Ein VPN oder eine Appliance ablösen

Was Sie erreichen werden

Wann Sie das brauchen

Was Sie brauchen

Bevor Sie beginnen

Einrichtung

1. 1

   Aufschreiben, was das VPN heute gewährt

   Lesen Sie es aus der Konfiguration des Konzentrators ab, nicht aus dem Gedächtnis. Je Profil: wer darin ist und was es öffnet. In SXAccess wird jedes Team zu einer Gruppe und jeder Dienst zu einer eigenen Ressource.

   Warum zuerst: Diese Liste ist Ihre Vorgabe und Ihr Fortschrittsbalken. Rechnen Sie damit, dass sie weiter gefasst ist, als die meisten denken: Ein VPN-Profil gewährt ein Subnetz, weil ein Subnetz die einzige verfügbare Einheit war.

2. 2

   Ein Routing-Gerät neben den Konzentrator stellen

   Eine dauerhaft laufende Linux-Maschine im LAN, in das das VPN bereits terminiert, mit dem CLI-Agenten. An der Appliance ändert sich nichts.

   Legen Sie zuerst einen Schlüssel für sie an: Access › Enrollment keys › Create enrollment key, mit Name router-site-a und Expires in 1 Tag; alle Schalter bleiben aus. Lassen Sie Auto-assigned groups leer, denn Schritt 5 wählt diese Maschine über ihren Namen aus. Wählen Sie Create enrollment key und kopieren Sie den Schlüssel, der nicht noch einmal angezeigt wird.

   Öffnen Sie dann ein Terminal auf der Maschine. Führen Sie den Block in bash oder zsh als root aus. Fügen Sie den ganzen Block ein und drücken Sie einmal Enter. Sobald Enrollment key: erscheint, fügen Sie den Schlüssel ein, und nur ihn, und drücken Sie Enter. Der Schlüssel wird nicht angezeigt, und bei einer leeren Zeile fragt der Block erneut. Die Schlüsseldatei wird am Ende gelöscht, ob der Beitritt gelungen ist oder nicht. Haben Sie den Block mit Strg+C abgebrochen, löschen Sie sie mit rm -f /run/secrets/sxaccess-key.

   Die Schaltfläche Install SXAccess in Schritt 5 legt einen einmaligen Schlüssel an, der 1 Tag gilt, und zeigt ähnliche Befehle, aber ohne --hostname: Die Maschine tritt dann unter ihrem eigenen Hostnamen bei.

   Warum ein Routing-Gerät: Eine einzige Maschine in diesem LAN erreicht, was das VPN erreicht hat, ohne dass auf den Servern etwas installiert wird.

   Sie sehen: This device is now connected, danach beginnt sxaccess info mit Connected, und router-site-a ist unter Devices online.

   shellKopieren

   curl -fsSL https://pkgs.sxaccess.com/install.sh | sh{  install -d -m 700 /run/secrets  install -m 600 /dev/null /run/secrets/sxaccess-key  KEY=''  until [ -n "$KEY" ]; do printf 'Enrollment key: '; read -rs KEY || break; echo; done  [ -n "$KEY" ] && printf '%s' "$KEY" > /run/secrets/sxaccess-key && unset KEY &&    sxaccess start --enrollment-key-file /run/secrets/sxaccess-key --hostname router-site-a &&    sxaccess info  rm -f /run/secrets/sxaccess-key}

3. 3

   Das Netzwerk anlegen und einen Dienst veröffentlichen

   Networks › Internal networks › Add internal network. Geben Sie unter Network Name einen Namen für den Standort ein, etwa site-a, und wählen Sie Add Network. Danach öffnet das Dashboard jedes weitere Formular von selbst: Ressource, Zugriffsregel, Routing-Gerät. Dieser Schritt und die beiden nächsten gehen diese Kette entlang.

