Private Netze routen

Nicht jede Maschine kann einen Agenten ausführen: Drucker, Kameras, SPS, verwaltete Datenbanken und Appliances können es nicht, und es gibt immer Server, an die Sie niemand heranlässt. Routing löst das: Der Agent läuft auf einem Gerät innerhalb des Netzes, einem Routing-Gerät, und alles dahinter wird über dieses Gerät erreichbar.

Was hinter einem Routing-Gerät liegt, können Sie auf zwei Wegen veröffentlichen. Der wichtigste sind Netzwerke und Ressourcen, und um Hosts und Subnetze zu erreichen, sind sie die bessere Wahl: Sie listen auf, was erreichbar sein soll, und Zugriffsregeln nennen es. Der hier beschriebene Reiter Routes veröffentlicht einen ganzen CIDR-Bereich für die Gruppen, die Sie wählen.

Auch Internet-Gateways sind Routen: Eine Route nach 0.0.0.0/0 erscheint im Reiter Internet gateways, auch wenn Sie sie hier anlegen. Wie Sie eines einrichten, zeigt Internetverkehr über ein eigenes Gateway Schritt für Schritt.

Networks → Routes → Add route öffnet es: vier Ansichten, Route, Groups, Name und Settings, mit Continue dazwischen und Add Route am Ende.

Geben Sie einer Route mehr als ein Routing-Gerät, und Geräte erreichen den Bereich weiter, wenn eines offline geht. Dafür gibt es zwei Wege, die sich darin unterscheiden, wie Sie den Verkehr lenken:

• Eine Gerätegruppe als Routing-Gerät: Jedes Gerät der Gruppe stellt die Route bereit, mit einer gemeinsamen Metrik; keines wird also bevorzugt. Die Spalte Failover der Route zeigt dann Go to Devices, denn ein weiteres Gerät kommt hinzu, indem Sie es in die Gruppe aufnehmen. Nehmen Sie auch jedes Gerät der Gruppe in die Access Group auf, wie in Schritt 4.
• Mehrere Routing-Geräte, einzeln hinzugefügt: Legen Sie die Route mit einem Gerät an. Wählen Sie dann für jedes weitere Gerät Add Device in der Spalte Failover der Route, und nehmen Sie dieses Gerät in die Access Group auf, wie in Schritt 4. Das Panel Add routing device fragt nach dem Gerät und, nur für diesen Eintrag, nach Applies to und Access Groups (optional); geben Sie ihm dieselben Gruppen wie dem ersten. Add Route speichert den Eintrag mit der Metrik 9999 und eingeschaltetem Masquerade.

Um ein Routing-Gerät zu bevorzugen, geben Sie ihm eine niedrigere Metrik. Klicken Sie auf die Zeile der Route, damit sie aufklappt, und wählen Sie im Zeilenmenü des Geräts Edit. Im Panel, das Update und den Network Identifier im Titel trägt, setzen Sie im Reiter Settings die Metric und wählen Save Changes. Dort finden Sie auch Masquerade. Die niedrigste Metrik wird bevorzugt.

Jedes Gerät wählt selbst, in dieser Reihenfolge:

1. Ein Routing-Gerät, zu dem es eine aktive Verbindung hat, hat Vorrang vor einem ruhenden.
2. Danach entscheidet die niedrigere Metrik.
3. Danach hat ein direkter Pfad Vorrang vor einem Pfad über ein Relay.
4. Zuletzt entscheidet die geringere Latenz.

Von dem Routing-Gerät, das es gerade nutzt, wechselt es nur weg, wenn es dadurch mehr als 10 ms gewinnt; so springen Routen nicht hin und her. Verbindungen, die über das alte Routing-Gerät offen waren, brechen beim Wechsel ab.

Zwei Routing-Geräte je Standort sind eine günstige Versicherung; das zweite kann ein Raspberry Pi sein. Achten Sie darauf, dass beide tatsächlich einen Pfad zum Bereich haben - zwei Routing-Geräte am selben Switch fallen gemeinsam aus.

Ein Gerät, das eine Route erhält, nutzt sie von selbst; es muss sie nicht erst annehmen. Jedes Gerät führt eine Liste der Netze, die es abgeschaltet hat, und nutzt alles andere. Eine Route für eine Gruppe erreicht deshalb jedes Gerät darin, das eine Zugriffsregel mit dem Routing-Gerät verbindet. Die Route ist Teil der Netzwerkbeschreibung des Geräts, der Liste der Geräte und Routen, die der Management-Dienst auf jedem Gerät aktuell hält.

