Häufige Fragen

Kann SXAccess meinen Datenverkehr lesen?

Nein. Der Datenverkehr ist zwischen den beiden Geräten Ende-zu-Ende verschlüsselt. Der Management-Dienst verteilt öffentliche Schlüssel und Zugriffsregeln, der Discovery-Dienst leitet versiegelte Nachrichten weiter, und das Relay leitet Chiffrat weiter. Keiner dieser Dienste besitzt einen Schlüssel, mit dem sich Ihre Nutzdaten entschlüsseln ließen.

Wo werden private Schlüssel gespeichert?

Auf dem Gerät, das sie erzeugt hat, im eigenen Speicher des Agenten - und sonst nirgends. Der Management-Dienst erhält ausschließlich öffentliche Schlüssel.

Was passiert, wenn der Management-Dienst nicht erreichbar ist?

Bereits aufgebaute direkte Tunnel übertragen weiterhin Daten, denn der Management-Dienst liegt nicht im Datenpfad. Tunnel über das Relay funktionieren nur so lange weiter, wie das Relay erreichbar ist. Was ausfällt, sind das Registrieren und Anmelden von Geräten, das Anwenden geänderter Zugriffsregeln und das Aushandeln neuer Tunnel. Ein Gerät, das während des Ausfalls neu startet, kann seine Tunnel erst wieder aufbauen, wenn der Dienst wieder verfügbar ist.

Ist die Verbindung quantenresistent?

Optional und nur mit dem CLI-Agenten. Quantenresistenz ergänzt den eigenen Handshake des Tunnels um einen Post-Quanten-Schlüsselaustausch. Die Funktion ist experimentell und eine Option von sxaccess start; die Apps unterstützen sie nicht. Siehe Wie der Datenverkehr verschlüsselt wird.

Muss ich einen Firewall-Port öffnen?

Nein. Agenten bauen Verbindungen ausschließlich nach außen auf. Die Liste der ausgehenden Verbindungen finden Sie unter Ports und Firewalls.

Kollidiert der Overlay-Bereich mit meinem LAN?

Unwahrscheinlich. Der Overlay-Bereich einer Organisation ist ein zufällig gewähltes /16, zum Beispiel 100.72.0.0/16, innerhalb von 100.64.0.0/10. Dieser von RFC 6598 reservierte gemeinsame Adressraum wird in LANs selten genutzt. Private Netze, die Sie erreichbar machen, können aber untereinander kollidieren; siehe Netzwerke und Ressourcen.

Warum wird ein Gerät als Relayed angezeigt?

Jeder Tunnel startet über das Relay und wechselt auf einen direkten Pfad, sobald einer gefunden wird; direkt nach dem Verbinden kann ein Gerät daher kurz Relayed anzeigen. Bleibt es dabei, ließ sich kein direkter Pfad aufbauen, meist weil beide Seiten hinter symmetrischem NAT oder Carrier-Grade-NAT stehen oder weil UDP blockiert ist. Der Tunnel funktioniert trotzdem und ist weiterhin Ende-zu-Ende verschlüsselt. In den Apps zeigt die Angabe Path auf der Seite Devices, ob ein Tunnel direkt oder über ein Relay läuft. Siehe NAT und Konnektivität.

Kann ich ein Gerät erreichen, auf dem der Agent nicht laufen kann?

Ja. Installieren Sie den CLI-Agenten auf einer Maschine im selben LAN und stellen Sie den Drucker, die Kamera oder die Appliance als Netzwerkressource bereit. Nur dieses eine Routing-Gerät braucht den Agenten.

Funktioniert SXAccess in reinen IPv6-Netzen?

Nicht uneingeschränkt. Overlay-Adressen sind ausschließlich IPv4-Adressen. In einem reinen IPv6-Netz verbindet sich ein Agent nur, wenn dieses Netz den Management-Host trotzdem erreicht: Führen Sie sxaccess info aus und lesen Sie die Zeilen Service und Discovery, oder prüfen Sie, ob sich die App verbindet. Die Prüfung Device Network Range akzeptiert neben IPv4- auch IPv6-Bereiche.

