Internetverkehr über ein eigenes Gateway

Was Sie erreichen werden

Wann Sie das brauchen

Was Sie brauchen

Bevor Sie beginnen

Einrichtung

1. 1

   Die beiden Gruppen anlegen

   People › Groups › Create group. Geben Sie den Namen ein, und wählen Sie Create group. Legen Sie auf diese Weise zwei Gruppen an:

   • internet-gateway - die Gateway-Maschine. Diese Gruppe wird die Access Group des Gateways.
   • gateway-pilot - die Geräte, deren Internetverkehr über das Gateway läuft. Vorerst nur das Testgerät.

   Warum: Gateway und Zugriffsregel nennen Gruppen und bleiben deshalb richtig, wenn Maschinen und Personen wechseln.

   Sie sehen: zwei neue, leere Gruppen.

2. 2

   Einen Registrierungsschlüssel für das Gateway anlegen

   Access › Enrollment keys › Create enrollment key:

   • Name - gateway-fra1.
   • Make this key reusable - aus. Eine Maschine.
   • Expires in - 1 Tag.
   • Temporary devices - aus, sonst wird das Gateway nach 10 Minuten offline entfernt.
   • Auto-assigned groups - internet-gateway.

   Wählen Sie dann Create enrollment key.

   Warum die Gruppe: Sie nimmt die VM beim Beitritt in internet-gateway auf, und die Zugriffsregel aus Schritt 6 nennt diese Gruppe.

   Sie sehen: Enrollment key created successfully! und den Schlüssel, mit dem Hinweis, dass er nicht noch einmal angezeigt wird. Kopieren Sie ihn jetzt.

3. 3

   Den Agenten auf der Gateway-VM installieren

   Der Schlüssel kommt in eine Datei, nicht auf die Kommandozeile, wo die Shell-Historie ihn behalten würde. Führen Sie den Block in bash oder zsh als root aus. Fügen Sie den ganzen Block ein und drücken Sie einmal Enter. Sobald Enrollment key: erscheint, fügen Sie den Schlüssel ein, und nur ihn, und drücken Sie Enter. Der Schlüssel wird nicht angezeigt, und bei einer leeren Zeile fragt der Block erneut. Die Schlüsseldatei wird am Ende gelöscht, ob der Beitritt gelungen ist oder nicht. Haben Sie den Block mit Strg+C abgebrochen, löschen Sie sie mit rm -f /run/secrets/sxaccess-key.

   --block-lan-access deckt nur die Subnetze der eigenen Netzwerkschnittstellen des Gateways ab; Wo das Gateway laufen sollte beschreibt, wie es von allem anderen fernbleibt.

   Um die IP-Weiterleitung müssen Sie sich nicht kümmern: Der Agent schaltet sie selbst ein.

   Sie sehen: This device is now connected. Öffnen Sie unter Devices das Gerät gateway-fra1, und notieren Sie seine Public IP: die Adresse, die das Internet für jedes Gerät sieht, das das Gateway nutzt.

   shellKopieren

   curl -fsSL https://pkgs.sxaccess.com/install.sh | sh{  install -d -m 700 /run/secrets  install -m 600 /dev/null /run/secrets/sxaccess-key  KEY=''  until [ -n "$KEY" ]; do printf 'Enrollment key: '; read -rs KEY || break; echo; done  [ -n "$KEY" ] && printf '%s' "$KEY" > /run/secrets/sxaccess-key && unset KEY &&    sxaccess start --enrollment-key-file /run/secrets/sxaccess-key --hostname gateway-fra1 --block-lan-access &&    sxaccess info  rm -f /run/secrets/sxaccess-key}

4. 4

   Ein Testgerät in gateway-pilot aufnehmen

   Nur ein Gerät, und zwar ein Smartphone mit der SXAccess-App oder ein Computer mit dem CLI-Agenten. Weisen Sie ihm die Gruppe auf eine von zwei Arten zu:

   • Nur dieses Gerät: Devices › das Gerät › Assigned groups. Fügen Sie gateway-pilot hinzu, und wählen Sie Save changes.
   • Alle Geräte einer Person: People › Members › die Person › Access. Fügen Sie gateway-pilot unter Auto-assigned groups hinzu, und wählen Sie Save Changes. Die Gruppenweitergabe überträgt das auf jedes Gerät, das die Person schon hat; nutzen Sie diesen Weg also nur für jemanden, dessen einziges Gerät das Testgerät ist.

