Netzwerkverbindungen

Der Management-Host muss den Lizenzserver regelmässig erreichen; TLSPilot prüft die Lizenz einmal täglich. Ist der Lizenzserver nicht erreichbar, arbeitet TLSPilot während einer Karenzzeit weiter: 30 Tage nach der letzten erfolgreichen Prüfung oder 7 Tage nach der Aktivierung, falls seither keine Prüfung erfolgreich war. Meldet der Lizenzserver die Lizenz als widerrufen, zum Beispiel nach einem gekündigten Abonnement, beträgt die Karenzzeit 7 Tage ab dieser Prüfung; bis dahin funktionieren alle lizenzierten Funktionen weiter. Siehe Kapitel Lizenz und Fehlerbehebung: Lizenz und Aktivierung. Alle übrigen Anforderungen gelten nur für die Challenge-Methoden und Deployment-Typen, die Sie verwenden.

ACME-Challenges

• DNS-01: Benötigt eine unterstützte DNS-Provider-API, RFC 2136 oder manuelle DNS-Einträge, jeweils mit einem passenden Credential.
• HTTP-01: Die CA und TLSPilot müssen Port 80 für jeden Domainnamen im Zertifikat erreichen. Die CA verbindet sich aus mehreren Netzwerkperspektiven; beschränken Sie den Port deshalb nicht auf einzelne IP-Adressen oder Länder, siehe Kapitel Multi-Perspective Validation.
• TLS-ALPN-01: Die CA und TLSPilot müssen Port 443 auf der öffentlichen IP-Adresse jedes Domainnamens erreichen. Es gilt dasselbe wie für HTTP-01, siehe Kapitel Multi-Perspective Validation.
• Alle Challenges: Benötigen ausgehenden HTTPS-Zugriff vom Management-Host zum ACME-Provider.

Deployment-Ziele

• Windows-Ziele: Benötigen WinRM-Zugriff vom Management-Host auf das Ziel: TCP 5986 (HTTPS, bevorzugt) oder TCP 5985 (HTTP mit Negotiate-Verschlüsselung), siehe Kapitel Anhang: WinRM und SSH einrichten.
• Linux-Ziele: Benötigen SSH-Zugriff vom Management-Host auf das Ziel.
• Azure und Entra ID: Benötigen Zugriff vom Management-Host auf Microsoft Graph und Azure Resource Manager. Die Berechtigungen erhält die App Registration, die für das Deployment verwendet wird, nicht der angemeldete Administrator.
• Andere Ziele: Benötigen Zugriff vom Management-Host auf die API des Zielsystems, zum Beispiel einer Firewall, eines Application Delivery Controllers oder eines Cloud-Dienstes.

Lizenzierung

• Lizenzserver: Benötigt ausgehenden Zugriff vom Management-Host auf license.itrain.ch über TCP-Port 443 mit TLS 1.3.

Updates

• Update-Server: Benötigt ausgehenden Zugriff vom Management-Host auf https://download.itrain.ch über TCP-Port 443 für die Update-Prüfung und den Update-Download. TLSPilot liest https://download.itrain.ch/ITP/latest/latest.json; der Installer liegt auf demselben Host. Ohne diesen Zugriff funktionieren Check for updates und der Update-Download nicht; alles andere läuft weiter. Der Schalter Check for updates on startup in den Einstellungen auf dem Tab General gilt für alle Benutzer des Management-Hosts.