K Initial |
K 1 Version importiert |
(kein Unterschied)
| |
Aktuelle Version vom 24. September 2026, 13:23 Uhr
Einrichtung und Konfiguration der Application Control Appliance in VMware
Neu bei Securepoint: 10.2026
notempty
Dieser Artikel bezieht sich auf eine Beta-Version
-
Bedingungen des Datenverkehrs
Kommunikationsbedingungen
- Die Kommunikation zwischen allen Komponenten erfolgt über TLS-gesicherte Verbindungen mit gegenseitiger Zertifikatsprüfung und Certificate Pinning.
- Insbesondere bedeutet das, dass die TLS-Verbindung zwischen den Komponenten nicht unterbrochen werden darf.
- Gegebenenfalls muss in einer vorgeschalteten Firewall und/oder (transparentem) Proxy eine Ausnahme für den Zugriff auf Port 443 (HTTPS) eingerichtet werden, damit andere Application Control Appliances und der AdminWizard ungefiltert auf die Application Control Appliance und die TrustLevel Service Datenbank zugreifen können.
- Proxies werden nicht unterstützt.
Syslog Server
- Die Application Control Appliance kann Log-Meldungen an einen externen Syslog Server senden.
- Der Syslog-Server selbst ist nicht Bestandteil der Application Control Appliance.
Es stehen jedoch verschiedene kommerzielle und freie Produkte zur Verfügung.
Jede Linux-Distribution enthält z.B. einen Syslog-Server. - Für Hilfe bei Supportanfragen sind Syslogs zwingend erforderlich.
Datenverkehr zwischen Komponenten
| Komponente | Kommunikationspartner | Port |
|---|---|---|
| Application Control Appliance | Hosts:
|
|
| andere Application Control Appliance in einem Cluster |
| |
| mögliche selbst konfigurierte DNS-, NTP- und Syslog-Server | Standard Ports der Dienste | |
| AdminWizard | Hosts:
|
|
| Application Control Appliance |
| |
| Agent | Application Control Appliance |
|
| Client Computer (ohne Zugriff auf das Active Directory) | Cloudflare CDN |
|
Installation VMware
Installation mit der VMware Web Konsole
Abb.1
In der Web-Konsole der VMware "Neue Virtuelle Maschine" auswählen und die Option "aus OVF" wählen
Abb.2
Die virtuelle Maschine benötigt einen Namen und die .ovf und die .vmdk-Dateien müssen importiert werden
Abb.3
Den Speicherort der virtuellen Maschine festlegen und mindestens 16 GB zuweisen
Abb.4
Netzwerkzuordnung festlegen
Abb.5
Installation abschließen
Abb.6
Die virtuelle Maschine wird importiert
Installation mit dem ovftool in VMware
Alternativ zur Web Konsole kann die OVA in VMware ESXi auch mit ovftool importiert werden. Dafür müssen im folgenden Code Speicherort, Pfad zur OVA Datei, das Root-Passwort und die esxi-IP-Adresse eingegeben werden:
ovftool.exe --acceptAllEulas --name=SecuLution --datastore=<Speicherort> "<Pfad_zur_OVA_Datei>" vi://root:<esxi-root-passwort>@<esxi-IP-Adresse>
Einstellungen der Netzwerkkarte
Der Adaptertyp der Netzwerkkarte muss VMXNET3 sein und es sollte eine zufällige statische MAC-Adresse gewählt werden. Diese liegen zwischen 00:50:56:00:00:00 und 00:50:56:3F:FF:FF
Ressourcenbedarf der Application Control Appliance
| Komponente | Erklärung |
|---|---|
| CPU | Für eine gute Performance der Application Control Appliance sind 12 CPUs empfohlen, in Testumgebungen sind minimal 4 CPUs lauffähig. Die Datenbank der Application Control Appliance kann zwischenzeitlich bis zu 8 CPUs auslasten, wodurch bei weniger als 9 CPUs das Betriebssystem nicht mehr genügend Leistung zur Verfügung hätte. Deshalb haben sich 12 CPUs als optimal erwiesen. Die Appliance belegt nur dann CPUs, wenn tatsächlich rechenintensive Aufgaben ausgeführt werden, wie z.B. Operationen im AdminWizard GUI oder andere systeminterne Prozesse. |
| RAM |
|
| BIOS | Bei der Application Control Appliance ist es möglich, die BIOS Zeit in localtime zu pflegen |
| Ressourcen | Für einen stabilen Betrieb der virtuellen Maschine ist es wichtig, dass die Application Control Appliance auch bei hoher Last auf dem Hypervisor (z.B. beim Backup der virtuellen Maschine) genügend Ressourcen zur Verfügung hat, um ihre Arbeit ungehindert ausführen zu können. In den meisten Fällen reicht hierfür die Reservierung von CPU-Ressourcen (Reservierung von 5000 MHz) aus |
Andere Hypervisor
OVA importieren oder konvertieren
Die Application Control Appliance wird als OVA zur Verfügung gestellt, die in alle gängige Virtualisierungsumgebunden importiert werden kann.
Sollte die ESXi-Version nicht zur OVA passen, um die Hardware-Version der OVA oder .vmdk zu unterstützen, so muss eine Hardware-Konvertierung durchgeführt werden.
Proxmox
Das folgende Skript automatisiert das Importieren einer virtuellen Maschine aus einer OVA-Datei in Proxmox.
