Agent-Tunnel

Konfigurieren Sie Agent Tunnel, um Devolutions Gateway-Sitzungen über Devolutions Agent zu leiten und Maschinen in privaten Netzwerken ohne direkte Konnektivität zu erreichen.

Experimentell (Devolutions Gateway und Agent 2026.2.0+). Testen Sie vor einer breiten Einführung.

Agent Tunnel ermöglicht Devolutions Gateway den Zugriff auf Maschinen in einem privaten Netzwerk, zu dem es keine direkte Verbindung herstellen kann.

Sie installieren Devolutions Agent auf einer Maschine innerhalb dieses Netzwerks (einem Jump-Host oder Standortserver). Der Agent wählt sich nach außen zum Gateway und kündigt die IP-Bereiche und Domänen an, die er erreichen kann. Danach wird jede Sitzung, die Sie über das Gateway zu einem dieser Ziele öffnen, automatisch über den Agent geleitet — für den Benutzer ändert sich nichts.

Diese Anleitung zeigt, wie Sie ein Gateway mit einem Agent verbinden und Traffic darüber leiten.

Bevor Sie beginnen

• Devolutions Gateway 2026.2.0+ und Devolutions Agent 2026.2.0+.
• Die Agent-Maschine kann das Gateway über HTTPS (zur Registrierung) und über UDP auf Port 4433 (den Tunnel) erreichen.
• Auf dem Gateway/der Firewall: eingehendes UDP 4433 von den Standorten zulassen, an denen Agents ausgeführt werden.
• Ein DVLS-Konto, das das Gateway verwalten kann.

Agent Tunnel auf dem Gateway aktivieren

gateway.json bearbeiten:

• Windows: %ProgramData%\Devolutions\Gateway\gateway.json
• Linux: /etc/devolutions-gateway/gateway.json
• macOS: /Library/Application Support/devolutions-gateway/gateway.json

{
  "Hostname": "gateway.contoso.com",
  "AgentTunnel": {
    "Enabled": true,
    "ListenPort": 4433
  },
  "__debug__": {
    "enable_unstable": true
  }
}

Setzen Sie Hostname auf die Adresse, über die Agents das Gateway erreichen, und starten Sie dann den Devolutions Gateway-Dienst neu.

Registrierungstoken in DVLS generieren

Öffnen Sie in DVLS Administration – Devolutions Gateway, wählen Sie Ihr Gateway aus und klicken Sie auf Agent Tunnel.

Klicken Sie auf die Schaltfläche +, um einen Agent hinzuzufügen.

Geben Sie einen Agentnamen und eine Lebensdauer ein und klicken Sie dann auf Generieren.

Kopieren Sie die Registrierungszeichenfolge.

Die Registrierungszeichenfolge ist ein einmaliges Geheimnis — bewahren Sie sie sicher auf und generieren Sie eine neue, falls sie abläuft, bevor Sie fertig sind.

Den Agent auf der Standortmaschine installieren

Führen Sie das Devolutions Agent-Installationsprogramm auf der Maschine innerhalb des privaten Netzwerks aus.

Aktivieren Sie die Funktion Agent Tunnel.

Fügen Sie das Registrierungstoken in Registrierungszeichenfolge ein.

Legen Sie die Routen fest, die dieser Agent erreichen soll:

• Angekündigte Subnetze — IP-Bereiche (zum Beispiel 10.10.0.0/24). Leer lassen, um lokale Subnetze automatisch zu erkennen.
• Angekündigte Domänen — DNS-Suffixe (zum Beispiel *.example.com).

Schließen Sie den Assistenten ab. Das Installationsprogramm registriert den Agent und testet die Verbindung; wenn es das Gateway nicht erreichen kann, schlägt die Einrichtung fehl, sodass Sie die Firewall gleich vor Ort korrigieren können.

Überprüfen, ob der Agent online ist

Zurück im DVLS-Dialog Agent Tunnel sollte der Agent nun als Online mit seinen Subnetzen, Domänen und dem Zeitpunkt der letzten Aktivität angezeigt werden.

Um einen Agent außer Betrieb zu nehmen, entfernen Sie ihn hier und deinstallieren Sie ihn auf der Maschine.

Über das Gateway verbinden

Benutzer installieren nichts. Sie verbinden sich wie gewohnt über das Gateway, und dieses leitet automatisch über den Agent, wenn das Ziel übereinstimmt.

Öffnen Sie in RDM eine Sitzung für einen Host innerhalb eines angekündigten Bereichs. Setzen Sie in VPN/Tunnel/Gateway den Typ auf Devolutions Gateway und wählen Sie das Gateway aus, bei dem der Agent registriert ist.

