Erneut anmelden

Ein achtstündiges Sitzungstoken genügt hierfür nicht — der Rechner kann zwischenzeitlich unbeaufsichtigt gewesen sein.

Hartek-Fernwartung

Übersicht

Was fehlt, steht oben. Bestände zählt jede Liste selbst — hier zählt, welcher Standort keinen Schlüssel hat, welcher Peer abgelaufen ist und ob der Kernel noch dem entspricht, was zuletzt angewandt wurde.

Generation , angewandt
Kunden
Standorte
Geräte
Personen-Peers
Peers im Kernel

Die Übersicht ließ sich nicht laden.

Der Hostdienst ist nicht erreichbar.

Über den Kernel lässt sich von hier aus nichts sagen: die Angaben zu Isolation und Peers sind aus dieser Antwort nicht zu haben.

Die Isolationstabelle ist nicht aktiv.

Ohne sie sehen alle Standorte einander — jedes Kundennetz liegt für jedes andere offen. Das ist kein Schönheitsfehler, sondern ein Grund, den Tunnel bis zur Klärung nicht zu benutzen.

Der Kernel weicht von der angewandten Generation ab. Jemand hat ihn von Hand verändert; die nächste Generation überschreibt das kommentarlos.

Standorte ohne öffentlichen Schlüssel. Der Router hat sich noch nicht zurückgemeldet — bis dahin gibt es dort keinen Tunnel, gleich wie vollständig die Stammdaten sind.

Standorte mit gesperrtem Peer. Schlüssel vorhanden, Peer abgeschaltet. Entweder war das Absicht — dann gehört ein Wort in die Notiz — oder es ist von einer Archivierung übriggeblieben.

Abgelaufene Personen-Peers. Verlängern oder entfernen; aus dem Kernel verschwinden sie erst mit der nächsten angewandten Generation.

Keine offenen Punkte: jeder Standort hat einen Schlüssel und einen freien Peer, kein Personen-Peer ist abgelaufen, und der Kernel steht so da, wie er zuletzt angewandt wurde.

Tunnelzustand

Älteste Rückmeldung zuerst
StandortKundeTunneladresse GerätenetzLetzte RückmeldungPeer
Kein Standort erfasst Erst einen Kunden anlegen, dann darunter den Standort — der Tunnel kommt danach.

Öffentlicher Schlüssel des Hubs

Gehört in jede Standort- und Personenkonfiguration

Kunden

Der Mandant. Jeder Standort, jedes Kundenkonto und jedes Zertifikat hängt daran. Die Kennung ist unveränderlich — sie steckt im Peer-Namen des Hostdienstes und in den Zertifikatslisten.

NameKennungAnsprechpartner KontaktStandorte Status
Kein Kunde vorhanden Ohne Kunden gibt es keine Standorte — hier fängt die Erfassung an.

Die Kennung lässt sich später nicht mehr ändern.

Kleinbuchstaben, Ziffern, Bindestrich

Kunde archivieren

Archivieren nimmt alles darunter mit und sperrt die Peers. Wirksam wird das im Overlay erst mit der nächsten angewandten Generation — bis dahin steht der Router weiter im Kernel.

—
—
—

Standorte

Ein Standort ist ein Router und das Netz dahinter. Die Tunneladresse vergibt der Server aus dem Standortpool; das Gerätenetz kommt vom Kunden und darf sich mit keinem anderen überschneiden — WireGuard ordnet Verkehr über AllowedIPs zu, doppelte Netze führen still ins falsche Kundennetz.

NameKundeKennungTopologie GerätenetzTunneladressePeer HandshakeGeräte
Kein Standort in dieser Auswahl Erst den Standort anlegen, dann den öffentlichen Schlüssel des Routers eintragen, dann die Geräte erfassen.

Kunde und Kennung stehen danach fest. Die Tunneladresse vergibt der Server — dafür gibt es hier kein Feld.

Kleinbuchstaben, Ziffern, Bindestrich. Steckt im Peer-Namen.
Wird beim Verlassen des Feldes vorab geprüft.
Feste Adresse im Kundennetz, kein DHCP.

Schlüssel des Standorts

Der private Schlüssel entsteht auf dem Router (wg genkey | wg pubkey) und gehört nicht hierher. Eingetragen wird allein der öffentliche Teil, den das Staging-Skript zurückmeldet.

