Agenten

Ein Agent ist der verlängerte Arm dieser Installation im Kundennetz. Er spricht mit den Geräten – Flow selbst tut das nie – und geht erst in Betrieb, wenn ein Mensch ihn freigibt.

Agenten freigeben#

Ein Agent ist der verlängerte Arm von Flow im Kundennetz: Er spricht mit den Geräten, Flow selbst tut das nie. Ein neuer Agent meldet sich unter System → Agenten und wartet, bis ein Mensch ihn freigibt.

So geht's

Agent freigeben

Tragen Sie Adresse und Kennung in die Umgebung des Agenten ein und starten Sie ihn.
Wählen Sie oben den Bereich, in den der Agent gehört.
Prüfen Sie in der Liste Kennung und Absenderadresse – Sie geben einen Rechner frei, nicht einen Namen.
Klicken Sie Freigeben. Der Agent geht von selbst in Betrieb, ohne Neustart.
Tragen Sie ihn unter Bestand → Netzwerk bei den Netzen als Weg ein – sonst erreicht er kein Gerät.

Agent anhalten oder abweisen

Sperren hält ihn vorübergehend an, etwa für eine Wartung. Seine Zuweisungen bleiben.
Ablehnen sagt nein. Auch das lässt sich später mit Freigeben ändern.

Schalten erlauben

Klicken Sie beim Agenten Einstellungen ….
Haken Sie Darf schalten (Steuerbefehle) an und klicken Sie Speichern.

Gerät getauscht

Klicken Sie beim neuen, wartenden Agenten Ersetzt ….
Wählen Sie unter Bisheriger Agent den alten und klicken Sie Ersetzen. Der neue übernimmt Namen, Einstellungen und Wege; der alte wird ausgemustert.

Token erneuern

Klicken Sie beim verbundenen Agenten Token erneuern. Das alte Token gilt, bis er sich mit dem neuen meldet.

Gut zu wissen

Ausmustern … ist für ein Gerät, das ersatzlos wegfällt. Es ist endgültig.
Steht in der Spalte Bedient „kein Netz – erreicht nichts“, fehlt der Weg unter Bestand → Netzwerk.
Neben System → Agenten steht, wie viele Agenten auf Freigabe warten.
Steht rot „ohne gültiges Token abgewiesen“ unter der Kennung, wurde der Agent etwa neu aufgesetzt. Sperren Sie ihn und geben Sie ihn neu frei.
Ohne gewählten Bereich bleibt die Liste leer, auch die der Wartenden.

Hintergrund

Kurz (bisher)

Ein Agent ist der verlängerte Arm dieser Installation im Kundennetz. Er spricht mit den Geräten – Flow selbst tut das nie. Nach dem Einschalten geht ein Agent nicht von selbst in Betrieb: Er meldet sich, erscheint hier und wartet, bis ein Mensch ihn freigibt.

Warum die Freigabe von Hand

Weil das Dienstkonto allein nicht genügen soll. Ein Agent, der sich selbst in Betrieb nimmt, weil er die richtigen Zugangsdaten hat, verwandelt ein gestohlenes Konto in ein Gerät, das im Kundennetz schalten darf. Die Freigabe ist die Stelle, an der ein Mensch prüft: Kenne ich diese Maschine?

Die Zustände

Zustand	Was er bedeutet	Wann der Agent wieder anklopft
wartet auf Freigabe	Hat sich gemeldet, darf nichts	alle 30 Sekunden
arbeitet	Freigegeben, liest und schaltet	–
gesperrt	Vorübergehend stillgelegt, Zuweisungen bleiben	alle 5 Minuten
abgelehnt	Ein Mensch hat nein gesagt	jede Stunde
ausgemustert	Das Gerät ist weg – endgültig	jede Stunde, ohne Erfolg

Sperren ist nicht Ablehnen. Wer sperrt, hält an – etwa für eine Wartung; die Zuweisungen des Agenten bleiben, und er kommt bald wieder. Wer ablehnt, sagt nein; der Agent meldet sich dann nur noch stündlich.