Setzen Sie den Host auf das interne Ziel (zum Beispiel 10.10.0.20).

Verbinden.

Die Sitzung wird über das Gateway und den Agent geöffnet.

Fehlerbehebung

Problem	Prüfen
Registrierung schlägt während der Installation fehl	Token abgelaufen oder falsch eingegeben; Gateway über HTTPS nicht erreichbar; Agent Tunnel auf dem Gateway nicht aktiviert
Verbindungstest schlägt am Ende der Installation fehl	UDP-Port 4433 zum Gateway ist blockiert oder der Hostname des Gateways ist falsch
Agent ist online, die Sitzung verbindet sich aber weiterhin direkt	Das Ziel liegt nicht innerhalb eines angekündigten Subnetzes oder einer angekündigten Domäne; das Ziel ist nur über IPv6 erreichbar (verwenden Sie stattdessen eine Domäne)
Agent wird als Offline angezeigt	Starten Sie den Devolutions Agent-Dienst auf der Standortmaschine neu

So testen Sie den Tunnel von der Agent-Maschine aus:

DevolutionsAgent.exe probe

Funktionsweise

Die obigen Schritte sind alles, was Sie zum Leiten von Traffic benötigen. Dieser Abschnitt ist für Leser, die die Details hinter den Kulissen wissen möchten.

Was ist eine „Ankündigung“ und welche Topologie erfordert sie?

Wenn ein Agent eine Verbindung herstellt, teilt er dem Gateway mit, welche IPv4-Subnetze (zum Beispiel 10.10.0.0/24) und DNS-Domänensuffixe (zum Beispiel *.example.com) er erreichen kann. Diese Liste ist die Ankündigung. Der Agent sendet sie periodisch erneut, damit das Gateway immer das aktuelle Bild hat, und das Gateway führt eine Routentabelle pro verbundenem Agent.

Topologie:

• Der Agent stellt eine einzige ausgehende Verbindung zum Gateway her (UDP 4433). Am Standort benötigt nichts eine öffentliche IP-Adresse oder eine eingehende Firewallregel — deshalb funktioniert es hinter NAT.
• Da das Gateway der Treffpunkt für jede Verbindung ist, muss es an einem Ort liegen, der sowohl von den Agents als auch von den DVLS/RDM-Clients erreichbar ist. Wenn eine der beiden Seiten das Gateway nicht erreichen kann, kann das Routing über einen Agent nicht funktionieren.
• Das Gateway benötigt eingehendes UDP 4433, erreichbar von den Agent-Standorten, sowie seinen normalen HTTPS-Listener für die Registrierung.
• Der Agent muss über gewöhnliche Netzwerkerreichbarkeit (Routing + DNS) zu den Zielen verfügen, die er ankündigt. Der Agent ist praktisch der „letzte Hop“ im privaten Netzwerk.

Ein Gateway kann viele Agents aufnehmen; an einem Standort kann zur Redundanz mehr als ein Agent betrieben werden.

Wo werden Domänen und IP-Adressen aufgelöst?

Es passieren zwei verschiedene Dinge:

1. Routenabgleich (auf dem Gateway). Wenn eine Sitzung gestartet wird, nimmt das Gateway das Ziel aus der Sitzung und vergleicht es mit der Ankündigung jedes verbundenen Agents:

   • Ein IP-Ziel wird mit den angekündigten Subnetzen abgeglichen.
   • Ein Hostname-Ziel wird mit den angekündigten Domänen abgeglichen (Suffix-Abgleich). Das Gateway führt hier keine DNS-Abfrage durch — es vergleicht Namen.
   • Die spezifischste Übereinstimmung gewinnt (eine Subnetz-Übereinstimmung rangiert vor einer Domänen-Übereinstimmung; ein längeres Domänensuffix rangiert vor einem kürzeren).
   • Wenn zwei Online-Agents dieselbe Route ankündigen (eine gleich spezifische Übereinstimmung), bevorzugt das Gateway denjenigen, dessen Ankündigung zuletzt eingetroffen ist — die neueste gewinnt praktisch. Er wird zuerst versucht, und das Gateway greift nur dann auf die anderen zurück, wenn dieser Agent die Verbindung nicht herstellen kann. Das bedeutet, es gibt kein festes „primär/Backup“; derjenige Agent, der sich zuletzt (wieder) verbunden oder seine Routen aktualisiert hat, übernimmt.
   • Wenn nichts übereinstimmt, verbindet sich das Gateway direkt, genau wie vor der Existenz von Agent Tunnel.
2. Tatsächliche Namensauflösung (auf dem Agent). Das Gateway übergibt das Ziel (Host und Port) an den ausgewählten Agent, und der Agent löst den DNS-Namen auf und öffnet die Verbindung von innerhalb des privaten Netzwerks. Genau darum geht es: Das eigene DNS des Standorts löst Namen auf, die das Gateway nicht sehen kann. Das bedeutet auch, dass Sie Domänen für Hosts ankündigen, die nur im internen DNS existieren, und Subnetze für Hosts, die Sie über die IP-Adresse adressieren.

