Trin 5 af 8

5. Forbind servere

Når en server er forbundet, finder sslbrain tjenesterne og certifikaterne på den. Servere får en service-agent. Service-agenten finder tjenester og certifikater på serveren og udfører deploy-regler. Den vælger ikke selv certifikater: det gør en deploy-regel, som I opretter i trin 8. Netværksudstyr og cloud-tjenester, der ikke kan køre en agent, forbindes uden agent.

Tegning: sslbrain-appliancen i jeres netværk. En Windows-serviceagent og en Linux-serviceagent henter hver deres certifikater fra appliancen og installerer dem på deres egen server: IIS, Exchange, RDP og SQL Server på Windows, nginx, Apache og Postfix på Linux. Appliancen leverer gennem API eller over SSH til en firewall, FortiGate, F5, NetScaler og Palo Alto og gennem API til cloud-tjenester som AWS, Azure og Cloudflare. Der installeres intet på udstyret, og logins gemmes krypteret i appliancens vault. — Windows- og Linux-servere får en service-agent. Den henter certifikatet fra appliancen og installerer det på sin egen server: IIS, Exchange, RDP og SQL Server på Windows, nginx, Apache og Postfix på Linux.
Udstyr, der ikke kan køre en agent, fx FortiGate, F5, NetScaler og Palo Alto, får certifikatet fra appliancen. Den logger ind gennem udstyrets API (som regel port 443) eller over SSH (port 22) og installerer det. Der installeres intet på udstyret.
Cloud-tjenester som AWS, Azure og Cloudflare får certifikatet fra appliancen gennem deres API.
Appliancen gemmer kun logins til udstyr uden agent, krypteret i sin vault. Hver levering kontrolleres, og fejler den, kan sslbrain rulle tilbage til det certifikat, der var der før.

Vælg serverens type

En Windows-server forbindes fra Servere › Installer service-agent med én linje, som I kopierer til serveren. Siden opretter selv en installationskode, hvis der ikke er en åben. Siden viser ingen Linux-linje, før appliancen har Linux-agenten 0.7.0.

Windows-server: Windows-servere.
Linux-server: Linux-servere.
Firewall, load balancer, NAS eller cloud-tjeneste: Enheder uden agent.

Har I mange Windows-servere, så brug Rul service-agenten ud på mange Windows-servere.

Hvorfor en service-agent

Service-agenten installeres på serveren og kontakter selv appliancen over udgående HTTPS. I åbner ingen port ind til serveren, og sslbrain gemmer ikke serverens login. Agenten kontrollerer signaturen på hvert script og kører som standard kun FairSSL’s pakker (Egne scripts).

Vælg, hvordan agenten når appliancen

Står serveren på samme netværk som appliancen eller er forbundet via VPN, når agenten appliancen direkte over HTTPS, port 443 som standard. Brug den første linje på siden, Windows (anbefalet). Den har appliancens adresse i sig. Se Sådan når agenten appliancen.

Står serveren i en filial, hos en hostingudbyder eller bag en firewall uden vej til appliancen, går forbindelsen via sslbrain Cloud. Brug linjen under Serveren kan ikke nå appliancen direkte. Se Servere uden for jeres netværk.

Den første linje giver agenten sslbrain Cloud som failover efter appliancen, så længe Tillad agentkommunikation via Cloud er slået til under Indstillinger › Sikkerhed, og appliancen er forbundet til sslbrain Cloud (Rækkefølgen).

Godkend nye servere

En server, der forbinder med en installationskode, er godkendt af koden og står med det samme under Servere. Koder oprettes og lukkes under Installationskoder på siden Installer service-agent, og siden opretter selv en kode, hvis der ikke er en åben. Kun en administrator kan åbne siden.

En maskine, der ligner en geninstallation af en kendt server (samme hostname og samme maskine-id eller IP-adresse), venter altid på en administrator:

Forbundet med en installationskode venter den under Servere, der venter på godkendelse på siden Installer service-agent. Sammenlign Agentnøgle med nøglen i agentens log på serveren, og klik på Godkend eller Afvis.
Installeret med SERVER alene venter den under Servere. Vælg Godkend som geninstallation, så flytter serveren og dens regler over på den geninstallerede agent, eller Godkend som ny server.

En server installeret med SERVER alene, uden kode, venter også under Servere, til en administrator godkender den. Kontrollér hostname, operativsystem og agentversion, og klik på Godkend eller Afvis. Godkend kun maskiner, I genkender.

En maskine, der venter på godkendelse i 14 dage, får status Ikke godkendt i 14 dage og skal installeres igen.

Serverne i sslbrain

Alle forbundne servere står under Servere med status, Sidst set og antal Tjenester. Rækken Denne appliance er appliancen selv.

Serverens side har panelet Service-agent med status, version og Sidst meldt ind. Her opdateres agenten også (Hold service-agenterne opdateret).

Licensen dækker et antal servere, de ældste først. Servere ud over det antal bliver deaktiveret og får ingen certifikater.

sslbrain finder tjenesterne på serveren

Når agenten er godkendt, starter sslbrain selv discovery på serveren. Resultatet kommer, næste gang agenten melder sig. Indtil da viser serverens side “Opdagelse kører”.

På en Windows-server finder discovery IIS, Remote Desktop, Exchange, SSL-bindinger (netsh), Windows CA (AD CS), Web Application Proxy og certifikaterne i Windows’ certifikatlager.

Tjenesterne står på serverens side under Tjenester. De kan vælges som mål for en regel i trin 8 (Vælg mål).
Certifikaterne står under Certifikater › Fundet på servere (Fundet på servere).
sslbrain gentager discovery én gang om måneden kl. 02:00. Har I installeret en ny tjeneste, så klik på Kør opdagelse på serverens side.

Kontrollér, at det virker

Serveren står under Servere med status Online og et nyt tidspunkt i Sidst set.
Serverens side viser mindst én tjeneste under Tjenester, når discovery er færdig.
Serverens række under Servere har knappen Opret regel. Den er fremhævet, indtil en deploy-regel omfatter en af serverens tjenester, og åbner guiden med serveren og dens tjenester valgt (trin 8). Filteret Mangler regel over listen viser alle de servere, det gælder, også på de næste sider. Serverens side siger det samme: “Service-agenten installerer ikke selv certifikater. Det gør en deploy-regel.”

Hvis det fejler

Serveren dukker ikke op, eller Sidst set flytter sig ikke: Agenten melder sig ikke. Har agenten ikke meldt sig i over et døgn, står det på serverens side.
Status Utilgængelig: Test forbindelse kunne ikke nå serveren. Se Serveren kan ikke nås.
Status Auth fejlet: Test forbindelse nåede serveren, men login med adgangsoplysningen blev afvist. Se Serveren kan ikke nås.
Serveren står uden for jeres netværk og kan ikke nå appliancen: Servere uden for jeres netværk.