Zugriff nur aus vertrauten Netzen erlauben

Worum es geht

Sie legen fest, aus welchen Netzen jemand die Konsole öffnen und Ihre Geräte steuern darf — etwa nur aus dem Firmennetz und über Ihr VPN. Es gibt drei Listen:

Eine leere Liste heißt: keine Einschränkung.

Das brauchen Sie

• Die Adressen Ihrer Netze in CIDR-Schreibweise, zum Beispiel 203.0.113.0/24 oder 2001:db8::/48.
• Für die Listen des Zugangs: ein Konto als Verwalter des Zugangs. In der Konsole heißt der Zugang Mandant.
• Für die Liste des Relays: ein eigenes Relay und ein Konto als System-Administrator.

So geht's

Listen eines Zugangs

1. Mandanten → Zugang doppelt anklicken (Mandant bearbeiten) → Reiter Sicherheit.
2. Oben steht „Ihre Adresse, wie der Relay sie sieht“. Meine Adresse einfügen übernimmt sie in die Liste.
3. In „Konsole: Verwalter dieses Zugangs“ und „Betrachter: Verbinden, Aufwecken, Neustart“ je ein Netz pro Zeile eintragen.
4. Netze speichern.

Liste des Relays (eigenes Relay)

1. Einstellungen → Admin-Zugang → Abschnitt Vertraute Netze.
2. Netze eintragen, eines je Zeile — Ihr eigenes zuerst (Meine Adresse einfügen).
3. Netze speichern.

Daran sehen Sie, dass es geklappt hat

• Nach dem Speichern erscheint „Vertraute Netze gespeichert.“
• Von außerhalb sieht die Konsole: „Die Konsole ist von Ihrer Adresse aus nicht erreichbar — sie liegt außerhalb der vertrauten Netze. …“
• Ein Betrachter von außerhalb bekommt: „Dieses Gerät lässt sich nur aus den vertrauten Netzen seines Zugangs steuern — Ihre Adresse gehört nicht dazu. …“
• Jede Abweisung steht im Audit-Log.

Gut zu wissen

• Sie können sich nicht selbst aussperren: Liegt Ihre aktuelle Adresse nicht in der neuen Liste, speichert die Konsole nicht und sagt es.
• Hinter einem Reverse-Proxy wirken die Listen nicht. Das Relay sieht nur die Adresse des Proxys. Steht oben unter „Ihre Adresse, wie der Relay sie sieht“ 127.0.0.1 oder die Adresse des Proxys, betreiben Sie das Relay ohne Proxy (B9).
• IPv4 immer mit vier Teilen. 10 oder 10.1 werden nicht als Netz verstanden. Bits hinter dem Präfix schneidet das Relay ab (10.1.2.3/8 wird zu 10.0.0.0/8).
• Laufende Sitzungen bleiben beim Speichern bestehen; die Liste gilt ab dem nächsten Verbinden. Offene Konsolen-Anmeldungen gelten ab der nächsten Anfrage nicht mehr.
• Nicht abgedeckt: die Anmeldung im Programm und unter „Meine Geräte“ selbst. Eine Liste für Betrachter gibt es nur je Zugang, nicht für das ganze Relay.
• Bestimmte Rechner statt Netze: Reiter Governance-Policy → Steuerung nur aus dem eigenen Mandanten → Nur Rechner des Mandanten (B6). Beides lässt sich kombinieren: zuerst wird das Netz geprüft, dann der Rechner.
• System-Administratoren bindet nur die Liste des Relays, nicht die eines Zugangs.

Wenn es nicht klappt