Wer ein Netz nicht nutzen will, schaltet es auf dem eigenen Gerät ab: in den Apps auf dem Bildschirm Resources, in der CLI mit sxaccess reach. Die ID ist der Network Identifier der Route oder der Name einer Ressource.

sxaccess reach list zeigt jedes Netz, das für dieses Gerät veröffentlicht ist, als Selected oder Not Selected. Mit sxaccess reach remove nutzt das Gerät ein Netz nicht mehr, mit sxaccess reach add -a wieder, ohne die anderen abzuwählen, und mit sxaccess reach add all nutzt es alle Netze, auch später veröffentlichte.

Einige Optionen von sxaccess start ändern, was ein Gerät mit Routen tut. Prüfen Sie sie, wenn eine scheinbar richtig eingerichtete Route nicht funktioniert; die CLI-Referenz führt alle auf. Solange das Gerät verbunden ist, speichert start keine Einstellung. Um eine davon auf einem verbundenen Gerät zu ändern, stoppen und starten Sie den Agenten deshalb in einem Befehl: sxaccess stop && sxaccess start --<Option>. Führen Sie es als eine Zeile aus: Eine Verbindung über SXAccess, etwa eine SSH-Sitzung zu dieser Maschine, bricht ab, bis start fertig ist. In einer Sitzung über sxaccess shell klappt das nicht: Beim Stoppen schließt der Agent diese Sitzung und beendet den Befehl. Nutzen Sie dafür die Konsole oder eine OpenSSH-Sitzung.

• --disable-server-routes oder --block-inbound auf dem Routing-Gerät: Es routet nicht mehr für andere. --block-inbound verweigert außerdem jede eingehende Verbindung, gleich was die Zugriffsregeln erlauben.
• --disable-client-routes auf einem Gerät: Es nutzt überhaupt keine Routen.
• --block-lan-access auf dem Routing-Gerät: Gerouteter Verkehr darf die Subnetze an den eigenen Netzwerkschnittstellen des Routing-Geräts nicht erreichen. Die Option ist für ein Internet-Gateway gedacht; auf einem Routing-Gerät für sein eigenes LAN blockiert sie genau den Verkehr, für den die Route da ist.

Prüfen Sie diese Punkte der Reihe nach. Die ersten drei decken fast alle Fälle ab.

1. Das Gerät hat die Route. sxaccess reach list sollte sie mit state: Selected aufführen. Fehlt sie, prüfen Sie, ob das Gerät zu einer Gruppe unter Applies to gehört und ob eine Zugriffsregel es mit dem Routing-Gerät verbindet, etwa weil das Routing-Gerät in der Access Group ist.
2. Eine Zugriffsregel lässt den Verkehr hinein. Mit gesetzten Access Groups muss eine Regel von der Gruppe des Geräts zu einer Access Group das Protokoll und den Port erlauben. Testen Sie mit diesem Port: Unter einer TCP-Regel schlägt ping fehl, auch wenn die Route funktioniert.
3. Die Weiterleitung ist wirklich aktiv. Der Agent setzt sie unter Linux, aber ein gehärteter Host oder ein Lauf des Konfigurationsmanagements kann sie zurücksetzen. sysctl net.ipv4.ip_forward sollte net.ipv4.ip_forward = 1 ausgeben.
4. Das Routing-Gerät erreicht das Ziel selbst. Testen Sie denselben Port vom Routing-Gerät aus, etwa mit nc -vz -w 5 192.168.10.20 443, bevor Sie SXAccess die Schuld geben.
5. Rückweg. Ohne Masquerade braucht das LAN eine Route zurück in den Overlay-Bereich.
6. Host-Firewall am Ziel. Sie lässt womöglich Verkehr aus dem eigenen LAN zu und verwirft den aus dem Overlay-Bereich.
7. Agent-Optionen. Siehe die Optionen oben, sowohl auf dem Routing-Gerät als auch auf dem Gerät, das die Route nutzt.
8. Überlappende Subnetze. Zwei Routen, die demselben Gerät denselben CIDR-Bereich veröffentlichen.