Servere uden for jeres netværk

Forbind en server uden direkte vej til appliancen via sslbrain Cloud (EU), E2E.

Tegning: sslbrain Cloud (EU) øverst og tre adskilte netværk under, uden linjer mellem dem: hovedkontoret med sslbrain On-Premise, en fjernlokation med en Windows-service-agent og en SonicWall og en DMZ med en Linux-service-agent og en F5. Hvert netværk har én linje op til Cloud, udgående på port 443; service-agenternes linjer er E2E. Hver service-agent sender certifikatet med push til boksen ved siden af. — På hovedkontoret står sslbrain On-Premise. Hvert af de andre netværk, fx en fjernlokation, en DMZ, et datacenter eller et kundenetværk, får én service-agent.
Hvert netværk forbinder kun udgående på port 443, gennem sin egen firewall, til sslbrain Cloud (EU). Der er ingen forbindelser mellem netværkene.
En service-agent forbinder til On-Premise via sslbrain Cloud (EU), E2E: Cloud sender beskederne videre og kan ikke læse dem.
Service-agenten installerer certifikater på sin egen server og sender dem med push til udstyret i sit netværk, fx en SonicWall, F5, FortiGate eller NetScaler.
Ingen VPN og ingen porte ind. Én service-agent pr. netværk er nok.

Det skal I bruge

Administratoradgang til appliancen.
Administratorlogin til Windows-serveren eller en Linux-konto med sudo.
Tilladelse til udgående HTTPS på port 443 til sslbrain.com og cloud.sslbrain.com fra serveren.

Forbind serveren

Åbn Servere › Tilføj server › Med service-agent, og vælg serverens platform.
Åbn Serveren kan ikke nå appliancen direkte, eller har ikke internet, og kopiér kommandoen til forbindelsen via sslbrain Cloud.
Kør kommandoen på serveren: i PowerShell som administrator på Windows eller i en terminal med sudo på Linux.
Åbn serveren under Servere › Alle servere, når den har meldt sig.

Begge forbindelser går udad. I skal ikke åbne en port ind til appliancen eller serveren.

Kontrollér, at det virker

Panelet Service-agent på serverens side viser Cloud: Tilladt, Cloud-postkasse: Klar og Sidst nået: Via Cloud. Under Adresser i brug står cloud på listen.

Næste skridt

Fortsæt med Bevis, at domænet er jeres.

Hvis det fejler

Kommandoen via sslbrain Cloud vises ikke → slå Tillad agentkommunikation via Cloud til under Appliance › Brugere og login › Login og sessioner, og kontrollér appliancens forbindelse til sslbrain Cloud.
Serveren står som Blokeret → åbn serveren. Følg beskeden om licens eller direkte forbindelse nedenfor.
Cloud-postkasse viser Cloud afviste den; prøves igen om en time → kontrollér appliancens forbindelse til sslbrain Cloud. Appliancen prøver selv igen.
Cloud viser Fravalgt eller Spærret lokalt på maskinen → kontrollér serverens eget valg nedenfor.
Serveren melder sig ikke → kontrollér udgående port 443 til cloud.sslbrain.com, og følg Service-agenten melder sig ikke.

Servere på andre netværk

Forbindelsen via sslbrain Cloud bruges til servere i filialer, hos en hostingudbyder eller bag en firewall uden direkte vej til appliancen. Den kan også være reserve for en direkte forbindelse.

Licensen blokerer opgaverne

Alle licenser kan forbinde servere via sslbrain Cloud. Cloud-forbindelse er med i Professional og Enterprise. Dækker licensen den ikke, står serveren som Blokeret og får ingen opgaver. Klik på Skift til direkte, hvis serveren kan nå appliancen direkte, eller Opgradér for at ændre licensen. Serveren får opgaver igen, når den har forbundet direkte, eller licensen dækker Cloud-forbindelse.

Direkte forbindelse prøves først

Service-agenten bruger den første adresse på listen, der virker. Med cloud sidst bruges sslbrain Cloud, når den direkte vej fejler. Efter 3 fejl skiftes adresse; den første prøves igen efter 1800 sekunder som standard. Se genforsøg og timeouts.

Én server skal have sine egne adresser

Åbn Indstillinger for denne service-agent under Teknisk › Service-agent på serverens side. Ret Adresser i prioriteret rækkefølge (kommasepareret, appliance for appliancens egen adresse, cloud for sslbrain Cloud), og gem. Se indstillinger for én server.

En service-agent installeret uden cloud får ikke forbindelsen af sig selv. En administrator kan vælge Genaktivér Cloud for denne service-agent. Med CLOUD=deny på Windows, --cloud-deny på Linux eller CloudDeny i en Windows-politik kontakter service-agenten aldrig sslbrain Cloud, uanset hvad appliancen sender. Se MSI-egenskaber.

Slå forbindelsen via sslbrain Cloud fra

Slå Tillad agentkommunikation via Cloud fra under Appliance › Brugere og login › Login og sessioner. Service-agenter, der har forbundet direkte, fortsætter direkte efter næste kontakt. Service-agenter, der kun har forbundet via sslbrain Cloud, bliver Blokeret, men beholder forbindelsen, så de kan få besked om at skifte til direkte. Siden viser, hvor mange det gælder.

Installationskoder kan ikke bruges via sslbrain Cloud, mens indstillingen er slået fra. En Cloud-postkasse fjernes, når service-agenten har taget konfigurationen i brug, eller efter 30 dage. Slås forbindelsen til igen, gælder serverens egne adresser og lokale fravalg stadig.

Service-agenten skal opdateres

Følg opdateringsbeskeden på serverens side. Beder den om installation på serveren, så brug manuel opdatering.

Hvad sslbrain Cloud kan se

Beskederne er signeret af afsenderen og krypteret til modtageren. Cloud-tjenesten kan videresende, forsinke eller tabe dem, men kan ikke læse dem eller lave gyldige opgaver. Installationskoden indeholder appliancens fingeraftryk.

Cloud-tjenesten ser installationens id, postkassernes id, beskedernes størrelse og tidspunkter samt service-agenternes offentlige IP-adresser. Private nøgler og loginoplysninger kan ikke læses af Cloud-tjenesten. Se hvad sslbrain Cloud ellers ser.