   Warum nur eines: Sobald Schritt 6 gespeichert ist, läuft der Internetverkehr dieses Geräts sofort über das Gateway.

   Sie sehen: gateway-pilot unter den Gruppen des Geräts in Devices.

5. 5

   Das Internet-Gateway anlegen

   Networks › Internet gateways › Add Internet gateway. Beginnen Sie hier, nicht beim Gerät: Nur so öffnet das Dashboard in Schritt 6 die Zugriffsregel für Sie. Das Panel hat vier Ansichten:

   • Route - Wählen Sie unter Routing Device die Maschine gateway-fra1 aus, dann Continue.
   • Groups - Applies to: gateway-pilot, niemals All, denn diese Gruppe enthält jedes Gerät. Access Groups (optional): internet-gateway. Wählen Sie dann Continue; die Schaltfläche bleibt ausgegraut, bis Applies to eine Gruppe enthält. Diese Ansicht hat kein Back: Für eine andere Maschine wählen Sie Cancel und beginnen von vorn.
   • Name - Network Identifier: internet-fra1. Das ist die ID, die sxaccess reach verwendet; halten Sie sie kurz, ohne Leerzeichen und höchstens 40 Zeichen lang. Wählen Sie dann Continue.
   • Settings - Lassen Sie Enable Route eingeschaltet und Metric auf 9999; die Metrik zählt erst, wenn eine zweite Maschine das Gateway bereitstellt. Wählen Sie dann Add Internet Gateway.

   Einen Masquerade-Schalter gibt es nicht: Ein Gateway verwendet immer Masquerade, weil der Verkehr von seiner eigenen Adresse ausgehen muss.

   Warum Access Groups: Mit ihnen leitet das Gateway nur weiter, was eine Zugriffsregel zu internet-gateway erlaubt. Ohne sie leitet es alles weiter, was die Geräte senden, an jede Adresse, die es erreicht.

   Sie sehen: internet-fra1 im Reiter Internet gateways, und ein Panel für die Zugriffsregel öffnet sich von selbst.

6. 6

   Die Zugriffsregel speichern, die das Dashboard öffnet

   Das Panel, das sich nach Add Internet Gateway öffnet, ist die Zugriffsregel, bereits ausgefüllt: Allow gateway-pilot to reach internet-gateway over any protocol, One-way. Es trägt den Titel Edit access rule, doch die Regel existiert erst, wenn Sie sie speichern.

   • Access rule name - vorbelegt mit internet-fra1 access rule. Benennen Sie die Regel nach ihrem Zweck um, etwa Pilotgeräte nutzen das Internet-Gateway.
   • over - Behalten Sie any protocol bei. Das Gateway leitet für diese Geräte nur weiter, was diese Regel erlaubt; eine engere Regel schneidet den Rest ihres Internetverkehrs ab. Die Regel öffnet ihnen außerdem jeden Port auf gateway-fra1 selbst. Alles, was auf der VM lauscht, auch SSH, wird für diese Geräte erreichbar; beschränken Sie solche Dienste auf das Nötigste.

   Wählen Sie dann Save access rule.

   Warum: Ein Gerät erhält das Gateway erst, wenn eine Zugriffsregel es mit der Gateway-Maschine verbindet. Haben Sie das Panel zu früh geschlossen? Legen Sie dieselbe Regel unter Access › Access rules › Create access rule an, und schließen Sie mit Create access rule ab.

   Sie sehen: Das Dashboard wechselt zu Access › Access rules. Dort ist Ihre Regel eingeschaltet und mit All ports · TCP + UDP markiert. Die Seite warnt, dass sie jeden Port öffnet; bei dieser Regel ist das so gewollt.