   Zuerst öffnet sich Add Resource. Tragen Sie den einen Pilotdienst ein:

   • Name - etwa erp-web. Ein Pflichtfeld; diesen Namen zeigt auch sxaccess reach list auf einem Notebook.
   • Address - die einzelne IP-Adresse des Dienstes oder der Domainname, den Ihre Leute schon nutzen, etwa erp.internal. Dann funktionieren ihre Lesezeichen weiter.
   • Destination Groups - tippen Sie erp und drücken Sie Enter. Das Formular verlangt eine Gruppe. Die Pilotregel nennt die Ressource selbst, deshalb gewährt erp noch nichts; später kann eine Regel damit alle ERP-Ressourcen auf einmal nennen.

   Wählen Sie Add Resource.

   Warum ein Dienst und nicht das Subnetz: Wer das Subnetz übernimmt, baut nur den Konzentrator mit zusätzlichen Schritten nach.

   Sie sehen: Create access rule öffnet sich, unter dem Titel steht Until an access rule names 'erp-web', no device is allowed to reach it.

4. 4

   Die eine Regel anlegen, die den Pilotbetrieb freigibt

   In Create access rule ist die Ressource bereits als Ziel eingetragen und wird unter ihrem Namen angezeigt. Vervollständigen Sie den Satz:

   Allow engineering to reach erp-web over TCP on ports 443.

   • Allow - tippen Sie engineering und drücken Sie Enter; damit entsteht die Gruppe. Lassen Sie die eingebaute Gruppe All weg, denn sie enthält jedes Gerät.
   • over - TCP. Eine neue Regel beginnt mit any protocol, was jeden Port öffnet.
   • on ports - klicken Sie in das Feld, tippen Sie den Port, auf dem der Dienst lauscht, etwa 443, und drücken Sie Enter: Das Feld zeigt ihn dann statt All. Bleibt es leer, öffnet die Regel jeden Port.
   • Direction ist auf One-way festgelegt, denn eine Ressource baut nie von sich aus eine Verbindung zurück auf.

   Wählen Sie Create access rule. Das Fenster versehentlich geschlossen? Öffnen Sie die Seite des Netzwerks (ein Klick auf seinen Namen unter Internal networks) und wählen Sie in der Zeile der Ressource Add Access rule.

   Warum: Dieser eine Satz ist das, was das VPN-Profil eigentlich meinte; solange keine Regel die Ressource nennt, bekommt kein Gerät sie.

   Sie sehen: Das Fenster schließt sich, und Add Routing Device öffnet sich.

5. 5

   Das Routing-Gerät hinzufügen, optional ein zweites

   Wählen Sie im Reiter Routing Devices die Maschine router-site-a und dann Continue. Lassen Sie Masquerade eingeschaltet und Metric bei 9999, und wählen Sie Add Routing Device. Das Fenster geschlossen? Die Seite des Netzwerks hat eine Schaltfläche Add Routing Device.

   Optional: ein zweites Routing-Gerät, damit der Standort nicht von einer einzigen Maschine abhängt. Registrieren Sie es wie in Schritt 2, mit einem neuen Schlüssel und --hostname router-site-a-2, und fügen Sie es dann auf eine von zwei Arten hinzu:

   • Als zweiten Eintrag. Wählen Sie auf der Seite des Netzwerks Add Routing Device und fügen Sie router-site-a-2 wie oben hinzu. Eine niedrigere Metric macht ein Gerät zum bevorzugten; bei gleicher Metric nimmt jedes Notebook dasjenige, das es am besten erreicht.
   • Als Gerätegruppe. Tippen Sie auf der Seite jeder Maschine unter Devices im Feld Assigned groups routers-site-a, drücken Sie Enter und wählen Sie Save changes. Wählen Sie auf der Seite des Netzwerks Add Routing Device, den Reiter Device group und diese Gruppe, dann Continue und Add Routing Device. Entfernen Sie danach den Eintrag, der nur router-site-a nennt: Remove im Zeilenmenü unter Routing Devices, bestätigt mit Remove. Maschinen, die Sie später in die Gruppe aufnehmen, leiten ebenfalls Verkehr weiter.