Auch eine Ablehnung ist nicht endgültig. Sie können jederzeit freigeben. Der Agent hört bewusst nie ganz auf anzuklopfen – ein Agent, der aufgäbe, müsste nach einem Sinneswandel vor Ort neu gestartet werden, und genau diese Fahrt soll der Aufbau vermeiden.

Die Kennung

Daran erkennt die Installation denselben Agenten wieder – auch nach einer Neuinstallation. Deshalb steht ein freigegebener Agent nach einem Neustart nicht erneut in der Empfangsliste, und eine Ablehnung lässt sich nicht durch Neuverbinden umgehen.

Sie ist ein Merkmal, kein Nachweis. Sie sagt, welches Gerät sich wieder meldet, nicht dass es dazugehört – deshalb steht am Ende immer die Freigabe durch einen Menschen. In der Liste hilft sie Ihnen, zwei ähnlich benannte Agenten auseinanderzuhalten. Darunter steht, von welcher Adresse er sich zuletzt gemeldet hat: Sie geben einen Rechner frei, nicht einen Namen.

Das Token

Nach der Freigabe bekommt der Agent bei seiner nächsten Verbindung ein Token und nennt es ab dann bei jeder Verbindung. Ab da zählt das Token, nicht mehr die Kennung: Meldet sich jemand mit der Kennung, aber ohne gültiges Token, wird er abgewiesen, und alle, die Agenten verwalten dürfen, bekommen eine Meldung („Jemand gibt sich als Agent … aus”, mit Absenderadresse – höchstens einmal in der Stunde). In der Liste steht die letzte Abweisung rot unter der Kennung.

Token erneuern gibt dem Agenten über seine offene Verbindung ein neues. Das bisherige gilt weiter, bis er sich einmal mit dem neuen gemeldet hat – wer die Nachricht verpasst, sperrt sich nicht aus. Geht nur, solange er verbunden ist.
Agent neu aufgesetzt (Token weg): Er wird abgewiesen. Sperren und neu freigeben – die Freigabe gibt das Token neu aus; prüfen Sie dabei die Adresse.
Flow speichert nur einen Hash des Tokens, nie das Token selbst.

Über das Internet nie unverschlüsselt. Von einer öffentlichen Adresse nimmt Flow einen Agenten nur über HTTPS an (WireGuard oder ein Proxy mit Zertifikat davor). Im lokalen Netz und im WireGuard-Tunnel geht es ohne.

Der Name ist die Kennung selbst; beim Freigeben gibt es kein Namensfeld. Wählen Sie die Kennung deshalb schon beim Einrichten sprechend: „Agent Halle 2” hilft in einem halben Jahr, „Agent auf DESKTOP-4F2A” nicht.

So kommt ein Agent herein

Adresse und Kennung in den Agenten eintragen – in die Umgebung des Containers. Die Kennung muss einen Neustart und ein neues Abbild überleben; sonst erscheint derselbe Agent nach jedem Update als neuer.
Agent starten. Er meldet sich und erscheint hier als wartet auf Freigabe – in jedem Bereich, denn er gehört noch in keinen.
Freigeben. Dabei wird er dem oben gewählten Bereich zugeordnet.

Mehr ist nicht zu tun. Ein wartender Agent fragt alle 30 Sekunden nach und geht von selbst in Betrieb, sobald Sie freigegeben haben – kein Eintragen, kein Neustart. Das gilt auch für hundert Agenten: Jeder holt sich seine Freigabe selbst ab.

Es entsteht dabei kein Zugangsschlüssel, den Sie verwahren müssten. Sein Token holt sich der Agent selbst über den Kanal (siehe Das Token) – abschreiben soll es niemand.

