Servere uden for jeres netværk

En service-agent, der ikke kan nå appliancen direkte, kan sende sine beskeder via sslbrain Cloud. Både agenten og appliancen forbinder kun udad, så I skal ikke åbne en port ind til appliancen eller serveren.

Tegning: sslbrain Cloud øverst og fem adskilte netværk under: en filial, en DMZ, hovedkontoret med sslbrain-appliancen og Windows- og Linux-servere, et datacenter og et kundenetværk. Hvert netværk har én pil, udgående på port 443 gennem sin egen firewall, op til sslbrain Cloud, og der er ingen pile mellem netværkene. I de andre netværk leverer en service-agent til det lokale udstyr: FortiGate, webserver og F5, NetScaler og firewall. — sslbrain-appliancen står på hovedkontoret. Hvert af de andre netværk, fx en filial, en DMZ, et datacenter eller et kundenetværk, får én service-agent.
Hvert netværk forbinder kun udgående på port 443, gennem sin egen firewall, til sslbrain Cloud. Der er ingen forbindelser mellem netværkene.
Service-agenten leverer certifikater til udstyret i sit eget netværk, fx FortiGate, webserver, F5, NetScaler eller firewall.
Ingen VPN og ingen porte ind. Én service-agent pr. netværk er nok.

Hvornår serverne skal gå via sslbrain Cloud

Servere i filialer eller på andre lokationer uden VPN til appliancens netværk.
Servere hos en hostingudbyder eller i en cloud.
Servere bag en firewall, der ikke må åbne for trafik til appliancen.
Servere, der skal kunne fortsætte, når den direkte vej er nede.

Før I starter

Udgående HTTPS fra serveren til sslbrain.com og cloud.sslbrain.com på port 443. Serveren skal ikke have nogen indgående porte. cloud.sslbrain.com har i dag IP-adressen 81.27.110.46, som I kan tillade udgående. sslbrain.com, hvor installationsscriptet hentes, ligger på et CDN med andre adresser (Netværk).
At Tillad agentkommunikation via Cloud er slået til under Indstillinger › Sikkerhed. Det er standard.
Den Windows-agent, linjerne på Installer service-agent installerer. De installerer altid den nyeste. Siden viser ingen Linux-linje, før appliancen har Linux-agenten 0.7.0.

Forbind en server via sslbrain Cloud

Åbn Servere › Installer service-agent, og vælg Windows.
Åbn Serveren kan ikke nå appliancen direkte, kopiér linjen der, og kør den på serveren (Windows-servere).

Serveren står derefter under Servere med Via Cloud i kolonnen Type. Kan den senere nå appliancen direkte, så klik på Skift til direkte på serverens side.

En server, der er forbundet med den første linje på siden, får sslbrain Cloud som failover efter appliancen, når linjen har cloud i DESTINATIONS.

Licensen

Alle licenser kan forbinde servere via sslbrain Cloud. Cloud-forbindelse er med i Professional og Enterprise. Dækker licensen den ikke, gælder det for en server, der kører via Cloud:

Den står som Blokeret under Servere og får ingen opgaver.
Serverens side viser: “Denne agent kører via sslbrain Cloud, og jeres licens dækker ikke Cloud-forbindelse. Skift den til direkte forbindelse, eller opgradér licensen.”
Skift til direkte giver agenten appliancens direkte adresse. Den skifter, når den har nået appliancen direkte, og får derefter opgaver igen. Kan den ikke nå appliancen, bliver den på Cloud, og siden viser, hvilken adresse og port serveren skal kunne nå.
Opgradér åbner licensen i sslbrain Cloud.

Det samme sker med servere, der allerede kører via Cloud, hvis licensen nedgraderes.

Rækkefølgen: direkte først, sslbrain Cloud sidst

Agenten bruger den første adresse på listen, der virker. Med cloud sidst går trafikken kun via sslbrain Cloud, når den direkte vej er nede.

Fejler en adresse tre gange i træk, går agenten videre til næste adresse.
Efter 1800 sekunder prøver den den første adresse igen.
Svar fra appliancen går samme vej tilbage, som beskeden kom.
Henter agenten ikke en besked direkte inden for to indmeldingsintervaller, lægger appliancen den også i agentens postkasse i sslbrain Cloud.

Appliancen henter beskeder fra sslbrain Cloud hvert 15. sekund, så en opgave via sslbrain Cloud tager lidt længere. Tallene ændres under Agenter › Forbindelse (Genforsøg og timeouts).