   Warum Masquerade: Der Dienst sieht die eigene Adresse des Routing-Geräts und braucht deshalb keinen Rückweg.

   Sie sehen: router-site-a und, falls hinzugefügt, router-site-a-2 online unter Devices, mit Just now unter Last seen.

6. 6

   Dem Pilotteam die Gruppe und die App geben

   People › Members › jede Person im Pilotteam › Access: Fügen Sie engineering unter Auto-assigned groups hinzu und wählen Sie Save Changes. Wer noch kein Mitglied ist, bekommt die Gruppe im Fenster Invite member und nimmt die Einladung per E-Mail an. Die standardmäßig eingeschaltete Gruppenweitergabe nimmt früher registrierte Notebooks sofort in die Gruppe auf.

   Dann installiert jede Person die SXAccess-App (macOS, Windows, iOS und Android) und wählt Sign in with SXAccess account (macOS, Windows). Auf dem Smartphone tippt sie auf Allow VPN configuration und dann auf Sign in.

   Während des Pilotbetriebs bleibt der VPN-Client installiert, aber getrennt, damit das Team wirklich über SXAccess arbeitet. Geht etwas schief, trennt die Person SXAccess in der App und verbindet den VPN-Client wieder. Das ist das Zurückrollen, und dafür braucht es keinen Admin.

   Sie sehen: jedes Pilot-Notebook unter Devices mit engineering.

7. 7

   Das Pilotteam vom VPN nehmen

   Läuft der Pilot eine Woche lang stabil, nehmen Sie dieses Team auf der Appliance aus dem VPN-Profil. Nicht das ganze Profil und niemanden sonst.

   Zurückrollen: Nehmen Sie das Team wieder in das Profil auf. Jede Person trennt SXAccess und verbindet den VPN-Client, der noch installiert ist. In SXAccess muss nichts rückgängig gemacht werden; deshalb dauert das nur Minuten.

   Sie sehen: Die Sitzungen des Teams tauchen im Sitzungsprotokoll der Appliance nicht mehr auf.

8. 8

   Für jeden weiteren Dienst und jedes weitere Team wiederholen

   Jeder weitere Dienst kommt in dasselbe Netzwerk. Öffnen Sie die Seite des Netzwerks, wählen Sie Add Resource und füllen Sie das Formular wie in Schritt 3 aus. Diesmal folgt kein Regelfenster: Wählen Sie in der Zeile der neuen Ressource Add Access rule und vervollständigen Sie die Regel wie in Schritt 4. Die Routing-Geräte leiten den Verkehr zur neuen Ressource bereits weiter.

   Jedes weitere Team bekommt eine eigene Gruppe: Wählen Sie in der Zeile jedes Dienstes, den es nutzt, Add Access rule und tippen Sie unter Allow die Gruppe des Teams. Folgen Sie dann für seine Leute den Schritten 6 und 7.

   Arbeiten Sie von der Seite des Netzwerks aus: Add a resource auf der Karte des Netzwerks startet die ganze Kette neu, Routing-Gerät eingeschlossen.

   Sie sehen: Auf der Seite des Netzwerks zeigt jeder Dienst unter Resources in der Spalte Access rules ein Schild mit der Zahl der aktiven Regeln, die für ihn gelten.

9. 9

   Die Appliance abschalten

   Zeigt das Sitzungsprotokoll der Appliance lange genug niemanden mehr (siehe Prüfen), entfernen Sie den VPN-Client von den Notebooks, damit er SXAccess nicht in die Quere kommt. Schalten Sie dann die Appliance ab und schließen Sie den Port, den sie in Ihrer Firewall geöffnet hatte.

   Sie sehen: Für niemanden ändert sich etwas. Das ist der Beleg, dass der Umzug abgeschlossen ist.

Prüfen

Fehlersuche

Erweiterte Konfiguration

Verwandte Themen