Betrieb über Tunnel

Dieser Artikel beschreibt den „Betrieb über Tunnel“ des Panels – damit bindest du Server ohne öffentliche IP an das Panel an.

In einem Satz verstanden

Geräte ohne öffentliche IP (Maschinen im internen Netz, Geräte hinter NAT, Android-Smartphones) lassen sich von außen nicht „aktiv ansprechen“. Der Betrieb über Tunnel sorgt dafür, dass diese Geräte aktiv „nach draußen“ zum Panel-Server verbinden; danach kannst du sie wie normale Server bedienen.

Funktionsbeschreibung

Geräte ohne jegliche öffentlich erreichbare Adresse (Maschinen im internen Netz, Geräte hinter NAT, Android-Smartphones usw.) lassen sich nicht direkt per SSH verbinden. Der Betrieb über Tunnel lässt diese Geräte über einen Reverse-Tunnel aktiv eine Verbindung zum Panel-Server aufbauen; danach kannst du sie wie normale Server bedienen.

Prinzip

• Der Panel-Server (mit öffentlicher IP) betreibt einen Tunnel-Dienst
• Auf dem Zielgerät wird ein leichtgewichtiger Agent installiert, der aktiv eine Verbindung „hinauswählt“ zum Panel-Server
• Nach dem Verbindungsaufbau kann das Panel über diesen Tunnel per Reverse-SSH auf das Zielgerät zugreifen

> Einfach gesagt: Das Zielgerät „ruft aktiv beim“ Panel-Server an; ist das Gespräch verbunden, kann das Panel über diese „Standleitung“ das Gerät umgekehrt steuern.

Anwendungsfälle

• Geräte im eigenen Heimnetz verwalten (Raspberry Pi, NAS, Router mit eigener Software)
• Günstige VPS ohne öffentliche IP verwalten (NAT-Server)
• Android-Smartphones verwalten (Termux-Umgebung)

Verwendung (drei Schritte)

1. „Betrieb über Tunnel“ öffnen und auf „One-Click-Installationsskript“ klicken, um einen eigenständigen Befehl zu erzeugen

2. Den Befehl auf dem Zielgerät einmal ausführen (installiert den Agent automatisch + richtet den Autostart ein)

3. Nach etwa 10 Sekunden erscheint das Gerät automatisch im Panel; danach sind SSH-Verbindungen und alle Funktionen möglich

> Der Installationsbefehl ist bewusst kurz gehalten, damit er sich vor dem Aufsetzen leicht von Hand tippen lässt:

> - Linux (curl): curl -sSL http://Server:5501/i/<Token> | sudo bash

> - Termux: curl -sSL http://Server:5501/t/<Token> | bash

> - Bist du bereits root, kann sudo entfallen; unter Alpine nutze wget -qO- … | sudo bash, unter BSD fetch -o - … | sudo bash

>

> Installationsort: Unter Linux standardmäßig /opt/sshe-agent (fehlt /opt oder ist es nicht beschreibbar, fällt das Skript automatisch auf ~/sshe-agent zurück, ohne Fehler); unter Termux ~/sshe-agent (startet mit Termux).

>

> Verbindung ohne Passwort: Nach der Installation verbindet sich das Panel mit einem vorab eingespielten Schlüssel passwortlos zu diesem Gerät – kein Passwort bei jedem Zugriff nötig.

Vom Agent unterstützte Umgebungen

> ⚠️ macOS wird derzeit nicht unterstützt: Die SSH-Authentifizierung unterscheidet sich zwischen macOS-Versionen erheblich, eine versionsübergreifend stabile Verbindung lässt sich nicht garantieren. Daher bietet diese Version keinen Tunnel-Zugang für macOS. Bitte Linux- / Termux-Geräte für den Betrieb über Tunnel verwenden.

Onlinestatus des Agent

• Online: Die Tunnelverbindung ist in Ordnung, das Gerät ist jederzeit bedienbar
• Offline: Das Gerät ist getrennt (ausgeschaltet, Netzwerk weg, Agent gestoppt). Offline-Einträge bleiben eine Zeit lang erhalten und werden nach dem Wiederverbinden automatisch wieder als online geführt

> 📌 Beurteilung auf der Server-Karte: „Online/Offline“ eines Tunnel-Geräts richtet sich nach dem Heartbeat des Agent. Ist der Agent online, baut er über den Tunnel dynamisch einen SSH-Kanal auf und erhebt echte Zustandsdaten (Last/Arbeitsspeicher/Festplatte/Laufzeit/Akku/Temperatur) – genau wie bei normalen Servern.

Zu beachten

1. Der Agent ist das einzige Programm, das das Panel auf dem Zielgerät installieren muss (die Ausnahme vom Konzept „keine Spuren“). Denn Geräte ohne öffentliche IP lassen sich nicht aktiv ansprechen, sie können nur selbst eine Verbindung nach außen aufbauen.

2. Der Agent beansprucht extrem wenige Ressourcen (ein Python-Prozess + eine langlebige Verbindung).

3. Der Agent überträgt über einen verschlüsselten Tunnel, die Kommunikation ist sicher.

4. Ändert sich die IP des Geräts oder funktioniert der Agent nicht mehr, genügt ein erneuter Lauf des Installationsskripts zur Wiederherstellung.

Verhältnis zum Port-Tunneling

Der Betrieb über Tunnel ist dafür zuständig, „das Gerät einzubinden“, das Port-Tunneling dafür, „die Anwendungsports auf dem Gerät im öffentlichen Netz bereitzustellen“. Beide greifen zusammen: Zuerst über den Betrieb über Tunnel Geräte ohne öffentliche IP anbinden, dann mit dem Port-Tunneling ihre Anwendungen (etwa Navidrome, Nextcloud) auf öffentliche Ports des Panel-Servers abbilden.