Uitgaande verbinding, proxy en SSL-inspectie

Welke uitgaande verbinding de collector nodig heeft, hoe je een proxy of het CA-certificaat van een SSL-inspecterende firewall instelt en hoe je dat controleert met diagnose.

De collector praat met het platform via één uitgaande HTTPS-verbinding. Bij de klant hoeft geen enkele poort open naar binnen. In dit artikel stel je die verbinding goed in, ook als er een proxy of SSL-inspectie tussen zit.

#Wat de collector nodig heeft

• Uitgaand HTTPS (TCP 443) naar één hostnaam: het adres van het portaal, bijvoorbeeld portal.obsolens.com.
• DNS om die hostnaam op te zoeken (of een proxy die dat doet).
• Een kloppende klok, anders mislukt de TLS-controle.

De collector luistert nergens op en maakt geen andere verbindingen naar internet. Bij Toegang regelen bij de collector in het portaal zie je de exacte hostnaam en of de collector via een proxy werkt.

#Controleren met diagnose

Voer op de collector uit:

sudo obsolens-collector diagnose

& "C:\Program Files\Obsolens\obsolens-collector.exe" diagnose

Diagnose test achter elkaar Proxy, DNS, Firewall, TLS en SSL-inspectie, Platform, Webfilter, Aanmelding en Klok. Bij elke stap die mislukt zegt hij wat je moet aanpassen. Meer uitleg per uitkomst staat in De uitkomst van diagnose.

#Een proxy instellen

De collector gebruikt een proxy op een van deze manieren:

1. Bij het koppelen of installeren met --proxy:

   sudo obsolens-collector install --config /etc/obsolens/collector.json --proxy http://proxy.klant.local:3128
   

2. In de config (/etc/obsolens/collector.json of C:\ProgramData\Obsolens\collector.json):

   "proxy": "http://proxy.klant.local:3128"
   

   Vraagt de proxy om aanmelding, zet de gegevens dan in het adres: http://gebruiker:wachtwoord@proxy:poort. Diagnose meldt dat als de proxy "407" antwoordt.

3. Windows: geef je bij install geen proxy op, dan neemt de collector de machinebrede WinHTTP-proxy over (netsh winhttp show proxy).

4. Zonder instelling gebruikt de collector de omgevingsvariabele HTTPS_PROXY, als die er is.

Wil je juist geen proxy gebruiken terwijl er wel een is ingesteld, zet dan "proxy": "none".

Herstart de collector na een wijziging in de config. Op Linux:

sudo systemctl restart obsolens-collector

Op Windows beëindig en start je de geplande taak Obsolens Collector in Taakplanner.

#SSL-inspectie

Een firewall of proxy die HTTPS openbreekt, vervangt het certificaat van het platform door een eigen certificaat. De collector vertrouwt alleen publieke certificaatautoriteiten en weigert dan de verbinding. Diagnose meldt dit onder SSL-inspectie en noemt de uitgever van het vervangende certificaat.

Je hebt twee mogelijkheden:

1. Uitzondering op de SSL-inspectie (aanbevolen). Zet de hostnaam van het platform op de uitzonderingenlijst van de firewall of proxy. De stappen per merk staan in de firewallartikelen, bijvoorbeeld FortiGate en Sophos Firewall.

2. Het CA-certificaat van de firewall opgeven. Kan een uitzondering niet, exporteer dan het CA-certificaat van de firewall als PEM en zet het pad in de config:

   "ca_file": "/etc/obsolens/firewall-ca.pem"
   

   Bij het koppelen kan dat ook met --ca-file. De collector vertrouwt dan naast de publieke autoriteiten ook dit certificaat.

#Webfilter

Sommige webfilters sturen onbekende sites naar een blokkeerpagina. Diagnose meldt dan onder Webfilter dat er iets anders antwoordt dan het platform. Zet de hostnaam van het platform op de allowlist van het webfilter.

#Als het platform even niet bereikbaar is

Mislukt het versturen kort na een scan, dan bewaart de collector de scan en verstuurt hij hem bij de volgende geslaagde check-in. Het portaal meldt daarna hoe lang het platform onbereikbaar was. Een collector die langer dan 10 minuten niets laat horen, krijgt in het portaal de status offline (zie Collector offline).

#Zie ook

• De uitkomst van diagnose
• Handmatig installeren, proxy en eigen CA-certificaat
• Collector offline