LAN-Monitoring für Geräte
NAS, Drucker, Kamera und die Maschine im Serverraum haben keine öffentliche Adresse — aus dem Internet kann sie also nichts prüfen. Ein Agent in Ihrem Netz schon.
Die Prüfung, die auf Ihrer Seite des Routers läuft
Jede Prüfung, die wir von außen senden, beginnt im Internet und arbeitet nach innen — und genau deshalb sieht keine davon ein Gerät ohne öffentliche Adresse. Ein NAS auf 192.168.1.20 ist von außen absichtlich nicht erreichbar, und dasselbe gilt für jeden Drucker, jede Kamera, jeden Access Point und jede virtuelle Maschine hinter demselben Router. LAN-Monitoring dreht die Richtung um. Auf einer Maschine, die ohnehin durchläuft — einem Server, einem Mini-PC, einem Raspberry Pi — installieren Sie einen Agenten; er durchsucht die privaten Netze, die Sie freigeben, und meldet, was geantwortet hat. Alles Gefundene wird zu einem Bestand, den Sie durchsehen können; aus den Geräten, die Sie auswählen, werden gewöhnliche Pulsitor-Monitorings — mit denselben Vorfällen, derselben Historie und denselben Benachrichtigungskanälen wie Ihre Websites.
| 192.168.1.1 | gateway | überwacht |
| 192.168.1.20 | nas | überwacht |
| 192.168.1.31 | printer | überwacht |
| 192.168.1.77 | camera-hall | nur im Bestand |
Der Agent meldet, was er gefunden hat. Welches Gerät einen Vorfall wert ist, entscheiden Sie — Gerät für Gerät.
So funktioniert LAN-Monitoring
Was Pulsitor vom ersten Tag an stark macht.
Eine Binärdatei, als Dienst installiert
Ein Befehl auf einer Maschine, die durchläuft. Der Agent installiert sich selbst als Systemdienst, startet mit der Maschine und startet sich selbst neu, falls er je stehen bleibt. Daneben muss nichts installiert werden, und es gibt keine Laufzeitumgebung, die gepatcht werden müsste.
Der Agent sucht, Sie wählen aus
Der Agent meldet, an welchen Netzen er hängt und was dort geantwortet hat. Ob eines dieser Netze überhaupt durchsucht wird, ist Ihre Entscheidung — und ebenso, welches der gefundenen Geräte eine Überwachung wert ist. Der Rest bleibt eine Liste.
Ein ausgewähltes Gerät wird ein Monitor
Von da an wird das Gerät in seinem eigenen Intervall geprüft, und eines, das nicht mehr antwortet, öffnet einen Vorfall auf den Kanälen, die Sie ohnehin nutzen. Der Agent misst; was als Ausfall gilt, wird hier entschieden und nicht in Ihrem Netz.
Was damit überwacht wird
Alles jenseits des Routers, das erst auffällt, wenn es fehlt.
NAS und Sicherungen
Das Gerät, auf das jedes Backup geschrieben wird, ist zugleich das, auf dem sich monatelang niemand anmeldet. Ein NAS, das aus dem Netz gefallen ist, nimmt jede weitere Sicherung stillschweigend mit.
Drucker und Etikettendrucker
Ein Lagerdrucker, der um drei Uhr morgens seine Adresse verloren hat, stoppt die Frühschicht, nicht die Nachtschicht. Davon zu erfahren, bevor jemand zu drucken versucht, ist der ganze Sinn.
Kameras und Access Points
Eine Kamera, die dunkel wird, zeichnet nichts auf, und ein Access Point, der unter einer anderen Adresse neu startet, lässt einen Gebäudeteil ohne WLAN. Keines von beiden meldet sich von selbst.
Server, Switches und Maschinen
Hypervisoren, Datenbankserver, Steuerungen an der Fertigungslinie, eine virtuelle Maschine, die nach einem Host-Neustart nicht zurückkam — alles, was eine Adresse hat und nicht um Hilfe rufen kann.
Was der Agent darf und was nicht
Er läuft in Ihrem Netz, deshalb zählt mehr, was er nicht darf, als was er kann.
