Servrar utanför ert nätverk

En serviceagent som inte kan nå appliancen direkt kan skicka sina meddelanden via sslbrain Cloud. Både agenten och appliancen ansluter bara utåt, så ni behöver inte öppna någon port in till appliancen eller servern.

Teckning: sslbrain Cloud överst och fem separata nätverk under: ett filialkontor, en DMZ, huvudkontoret med sslbrain-appliancen och Windows- och Linux-servrar, ett datacenter och ett kundnätverk. En pil från varje nätverk visar en utgående anslutning på port 443 genom nätverkets egen brandvägg upp till sslbrain Cloud. Det finns inga pilar mellan nätverken. I de andra nätverken levererar en serviceagent certifikat till den lokala utrustningen: FortiGate, webbserver och F5, NetScaler och brandvägg. — sslbrain-appliancen står på huvudkontoret. Vart och ett av de andra nätverken, till exempel ett filialkontor, en DMZ, ett datacenter eller ett kundnätverk, får en serviceagent.
Varje nätverk har bara utgående anslutningar till sslbrain Cloud, på port 443 genom sin egen brandvägg. Det finns inga anslutningar mellan nätverken.
Serviceagenten levererar certifikat till utrustningen i sitt eget nätverk, till exempel FortiGate, webbserver, F5, NetScaler eller brandvägg.
Ingen VPN och inga inkommande portar. En serviceagent per nätverk räcker.

När servrarna ska gå via sslbrain Cloud

Servrar på filialer eller andra platser utan VPN till appliancens nätverk.
Servrar hos en hostingleverantör eller i ett moln.
Servrar bakom en brandvägg som inte får öppna för trafik till appliancen.
Servrar som ska kunna fortsätta när den direkta vägen ligger nere.

Innan ni börjar

Utgående HTTPS från servern till sslbrain.com och cloud.sslbrain.com på port 443. Servern behöver inga inkommande portar. cloud.sslbrain.com har i dag IP-adressen 81.27.110.46, som ni kan tillåta utgående. sslbrain.com, där installationsskriptet hämtas, ligger på ett CDN med andra adresser (Nätverk).
Att Tillåt agentkommunikation via Cloud är påslagen under Inställningar › Säkerhet. Det är standard.
Den Windows-agent som raderna på Installera serviceagent installerar. De installerar alltid den senaste. Sidan visar ingen Linux-rad förrän appliancen har Linux-agenten 0.7.0.

Anslut en server via sslbrain Cloud

Öppna Servrar › Installera serviceagent och välj Windows.
Öppna Servern når inte appliancen direkt, kopiera raden där och kör den på servern (Windows-servrar).

Servern står sedan under Servrar med Via Cloud i kolumnen Typ. Når den senare appliancen direkt, klicka på Byt till direkt på serverns sida.

En server som är ansluten med den första raden på sidan får sslbrain Cloud som failover efter appliancen när raden har cloud i DESTINATIONS.

Licensen

Alla licenser kan ansluta servrar via sslbrain Cloud. Cloud-anslutning ingår i Professional och Enterprise. Omfattar licensen den inte, gäller följande för en server som körs via Cloud:

Den står som Blockerad under Servrar och får inga uppgifter.
Serverns sida visar: “Den här agenten körs via sslbrain Cloud, och er licens omfattar inte Cloud-anslutning. Byt den till direkt anslutning, eller uppgradera licensen.”
Byt till direkt ger agenten appliancens direkta adress. Den byter när den har nått appliancen direkt och får sedan uppgifter igen. Når den inte appliancen stannar den på Cloud, och sidan visar vilken adress och port servern måste kunna nå.
Uppgradera öppnar licensen i sslbrain Cloud.

Samma sak gäller servrar som redan körs via Cloud om licensen nedgraderas.

Ordningen: direkt först, sslbrain Cloud sist

Agenten använder den första adressen i listan som fungerar. Med cloud sist går trafiken via sslbrain Cloud bara när den direkta vägen ligger nere.

Misslyckas en adress tre gånger i rad går agenten vidare till nästa adress.
Efter 1800 sekunder provar den den första adressen igen.
Svar från appliancen går samma väg tillbaka som meddelandet kom.
Hämtar agenten inte ett meddelande direkt inom två inrapporteringsintervall lägger appliancen det också i agentens brevlåda i sslbrain Cloud.

Appliancen hämtar meddelanden från sslbrain Cloud var 15:e sekund, så en uppgift via sslbrain Cloud tar något längre tid. Värdena ändras under Agenter › Anslutning (Omförsök och timeouts).

