Firewall-Freigaben für den Agent konfigurieren
Ausgehende Verbindungen für Agent, Installer, Checks, Software-Verteilung und Automatisierungen gezielt erlauben.
Diese Referenz listet die ausgehenden Verbindungsziele des octoja-Agents auf: für die Plattformverbindung, den Installer, Monitoring-Checks, die Software-Verteilung und Automatisierungen, die auf dem Gerät laufen. Erlaube immer die grundlegenden Ziele und zusätzlich die Ziele aus den Abschnitten der Funktionen, die du nutzt.
Integrationen und Checks, die auf der octoja-Plattform laufen, etwa Acronis Cyber Protect Cloud oder Lywand-Schwachstellen, verbinden sich von der octoja-Plattform aus. Dafür brauchst du keine zusätzliche ausgehende Freigabe am Agent-Gerät. Eine Firewall vor der Integrations-API muss octoja dennoch zulassen — siehe IP-Adressen und Firewall-Freigaben.
Hostnamen statt IP-Adressen: Die meisten Ziele liegen hinter CDNs mit wechselnden IP-Adressen. Lege die Einträge als FQDN-Objekte an und stelle die DNS-Auflösung über den vorgesehenen Resolver sicher. Einträge, die mit *. beginnen, sind Wildcards für alle Unterdomains, auch über mehrere Ebenen (etwa ye1.c.lencr.org für *.lencr.org). Unterstützt deine Firewall keine oder nur einstufige Wildcards, erlaube die Unterdomains aus deinem Firewall-Protokoll einzeln.
Grundlegende Ziele
Diese Ziele braucht jedes verwaltete Gerät. Alle Verbindungen gehen vom Gerät aus; eingehende Portweiterleitungen aus dem Internet sind nicht nötig.
cdn.octoja.com
repo.octoja.com
*.lencr.org
Ergänze die Liste um den Hostnamen deiner octoja-Instanz, zum Beispiel your-instance.octoja.cloud. Eigene Check-Repositories benötigen zusätzlich ihre konfigurierten Repository- und Download-Ziele.
Agent-Installation
Windows
Die Windows-Schnellinstallation lädt fehlende Laufzeitkomponenten nach. Alle Ziele nutzen HTTPS auf TCP 443.
aka.ms
download.visualstudio.microsoft.com
go.microsoft.com
download.microsoft.com
Linux
Fehlen libicu oder jq, installiert der Linux-Installer sie über apt-get, dnf oder yum. Dafür muss das Gerät seine konfigurierten Paketquellen erreichen, je nach Quelle über HTTP (TCP 80) oder HTTPS (TCP 443). Dieselben Paketquellen nutzen später auch die Software-Verteilung über Apt sowie die Update-Suche und -Installation unter Linux. Die Standardquellen von Debian und Ubuntu sind:
deb.debian.org
security.debian.org
archive.ubuntu.com
security.ubuntu.com
ports.ubuntu.com
ports.ubuntu.com benötigen nur ARM-Geräte mit Ubuntu. Nutzt das Gerät eigene Spiegelserver oder eine andere Distribution, erlaube stattdessen die Hosts aus /etc/apt/sources.list, /etc/apt/sources.list.d/ bzw. /etc/yum.repos.d/.
Software-Verteilung und Updates
Paketmanager laden Metadaten von festen Hosts, die eigentlichen Installer aber oft direkt vom jeweiligen Softwarehersteller. Die folgenden Listen decken die festen Hosts ab. Blockiert die Firewall trotzdem eine Installation, entnimm den Herstellerhost dem Firewall-Protokoll und ergänze ihn.