Er nimmt nie eine Verbindung an
Jeder Austausch beginnt als ausgehende HTTPS-Anfrage von Ihrer Seite. Es gibt keinen Port weiterzuleiten, kein VPN aufzubauen und keinen lauschenden Dienst auf der Maschine, den jemand finden könnte. Es genügt eine Firewall, die gewöhnlichen ausgehenden Verkehr durchlässt.
Er durchsucht nur, was Sie freigeben
Der Agent meldet, an welchen Netzen er hängt, und wartet. Bis Sie das Netz freigeben, wird nichts durchsucht; infrage kommen ausschließlich private Adressbereiche, und ein Netz, das für einen Durchlauf zu weit ist, wird abgelehnt statt abgetastet.
Er entscheidet nichts
Ob ein Gerät fehlt, ob sich seine Adresse geändert hat und ob eines von beidem jemanden aus dem Bett holen sollte, sind Urteile, die auf unserer Seite fallen — aus dem, was der Agent gemeldet hat. Er trägt keine Schwellenwerte in sich, ein kompromittierter Agent kann sich also keinen Ausfall ausdenken.
Mit einem Befehl installiert
Das Einzige, was Sie mitnehmen, ist ein Registrierungs-Token — der Agent weiß bereits, wohin er melden soll.
Linux und macOS
curl -fsSL https://github.com/pulsitor/pulsitor-lan-agent/releases/latest/download/install.sh \ | sudo sh -s -- --enroll <token>
Das Skript lädt den passenden Build für die Maschine, prüft ihn gegen die veröffentlichten Prüfsummen und übergibt an den Agenten, der sich selbst als Dienst installiert.
Windows
iwr https://github.com/pulsitor/pulsitor-lan-agent/releases/latest/download/install.ps1 -OutFile install.ps1 .\install.ps1 -EnrollToken <token>
Aus einer PowerShell mit erhöhten Rechten. Der Agent trägt sich beim Dienstmanager ein und startet mit der Maschine.
Eine Binärdatei, die Sie schon haben
sudo ./pulsitor-lan-agent service install --enroll <token>
Der Installer ist nur eine Hülle zum Herunterladen und Prüfen. Ein Befehl kopiert die Datei, löst das Token ein und schreibt die Dienstdefinition.
Warum ein Netz so überwacht wird
Sieht, wohin keine Sonde reicht
Hinter NAT, in einem privaten Bereich, auf einem Gerät, das nie eine öffentliche Adresse haben wird. Erreicht der Agent es im lokalen Netz, lässt es sich überwachen — ohne irgendetwas davon ins Internet zu stellen.
Prüft, wer geantwortet hat, nicht nur dass etwas antwortete
Eine Adresse ist keine Identität mehr, sobald DHCP die Lease weitergibt. Der Agent gleicht auch die Hardware-Adresse ab, sodass ein Nachbar auf der alten IP nie als Ihr laufendes Gerät durchgeht.
Dieselben Vorfälle, dieselben Kanäle
Ein verschwundenes Gerät ist ein Vorfall wie jeder andere: dieselben Alarmkanäle, dieselbe Historie und dieselben Statusseiten, die Ihr Team ohnehin liest.
LAN-Monitoring auf einen Blick
Was der Agent tatsächlich tut, in Zahlen.
