Omnisuite videoCan - Historial de revisiones

Alfredo.rodriguez en 12:13 17 jun 2026

2026-06-17T12:13:31Z

Alfredo.rodriguez en 12:11 17 jun 2026

2026-06-17T12:11:30Z

Mostrar los cambios

Alfredo.rodriguez en 09:58 17 jun 2026

2026-06-17T09:58:48Z

Alfredo.rodriguez: Página creada con «Maquina generica - Debian 13 - nginx - certbot - prosody - No hay Mariadb/Mysql - Para montar el meet habrá un procedimiento que nos dará Antonio Diferencias con u…»

2026-06-17T09:57:46Z

Página creada con «Maquina generica - Debian 13 - nginx - certbot - prosody - No hay Mariadb/Mysql - Para montar el meet habrá un procedimiento que nos dará Antonio Diferencias con u…»

Página nueva

Maquina generica
- Debian 13
- nginx
- certbot
- prosody
- No hay Mariadb/Mysql
- Para montar el meet habrá un procedimiento que nos dará Antonio

Diferencias con un VIVAit Meet "standard"
- VIVAit Meet autentica con credenciales con LDAP o BBDD VIVAit; aqui no hay LDAP ni usuarios; en la URL que llega del chat la URL de videocan llega un Token; con esa URL cuando se conecta el agente se autentica usando JWT y ya entra autenticado como moderador
- Carteles;

Consideraciones de arquitectura
- No vamos a dar maquina virtual, siempre instalaremos; por ejemplo el nombre de host está en una cantidad de sitios tan grande que es inmanejable
- Siempre instalado en un nodo entero; no es compatible con asterisk (ambos usan puertos 10000)
- Requiere una IP Publica entera (puede ser Nateada)
- No compatible con "otro meet" que hubiera en el cliente

Desarrollos:
- Modulo mod en prosody

- Videocan: Demonio
Proporciona API's
- API de conexión de cliente
- API de conexión de Agente
- API contra prosody (control de canales)
- Aplicación para firmar (videoCanFirmar) --> Usa la clave privada habitual
- Se le pasa un fichero videoCan.conf y devuelve otro (no machaca) modificado
- Puede generar firma, jwt_secret (para prosody) y tokens (para la conexion desde el lado cliente a URL de videoCan para el servicio)
- Plantilla --> Cuando se invoca a una URL de videocan, la pagina que se le devuelve es una plantilla; personalizan aspectos "del meet" , reciben parámetros,..
- Cuando invocamos a openchannel desde videocan también existe una plantilla para "lo que le entra al agente"

- Plantillas, tienen Javascript

Proceso de instalación:
- Pendiente del detalle
- Configurar prosody (seguramente solo cambiar nombre de host)
- Modificar el JWT
- reconfigurar varias veces NGINX y meet
- Puntos intermedios de prueba en los que se puede probar video (sin autenticación)
- Importante ir viendo logs en todo el proceso

Seguridad
- Medidas de protección
- Nftables
- Fail2ban: Manejamos el nginx y el mcan
- Firmamos una cadena que contiene los valores que nos interesa proteger (para poder tener distribución y qye por ejemplo no nos amplien el numero de canales). Protegemos
- Numero de servicios
- Número de canales
- Host
- Actualizaciones (por seguridad): update/upgrade, y cuando saquemos actualizaciones de meet o videocan

Configuraciones
- Hay un fichero guia de instalación // cuestionario a cliente
- VideoCan.conf

Diagnosticos
Videocan
- nc localhost 1132
- /var/log/videoCan/videoCan.log
- Zabbix (explotando "nc")
- Típicos de nginx () /var/log/nginx
- Prosody /var/log/prosody
- Jitsi /var/log/jitsi

@@ Línea 1: / Línea 1: @@
 = Doc de transcripción =
-__NOTOC__
+<div style="background-color: #fef6e7; border: 1px solid #fbd68a; padding: 1em; border-radius: 4px;width: fit-content; margin-left: 0px">
-{{Estado del documento|versión inicial elaborada a partir de la reunión técnica de presentación del módulo.<br />Algunos detalles (rutas exactas, valores por defecto definitivos, validación de la instalación completa) están marcados como ''pendientes de confirmar'' porque en la reunión se mostraron sobre una máquina de desarrollo y aún quedaban por validar sobre una instalación estándar de producción.}}
+	'''Estado del documento|versión inicial elaborada a partir de la reunión técnica de presentación del módulo.<br />Algunos detalles (rutas exactas, valores por defecto definitivos, validación de la instalación completa) están marcados como ''pendientes de confirmar'' porque en la reunión se mostraron sobre una máquina de desarrollo y aún quedaban por validar sobre una instalación estándar de producción.'''
 == 1. Qué es Videocan ==