WinGet
cdn.winget.microsoft.com
www.powershellgallery.com
cdn.powershellgallery.com
cdn.oneget.org
go.microsoft.com
aka.ms
api.github.com
github.com
raw.githubusercontent.com
objects.githubusercontent.com
release-assets.githubusercontent.com
Chocolatey
Fehlt Chocolatey, installiert octoja es über WinGet oder über community.chocolatey.org/install.ps1. Pakete aus dem Community-Repository laden ihre Installer anschließend beim jeweiligen Hersteller.
community.chocolatey.org
packages.chocolatey.org
Homebrew (macOS)
Fehlt Homebrew, installiert octoja zuerst die Command Line Tools von Apple und klont Homebrew dann von GitHub. Casks laden ihre Installer beim jeweiligen Hersteller.
github.com
raw.githubusercontent.com
formulae.brew.sh
ghcr.io
pkg-containers.githubusercontent.com
swscan.apple.com
swcdn.apple.com
swdist.apple.com
swdownload.apple.com
Eigene Softwarepakete
Eigene Pakete bezieht der Agent über deine octoja-Instanz und installiert sie mit Chocolatey. Fehlt Chocolatey, braucht das Gerät zusätzlich die Ziele aus dem Abschnitt Chocolatey. Die hochgeladene Installer-Datei selbst lädt der Agent über einen zeitlich begrenzten Link aus dem Objektspeicher von octoja.
nbg1.your-objectstorage.com
Betriebssystem-Updates
Update-Suche und -Installation nutzen die Update-Dienste des Betriebssystems. Die Suche kann bereits bei der Inventarisierung laufen.
Windows Update (TCP 80 und 443):
*.update.microsoft.com
*.windowsupdate.com
*.delivery.mp.microsoft.com
*.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
tsfe.trafficshaping.dsp.mp.microsoft.com
macOS-Softwareupdates (TCP 443, teilweise TCP 80):
swscan.apple.com
swcdn.apple.com
swdist.apple.com
swdownload.apple.com
updates.cdn-apple.com
gdmf.apple.com
mesu.apple.com
xp.apple.com
Die vollständigen und aktuellen Herstellervorgaben findest du bei Microsoft zu Windows Update, Apple zu Unternehmensnetzwerken, PowerShell Gallery zu Netzwerk-Endpunkten und Chocolatey zur Sicherheit.
Automatisierungen
Diese Automatisierungs-Aktionen und -Vorlagen laden Dateien direkt auf dem Gerät herunter oder verbinden sich von dort aus.
agent.lywand.com
cloudgz.gravityzone.bitdefender.com
cloud.gravityzone.bitdefender.com
0.pool.ntp.org
1.pool.ntp.org
clients2.google.com
clients2.googleusercontent.com
edge.microsoft.com
msedgeextensions.f.tlu.dl.delivery.mp.microsoft.com
addons.mozilla.org
versioncheck.addons.mozilla.org
versioncheck-bg.addons.mozilla.org
Die weiteren Downloads des Bitdefender-Installers und die laufende Kommunikation der installierten Lywand- und Bitdefender-Agents benötigen eigene Freigaben für die Hersteller-Cloud. Diese findest du in der Dokumentation des jeweiligen Herstellers. Siehe auch Lywand-Agent installieren und Bitdefender anbinden.
Externe Dienste für Monitoring-Checks
Diese Verbindungen gehen von dem Gerät aus, auf dem der Check läuft. Erlaube einen Eintrag nur, wenn du den zugehörigen Check oder die jeweilige Option nutzt.
warranty.api.hp.com
apigtwb2c.us.dell.com
www.powershellgallery.com
cdn.powershellgallery.com
cdn.oneget.org
go.microsoft.com
pcsupport.lenovo.com
www.wortmann.de
endoflife.date
rdap.org
ws1.blitzortung.org
ws7.blitzortung.org
ws8.blitzortung.org
earthquake.usgs.gov
nominatim.openstreetmap.org
ipwho.is
api.deu.cloud.watchguard.com
pool.ntp.org
Ohne API-Schlüssel ruft der Check HP-Garantie die Garantiedaten über das HP-Modul ab. Den Zielhost dieser Abfrage dokumentiert HP nicht. Brauchst du eine vollständig feste Freigabeliste, nutze den Check mit API-Schlüssel; siehe HP-Garantie.
pool.ntp.org verteilt Anfragen auf wechselnde Server. Kann deine Firewall UDP-Verbindungen nicht per FQDN freigeben, trage im Check einen festen NTP-Server ein oder erlaube ausgehend UDP 123.
