Qué hay que instalar
- Windows: un instalador.
- Linux: un paquete RPM para Rocky Linux, AlmaLinux y RHEL 8, 9 y 10.
- Linux: un paquete DEB para Ubuntu.
- Linux: un archivo portátil, que no necesita permisos de administrador.
- Los invitados no instalan nada: se unen desde un navegador web.
El reproductor se descarga gratis, sin cuenta, desde la página de descarga.
Permisos de administrador
- El instalador de Windows, el paquete RPM y el paquete DEB los instala un administrador.
- El usuario descomprime e inicia el archivo portátil, sin permisos de administrador.
- Un administrador abre el puerto en el cortafuegos del equipo. Solo es necesario para las sesiones alojadas en la red del estudio (véase más abajo).
- Los invitados en un navegador no necesitan permisos ni cuenta.
Red: sesiones en línea
Las sesiones en línea pasan por el relé. Los equipos solo abren conexiones salientes: no hay que abrir nada hacia el estudio.
- Con TCP 443 saliente hacia los dos nombres, todo funciona. El vídeo usa entonces TURN sobre TLS, con algo más de latencia.
- El inicio de sesión del estudio (SSO) usa el navegador del sistema para llegar al proveedor de identidad del estudio, por HTTPS en el puerto 443.
- Con un relé instalado en el estudio (oferta Empresa), use los nombres que le dé la persona que lo administra.
Para comprobarlo desde un equipo del estudio:
curl -sS https://review.bernardengine.com/api/v1/health
Resultado esperado: una respuesta JSON que contiene "status":"ok".
Red: sesiones en la red del estudio
Una sesión alojada en la red local no usa ni el relé ni internet. Los demás reproductores se conectan al equipo del anfitrión por el puerto TCP 9000 (valor por defecto; se puede cambiar).
Abra este puerto solo en el equipo del anfitrión, para las conexiones entrantes desde la red interna. Las sesiones en línea no lo necesitan.
- Windows: el instalador añade las reglas del cortafuegos para los perfiles Dominio y Privado, nunca para el perfil Público.
- Si una directiva de grupo (GPO) gestiona el cortafuegos de Windows e ignora las reglas locales, añada la regla en la directiva: TCP 9000 entrante, perfiles Dominio y Privado.
firewalld (Rocky Linux, AlmaLinux, RHEL):
sudo firewall-cmd --permanent --zone=<zone> --add-service=bernard-review
sudo firewall-cmd --reload
ufw (Ubuntu):
sudo ufw allow from <subnet> to any port 9000 proto tcp
Sustituya <zone> por la zona de la red interna y <subnet> por la subred del estudio.
Proxy y autoridad de certificación
- Un proxy HTTP debe permitir CONNECT hacia los dos nombres del relé en el puerto 443.
- Excluya los dos nombres de la inspección TLS: un proxy que descifra el tráfico rompe TURN sobre TLS.
- No cierre las conexiones inactivas en menos de 120 segundos.
- Un proxy HTTP no transporta UDP: detrás de un proxy solo, el vídeo usa TURN sobre TLS.
- Un relé instalado en el estudio puede usar certificados de la autoridad de certificación del estudio, con nombres del DNS interno.
Secretos
- El reproductor guarda sus secretos de inicio de sesión en el almacén de credenciales del sistema operativo.
- El relé guarda las contraseñas de sesión, los tokens y los códigos como hashes, nunca en claro.
Lo que el reproductor no hace
- Usado solo, en local o en la red del estudio, el reproductor no envía ningún dato a AArts Lab.
- En la versión actual del servicio, los archivos multimedia del estudio no se envían a AArts Lab: se quedan en las máquinas del estudio.
- El vídeo, la voz y el chat no se graban: el flujo solo existe durante la sesión.
Para una pregunta de seguridad, o para pedir el dosier de seguridad: formulario de contacto