Monitoring zařízení v lokální síti
NAS, tiskárna, kamera ani stroj v serverovně nemají veřejnou adresu, takže je z internetu nemá co zkontrolovat. Agent ve vaší síti to dokáže.
Kontrola, která běží na vaší straně routeru
Každá kontrola, kterou posíláme zvenčí, začíná na internetu a míří dovnitř — a přesně proto žádná z nich nevidí zařízení bez veřejné adresy. NAS na 192.168.1.20 je zvenčí nedostupný záměrně a stejně je na tom každá tiskárna, kamera, přístupový bod či virtuální stroj za týmž routerem. Monitoring lokální sítě otáčí směr. Na stroj, který bývá stále zapnutý — server, mini PC, Raspberry Pi — nainstalujete jednoho agenta, ten projde privátní sítě, které povolíte, a nahlásí, co odpovědělo. Vše nalezené se stane inventářem, ve kterém si listujete; ze zařízení, která vyberete, se stanou běžné monitoringy Pulsitoru se stejnými incidenty, stejnou historií a stejnými notifikačními kanály jako vaše weby.
| 192.168.1.1 | gateway | monitorováno |
| 192.168.1.20 | nas | monitorováno |
| 192.168.1.31 | printer | monitorováno |
| 192.168.1.77 | camera-hall | jen v inventáři |
Agent nahlásí, co našel. Které ze zařízení stojí za incident, rozhodujete vy — kus po kusu.
Jak monitoring lokální sítě funguje
Čím je Pulsitor silný hned po nasazení.
Jeden binární soubor jako služba
Na stroji, který je stále zapnutý, spustíte jeden příkaz. Agent se sám nainstaluje jako systémová služba, startuje spolu se strojem a sám se restartuje, kdyby se zastavil. Nic dalšího se neinstaluje a není tu žádný runtime, který byste museli udržovat záplatovaný.
Agent prohledá, vy vyberete
Agent nahlásí, na jakých sítích je připojen a co na nich odpovědělo. Zda se některá z těch sítí vůbec prohledá, je vaše rozhodnutí — a stejně tak i to, které z nalezených zařízení stojí za sledování. Zbytek zůstane jen seznamem.
Vybrané zařízení je monitoring
Od té chvíle se zařízení kontroluje ve vlastním intervalu a to, které přestane odpovídat, otevře incident na kanálech, jež už používáte. Agent měří; co se počítá jako výpadek, se rozhoduje tady, ne ve vaší síti.
Co si na tom lidé hlídají
Cokoli za routerem, čeho si všimnete až tehdy, když to přestane být.
NAS a zálohy
Zařízení, na které se píše každá záloha, bývá zároveň to, do něhož se měsíce nikdo nepřihlásí. NAS, který vypadl ze sítě, vezme s sebou i každou další zálohu — potichu.
Tiskárny a etiketovací tiskárny
Skladová tiskárna, která ve tři ráno ztratila adresu, zastaví ranní směnu, ne noční. Dozvědět se to dřív, než někdo zkusí tisknout, je celý smysl.
Kamery a přístupové body
Kamera, která ztmavla, nenahrává nic, a přístupový bod, který se restartoval na jinou adresu, nechá kus budovy bez Wi-Fi. Ani jedno se samo neozve.
Servery, switche a stroje
Hypervizory, databázové servery, řídicí jednotky na výrobní lince, virtuální stroj, který se po restartu hostitele nevrátil — všechno, co má adresu a nemá jak zavolat o pomoc.
Co agent smí a co ne
Běží ve vaší síti, takže na tom, co nesmí, záleží víc než na jeho funkcích.
Nikdy nepřijímá spojení
Každá výměna začíná jako odchozí HTTPS požadavek z vaší strany. Není co přesměrovat na portu, netřeba stavět VPN a na stroji nezůstává žádná naslouchající služba, kterou by měl kdo najít. Stačí firewall, který pouští běžný odchozí provoz.
Prohledá jen to, co povolíte
Agent nahlásí, na jakých sítích je připojen, a čeká. Dokud tu síť nezapnete, neprohledá se nic, v úvahu přicházejí jen privátní rozsahy adres a síť příliš širokou na prohledání odmítne místo toho, aby ji sondoval.
Sám nerozhoduje o ničem
Zda zařízení chybí, zda se mu změnila adresa a zda jedno nebo druhé stojí za to někoho vzbudit, jsou úsudky, které padají na naší straně z toho, co agent nahlásil. Nenese v sobě žádné prahové hodnoty, takže kompromitovaný agent nemá jak si výpadek vymyslet.
Nainstalováno jedním příkazem
Jediné, co přenášíte, je registrační token — agent už ví, kam má hlásit.
Linux a macOS
curl -fsSL https://github.com/pulsitor/pulsitor-lan-agent/releases/latest/download/install.sh \ | sudo sh -s -- --enroll <token>
Skript stáhne správné sestavení pro daný stroj, ověří ho proti zveřejněným kontrolním součtům a předá řízení agentovi, který se sám nainstaluje jako služba.
Windows
iwr https://github.com/pulsitor/pulsitor-lan-agent/releases/latest/download/install.ps1 -OutFile install.ps1 .\install.ps1 -EnrollToken <token>
Z PowerShellu spuštěného jako správce. Agent se zaregistruje u správce služeb a startuje spolu se strojem.