@@ Línea 1: / Línea 1: @@
-Maquina generica
+== Maquina genérica ==
-	- Debian 13
+* '''Debian 13'''
-	- nginx
+* '''nginx'''
-	- certbot
+* '''certbot'''
-	- prosody
+* '''prosody'''
-	- No hay Mariadb/Mysql
+* No hay Mariadb/Mysql
-	- Para montar el meet habrá un procedimiento que nos dará Antonio
+* Para montar el meet habrá un procedimiento que nos dará Antonio
-Diferencias con un VIVAit Meet "standard"
+== Diferencias con un VIVAit Meet "standard" ==
-	- VIVAit Meet autentica con credenciales con LDAP o BBDD VIVAit; aqui no hay LDAP ni usuarios; en la URL que llega del chat la URL de videocan llega un Token; con esa URL cuando se conecta el agente se autentica usando JWT y ya entra autenticado como moderador
+* '''Autenticación:''' VIVAit Meet autentica con credenciales con LDAP o BBDD VIVAit; aquí no hay LDAP ni usuarios. En la URL que llega del chat de la URL de videocan llega un Token. Con esa URL, cuando se conecta el agente, se autentica usando JWT y ya entra autenticado como moderador.
-	- Carteles;
+* '''Carteles'''
-Consideraciones de arquitectura
+== Consideraciones de arquitectura ==
-	- No vamos a dar maquina virtual, siempre instalaremos; por ejemplo el nombre de host está en una cantidad de sitios tan grande que es inmanejable
+* '''No se entrega máquina virtual, siempre se instalará:''' Por ejemplo, el nombre de host está en una cantidad de sitios tan grande que es inmanejable de otra forma.
-	- Siempre instalado en un nodo entero; no es compatible con asterisk (ambos usan puertos 10000)
+* '''Nodo dedicado:''' Siempre instalado en un nodo entero; no es compatible con Asterisk (ambos usan el puerto 10000).
-	- Requiere una IP Publica entera (puede ser Nateada)
+* '''Red:''' Requiere una IP Pública entera (puede ser Nateada).
-	- No compatible con "otro meet" que hubiera en el cliente
+* '''Exclusividad:''' No es compatible con "otro meet" que pudiera haber en el cliente.
-Desarrollos:
+== Proceso de instalación ==
-- Modulo mod en prosody
+* Pendiente del detalle.
-- Videocan: Demonio
+== Seguridad ==
-	Proporciona API's
+=== Medidas de protección ===
-		- API de conexión de cliente
+* '''Nftables'''
-		- API de conexión de Agente
+* '''Fail2ban:''' Manejamos el nginx y el mcan.
-		- API contra prosody (control de canales)
+* '''Firmas de control:''' Firmamos una cadena que contiene los valores que nos interesa proteger para poder tener distribución y que, por ejemplo, no nos amplíen el número de canales. Protegemos:
-	- Aplicación para firmar (videoCanFirmar) --> Usa la clave privada habitual
+** Número de servicios
-		- Se le pasa un fichero videoCan.conf y devuelve otro (no machaca) modificado
+** Número de canales
-		- Puede generar firma, jwt_secret (para prosody) y tokens (para la conexion desde el lado cliente a URL de videoCan para el servicio)
+** Host
-	- Plantilla --> Cuando se invoca a una URL de videocan, la pagina que se le devuelve es una plantilla; personalizan aspectos "del meet" , reciben parámetros,..
+* '''Actualizaciones (por seguridad):''' <code>update</code>/<code>upgrade</code>, y cuando saquemos actualizaciones de meet o videocan.
-- Plantillas, tienen Javascript
+== Configuraciones ==
-Proceso de instalación:
+== Diagnósticos ==
-	- Pendiente del detalle
+=== Videocan ===
-	- Configurar prosody (seguramente solo cambiar nombre de host)
+* Comando de diagnóstico:
-	- Modificar el JWT
+: <code>nc localhost 1132</code>
-	- reconfigurar varias veces NGINX y meet
+* Rutas de logs principales:
-	- Puntos intermedios de prueba en los que se puede probar video (sin autenticación)
+: <code>/var/log/videoCan/videoCan.log</code>
-	- Importante ir viendo logs en todo el proceso
+: <code>/var/log/nginx</code> (Típicos de nginx)
+: <code>/var/log/prosody</code>
+: <code>/var/log/jitsi</code>
-Seguridad
+* Monitoreo: '''Zabbix''' (explotando el comando "nc").