Ohne Haken bleibt ein hinterlegter PresharedKey bestehen. Ist keiner hinterlegt, erzeugt der Server in jedem Fall einen.

Standort archivieren

Archivieren nimmt die Geräte mit und sperrt den Peer; die Tunneladresse geht in Quarantäne, damit sie nicht sofort an einen anderen Standort fällt. Im Overlay wirksam wird das erst mit der nächsten angewandten Generation.

—
—
—

Geräte

Jedes Gerät bekommt eine eigene Herkunft — die Kennung ist zugleich der Hostname und deshalb global eindeutig und unveränderlich. Das Ziel wird als IP-Adresse im Gerätenetz des Standorts eingetragen, niemals als Name.

GerätKunde / StandortAdresse ProfilArtStatusDirektlink
Kein Gerät sichtbar Der Filter passt auf nichts — Suche leeren oder einen anderen Standort wählen. Ein Gerät hängt an einem Standort mit hinterlegtem Gerätenetz. Steht der Standort, wird hier das erste Gerät angelegt.

Kennung und Standort stehen mit dem Anlegen fest.

Wird zur Adresse — DNS-Label, global eindeutig, später unveränderlich. Erlaubt sind Kleinbuchstaben, Ziffern und Bindestrich; Anfang und Ende ohne Bindestrich.
Für den Router selbst ist ausschließlich die Tunneladresse des Standorts als Ziel zulässig — sie liegt außerhalb des Gerätenetzes und würde sonst abgewiesen. Dieser Standort hat noch keine Tunneladresse.
Mehr Ports lässt der Proxy nicht zu.
Beginnt mit einem Schrägstrich.
Ein einmal gesetztes Profil lässt sich hier nicht wieder auf Vorgabewerte zurückstellen — ein leeres Feld gilt dem Server als unverändert.
Wird der Haken entfernt, enden laufende Sitzungen dieses Geräts sofort.

Gerät archivieren

Laufende Sitzungen auf dieses Gerät enden sofort, der Hostname wird nicht mehr bedient. Der Standort und sein Tunnel bleiben unberührt.

Personen-Peers

WireGuard-Zugänge von Menschen. Am Tunnel gibt es keinen zweiten Faktor — dafür endet jeder Zugang von allein. Der private Schlüssel erscheint in genau einer Antwort und wird nirgends gespeichert.

Frist verstrichen, aber noch im Kernel

Diese Peers gelten als abgelaufen, stehen auf dem Hub aber weiterhin im Kernel. Entfernt sind sie erst mit der nächsten angewandten Generation.

BezeichnungKontoTunneladresse StandorteGültig bisLetzte Rückmeldung Status
Kein Personen-Peer vorhanden Zugriff läuft bis dahin ausschließlich über das Portal. Ein Peer wird angelegt, wenn jemand ein Werkzeug braucht, das der Browser nicht spricht.

Personen-Peer anlegen

Das Schlüsselpaar entsteht auf dem Server, weil der WireGuard-Client keinen Rückkanal hat. Die Ausgabe erfolgt einmal.

Kleinbuchstaben, Ziffern, Punkt, Bindestrich, Unterstrich. Sie steht später im Peer-Namen und in der Löschbestätigung.

Freigaben werden geladen…

Für dieses Konto ist in der Zuordnungsmatrix nirgends Netzzugang gesetzt. Erst unter „Nutzer & Rechte" freigeben — ein Peer darf nicht mehr können als die Zugriffssteuerung hergibt.

Erst ein Konto wählen.

Nur Standorte, für die das Konto in der Zuordnungsmatrix Netzzugang hat — sonst weist der Server ab. Ohne Auswahl erreicht der Peer allein das Overlay.
72 Stunden decken ein verlängertes Wochenende ab. Verlängern geht jederzeit, ein abgelaufener Zugang schadet niemandem.

Zugang ausliefern

Diese Ausgabe erscheint nur jetzt 


          

        


        

          
          
          
            Der QR-Code enthält dieselbe Konfiguration — für die
            WireGuard-App am Telefon.
          
        


      

      

        
      

    

  


  
  

    

      

        
Frist verlängern

        

      

      

        

          Gerechnet ab jetzt, nicht ab dem bisherigen Ablauf — ein seit Wochen
          abgelaufener Peer soll nicht rückwirkend gültig werden.
        

