Deine Website antwortet von aussen: Woher weisst du, dass drinnen nichts hängt?
Kurz gesagt
Eine öffentliche Website sagt nichts über den Server, den Speicher, das Gateway oder die Maschine, die den Betrieb tatsächlich am Laufen hält, denn keines davon ist von aussen erreichbar. Sie zu beobachten heisst, von innen aus dem Netzwerk zu fragen — und die ehrliche Grenze lautet: Ein Gerät, das antwortet, ist nicht dasselbe wie ein Gerät, das seine Arbeit macht.
Frag die meisten Leute, ob ihre Systeme laufen, und sie erzählen dir von der Website. Sie ist der Teil mit einer öffentlichen Adresse, der Teil, der sich von überall prüfen lässt — und sie ist ein kleiner Bruchteil dessen, worauf der Betrieb wirklich läuft.
Der Dateiserver hat keine öffentliche Adresse. Der Speicher auch nicht, ebenso wenig der Virtualisierungshost, der Drucker, der die Lieferscheine ausgibt, das Gateway im Technikraum oder die Maschine in der Werkstatt, die seit 2019 denselben Auftrag abarbeitet. Vom Internet aus sieht sie niemand. Das ist eine bewusste und richtige Sicherheitsentscheidung, und sie hat eine Folge: Von aussen lassen sie sich nicht prüfen, also prüft sie fast niemand überhaupt.
Was heisst «im Netzwerk» in der Praxis?
«Im Netzwerk» heisst: etwas Kleines, das im selben Netzwerk sitzt und stellvertretend für dich Fragen stellt — eine schlanke Appliance auf einer übrigen Maschine, eine virtuelle Maschine oder einfach ein Agent auf einem Linux-Rechner, den du ohnehin hast.
Annehmbar wird das durch die Richtung des Verkehrs. Die Sonde öffnet eine ausgehende HTTPS-Verbindung, genau wie ein Browser, und nach innen wird nichts geöffnet: keine Portweiterleitung, kein VPN, keine feste öffentliche Adresse. Netzwerke, in denen die Frage «kannst du einen Port öffnen?» das Gespräch beendet, sind genau die Netzwerke, in denen das funktionieren muss.
Ist sie einmal da, kann sie die Erreichbarkeit von allem abfragen, was eine Adresse hat — und dort, wo du ihr Zugangsdaten gibst, echte Zahlen: Prozessor, Arbeitsspeicher, Festplatte und Last auf Linux- und Windows-Maschinen, SNMP-Werte von Speichersystemen, Switches, Druckern und USV-Geräten, den Zustand von Virtualisierungshosts und von Management-Controllern der Server. Wenn du willst, schaut sie sich in den Netzbereichen um, die du angibst, und schlägt vor, was sie findet — damit du Adressen nicht aus einer Tabelle abtippen musst.
Um welchen Ausfall geht es hier wirklich?
Um das Gerät, das einwandfrei antwortet und dabei nichts tut: Die Erreichbarkeit ist die einfache Hälfte, das hier die teure.
Ein Gateway vor einer Gebäudeautomation antwortet seelenruhig auf seiner Netzwerkadresse, während der Bus dahinter tot ist. Ein Datenpunkt, den jemand auf forciert oder ausser Betrieb gesetzt hat, meldet für immer einen plausiblen Wert. Ein Import, der vor drei Wochen stehen geblieben ist, hinterlässt einen Dienst, der weiterhin auf jede Anfrage sofort antwortet, weil er nichts zu tun hat. In allen drei Fällen ist der Punkt grün und die Arbeit findet nicht statt.
Es gibt einen ehrlichen Weg, das abzufangen, und einen unehrlichen. Der unehrliche ist die Behauptung, ein Überwachungssystem könne von aussen erkennen, dass ein Gerät seine Arbeit macht. Das kann es nicht. Der ehrliche ist, die Arbeit selbst eine Zahl erzeugen zu lassen: wie alt die zuletzt verarbeitete Datei ist, wie viele Einträge warten, wie viele Minuten seit der letzten Änderung eines Werts vergangen sind. Einen Befehl, der das ausgibt, hast du schon, oder du schreibst ihn in fünf Zeilen. Ein Metrik-Monitor kann bis zu acht eigene Befehle von dir ausführen und macht aus jeder ausgegebenen Zahl einen überwachten Wert mit einem Schwellenwert für die Warnung und einem für den Alarm.
Das ist der ganze Trick, und es gehört klar gesagt: Wir erkennen nicht, dass dein System aufgehört hat zu arbeiten. Wir beobachten eine Zahl, die dein System erzeugt, und diese Zahl bewegt sich nicht mehr.
Was du diese Woche tun kannst
- Schreib die Liste dessen auf, ohne das der Betrieb stillstehen würde, und markiere, was davon eine öffentliche Adresse hat. Das Unmarkierte ist die Lücke.
- Setz eine Sonde ins Netzwerk und fang mit der Erreichbarkeit von allem auf dieser Liste an. Das kostet einen Nachmittag und verändert das Gespräch schon spürbar.
