Tunneladressen
Jedes Gerät erhält eine stabile Adresse im Tunnelnetz. Sie wird vom Steuerungsdienst vergeben und ist unabhängig davon, in welchem Netz sich die Maschine physisch befindet.
Registriert sich eine Maschine, weist der Steuerungsdienst ihr eine Adresse aus dem Tunnelbereich der Organisation zu, also aus dem Adressblock, den sich ihre Geräte teilen, und hinterlegt sie beim Gerät. Die Adresse ist stabil: Sie übersteht Neustarts, Netzwechsel und Reisen in andere Länder. Über diese Adresse erreichen andere Geräte die Maschine, und auf sie verweist ihr DNS-Name. Die Apps zeigen sie auf Shield als Tunnel address an (auf dem iPhone als IP address) und listen unter Devices die Adresse jedes Geräts in der Netzwerkbeschreibung dieses Geräts auf.
Tunneladressen stammen aus dem gemeinsamen Adressraum, den RFC 6598 für Carrier-Grade-NAT reserviert. Jede Organisation erhält daraus ein zufällig gewähltes /16, zum Beispiel 100.72.0.0/16, und jedes Gerät bekommt eine zufällige freie Adresse innerhalb dieses /16. Dieser Adressraum wird verwendet, weil Überschneidungen mit einem LAN, einer VPC oder einer Docker-Bridge, die Sie bereits betreiben, unwahrscheinlich sind.
Was eine Tunneladresse ist und was nicht
| Eigenschaft | Verhalten |
|---|---|
| Geltungsbereich | Die Organisation. Jede Organisation hat ein eigenes /16, zufällig gewählt aus dem gemeinsamen Adressraum nach RFC 6598. |
| Vergabe | Eine zufällige freie Adresse im /16 der Organisation, nicht die nächste in der Reihe. |
| Stabilität | Einmal bei der Registrierung vergeben und behalten, solange der Geräteeintrag besteht. Wird ein Gerät gelöscht und neu registriert, kann es eine andere Adresse erhalten. |
| Routbarkeit | Im öffentlichen Internet nicht routbar. Sie hat nur innerhalb des Tunnelnetzes Bedeutung. |
| Bezug zum LAN | Keiner. Ein Notebook behält seine Tunneladresse, ob im Büro-WLAN, im Hotelnetz oder am Hotspot eines Smartphones. |
| Schnittstelle | An die Tunnel-Schnittstelle gebunden, die der Client anlegt. Der CLI-Agent nutzt unter Linux sx0 und unter macOS utun217. Die macOS-App erhält eine vom System vergebene utun-Schnittstelle, die Windows-App einen Adapter namens SXAccess. Unter iOS und Android stellt das System die VPN-Schnittstelle bereit. |
Namen statt Adressen verwenden
Jedes Gerät erhält zusätzlich einen DNS-Namen in der internen Domain der Organisation, abgeleitet von seinem Hostnamen. build-server über seinen Namen zu erreichen ist robuster, als sich eine Adresse zu merken, und genau davon gehen die Routing- und DNS-Funktionen aus.
Eine Organisation kann ihre eigene interne Domain festlegen: Öffnen Sie im Organisationsmenü Organization settings, tragen Sie die Domain unter Internal domain ein und wählen Sie Save organization details. Verwenden Sie eine Domain, die Ihnen gehört, etwa corp.example.com; Geräte werden dann als build-server.corp.example.com aufgelöst. Siehe Organisationseinstellungen.
Eine Adresse mit der CLI nachsehen
Auf einem Gerät mit der CLI zeigt sxaccess info die Tunneladresse in der Zeile Address, und sxaccess info --ipv4 gibt für Skripte nur die Adresse aus. sxaccess info -d listet die Geräte in der Netzwerkbeschreibung dieses Geräts auf, jeweils mit ihrer Adresse.
sxaccess infosxaccess info --ipv4sxaccess info -d