Zum Inhalt

Agent-Gateway — Web-Oberfläche abschotten

Das Agent-Gateway ist ein optionaler, separater Port, der ausschließlich Maschinen-Endpoints bedient: Agent-Config/Heartbeat, Collector-Config/Discovery, Ergebnis-Ingest, Installer- und Binary-Downloads. Kein Login, kein Frontend, keine Verwaltungs-/User-API, kein Updater, keine WebSockets — alles andere bekommt dort eine 404.

Wofür

Wenn Agents/Collectors aus Kundennetzen über das Internet einliefern, muss der Server öffentlich erreichbar sein. Ohne Gateway hängt daran zwangsläufig die komplette Web-Oberfläche mit dran. Mit Gateway gibst du nur den Gateway-Port öffentlich frei und beschränkst den UI-Port per Firewall auf interne Netze/VPN — Kundenmaschinen brauchen weiterhin nur ausgehendes HTTPS.

Standardmäßig ist das Gateway aus — für die meisten Installationen ist es nicht nötig.

Aktivieren

Alles läuft über Admin → Agents & Collectors → Agent-Verbindung (dieselbe Seite wie beim Ändern der Server-Adresse):

  1. Im Abschnitt „Agent-Gateway" den Schalter umlegen. Default-Port ist 8443, änderbar über „Port ändern".
  2. Der Server startet den Gateway-Container und trägt automatisch die passende Server-Adresse ein. Schlägt der Start fehl (z. B. Port bereits belegt), wird die Einstellung automatisch zurückgerollt und der Fehler angezeigt.

  3. Funktionstest von einer beliebigen Maschine aus:

    curl -k https://<server>:8443/health        # → {"status":"ok",...}
curl -k https://<server>:8443/               # → 404 (kein Frontend)
curl -k https://<server>:8443/api/v1/auth/login   # → 404 (kein Login)

Deaktivieren geht über denselben Schalter — reversibel, ohne dass es die laufende Flotte beeinflusst.

Umstellung einer bestehenden Installation — Reihenfolge ist Pflicht

Der UI-Port bedient weiterhin alle Endpoints, auch die für Agents/Collectors — nichts bricht durch das bloße Aktivieren des Gateways. Erst die Kombination aus Migration und Firewall macht den Unterschied. Deshalb in dieser Reihenfolge:

  1. Gateway aktivieren (siehe oben) + Funktionstest.
  2. Server-Adresse setzen auf die Gateway-Adresse (z. B. https://server.example.com:8443) — auf derselben Seite. Ab jetzt zeigen alle Installations-Befehle und der vorbefüllte Windows-Installer die Gateway-Adresse; neue Maschinen landen von Anfang an richtig.
  3. Bestandsflotte migrieren: erst ein Gerät testen, dann „Alle umstellen" — siehe Server-URL ändern.
  4. Kontrollphase: beobachten, bis keine Maschine mehr über den alten Weg meldet. Nicht vorzeitig weiterschalten.
  5. Erst jetzt: Firewall — UI-Port nur noch intern/VPN freigeben, Gateway-Port öffentlich lassen.

Rollback ist jederzeit möglich: Firewall wieder öffnen bzw. die Adresse zurück auf den alten Wert setzen — beides ohne Update, ohne Neustart.

Zwei getrennte Ports, frei wählbar

Beide Ports lassen sich frei vergeben — zum Beispiel UI intern auf einem alternativen Port, Agents auf dem Standard-Port 443:

HTTPS_PORT=8443           # Web-Oberfläche
AGENT_GATEWAY_PORT=443    # Agent-Gateway übernimmt den Standard-Port

Grenzen (bewusst)

  • Öffentliche Status-Pages laufen über die UI-Seite. Wer den UI-Port abschottet, macht auch Status-Pages unerreichbar — falls du sie brauchst, den UI-Port gezielt für die nötigen Quellen freigeben.
  • Installierte Web-App am Smartphone ist die Weboberfläche → läuft über die UI-Seite (intern/VPN nutzen).
  • Windows-Installer + Install-Scripts liegen bewusst auf dem Gateway — das ist Provisionierung von Kundenmaschinen, genau der Zweck des Ports.

Anschluss