- Ergänze Zugangsdaten dort, wo du sie hast, damit die wichtigen Maschinen Zahlen melden statt eines Punkts.
- Wähl den einen Vorgang, dessen stiller Ausfall am meisten weh täte, und lass ihn eine Zahl ausgeben — Alter der Datei, Länge der Warteschlange, Minuten seit der letzten Änderung. Behalte diese Zahl im Blick.
- Sorg dafür, dass die Sonde selbst beobachtet wird, damit Stille von innen etwas bedeutet.
Die Überwachung von aussen sagt dir, was deine Kunden sehen. Die Überwachung von innen sagt dir, ob der Betrieb noch funktioniert. Das sind nicht dieselben Fragen, und meistens wird nur eine davon gestellt.
Was wir dir nicht sagen können
- Wir können ein Gerät nicht sehen, das nichts preisgibt: Wenn es keine Möglichkeit gibt, es zu fragen, können wir dir nur sagen, ob es im Netzwerk überhaupt antwortet.
- Wir können keinen Automations- oder Gebäudebus auslesen — KNX, BACnet und Ähnliches: Heute sehen wir das Gateway davor, nicht den Bus dahinter.
- Wir können dir von uns aus nicht sagen, dass ein Wert eingefroren ist. Wenn dein eigener Befehl ausgibt, wie lange die letzte Änderung her ist, beobachten wir diese Zahl und schlagen darauf Alarm — die Berechnung muss von deiner Seite kommen.
- Wir können nicht entdecken, was du nicht angegeben hast: Die Sonde schaut nur in den Netzbereichen nach, die du ihr nennst, und nur, wenn du die Erkennung einschaltest.
Fragen, die wirklich gestellt werden
Warum kann von aussen alles in Ordnung sein, während drinnen etwas tot ist?
Weil es verschiedene Maschinen mit verschiedenen Aufgaben sind. Die öffentliche Website ist der kleine Teil des Betriebs, der zum Internet zeigt. Der Dateiserver, der Speicher, der Virtualisierungshost, die Maschine, die die Lieferscheine druckt — keines davon ist nach aussen erreichbar, mit Absicht, also kann dir nichts im Internet etwas darüber sagen. Ihr Schweigen ist kein Beleg für Gesundheit, sondern nur dafür, dass sie unerreichbar sind.
Muss ich dafür Ports öffnen oder ein VPN einrichten?
Nein, und das sollte auch nicht nötig sein. Eine kleine Sonde im Netzwerk baut eine ausgehende HTTPS-Verbindung auf und sonst nichts: keine eingehenden Ports, kein VPN, keine feste Adresse. Es ist dieselbe Verkehrsrichtung wie bei einem Browser, und genau deshalb funktioniert es in Netzwerken, in denen das Öffnen von irgendetwas gar nicht zur Debatte steht.
Was kann sie einen Server oder ein Gerät wirklich fragen?
Die Erreichbarkeit von allem, was eine Adresse hat; und mit Zugangsdaten echte Zahlen: Prozessor, Arbeitsspeicher, Festplatte und Last auf Linux über SSH, das Gegenstück auf Windows, SNMP-Werte von Speichersystemen, Druckern, Switches und USV-Geräten sowie den Zustand von Virtualisierungshosts und von Management-Controllern der Server. Jeder dieser Punkte ist eine Zahl mit einem Schwellenwert, einer Kurve und einem Verlauf, nicht ein roter oder grüner Punkt.
Wie erwische ich das, was antwortet, aber aufgehört hat zu arbeiten?
Indem du eine Zahl beobachtest, die sich nur bewegt, wenn die Arbeit wirklich passiert: das Alter der zuletzt verarbeiteten Datei, die Länge einer Warteschlange, die Zeit seit der letzten Änderung eines Werts. Auf einem Metrik-Monitor kannst du bis zu acht eigene Befehle laufen lassen, und die Zahl, die jeder davon ausgibt, wird zu einem überwachten Wert mit Schwellenwerten für Warnung und Alarm. So wird ein Auftrag sichtbar, der leise stehen geblieben ist.
Wie viele Monitore braucht ein Server?
In der Praxis zwei bis vier: einer, der Prozessor, Arbeitsspeicher und Festplatte zusammen abdeckt, plus einer für jeden Dienst darauf, der zählt. Als grobe Orientierung: Fünfzig Monitore decken etwa fünfzehn bis fünfundzwanzig Server ab — nützlich, wenn du herausfinden willst, welcher Tarif passt, bevor du irgendetwas installierst.
Was passiert, wenn die Sonde die Verbindung verliert?
Sie prüft weiter und speichert die Ergebnisse lokal, dann liefert sie sie nach, sobald die Verbindung zurück ist — so hat der Verlauf kein Loch und der Ausfall wird nicht deinen Diensten angelastet. Und eine Sonde, die aufhört zu melden, ist selbst ein Alarm: Stille muss etwas bedeuten, sonst bedeutet sie nichts.