        

          
          
        

        

      

      

        
        
      

    

  


  
  

    

      

        
Peer löschen

        

      

      

        

          

            Der Eintrag verschwindet aus der Datenbank, die Tunneladresse geht
            in Quarantäne. Aus dem Kernel des Hubs fällt der Peer erst mit der
            nächsten angewandten Generation. Wer ihn sofort aussperren will,
            sperrt ihn und erzeugt danach eine Generation.
          

        

        

          
          
        

        

      

      

        
        
      

    

  









  

    
Nutzer & Rechte

    

      Konten, Rollen und die Zuordnung zu Standorten und Geräten. Interne
      Konten kommen an alles, was ihnen freigegeben ist; ein Kundenkonto kommt
      nie über den eigenen Mandanten hinaus — auch dann nicht, wenn versehentlich
      eine Einzelfreigabe eingetragen wurde.
    

  


  

    
    
    
  


  

    

      

        

          
            

              NameKlarnameRolleKunde
              Zweiter FaktorGültig bisLetzter Login
              Status
            

          
          
            
            

              
                Kein Konto sichtbar
                Entweder greift der Filter, oder es ist noch keines angelegt —
                „Konto anlegen“ ist der nächste Schritt.
              
            

          
        

      

    

  


  
  

    

      

        

        

          Der Benutzername ist der Schlüssel des Kontos und lässt sich nicht ändern.
        

      

      

        


        

          

            Dieses Konto trägt noch die Zuordnung zu
            .
            Über diesen Weg lässt sich eine bestehende Zuordnung nicht aufheben —
            die Mandantengrenze bleibt bis auf Weiteres bestehen.
          

        


        

          

            
            
          


          

            
            
            
          


          

            
            
            
              Für interne Konten ist der zweite Faktor Pflicht.
            
          


          
          

            
            
            Ohne Zuordnung greift die Mandantengrenze nicht.
          


          

            
            
            
          


          

            
            
          


          

            
            
          


          

            
            
              Das eigene Konto lässt sich nicht sperren.
            
          

        

      

      

        
        
      

    

  


  
  

    

      

        
Rechte

        

      


      

        


        

          

            Die Auswertung lautet: deny schlägt
            allow schlägt Standortfreigabe
            schlägt implizites Nein. Eine leere Zuordnung heißt „nichts“, nicht
            „alles“ — ein Konto ohne Eintrag sieht kein einziges Gerät.
          

        


        

          

            Ein Adminkonto kommt ohnehin an jedes Gerät. Was hier eingetragen
            wird, ist gespeichert, wird aber nie ausgewertet.
          

        


        

           Zuordnung wird geladen…
        


        


          
          
Standorte

          

            „Zugriff“ öffnet die Weboberflächen der Geräte dieses Standorts.
            „Netzzugang“ ist mehr: er ist die Voraussetzung für einen
            Personen-Peer, also für WireGuard ins Standortnetz.
          


          

            
            

              Kein Standort verfügbar
              Für diesen Kunden ist noch keiner erfasst — im Reiter „Standorte“ anlegen.
            

          


          
          

            

              Ein Personen-Peer legt diesen Kunden direkt ins Overlay-Netz und
              umgeht damit Protokollierung und Sitzungsentzug des Portals. Für
              die Weboberflächen wird er nicht gebraucht.
            

            
          


          
          
Geräteausnahmen

          

            Nur für Abweichungen von der Standortfreigabe. „allow“ öffnet ein
            einzelnes Gerät ohne den Standort, „deny“ sperrt es trotz Standort.
          

          

          

            
            

              Kein Gerät in der Auswahl
              Suchbegriff zurücksetzen oder im Reiter „Geräte“ eines anlegen.
            

          

        

      


      

        
          Der Netzzugang muss oben ausdrücklich freigegeben werden.
        
        
        
      

    

  


  
  

    

      

        
Konto löschen

        

      

      

        

          

            Das Konto und seine Zuordnungen verschwinden. Die Protokolleinträge
            bleiben — sie tragen den Benutzernamen im Klartext und überleben die
            Löschung. Vorhandene Personen-Peers werden dadurch nicht aus dem
            Overlay entfernt; das braucht eine neue Generation.
          

        

        

          
          
        

        

      

      

        
        
      

    

  









  

    

      Konfiguration
      
    

    

      Der Weg vom Datenbestand in den Kernel führt über drei Stufen: die
      Vorschau rechnet rein lokal, der Trockenlauf lässt den Hostdienst rendern
      und prüfen, erst das Anwenden fasst den Kernel an. Was hier ausgelöst
      wird, gilt für alle Standorte gleichzeitig.
    

