Geräte

Ein Gerät entsteht, wenn eine Maschine registriert wird, entweder durch die Anmeldung einer Person auf ihr oder mit einem Registrierungsschlüssel. Der Eintrag enthält den öffentlichen Schlüssel der Maschine, ihre Overlay-Adresse, ihre Gruppen und den Zeitpunkt, zu dem sie zuletzt verbunden war. Jedes Gerät gehört außerdem zur eingebauten Gruppe All, die es nie verlassen kann.

Das Dashboard führt die Geräte unter Devices auf. Wählen Sie eines aus, um seine Seite zu öffnen. Eine Maschine, die mehreren Organisationen beitritt, ist in jeder ein eigenes Gerät, mit eigener Adresse und eigenen Gruppen; siehe Organisationen anlegen und wechseln.

Unter den Details hat die Seite eines Geräts zwei Reiter:

• Accessible devices listet jedes Gerät, das eine Zugriffsregel mit diesem verbindet, gleich in welcher Richtung, einschließlich der Routing-Geräte, über die es Netzwerkressourcen erreicht. Der Reiter beantwortet die Frage „Mit welchen Geräten kann diese Maschine kommunizieren?“, ohne dass Sie jede Regel lesen müssen.
• Routes listet die Routen, die dieses Gerät als Routing-Gerät bedient. Add Route veröffentlicht darüber einen Netzbereich, Make this an Internet gateway leitet den Internetverkehr anderer Geräte darüber. Um ein privates Netz zu erreichen, ist Netzwerke und Ressourcen meist das bessere Werkzeug; wann eine Route passt, erklären Private Netze routen und Internet-Gateways.

Wenn Sie Geräte in der Liste ankreuzen, erscheint am unteren Rand der Seite eine Leiste. Die Auswahl umfasst die Geräte auf der Seite der Liste, die Sie gerade sehen.

• Assign Groups fügt jedem ausgewählten Gerät die gewählten Gruppen hinzu. Mit Overwrite Existing Groups ersetzen Sie stattdessen deren bisherige Gruppen. All bleibt immer unberührt.
• Delete All löscht nach einer Rückfrage jedes ausgewählte Gerät.

Delete auf der Seite eines Geräts entfernt das Gerät und trennt die Maschine sofort. Um zurückzukommen, muss sich die Maschine neu registrieren: mit einem noch gültigen Registrierungsschlüssel (ein Einmalschlüssel ist bereits verbraucht) oder indem sich jemand auf ihr anmeldet. Die Maschine erscheint dann als neues Gerät, mit einer neuen, zufällig gewählten Adresse und nur mit den Gruppen, die ihr Schlüssel oder ihr Mitglied zuweist.

Einen Schalter, der ein einzelnes Gerät sperrt, gibt es nicht. Damit sich ein Gerät erneut anmelden muss, löschen Sie es oder sperren das Mitglied, das es registriert hat: Block user im Reiter Profile des Mitglieds lässt sofort jedes Gerät ablaufen, das es per Anmeldung registriert hat. Das Entsperren holt diese Geräte nicht zurück; jedes muss sich erneut anmelden. Remove from this organization geht weiter und löscht sie. Siehe Offboarding.

Ablaufen können nur Geräte, die per Anmeldung registriert wurden. Ein mit Registrierungsschlüssel registriertes Gerät hat weder Eigentümer noch Sitzung: Es läuft nie ab und bleibt, bis Sie es löschen (oder, wenn sein Schlüssel temporäre Geräte erzeugt, bis es 10 Minuten offline war).

Die Regeln für die ganze Organisation stehen unter Settings → Security:

• Expire device sessions, standardmäßig eingeschaltet, mit Session length, standardmäßig 24 Stunden. Ein Gerät muss sich erneut anmelden, sobald seit seiner letzten Anmeldung so viel Zeit vergangen ist.
• Disconnect inactive devices, standardmäßig ausgeschaltet und nur verfügbar, solange der Sitzungsablauf eingeschaltet ist. Ein Gerät muss sich erneut anmelden, nachdem es so lange vom SXAccess-Dienst getrennt war, wie Sie festlegen: von 1 Minute bis 180 Tage.

Die Seite jedes Geräts hat unter Configuration zwei passende Schalter. Session Expiration entscheidet, ob die Sitzung dieses Geräts überhaupt ablaufen kann: Ausschalten meldet niemanden ab, sondern bedeutet, dass sich das Gerät nie wieder anmelden muss. Require login after disconnect wendet die Inaktivitätsregel auf dieses Gerät an und kann nur eingeschaltet sein, solange auch Session Expiration eingeschaltet ist. Beide sind bei einem per Anmeldung registrierten Gerät zunächst eingeschaltet. In der Geräteliste bietet das Zeilenmenü den ersten Schalter als Enable Session Expiration oder Disable Session Expiration an.

Für ein mit Schlüssel registriertes Gerät gilt keiner der beiden Schalter. Auf seiner Seite ist Session Expiration ausgegraut, und Require login after disconnect erscheint gar nicht. In der Geräteliste ist der Eintrag im Zeilenmenü ebenfalls ausgegraut, mit der Erklärung Expiration is disabled for all devices added with an enrollment key.

Ein abgelaufenes Gerät zeigt auf seiner Seite Login expired und bleibt getrennt, bis sich jemand erneut darauf anmeldet.

Mitglieder mit den Rollen Owner, Admin, Network Admin und Auditor sehen jedes Gerät. Mitglieder mit der Rolle User sehen, was Hide other people's devices from regular members unter Settings → Security zulässt. Die Einstellung ist standardmäßig eingeschaltet.

• Solange sie eingeschaltet ist, erhalten diese Mitglieder überhaupt keine Geräteliste: Devices verschwindet aus ihrem Menü, und die Seite zeigt stattdessen, wie sich ein Gerät hinzufügen lässt.
• Solange sie ausgeschaltet ist, sehen sie die Geräte, die sie selbst registriert haben, und dazu jedes Gerät, das eine Zugriffsregel mit einem ihrer Geräte verbindet.

Was jede Rolle ändern darf, steht unter Rollen und Berechtigungen.

Nicht alles erledigen Sie im Dashboard. Auf einem Gerät mit dem CLI-Agenten listet sxaccess info -d die Geräte auf, die dieser Maschine mitgeteilt wurden, jeweils mit ihrem Zustand und mit der Angabe, ob der Pfad P2P oder Relayed ist. Das ist meist schneller, als Zugriffsregeln von der anderen Seite her zu durchdenken. --json gibt dasselbe für ein Skript aus.

Die Geräteliste ist auch über die API unter https://app.sxaccess.com/api/devices abrufbar, mit einem Zugriffstoken im Header Authorization: Token.