Agents für private Zertifikate

Manche Zertifikate sind nur aus Ihrem eigenen Netzwerk erreichbar: das Intranet, interne Mail- und LDAP-Server, eine Kubernetes-API, die Verwaltungsoberfläche eines Servers oder Druckers. Die Prüfungen von CertWatchr laufen im Internet und verbinden sich bewusst nie zu privaten Adressen. Ein Agent schließt diese Lücke: Er läuft auf einem Linux-Server in Ihrem Netzwerk, prüft diese Hosts dort und meldet, was er gesehen hat. Ablaufwarnungen, Health Score, Benachrichtigungszentrale und alle Benachrichtigungen funktionieren genau wie bei einem öffentlichen Zertifikat.

Agents gehören zu Pro (ein Agent) und Team (bis zu 25).

So funktioniert es

• Der Agent baut nur ausgehende HTTPS-Verbindungen zu CertWatchr auf. Zu ihm hin muss nichts geöffnet werden, und er verbindet sich nur zu den Hosts, die Sie erlauben.
• Etwa einmal pro Minute fragt er, welche Prüfungen fällig sind, führt die TLS-Handshakes mit dem DNS Ihres Netzwerks aus und schickt zurück, was jeder Server vorgelegt hat: die Zertifikatskette, die TLS-Version und ob alte Protokollversionen noch angenommen werden.
• CertWatchr entscheidet, was das bedeutet. Ob das Zertifikat vertrauenswürdig ist, zum Hostnamen passt und bald abläuft, wird bei uns beurteilt, mit denselben Regeln wie jede andere Prüfung.
• Jede Domain eines Agents wird alle 30 Minuten geprüft; Jetzt prüfen beauftragt den Agent bei seiner nächsten Abfrage.

Einen Agent installieren

1. Öffnen Sie Einstellungen → Agents, geben Sie dem Agent einen Namen (etwa Rechenzentrum Wien) und wählen Sie Agent hinzufügen.
2. Kopieren Sie den angezeigten Befehl. Er enthält ein einmaliges Installations-Token, das 24 Stunden gilt und nur einmal angezeigt wird.

3. Führen Sie ihn auf einem Linux-Server in dem Netzwerk aus, in dem die Zertifikate sind:

   docker run -d --name certwatchr-agent --restart unless-stopped \ -e CERTWATCHR_ENROLL=<token> \ -e CERTWATCHR_ALLOW_NETWORKS=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16 \ -v certwatchr-agent:/var/lib/certwatchr-agent \ <Image von der Seite>

4. Innerhalb einer Minute wird der Agent als Online angezeigt.

Ohne Docker, unter Debian oder Ubuntu (Python 3.11 oder neuer): Installieren Sie das Paket certwatchr-agent, tragen Sie das Token als CERTWATCHR_ENROLL=<token> in /etc/certwatchr-agent/env ein, legen Sie die Allowlist in /etc/certwatchr-agent/config.toml fest und starten Sie systemctl enable --now certwatchr-agent. Beim ersten Start meldet sich der Agent an.

Token verloren, oder zieht der Agent auf einen anderen Rechner um? Neues Installations-Token erstellt ein weiteres; wer sich damit anmeldet, schaltet die alte Installation ab.

Die Allowlist

Der Agent verbindet sich nur zu den Adressbereichen und Ports, die Sie erlauben (CERTWATCHR_ALLOW_NETWORKS, CERTWATCHR_ALLOW_PORTS, optional CERTWATCHR_ALLOW_HOSTNAMES), egal, was er prüfen soll. Eine Prüfung außerhalb der Allowlist wird als abgelehnt gemeldet, und die Domain zeigt den Grund. Ohne Docker stehen dieselben Einstellungen in /etc/certwatchr-agent/config.toml.

Eine Domain vom Agent prüfen lassen

Beim Hinzufügen oder Bearbeiten einer Domain bietet Geprüft von die CertWatchr-Cloud und jeden Ihrer Agents an. Wählen Sie den Agent für einen Host, den nur Ihr Netzwerk erreicht; private Adressen wie 10.0.0.5 werden dann angenommen. Hosts, die als IP-Adresse angegeben sind, werden mit den IP-Adressen im Zertifikat verglichen.

Ihre eigene CA

Zertifikate Ihrer eigenen CA (Active Directory Certificate Services, step-ca, Vault) kennen öffentliche Vertrauensspeicher nicht. Fügen Sie das CA-Zertifikat unter Einstellungen → Agents → Ihre CA-Zertifikate hinzu; jede Kette, die dorthin führt, gilt dann als vertrauenswürdig. Nötig ist nur das Zertifikat, nie sein privater Schlüssel; eine Datei, die einen enthält, lehnt CertWatchr ab. Eine CA, der der Rechner des Agents schon vertraut, zählt ebenfalls.

Selbstsignierte Geräte

Verwaltungsoberflächen, NAS-Systeme und Drucker haben oft ein selbstsigniertes Zertifikat. Wählen Sie für sie Vertrauen: Genau dieses Zertifikat. Das erste Zertifikat, das der Agent sieht, wird gepinnt; ändert es sich, wechselt die Domain auf Fehler und Sie werden benachrichtigt. War die Änderung erwartet? Aktuellem Zertifikat vertrauen auf der Domain-Seite pinnt das neue.

Widerruf privater Zertifikate

Der Agent fragt auch Ihre CA, ob ein Zertifikat widerrufen wurde: Er lädt die Sperrliste (CRL), die im Zertifikat genannt ist, sofern deren Adresse in der Allowlist liegt, und prüft ihre Signatur gegen die ausstellende CA. Eine CRL, die der Agent nicht abrufen darf oder kann, gilt als unbekannt und kostet keine Punkte.

Ein Zertifikat von mehreren Standorten (Team)

Bei Team ist Geprüft von eine Liste von Kontrollkästchen: Wählen Sie die CertWatchr-Cloud und beliebige Ihrer Agents. Jeder Standort prüft für sich, und die Domain-Seite zeigt sie unter Wo geprüft wird nebeneinander.

• Die Domain zeigt den schlechtesten Standort. Ein Zertifikat, das in einem Rechenzentrum in drei Tagen abläuft, ist kritisch, egal wie gut das andere aussieht.
• Sehen die Standorte unterschiedliche Zertifikate, werden Sie benachrichtigt: Meist wurde bei einer Erneuerung ein Server oder Load Balancer vergessen, oder Split-Horizon-DNS zeigt intern woandershin.
• Zertifikatsdetails und Health Score stammen vom ersten Standort: von der Cloud, wenn sie dabei ist, sonst vom ältesten Agent.

Wenn ein Agent offline geht

Fragt ein Agent zehn Minuten lang nicht nach Aufgaben, erhalten Sie eine E-Mail und einen Eintrag in der Benachrichtigungszentrale, und seine Domains werden nicht geprüft, bis er zurück ist. Kommt er wieder, schließt sich der Eintrag von selbst.

Tarife

	Pro	Team
Agents	1	bis zu 25
Standorte pro Zertifikat	1	beliebig viele

Nach einem Downgrade pausieren Agents, die über den Tarif hinausgehen, statt gelöscht zu werden: Sie behalten Token und Domains und machen nach einem Upgrade bei ihrer nächsten Abfrage weiter. Von Team zu Pro wird jede Domain nur noch vom ersten Standort geprüft; die anderen bleiben erhalten und kommen nach einem Upgrade zurück.