En agent med egna adresser

Öppna servern under Servrar.
Öppna Inställningar för den här agenten i panelen Serviceagent.
Skriv agentens lista i Adresser i prioriterad ordning (kommaseparerade, cloud för sslbrain Cloud). Både https-adresser och cloud är tillåtna. Ta bort cloud för att hålla agenten borta från sslbrain Cloud.
Spara. Agenten får listan nästa gång den hör av sig.

En agent som installerades utan cloud i listan får inte tillbaka sslbrain Cloud av sig själv. En administratör kan klicka på Aktivera Cloud igen för den här agenten på serverns sida.

Ska en server aldrig kontakta sslbrain Cloud, installera agenten med CLOUD=deny på Windows (MSI-egenskaper) eller --cloud-deny på Linux, eller sätt CloudDeny med en GPO under HKLM\SOFTWARE\Policies\sslbrain. Det gäller oavsett vad appliancen skickar.

Stäng av agentkommunikation via sslbrain Cloud

Stäng av Tillåt agentkommunikation via Cloud under Inställningar › Säkerhet om serviceagenter inte får kommunicera mot internet.

Agenter som har anslutit direkt minst en gång förlorar sslbrain Cloud vid nästa kontakt och fortsätter direkt.
Installationskoderna kan inte längre användas via sslbrain Cloud, och avsnittet Servern når inte appliancen direkt visas inte.
Agenter som bara har anslutit via Cloud behåller Cloud-vägen, så att de kan få besked om att byta. De står som Blockerad och får inga uppgifter förrän de har bytts till direkt anslutning. Inställningen visar hur många det gäller innan ni stänger av den.

Agentens brevlåda i sslbrain Cloud tas bort när agenten har tagit den nya konfigurationen i bruk, eller efter 30 dagar.

Slår ni på inställningen igen får alla agenter sslbrain Cloud som failover efter den direkta adressen, utom agenter med egna adresser, agenter installerade med CLOUD=deny och agenter installerade utan cloud i DESTINATIONS, till exempel medan inställningen var avstängd. De sistnämnda får sslbrain Cloud när en administratör klickar på Aktivera Cloud igen för den här agenten på serverns sida.

Uppdatering av agenter via sslbrain Cloud

En Windows-agent hämtar uppdateringar från den första direkta adressen i sin lista. Når den appliancen bara via sslbrain Cloud uppdateras den med en ny MSI-fil på servern (Agenter som inte kan uppdateras från appliancen).

Kontrollera att det fungerar

Panelen Serviceagent på serverns sida visar:

Adresser i bruk med cloud i listan.
Cloud: Tillåten.
Cloud-brevlåda: Klar.
Senast nådd: Via Cloud eller Direkt.

Om det inte fungerar

Installera serviceagent visar inte Servern når inte appliancen direkt: Tillåt agentkommunikation via Cloud är avstängd, eller appliancen har ingen anslutning till sslbrain Cloud.
Servern står som Blockerad: licensen omfattar inte Cloud-anslutning, eller agentkommunikation via Cloud är avstängd (Licensen).
Godkännandet ger “Servern kan bara nås via sslbrain Cloud, och Cloud gav den ingen anslutning”: försök igen om en stund. Maskinen väntar fortfarande på godkännande.
Cloud-brevlåda visar “Cloud avvisade den; försöker igen om en timme”: appliancen försöker igen själv. Kontrollera appliancens anslutning till sslbrain Cloud.
Cloud visar Bortvald eller Spärrad lokalt på maskinen: agenten hålls borta från sslbrain Cloud (En agent med egna adresser).
Agenten hör inte av sig: kontrollera att servern når cloud.sslbrain.com på port 443 (Agenten hör inte av sig).

Vad sslbrain Cloud kan se

sslbrain Cloud vidarebefordrar meddelandena och kan varken läsa, ändra eller skapa dem. Den kan fördröja eller tappa ett meddelande, men inte få agenten att utföra något. Installationskoden innehåller appliancens fingeravtryck, så agenten litar bara på er appliance.

sslbrain Cloud ser:

installationens id och id:na på agenternas brevlådor.
storleken på varje meddelande och när det skickades.
agenternas publika IP-adresser.

sslbrain Cloud känner agenten under en slumpmässig pseudonym och sparar bara en SHA-256 av agentens åtkomsttoken.

Meddelandena signeras av avsändaren (ES384) och krypteras till mottagaren (JWE med ECDH-ES och AES-256-GCM). Appliancens nycklar är P-384. Vad sslbrain Cloud i övrigt ser från appliancen: Säkerhet.