Overlay-Adressen
Jedes Gerät erhält eine stabile Adresse im Overlay-Netz. Sie wird vom Management-Dienst vergeben und ist unabhängig davon, in welchem Netz sich die Maschine physisch befindet.
Registriert sich eine Maschine, weist der Management-Dienst ihr eine Adresse aus dem Overlay-Bereich der Organisation zu, also aus dem Adressblock, den sich ihre Geräte teilen, und hinterlegt sie beim Gerät. Die Adresse ist stabil: Sie übersteht Neustarts, Netzwechsel und Reisen in andere Länder. Über diese Adresse erreichen andere Geräte die Maschine, und auf sie verweist ihr DNS-Name. Die Apps zeigen sie auf Shield als Tunnel address an (auf dem iPhone als IP address) und listen unter Devices die Adresse jedes Geräts in der Netzwerkbeschreibung dieses Geräts auf.
Das Overlay liegt in 100.64.0.0/10, dem gemeinsamen Adressraum, den RFC 6598 für Carrier-Grade-NAT reserviert. Jede Organisation erhält daraus ein zufällig gewähltes /16, zum Beispiel 100.72.0.0/16, und jedes Gerät bekommt eine zufällige freie Adresse innerhalb dieses /16. Dieser Adressraum wird verwendet, weil Überschneidungen mit einem LAN, einer VPC oder einer Docker-Bridge, die Sie bereits betreiben, unwahrscheinlich sind.
Was eine Overlay-Adresse ist und was nicht
| Eigenschaft | Verhalten |
|---|---|
| Geltungsbereich | Die Organisation. Jede Organisation hat ein eigenes /16, zufällig gewählt innerhalb von 100.64.0.0/10. |
| Vergabe | Eine zufällige freie Adresse im /16 der Organisation, nicht die nächste in der Reihe. |
| Stabilität | Einmal bei der Registrierung vergeben und behalten, solange der Geräteeintrag besteht. Wird ein Gerät gelöscht und neu registriert, kann es eine andere Adresse erhalten. |
| Routbarkeit | Im öffentlichen Internet nicht routbar. Sie hat nur innerhalb des Overlays Bedeutung. |
| Bezug zum LAN | Keiner. Ein Notebook behält seine Overlay-Adresse, ob im Büro-WLAN, im Hotelnetz oder am Hotspot eines Smartphones. |
| Schnittstelle | An die Tunnel-Schnittstelle gebunden, die der Client anlegt. Der CLI-Agent nutzt unter Linux sx0 und unter macOS utun217. Die macOS-App erhält eine vom System vergebene utun-Schnittstelle, die Windows-App einen Adapter namens SXAccess. Unter iOS und Android stellt das System die VPN-Schnittstelle bereit. |
Namen statt Adressen verwenden
Jedes Gerät erhält zusätzlich einen DNS-Namen in der internen Domain der Organisation, abgeleitet von seinem Hostnamen. build-server über seinen Namen zu erreichen ist robuster, als sich eine Adresse zu merken, und genau davon gehen die Routing- und DNS-Funktionen aus.
Eine Organisation kann ihre eigene interne Domain festlegen: Öffnen Sie im Organisationsmenü Organization settings, tragen Sie die Domain unter Internal domain ein und wählen Sie Save organization details. Verwenden Sie eine Domain, die Ihnen gehört, etwa corp.example.com; Geräte werden dann als build-server.corp.example.com aufgelöst. Siehe Organisationseinstellungen.
Eine Adresse mit der CLI nachsehen
Auf einem Gerät mit der CLI zeigt sxaccess info die Overlay-Adresse in der Zeile Address, und sxaccess info --ipv4 gibt für Skripte nur die Adresse aus. sxaccess info -d listet die Geräte in der Netzwerkbeschreibung dieses Geräts auf, jeweils mit ihrer Adresse.
sxaccess infosxaccess info --ipv4sxaccess info -d