Der Check DNS-Blacklist (RBL) stellt keine eigenen Verbindungen zu den Blacklist-Zonen her. Er fragt sie als DNS-Abfragen über den DNS-Resolver des Geräts ab (Standardzonen: zen.spamhaus.org, bl.spamcop.net, b.barracudacentral.org). Dafür genügt die DNS-Freigabe (UDP/TCP 53) zu diesem Resolver.
Selbst konfigurierte Ziele
Diese Ziele legst du selbst fest. Entnimm sie der jeweiligen Konfiguration.
Das Öffnen eines Softwarekatalogs aus dem Software-Kiosk verwendet den Browser des Benutzers: community.chocolatey.org, formulae.brew.sh, winget.run oder packages.ubuntu.com. Diese Kataloglinks sind von den Paketdownloads für die Installation getrennt.
Den tatsächlichen Vorgang prüfen
- Wende die Regeln auf das Netzwerk des verwalteten Geräts an und prüfe, ob es sich mit octoja verbindet.
- Führe einen Monitoring-Check aus und prüfe, ob ein neues Ergebnis ankommt. Ist das Gerät online, aber Checks liefern keine Ergebnisse, suche nach blockierten Anfragen an
repo.octoja.comund an die Ziele des Checks selbst. - Teste die benötigte Software- oder Update-Funktion separat; ein funktionierender Check bestätigt diese Download-Pfade nicht.
- Schlägt eine Anfrage fehl, gleiche Zeitpunkt und Ziel mit dem Firewall-/Proxy-Protokoll ab. Prüfe im Dienstkontext des Agents und gegebenenfalls im Benutzerkontext: Ein erfolgreicher Browseraufruf allein reicht nicht.
Deaktiviere weder die Zertifikatsprüfung noch den gesamten Webfilter, nur damit ein Test gelingt. Bei Problemen durch TLS-Inspection hilft Windows-Installationsprobleme beheben. Ist das benötigte Ziel unklar, schicke den fehlgeschlagenen Vorgang, Zeitpunkt und passende Logs an den Support; entferne vorher Zugangsdaten.
FAQ
Das Gerät ist online, aber Live-Diagramme, Fernwartung oder Agentenlogs funktionieren nicht – was prüfe ich?
Das Gerät ist online, aber Live-Diagramme, Fernwartung oder Agentenlogs funktionieren nicht – was prüfe ich?
Der Online-Status bestätigt die Verbindung des Agents, nicht die Verbindung deines Browsers. Auch der Browser, in dem du octoja öffnest, benötigt eine laufende Verbindung zu deiner octoja-Instanz. Beide können in unterschiedlichen Netzwerken liegen.
Prüfe deshalb auch die Firewall und den Proxy im Netzwerk deines Browsers:
- Erlaube zum Hostnamen deiner octoja-Instanz HTTPS und WSS auf TCP 443, einschließlich des Pfads
/api/realtime/hub. WebSocket-Upgrades und bestehende WebSocket-Verbindungen dürfen nicht blockiert oder vorzeitig beendet werden. - Gleiche den Zeitpunkt des fehlgeschlagenen Vorgangs mit dem Firewall-/Proxy-Protokoll ab. Dass die Webseite lädt oder das Gerät online ist, bestätigt diese Verbindung noch nicht.
Falls du die Agentenlogs nicht über octoja abrufen kannst, sammle sie direkt am Gerät – siehe Logs für einen Support-Fall sammeln, Abschnitt Offline-Gerät: Logs manuell sammeln. Dieser Weg funktioniert auch bei einem Online-Gerät.
War dies hilfreich?
Brauchen Sie noch Hilfe? Team fragen