Es gibt keinen Kopplungscode, und das ist eine Entscheidung. Der Kanal, über den ein Agent sich meldet, kann keine Anmeldung verlangen – vor der Freigabe hat der Agent kein Konto. Ein Geheimnis an dieser Stelle hätte aber nichts gesichert, was nicht ohnehin offen liegt: Diese Installation steht im Netz des Kunden, und wer sie dort erreicht, kann mehr, als eine Liste zu füllen. Es hätte nur jede Inbetriebnahme um einen Weg über das Portal verlängert. Die Absicherung ist die Freigabe.

Sollten Agenten einmal über das Internet verbinden, kommt ein Aufnahmegeheimnis dazu – dann ist es die einzige Grenze und nicht bloß eine zweite. Bis dahin nimmt Flow eine Verbindung von einer öffentlichen Adresse ohne HTTPS gar nicht erst an.

Einstellungen

Einstellungen … an einem freigegebenen oder gesperrten Agenten:

Darf schalten – Steuerbefehle (ein-/ausschalten, Port abschalten). Lesen und messen darf jeder freigegebene Agent; schalten nur, wenn das an ist.

Gerät getauscht: Ersetzen statt neu einrichten

Kommt ein neues Gerät an die Stelle eines alten, meldet es sich als wartet auf Freigabe. Statt es freizugeben und alles neu einzutragen, nehmen Sie bei ihm Ersetzt … und wählen den bisherigen Agenten: Der neue bekommt dessen Namen und Einstellungen, die Wege der Netze zeigen danach auf ihn, und er ist sofort freigegeben; der bisherige wird ausgemustert.

Ausmustern … allein ist für ein Gerät, das ersatzlos wegfällt. Es fragt nach, denn es ist endgültig: Der Agent wird nicht wieder freigegeben, seine Wege führen ins Leere, sein Token verfällt.

Bedient – ohne Netz erreicht er nichts

Ein freigegebener Agent ist verbunden und arbeitsbereit – und erreicht trotzdem kein einziges Gerät, solange er in keinem Netz als Weg eingetragen ist. Das ist der häufigste Grund, warum ein frisch eingerichteter Agent nichts tut; in seiner Zeile steht dann „kein Netz – erreicht nichts”.

Eingetragen wird am Netz, nicht hier (ADR-0192): unter Bestand → Netzwerk, beim Netz Wege bearbeiten. Dort stehen auch Sprunggerät (meist die Firewall), Sprungadresse und Vorrang – siehe Netzwerk. Ein Agent kann Netze mehrerer Kunden und auch anderer Bereiche bedienen, etwa als Agent in der Netbits.Cloud. In der Spalte Bedient steht, welche Netze das sind.

Der Zähler am Menüpunkt

Neben System → Agenten steht, wie viele Agenten auf Freigabe warten – still, ohne Meldung oder Glocke. Ein neues Gerät, das noch niemand freigegeben hat, ist keine Störung; man soll es aber sehen, wenn man vorbeischaut. Nur wer Agenten verwalten darf, sieht die Zahl.

Wenn kein Agent erscheint

Kein Bereich gewählt – ohne Auswahl bleibt die Liste leer, auch die der Wartenden.
Der Agent erreicht die Installation nicht – er wählt immer selbst; eine Portweiterleitung beim Kunden braucht es nicht, aber ausgehend muss er herauskommen.
Keine Kennung eingetragen – dann startet der Agent gar nicht erst und sagt es in seinem Protokoll.
Abgewiesen (rot unter der Kennung) – er hat kein gültiges Token mehr, etwa nach einer Neuinstallation. Sperren und neu freigeben.
Schon einmal abgelehnt – dann klopft er noch stündlich an, steht aber nicht mehr unter den Wartenden. Geben Sie ihn frei, wenn es doch der richtige war.

Hängt zusammen mit

Bereich

Stand der Texte: Netbits.Flow 0.2.0.0-beta.3

Netbits.Flow ist ein Produkt der Netbits e.U. ·Kontakt · Impressum · Datenschutz