  


  

    Dieser Reiter ist Administratoren vorbehalten.
  


  


    
    

      
Bestätigung ausgeblieben

      

      

        
      

    


    
    

      

        
1 · Kernelzustand

        Was tatsächlich im Kernel steht
        

          
        

      

      


        

          
Der Hostdienst ist nicht erreichbar.

          

        


        

      

    


    
    

      

        
2 · Vorschau

        Lokal gerechnet, ohne den Hostdienst
      

      


        

        

          Noch keine Vorschau berechnet.
        


      

    


    
    

      
      
      
    


    
    

      
    


    
    

      

        
Zurückrollen

        

          
        

      

      

        

          Setzt den Kernel auf den letzten gesicherten Stand zurück. Das ist der
          Weg heraus, wenn eine angewandte Generation den Zugang gekappt hat — und
          nicht Teil des normalen Ablaufs.
        

      

    


    
    

      

        
Generationen

        Die letzten 50
      

      

        

          

            
              

                IDErzeugtVon
                AnlassErgebnisPrüfsumme
              

            
            
              
              

                
                  Noch keine Generation erzeugt
                  Die Vorschau oben prüfen und anwenden — erst dann steht der
                  Datenbestand im Kernel.
                
              

            
          

        

      

    


    
    

      

        
Adressquarantäne

      

      

        

          Eine freigewordene Tunneladresse bleibt dreißig Tage gesperrt. Ein
          gelöschter Router läuft an seinem Standort oft noch wochenlang weiter
          und schickt unter der alten Adresse Pakete; würde sie sofort neu
          vergeben, landeten diese Pakete beim falschen Kunden.
        

        

          

            
              
AdresseFrei abGrund

            
            
              
              

                
                  Keine Adresse gesperrt
                  Jede Adresse des Bereichs steht zur Vergabe bereit — hier ist
                  nichts zu tun.
                
              

            
          

        

      

    


    
    

      

        

          
Generation anwenden

          

             Peers,
             Freigaben
          

        

        

          

            

              Der Anlass wandert unverändert ins Protokoll. Die Frage, die im
              Zweifelsfall gestellt wird, lautet nicht „was stand im Kernel",
              sondern „warum stand es an dem Tag so".
            

            

              Der Hostdienst rollt binnen zwei Minuten von selbst zurück, wenn die
              Bestätigung ausbleibt. Das greift genau dann, wenn diese Änderung den
              Weg kappt, über den sie bestätigt werden müsste.
            

          

          

            
            
            
          

          

        

        

          
          
        

      

    


    
    

      

        

          
Zurückrollen

          
Auf den letzten gesicherten Stand

        

        

          

            Der Kernel bekommt wieder die Konfiguration der vorletzten Generation.
            Alles, was seither angewandt wurde, ist damit weg — auch neu
            aufgenommene Standorte.
          

          

        

        

          
          
        

      

    


    
    

      

        

          
Bestand der Generation
            
          

          

        

        

          

          

             Wird geladen …
          

          
        

        

          
          
        

      

    


  









  

    
Zugriffsprotokoll

    

      Wer war wann auf welchem Gerät, was hat er dort getan, und wem wurde
      etwas verweigert. Festgehalten werden Seitenaufrufe, schreibende
      Zugriffe, Fehler und Ablehnungen — nicht jedes einzelne Asset einer
      Visualisierung.
    

  


  

    

      
      
    


    

      
      
    


    

      
      
    


    

      
      
    


    
  


  

    

      Die Abfragezeichenkette steht bereits redigiert in der Datenbank, nicht
      erst in der Anzeige. Ein DEOS-Regler trägt sein Klartextpasswort im
      Query; eine Redaktion, die nur die Darstellung beträfe, ließe es
      trotzdem in der Tabelle und in jedem Backup liegen.
    

  


  

    

      
Einträge

      

        
      

    


    

      

        

          
            

              ZeitpunktKontoAktionGerät
              AnfrageAbfrageStatus
              DauerClient-IPDetail
            

          
          
            
            

              
                Keine Einträge im gewählten Ausschnitt
                Zeitraum erweitern oder Aktion, Konto und Gerät auf „alle“
                zurücksetzen.
              
            

          
        

      

    


    

      

        
        
          Alle Einträge des gewählten Ausschnitts sind geladen.