Binárka, kterou už máte
sudo ./pulsitor-lan-agent service install --enroll <token>
Instalátor je jen obal, který stáhne a ověří. Jeden příkaz zkopíruje binárku, uplatní token a zapíše definici služby.
Proč hlídat síť takto
Vidí tam, kam sonda nedosáhne
Za NATem, na privátním rozsahu, na zařízení, které veřejnou adresu nikdy mít nebude. Pokud se k němu agent dostane v lokální síti, dá se monitorovat — aniž byste cokoli z toho vystavili internetu.
Ověřuje, kdo odpověděl, ne že něco odpovědělo
Adresa přestává být identitou ve chvíli, kdy DHCP předá zápůjčku někomu jinému. Agent porovnává i hardwarovou adresu, takže soused na staré IP se nikdy nevydá za vaše běžící zařízení.
Stejné incidenty, stejné kanály
Zařízení, které zmizelo, je incident jako každý jiný: tytéž kanály upozornění, tatáž historie a tytéž status stránky, které váš tým už čte.
Monitoring lokální sítě ve zkratce
Co agent doopravdy dělá, v číslech.
| Vlastnost | Hodnota |
|---|---|
| Co se kontroluje | Že zařízení odpoví na sondu poslanou teď a že má stále tutéž adresu jako předtím |
| Jak se zařízení sonduje | ICMP echo zevnitř sítě, s ověřením hardwarové adresy proti odpovědi |
| Inventarizační průchod | Každých 5 minut, přes privátní sítě, které povolíte |
| Interval kontroly na zařízení | Od 15 sekund do 24 hodin — nejkratší interval závisí na vašem plánu |
| Kdy se zařízení počítá jako offline | Nedostupné 3 minut, a nikdy ne po jedné zmeškané sondě |
| Jaké incidenty otevírá | Zařízení offline a změna adresy zařízení — s původní i novou adresou v upozornění |
| Běží na | Linux, macOS a Windows — jedna statická binárka nainstalovaná jako systémová služba |
| Co potřebuje od firewallu | Jen odchozí HTTPS. Žádné příchozí spojení, žádné přesměrování portů, žádná VPN |
| Agentů na účet | Až 10, takže z jednoho účtu hlídáte více lokalit |
| Notifikační kanály | 14 |
| Dostupné v | Placené plány, od 6 EUR měsíčně |
Otázky k monitoringu lokální sítě
Co agent vidí, co posílá a co nikdy nedělá.
Kde musí agent běžet?
Na libovolném stroji, který bývá zapnutý a je na síti, kterou chcete hlídat — server, mini PC, Raspberry Pi, virtuální stroj. Nepotřebuje vlastní pevnou adresu a nic se k němu nemusí umět dostat.
Musím otevírat port nebo stavět VPN?
Ne. Agent nikdy nepřijme příchozí spojení; dělá odchozí HTTPS požadavky k nám, stejně jako kterýkoli prohlížeč v té síti. Nic se nevystavuje internetu a není tu naslouchající služba, na kterou by šlo zaútočit.
Co nám agent posílá?
Adresy, hardwarové adresy a jména zařízení, která odpověděla na sítích, jež jste povolili, a dál to, zda každé monitorované zařízení stále odpovídá. Nezachytává se žádný provoz, ze samotných zařízení se nic nečte a ze stroje neodejde žádný soubor.
Které sítě prohledává?
Jen ty, které zapnete, a jen z privátních rozsahů. Agent nahlásí, na čem je připojen, a čeká na to rozhodnutí, takže nikdo — ani my — ho nedokáže namířit na síť, kterou jste nezvolili.
Počítá se každé nalezené zařízení do mého plánu?
Ne. Inventář nic nestojí a zůstává, jak dlouho chcete. Monitoringem se stane až zařízení, které vyberete, a teprve tehdy se počítá do limitu monitoringů vašeho plánu.
Co se stane, když zařízení dostane novou IP adresu?
Agent ho zná podle hardwarové adresy, takže zařízení, které se vrátilo na jiné adrese, nenahlásí jako zmizelé. Místo toho otevře incident o změně adresy, který nese původní i novou adresu.
Můžu hlídat víc lokalit?
Ano. Každá lokalita si běží vlastního agenta a hlásí do téhož účtu, takže pobočky, domácí laboratoř i rack v datovém centru sedí v jednom seznamu vedle sebe. Kolik agentů smíte mít najednou, závisí na plánu.
Co když zařízení neodpovídá na ICMP?
Stroj, který ignoruje echo požadavek, se jeví jako nepřítomný, takže zařízení s firewallem zahazujícím ICMP není dobrý kandidát. Pro služby za veřejnou adresou je tou správnou kontrolou monitoring portů.
Je monitoring lokální sítě dostupný ve Free plánu?
Ne. LAN agenti jsou součástí placených plánů a počet agentů, které smíte mít najednou, roste s plánem.
Síť pod dohledem ve 3 krocích
Nainstalujte agenta na stroj, který bývá zapnutý, a povolte sítě, které smí prohledat.
Projděte si, co našel, a vyberte zařízení, která stojí za incident.
Zvolte kanály, na kterých vás máme upozornit, a nechte agenta hlásit zevnitř.