Da der Subnetzabgleich heute auf IPv4 basiert, erreichen Sie einen ausschließlich über IPv6 erreichbaren Host stattdessen, indem Sie eine Domäne ankündigen, die ihn abdeckt.

Wie wird die Sicherheit gewährleistet?

• Die Registrierung verwendet ein kurzlebiges Token, das in DVLS generiert wird. Es ist nur eine Bootstrap-Anmeldeinformation — es ist nicht die langfristige Vertrauensbasis.
• Der Agent generiert sein eigenes Schlüsselpaar lokal und sendet nur eine Zertifikatsanforderung an das Gateway. Der private Schlüssel verlässt die Agent-Maschine nie.
• Der Tunnel ist QUIC mit gegenseitigem TLS: Das Gateway authentifiziert den Agent über sein Zertifikat, und der Agent authentifiziert das Gateway. Darüber hinaus pinnt der Agent die exakte Gateway-Identität, die er bei der Registrierung gesehen hat, sodass eine fehlerhaft ausgestellte oder betrügerische Zertifizierungsstelle das Gateway dennoch nicht imitieren kann.
• Der Agent erzwingt seine eigene Zulassungsliste: Er weigert sich, eine Verbindung zu etwas außerhalb der von ihm angekündigten Subnetze und Domänen zu öffnen, selbst wenn er dazu aufgefordert wird. Die Ankündigung ist sowohl ein Routing-Hinweis als auch eine harte Grenze.
• Die Benutzerautorisierung bleibt unverändert. Jede Sitzung benötigt weiterhin eine normale Gateway-Autorisierung von DVLS/Hub/PAM. Agent Tunnel ändert nur, wie das Gateway das Ziel erreicht, niemals, wer sich verbinden darf.

Einige weitere Dinge, die Power-User fragen

• Warum QUIC/UDP anstelle von TCP? Eine ausgehende Verbindung multiplext viele gleichzeitige Sitzungen und übersteht kurze Netzwerkänderungen (Roaming, VPN-Aussetzer), ohne jede Sitzung zu trennen.
• Kann ich einen bestimmten Agent erzwingen? Ja. Eine Sitzung kann an einen Agent gepinnt werden; wenn sie gepinnt ist, muss sie diesen Agent verwenden und schlägt fehl, anstatt stillschweigend auf eine direkte Verbindung zurückzufallen — ein Pin kann also nicht verwendet werden, um den vorgesehenen Pfad zu umgehen.
• Kann ich Agent Tunnel für eine einzelne Sitzung deaktivieren? Heute nicht. Es gibt kein Opt-out pro Sitzung: Das Gateway entscheidet den Pfad ausschließlich anhand des Ziels. Wenn ein Ziel mit den angekündigten Routen eines Online-Agents übereinstimmt, läuft die Sitzung über diesen Agent. Um eine direkte Verbindung zu erzwingen, darf das Ziel mit keiner angekündigten Route übereinstimmen (oder der Agent muss offline bzw. entfernt sein).
• Was passiert, wenn der Agent ausfällt? Er wird kurz nachdem er keine Updates mehr sendet als Offline markiert, und das Gateway leitet nicht mehr über ihn (und fällt auf eine direkte Verbindung oder einen anderen passenden Agent zurück). Der Agent verbindet sich von selbst mit Backoff wieder, sobald das Netzwerk wiederhergestellt ist.
• Muss ich Zertifikate erneuern? Nein. Der Agent erneuert sein Zertifikat automatisch, bevor es abläuft, solange der Dienst weiterläuft und sich erneut verbindet.
• Ist der Traffic für das Gateway weiterhin sichtbar? Ja. Das Gateway ist weiterhin das Relay und terminiert die Sitzung, sodass Ihre bestehenden Gateway-Richtlinien gelten. Der Agent-Hop dient nur dem Transport.
• Wo befinden sich die Dateien des Agents? Unter %ProgramData%\Devolutions\Agent\ auf Windows (Zertifikate im Unterordner certs). Normalerweise müssen Sie diese nie anfassen — das Installationsprogramm und DVLS verwalten sie.