Netzwerke und Ressourcen

Ein internes Netzwerk ist ein benannter Ort - ein Büro, eine VPC, ein Rechenzentrum. Darin listen Sie Ressourcen auf, also die Adressen, die tatsächlich erreichbar sein sollen, und Routing-Geräte, also Geräte mit installiertem SXAccess, die den Verkehr in das Netzwerk leiten. Was hinter einem Routing-Gerät liegt, braucht kein SXAccess.

Das ist der wichtigste Weg in private Netze. Eine Ressource ist ein Objekt, das eine Zugriffsregel nennen kann. Sie können also „Support darf den Host des Ticketsystems auf Port 443 erreichen“ schreiben, statt ein ganzes Subnetz zu öffnen. Wenn Sie tatsächlich einen ganzen CIDR-Bereich freigeben wollen, verwenden Sie stattdessen eine Route.

Den Typ wählen Sie nicht: Er ergibt sich aus dem, was Sie als Address eingeben.

Ein Routing-Gerät ist ein gewöhnliches Gerät, das zusätzlich Verkehr in das Netzwerk weiterleitet. Sie fügen es im Netzwerk mit Add Routing Device hinzu. Wählen Sie im ersten Schritt ein einzelnes Gerät im Reiter Routing Devices oder alle Geräte einer Gruppe im Reiter Device group und dann Continue. Der zweite Schritt enthält die Einstellungen, und Add Routing Device speichert sie:

• Enable Routing Device - damit schalten Sie es ab, ohne es zu entfernen.
• Masquerade - standardmäßig an. Das Routing-Gerät schreibt Verkehr, der in das Netzwerk geht, so um, dass er von seiner eigenen LAN-Adresse kommt (Source-NAT). Das LAN braucht dann keine Route zurück in den Overlay-Bereich, also den Adressbereich Ihrer Geräte in SXAccess. Schalten Sie es nur aus, wenn das LAN diesen Bereich tatsächlich zum Routing-Gerät zurückroutet; ohne diesen Rückweg kommen Antworten nie an.
• Metric - 1 bis 9999, Standard 9999. Hat ein Netzwerk mehrere Routing-Geräte, wird das mit der niedrigeren Metrik bevorzugt.

Eine Gerätegruppe teilt sich eine Metrik, die Geräte darin sind also gleichrangig. Wenn Sie ein Gerät bevorzugen wollen, fügen Sie jedes Gerät als eigenes Routing-Gerät hinzu und geben Sie dem bevorzugten die niedrigere Metrik. Wie jedes Gerät seine Wahl trifft, steht unter Redundanz.

Ein Routing-Gerät muss nicht unter Linux laufen. Unter Linux schaltet der Agent die IP-Weiterleitung (net.ipv4.ip_forward=1) selbst ein, sobald das Gerät zu routen beginnt; Sie müssen also nichts konfigurieren. Er schaltet sie nicht wieder ab, wenn das Gerät nicht mehr routet; der Host leitet also weiter, bis er neu startet oder Sie die Einstellung zurücksetzen. Auf anderen Systemen leitet der Agent den Verkehr selbst weiter, und das Dashboard lässt Masquerade für ein solches Gerät eingeschaltet. Zwei Agent-Optionen verhindern, dass ein Gerät routet: --disable-server-routes und --block-inbound. Lassen Sie auf einem Routing-Gerät beide ausgeschaltet.

In der API liegen Routing-Geräte unter /api/networks/{networkId}/connectors.

Ein Gerät aus der Quellgruppe einer Zugriffsregel, die eine Ressource nennt, erhält eine Route dorthin, die über die Routing-Geräte des Netzwerks führt. Die Route ist Teil der Netzwerkbeschreibung des Geräts, der Liste der Geräte und Routen, die der Management-Dienst auf jedem Gerät aktuell hält. Für die Routing-Geräte braucht das Gerät keine weitere Regel, und es muss die Route auch nicht erst annehmen.

Wer zu Hause ein LAN hat, das mit einer Subnetz-Ressource kollidiert, kann diese Ressource auf dem eigenen Gerät abschalten. In den Apps geht das mit ihrem Schalter auf dem Bildschirm Resources. In der CLI dient dazu sxaccess reach remove <Name> mit dem Namen, den sxaccess reach list zeigt, bei einer Ressource also dem Wert im Feld Name; sxaccess reach add -a <Name> schaltet sie wieder ein. Alles Weitere zum Befehl reach steht unter Was Geräte mit einer Route tun.

• Die Ressource fehlt in sxaccess reach list. Das Gerät hat keine Route dorthin. Prüfen Sie die Zugriffsregel: Sie muss aktiv sein, ihre Quelle muss eine Gruppe dieses Geräts enthalten, und ihr Ziel muss die Ressource oder eine ihrer Zielgruppen sein. Das Gerät muss außerdem jede Geräteanforderung dieser Regel erfüllen. Prüfen Sie dann, ob Enable Resource eingeschaltet ist und ob das Netzwerk ein Routing-Gerät mit eingeschaltetem Enable Routing Device hat.
• Sie steht mit state: Not Selected in der Liste. Sie wurde auf diesem Gerät abgeschaltet. Führen Sie sxaccess reach add -a <Name> mit dem Namen aus, den reach list zeigt, oder schalten Sie sie in der App unter Resources wieder ein.
• Sie ist ausgewählt und antwortet trotzdem nicht. Testen Sie mit dem Protokoll und dem Port, die die Regel erlaubt: Eine Regel für TCP 443 lässt kein ping durch. Prüfen Sie unter Devices, ob das Routing-Gerät online ist und ob sein Agent ohne --disable-server-routes und --block-inbound läuft. Ist Masquerade aus, braucht das LAN eine Route zurück in den Overlay-Bereich.
• Eine Wildcard-Domain wird nicht aufgelöst. Resolve wildcard domains muss unter Organization settings eingeschaltet sein; siehe den Hinweis zu Domain-Ressourcen oben.