Én agent med sine egne adresser

Åbn serveren under Servere.
Åbn Indstillinger for denne agent i panelet Service-agent.
Skriv agentens liste i Adresser i prioriteret rækkefølge (kommasepareret, cloud for sslbrain Cloud). Både https-adresser og cloud er tilladt. Fjern cloud for at holde agenten ude af sslbrain Cloud.
Gem. Agenten får listen, næste gang den melder sig.

En agent, der blev installeret uden cloud på listen, får ikke sslbrain Cloud af sig selv. En administrator kan klikke på Genaktivér Cloud for denne agent på serverens side.

Skal en server aldrig kontakte sslbrain Cloud, så installér agenten med CLOUD=deny på Windows (MSI-egenskaber) eller --cloud-deny på Linux, eller sæt CloudDeny med en GPO under HKLM\SOFTWARE\Policies\sslbrain. Det gælder, uanset hvad appliancen sender.

Slå agentkommunikation via sslbrain Cloud fra

Slå Tillad agentkommunikation via Cloud fra under Indstillinger › Sikkerhed, hvis service-agenter ikke må kommunikere mod internettet.

Agenter, der har forbundet direkte mindst én gang, mister sslbrain Cloud ved næste kontakt og kører videre direkte.
Installationskoderne kan ikke længere bruges via sslbrain Cloud, og sektionen Serveren kan ikke nå appliancen direkte vises ikke.
Agenter, der kun har forbundet via Cloud, beholder Cloud-vejen, så de kan få besked om at skifte. De står som Blokeret og får ingen opgaver, til de er skiftet til direkte forbindelse. Indstillingen viser, hvor mange det gælder, før I slår den fra.

Agentens postkasse i sslbrain Cloud fjernes, når agenten har taget den nye konfiguration i brug, eller efter 30 dage.

Slår I indstillingen til igen, får alle agenter sslbrain Cloud som failover efter den direkte adresse, undtagen agenter med deres egne adresser, agenter installeret med CLOUD=deny og agenter installeret uden cloud i DESTINATIONS, fx mens indstillingen var slået fra. De sidste får sslbrain Cloud, når en administrator klikker på Genaktivér Cloud for denne agent på serverens side.

Opdatering af agenter via sslbrain Cloud

En Windows-agent henter opdateringer fra den første direkte adresse på sin liste. Når den kun kan nå appliancen via sslbrain Cloud, opdateres den med en ny MSI-fil på serveren (Agenter, der ikke kan opdateres fra appliancen).

Kontrollér, at det virker

Panelet Service-agent på serverens side viser:

Adresser i brug med cloud på listen.
Cloud: Tilladt.
Cloud-postkasse: Klar.
Sidst nået: Via Cloud eller Direkte.

Hvis det fejler

Installer service-agent viser ikke Serveren kan ikke nå appliancen direkte: Tillad agentkommunikation via Cloud er slået fra, eller appliancen har ingen forbindelse til sslbrain Cloud.
Serveren står som Blokeret: licensen dækker ikke Cloud-forbindelse, eller agentkommunikation via Cloud er slået fra (Licensen).
Godkendelsen giver “Serveren kan kun nås via sslbrain Cloud, og Cloud gav den ingen forbindelse”: prøv igen om lidt. Maskinen venter stadig på godkendelse.
Cloud-postkasse viser “Cloud afviste den; prøves igen om en time”: appliancen prøver selv igen. Kontrollér appliancens forbindelse til sslbrain Cloud.
Cloud viser Fravalgt eller Spærret lokalt på maskinen: agenten er holdt ude af sslbrain Cloud (Én agent med sine egne adresser).
Agenten melder sig ikke: kontrollér, at serveren kan nå cloud.sslbrain.com på port 443 (Agenten melder sig ikke).

Hvad sslbrain Cloud kan se

sslbrain Cloud videresender beskederne og kan hverken læse, ændre eller lave dem. Den kan forsinke eller tabe en besked, men ikke få agenten til at udføre noget. Installationskoden indeholder appliancens fingeraftryk, så agenten kun stoler på jeres appliance.

sslbrain Cloud ser:

installationens id og id’erne på agenternes postkasser.
størrelsen på hver besked, og hvornår den blev sendt.
agenternes offentlige IP-adresser.

sslbrain Cloud kender agenten under et tilfældigt pseudonym og gemmer kun en SHA-256 af agentens adgangstoken.

Beskederne er signeret af afsenderen (ES384) og krypteret til modtageren (JWE med ECDH-ES og AES-256-GCM). Appliancens nøgler er P-384. Hvad sslbrain Cloud ellers ser fra appliancen: Sikkerhed.