7. 7

   Auf dem Testgerät prüfen

   Bevor jemand anderes das Gateway erhält, führen Sie auf dem Testgerät die Prüfungen unter Prüfen aus.

   Warum jetzt: Bei einem Gerät ist das schnell rückgängig gemacht, bei einem ganzen Team nicht.

   Sie sehen: Der Verkehr des Testgeräts geht von der Public IP von gateway-fra1 aus, und ein Gerät außerhalb von gateway-pilot behält seine eigene Adresse.

8. 8

   Den Kreis erweitern

   Hat das Testgerät die Prüfung bestanden, nehmen Sie weitere Personen auf. Am schnellsten geht es, indem Sie sie über ihre Auto-assigned groups in gateway-pilot aufnehmen, wie in Schritt 4. Auf Dauer besser ist eine Gruppe, die nach diesen Personen benannt ist, etwa field-staff:

   1. Legen Sie field-staff wie in Schritt 1 an. Fügen Sie die Gruppe bei jeder Person unter Auto-assigned groups hinzu, und wählen Sie Save Changes.
   2. Öffnen Sie im Reiter Internet gateways die Zeile internet-fra1, und wählen Sie im Menü des Eintrags gateway-fra1 die Option Edit. Fügen Sie field-staff unter Applies to hinzu, und wählen Sie Save Changes.
   3. Öffnen Sie unter Access › Access rules die Regel aus Schritt 6, fügen Sie field-staff als Quelle hinzu, und wählen Sie Save access rule.

   Warum an beiden Stellen: Applies to bestimmt, wer das Gateway erhält, die Regel, wer es nutzen darf. Eine Gruppe, die nur an einer der beiden Stellen steht, bekommt nichts.

   Sie sehen: field-staff in der Spalte Applies to des Eintrags gateway-fra1. Jedes Gerät wechselt in dem Moment, in dem es die Gruppe erhält. Erweitern Sie deshalb schrittweise, und beobachten Sie die Last der VM: siehe Dimensionierung eines Gateways.

9. 9

   Eine zweite Gateway-Maschine hinzufügen

   Damit der Ausfall einer Maschine niemanden vom Internet trennt:

   1. Registrieren Sie gateway-fra2 wie in den Schritten 2 und 3. Dafür brauchen Sie einen neuen Schlüssel mit internet-gateway unter Auto-assigned groups, denn der erste ließ sich nur einmal verwenden. Ändern Sie im Block aus Schritt 3 nur gateway-fra1 in gateway-fra2; --block-lan-access bleibt.
   2. Wählen Sie im Reiter Internet gateways in der Spalte Failover der Zeile internet-fra1 die Option Add Device. Wählen Sie in Add routing device die Maschine gateway-fra2, und setzen Sie Applies to und Access Groups (optional) genau wie bei der ersten Maschine: gateway-pilot (und field-staff, falls hinzugefügt) und internet-gateway. Wählen Sie dann Add Route. Das Formular beginnt leer, und andere Gruppen würden bei jedem Failover ändern, wer das Gateway erhält.
   3. Beide Maschinen haben jetzt Metric 9999. Wählen Sie bei jedem Eintrag Edit, und öffnen Sie im Panel Update internet-fra1 den Reiter Settings. Geben Sie der bevorzugten Maschine die niedrigere Metric, etwa 100 für gateway-fra1 und 200 für gateway-fra2, und wählen Sie dann Save Changes.

   Sie sehen: 2 Device (s) in der Spalte Failover. Antwortet die bevorzugte Maschine nicht mehr, wechseln die Geräte zur anderen; offene Verbindungen brechen dabei ab, weil sich die Adresse ändert, von der sie ausgehen. Wie jedes Gerät seine Wahl trifft, beschreibt der Abschnitt Redundanz.

Prüfen

Fehlersuche

Erweiterte Konfiguration

Verwandte Themen