Wie melden sich Personen an?

Mit Google (Continue with Google), mit E-Mail-Adresse und Passwort oder mit einem Passkey, sofern die Organisation Passkeys unter Settings → Authentication zulässt. SXAccess betreibt das Identitätssystem; Sie müssen also nichts selbst bereitstellen oder konfigurieren, und ein eigener Identitätsanbieter lässt sich nicht anbinden. Siehe Anmeldung und Zwei-Faktor und Passkeys.

Was passiert, wenn jemand das Unternehmen verlässt?

Sperren Sie das Mitglied: Wählen Sie auf dessen Tab Profile die Option Block user. Damit laufen alle Geräte, die das Mitglied per Anmeldung registriert hat, sofort ab, und es hat keinen Zugang mehr zum Dashboard. Geräte, die mit einem Registrierungsschlüssel registriert wurden, haben keinen Eigentümer und funktionieren weiter; prüfen Sie diese gesondert. Remove from this organization auf demselben Tab löscht die per Anmeldung registrierten Geräte des Mitglieds samt seinen Zugriffstoken. Siehe Offboarding.

Kann sich eine Maschine ohne menschliches Zutun registrieren?

Ja, dafür gibt es Registrierungsschlüssel. Verwenden Sie einen Einmalschlüssel für eine einzelne Maschine oder einen wiederverwendbaren Schlüssel mit Nutzungslimit und automatisch zugewiesenen Gruppen für Geräteflotten und CI.

Wie automatisiere ich alles?

Legen Sie ein Dienstkonto an, stellen Sie ihm ein Zugriffstoken aus und nutzen Sie die REST-API. Siehe Dienstkonten und Token und Öffentliche API.

Welche Plattformen werden unterstützt?

Die App läuft unter macOS (Mac App Store oder als direkter DMG-Download; Apple Silicon, macOS 14 oder neuer) und unter Windows (MSI über Add device im Dashboard oder als direkter Download). Auf Smartphones läuft sie unter iOS (App Store) und Android (Google Play). Der CLI-Agent läuft unter Linux und macOS und wird mit dem Installationsskript installiert. Für Linux gibt es keine Desktop-App, und für Windows und Smartphones gibt es keine CLI. Siehe Welchen Client brauche ich?

Verbindet sich SXAccess nach einem Neustart wieder?

Der CLI-Agent schon: Er läuft als Systemdienst und verbindet sich beim Systemstart wieder, sofern Sie ihn nicht mit --disable-auto-connect gestartet haben. Die Apps verbinden sich nur dann wieder, wenn Sie das einrichten. Unter macOS und Windows schalten Sie unter Settings die Optionen Launch at login und Connect on launch ein; beide sind standardmäßig aus. Auf dem iPhone schalten Sie in den Settings der App VPN On Demand ein, unter Android „Durchgehend aktives VPN“ (Always-on VPN) über Settings → Automatic connection.

Wie sammle ich Diagnosedaten für eine Supportanfrage?

sxaccess diagnose collect erstellt ein Archiv mit Logs und Statusinformationen und gibt den Speicherort aus. Bei sporadisch auftretenden Fehlern verbindet sxaccess diagnose capture 5m das Gerät mit Trace-Logging neu, wartet fünf Minuten und erstellt dann das Archiv; Sitzungen über SXAccess brechen während des Neuverbindens ab. Mit -A ersetzen Sie öffentliche IP-Adressen und Domains, die nicht zu SXAccess gehören; private Adressbereiche und Overlay-Adressen bleiben sichtbar. Die Apps haben keinen solchen Befehl; was jede stattdessen bietet, steht unter Aus den Apps. Siehe Fehler melden und Support.