| Eigenschaft | Wert |
|---|---|
| Was geprüft wird | Dass das Gerät auf eine jetzt gesendete Sonde antwortet und weiterhin dieselbe Adresse hält |
| Wie ein Gerät abgefragt wird | ICMP-Echo aus dem Netz heraus, mit Abgleich der Hardware-Adresse gegen die Antwort |
| Bestandsdurchlauf | Alle 5 Minuten, über die von Ihnen freigegebenen privaten Netze |
| Prüfintervall je Gerät | 15 Sekunden bis 24 Stunden — das kürzeste Intervall hängt vom Tarif ab |
| Wann ein Gerät als offline gilt | 3 Minuten nicht erreichbar, und nie nach einer einzelnen ausgefallenen Sonde |
| Welche Vorfälle er öffnet | Gerät offline und Adresse des Geräts geändert — mit alter und neuer Adresse in der Meldung |
| Läuft auf | Linux, macOS und Windows — eine statische Binärdatei, als Systemdienst installiert |
| Was er von der Firewall braucht | Nur ausgehendes HTTPS. Keine eingehende Verbindung, keine Portweiterleitung, kein VPN |
| Agenten pro Konto | Bis zu 10, sodass mehrere Standorte aus einem Konto überwacht werden |
| Benachrichtigungskanäle | 14 |
| Verfügbar in | Bezahlte Tarife, ab 6 EUR pro Monat |
Fragen zum LAN-Monitoring
Was der Agent sieht, was er sendet und was er nie tut.
Wo muss der Agent laufen?
Auf einer beliebigen Maschine, die durchläuft und in dem Netz steht, das überwacht werden soll — einem Server, einem Mini-PC, einem Raspberry Pi, einer virtuellen Maschine. Er braucht keine eigene feste Adresse, und nichts muss ihn erreichen können.
Muss ich einen Port öffnen oder ein VPN aufbauen?
Nein. Der Agent nimmt nie eine eingehende Verbindung an; er stellt ausgehende HTTPS-Anfragen an uns, genau wie jeder Browser in diesem Netz. Nichts wird ins Internet gestellt, und es gibt keinen lauschenden Dienst, den man angreifen könnte.
Was sendet der Agent an uns?
Die Adressen, Hardware-Adressen und Namen der Geräte, die in den freigegebenen Netzen geantwortet haben, und später, ob jedes überwachte Gerät noch antwortet. Es wird kein Verkehr mitgeschnitten, aus den Geräten selbst wird nichts ausgelesen, und keine Datei verlässt die Maschine.
Welche Netze durchsucht er?
Nur die, die Sie freigeben, und nur aus den privaten Bereichen. Der Agent meldet, woran er hängt, und wartet auf diese Entscheidung — niemand, wir eingeschlossen, kann ihn auf ein Netz richten, das Sie nicht gewählt haben.
Zählt jedes gefundene Gerät gegen meinen Tarif?
Nein. Der Bestand kostet nichts und bleibt, solange Sie möchten. Erst ein Gerät, das Sie auswählen, wird zum Monitor und zählt dann gegen das Monitor-Limit Ihres Tarifs.
Was passiert, wenn ein Gerät eine neue IP-Adresse bekommt?
Der Agent erkennt es an seiner Hardware-Adresse, ein Gerät auf einer anderen Adresse wird also nicht als verschwunden gemeldet. Stattdessen öffnet er einen Vorfall über den Adresswechsel, der die alte und die neue Adresse trägt.
Kann ich mehrere Standorte überwachen?
Ja. Jeder Standort betreibt seinen eigenen Agenten und meldet in dasselbe Konto, sodass Filialen, ein Homelab und ein Rack im Rechenzentrum nebeneinander in einer Liste stehen. Wie viele Agenten gleichzeitig laufen dürfen, hängt vom Tarif ab.
Was, wenn ein Gerät nicht auf ICMP antwortet?
Ein Host, der eine Echo-Anfrage ignoriert, liest sich als abwesend; ein Gerät mit einer Firewall, die ICMP verwirft, ist also kein guter Kandidat. Für Dienste hinter einer öffentlichen Adresse ist Port-Monitoring die passende Prüfung.
Ist LAN-Monitoring im Free-Tarif enthalten?
Nein. LAN-Agenten gehören zu den bezahlten Tarifen, und die Zahl der gleichzeitig betriebenen Agenten wächst mit dem Tarif.
Ein Netz in 3 Schritten unter Aufsicht
Installieren Sie den Agenten auf einer Maschine, die durchläuft, und geben Sie die Netze frei, die er durchsuchen darf.
Sehen Sie durch, was er gefunden hat, und wählen Sie die Geräte aus, die einen Vorfall wert sind.
Wählen Sie die Kanäle für die Benachrichtigung und lassen Sie den Agenten von innen melden.