivo), laboratorio, segmento ospiti.
- Firewall restrittivi dove solo il traffico in uscita HTTP/HTTPS passa per un proxy aziendale.
- Sedi remote con collegamento instabile, dove concentrare e reinviare in locale riduce la ritrasmissione sulla WAN.
Dove non vale la pena: una rete piatta che vede gia GLPI, o un piccolo parco dietro una VPN stabile. Li il proxy aggiunge solo un punto di guasto. La regola che usiamo in consulenza e semplice: proxy quando la barriera e di routing/firewall, non quando e di scala.
Architettura: un concentratore per dominio di rete
[Postazioni Filiale A] --HTTP--> [GLPI Agent Proxy A :62354] --+
[Postazioni Filiale B] --HTTP--> [GLPI Agent Proxy B :62354] --+--HTTPS 443--> [Server GLPI]
[Rete OT/ICS] --HTTP--> [GLPI Agent Proxy C :62354] --+ (glpi.tuaazienda.com)Ogni rete ha un agente con il server HTTP locale attivo (il ruolo proxy). Gli agenti delle postazioni non conoscono GLPI: pubblicano il proprio inventario sul proxy della propria rete. Il proxy lo inoltra al server GLPI tramite un'unica connessione TLS. In pratica, la mappa del firewall del cliente smette di avere decine di origini e passa a una riga per rete.
Configurazione reale messa in produzione
Su GLPI Agent 1.x la configurazione risiede in file .cfg e il servizio espone le attivita HTTP sulla porta 62354. Il concentratore ha bisogno di due cose: l'attivita di server locale attiva e una lista di fiducia (httpd-trust) ristretta all'intervallo della rete, mai aperta.
1. Agente concentratore (proxy della rete)
# /etc/glpi-agent/conf.d/proxy.cfg (agente concentratore)
# Dove vengono inoltrati gli inventari raccolti:
server = https://glpi.tuaazienda.com/front/inventory.php
# Attiva il server HTTP integrato e l'attivita di inoltro:
tasks = inventory, remoteinventory
# Fiducia: SOLO l'intervallo della rete locale puo pubblicare sul proxy
httpd-trust = 192.168.10.0/24
# Porta del listener locale (default GLPI Agent):
httpd-port = 62354
# Non inventariare il concentratore in doppio:
no-task = collect2. Agenti delle postazioni (puntano al proxy, non a GLPI)
# /etc/glpi-agent/conf.d/local.cfg (postazioni della filiale)
# Il "server" qui e il proxy della rete, non GLPI:
server = http://proxy-filiale-a.local:62354
# Frequenza di reinvio (secondi). 86400 = 1 volta al giorno:
delaytime = 86400
# Evita che tutti scattino nello stesso istante (finestra casuale):
lazy = 13. Validazione rapida sul concentratore
# Il listener ha risposto?
curl -sS http://localhost:62354/ | head -n 5
# Forzare un'esecuzione e osservare l'inoltro a GLPI:
glpi-agent --debug --force
# Sul server: l'inventario e arrivato tramite il proxy?
tail -f /var/log/glpi-agent/glpi-agent.log | grep -i "success"Cosa NexTool ha imparato sul campo
Un dettaglio che emerge solo nella gestione quotidiana: quando httpd-trust e troppo ampio (o punta a un proxy aziendale che fa SNAT), tutte le postazioni raggiungono il concentratore con lo stesso IP di origine, quello del proxy aziendale. Se si è fidato dell'IP del proxy aziendale invece dell'intervallo reale delle postazioni, in pratica qualsiasi host che attraversa quel proxy puo pubblicare inventario. Correggiamo sempre restringendo httpd-trust all'intervallo fisico della rete delle postazioni, mai all'IP del gateway di uscita. La seconda lezione riguarda l'orario: senza lazy = 1, parchi con centinaia di macchine accese dalla stessa GPO scatenano l'inventario nello stesso minuto del login mattutino e si accodano sul concentratore; il collegamento della filiale si strozza alle 8 ogni giorno. La finestra casuale di lazy risolve senza toccare l'infrastruttura.
Modalita proxy vs agente diretto: quando scegliere ciascuno
| Criterio | Agente diretto | Modalita proxy |
|---|---|---|
| Regole di firewall | Una per origine (non scala) | Una per rete |
| Rete senza route a GLPI | Non funziona | Risolve |
| Punto unico di guasto | Nessuno aggiuntivo | Il concentratore (mitigare con 2 proxy) |
| Traffico sulla WAN | N connessioni | 1 connessione consolidata |
| Complessita operativa | Bassa | Media (1 host da gestire per rete) |
| Ideale per | Rete piatta / VPN stabile | DMZ, OT, filiale senza VPN |
Integrazione con GLPI e l'ecosistema NexTool
Raccogliere e meta del lavoro; il valore sta in cio che GLPI fa dopo che l'inventario arriva. Nei parchi che gestiamo, colleghiamo l'inventario tramite proxy al resto del ciclo di vita dell'asset:
- Le regole di business di GLPI classificano l'asset per entita/ubicazione a partire dal dato portato dal proxy: la filiale giusta, la categoria giusta, senza digitazione manuale.
- Il modulo di audit NexTool registra quando un asset entra, cambia proprietario o scompare dall'inventario, essenziale nelle reti OT dove un apparato non puo semplicemente "svanire".
- Le notifiche scattano quando un proxy smette di riportare: un concentratore muto significa un'intera rete cieca, e questo diventa un allarme, non una sorpresa a fine mese.
E questo che separa "installare il GLPI Agent" dal "mantenere un inventario affidabile": il proxy e la porta d'ingresso, ma il dato diventa gestione degli asset solo quando il GLPI accanto e configurato per ricevere, classificare e verificare.
Se la Sua rete ha filiali, DMZ o reparto produttivo che oggi restano fuori dall'inventario, il team di gestione GLPI di NexTool progetta la topologia dei proxy, rafforza httpd-trust e collega l'inventario alle regole e all'audit del Suo GLPI. Parli con noi della gestione GLPI.
Revisionato dal team NexTool Solutions.