Die Konfigurationsvariablen am Anfang des Skripts müssen individuell angepasst werden
Skript einblenden
Skript ausblenden
Klicken für dauerhafte Anzeige
#!/bin/sh
# Configuration variables
OVA_FILE="/root/Downloads/Securepoint_Appliance_5-Proxmox.ova" # Full path to the OVA file
VM_ID=100 # Virtual Machine ID
VM_NAME="Securepoint" # VM name
MEMORY=16720 # RAM in MB
CPUS=12 # Number of CPU cores
STORAGE="local-lvm" # Target storage for the VM disk
TMP_DIR="/tmp/vm_import_$VM_ID" # Temporary directory for extraction
# Check if the OVA file exists
if [ ! -f "$OVA_FILE" ]; then
echo "Error: The OVA file does not exist at $OVA_FILE"
echo "Please download and save the OVA file in this location before running the script."
exit 1
fi
# Check if Proxmox tools are available
if ! command -v qm >/dev/null 2>&1; then
echo "Error: The 'qm' command is not available. Are you sure this is a Proxmox server?"
exit 1
fi
if ! command -v qemu-img >/dev/null 2>&1; then
echo "Error: The 'qemu-img' command is not installed. Please install it before proceeding."
exit 1
fi
# Check if the VM ID already exists
if qm list | grep -q "^\s*$VM_ID\s"; then
echo "Error: A VM with ID $VM_ID already exists. Please choose a different VM_ID."
exit 1
fi
# Check if storage exists
if ! pvesm status | grep -q "^$STORAGE\s"; then
echo "Error: The specified storage '$STORAGE' does not exist in Proxmox."
echo "Run 'pvesm status' to check available storage."
exit 1
fi
# Create a temporary directory
echo "Creating temporary directory: $TMP_DIR"
mkdir -p "$TMP_DIR"
# Extract OVA file
echo "Extracting OVA file: $OVA_FILE"
tar xvf "$OVA_FILE" -C "$TMP_DIR"
# Find the VMDK file inside the extracted content
VMDK_FILE=$(find "$TMP_DIR" -name "*.vmdk" | head -n 1)
# Check if VMDK file exists
if [ ! -f "$VMDK_FILE" ]; then
echo "Error: No VMDK file found in $TMP_DIR!"
echo "Make sure the OVA file contains a valid VMDK file."
rm -rf "$TMP_DIR"
exit 1
fi
echo "Found VMDK file: $VMDK_FILE"
# Create a new VM in Proxmox
echo "Creating VM with ID $VM_ID"
qm create "$VM_ID" --name "$VM_NAME" --memory "$MEMORY" --cores "$CPUS" --net0 virtio,bridge=vmbr0
# Import the VMDK directly to local-lvm as raw format
echo "Importing VMDK file into Proxmox storage: $STORAGE (RAW format)"
qm importdisk "$VM_ID" "$VMDK_FILE" "$STORAGE"
# Attach the disk to the VM
echo "Attaching disk to VM..."
qm set "$VM_ID" --scsihw virtio-scsi-pci --scsi0 "$STORAGE:vm-${VM_ID}-disk-0"
# Set boot order
echo "Setting boot order..."
qm set "$VM_ID" --boot order=scsi0
# Clean up temporary files
echo "Cleaning up temporary files..."
rm -rf "$TMP_DIR"
# Start the VM
echo "Starting VM..."
qm start "$VM_ID"
echo "Import completed successfully!"
Hyper-V
- Die OVA-Datei via Powershell oder anderer Konsole mt folgendem Befehl entpacken
tar -xf C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5.ova - Temporär den Pfad zu VirtualBox in der aktuellen Sitzung speichern
$env:Path += ";C:\Program Files\Oracle\VirtualBox" - Nach dem Entpacken in eine VHD umwandeln
VBoxManage clonemedium disk "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5-disk1.vmdk" "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5_vbox.vhd" --format VHD - Dann zu einer VHDX konvertieren. Diese kann dann in Hyper-V direkt als Festplatte angegeben werden
Convert-VHD -Path "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5_vbox.vhd" -DestinationPath "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5_vbox.vhdx"
Image umwandeln in .vhdx mit QEMU
- Die OVA-Datei via Powershell oder anderer Konsole mt folgendem Befehl entpacken
tar -xf C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5.ova - QEMU für Windows über Winget installieren
winget install --id=SoftwareFreedomConservancy.QEMU - Temporär den Installationspfad von QEMU in der aktuellen Sitzung speichern
$env:Path += ";C:\Program Files\qemu" - Die vdmk-Datei in eine VHDX-Datei konvertieren
qemu-img convert -f vmdk -O vhdx "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5-disk1.vmdk" "C:\<Pfad>\Securepoint_Appliance_5\Securepoint_Appliance_5.vhdx"
Die .vhdx - Datei kann nun in Hyper-V direkt als Festplatte angegeben werden.
KVM
Image umwandeln in qcow2 mit QEMU
- Die OVA-Datei mit Linux Bordmitteln mit folgendem Befehl entpacken:
tar -xf /<Pfad>/Securepoint_Appliance_5/Securepoint_Appliance_5.ova - ggf. qemu-img installieren mitShow CodeausblendenKlicken für dauerhafte AnzeigeUbuntu, Linux Mint, Kali Linux, Debian:sudo apt update
sudo apt install qemu-utilsFedora, RHEL, CentOS, Rocky Linux, AlmaLinux:sudo dnf install qemu-imgArch Linux, Manjaro, Endless OS:sudo pacman -S qemuopenSUSE:sudo zypper install qemu-tools/ - Die vmdk-Datei in eine qcow2-Datei konvertieren
qemu-img convert -f vmdk -O qcow2 /<Pfad>/Securepoint_Appliance_5/Securepoint_Appliance_5-disk1.vmdk" /<Pfad>/Securepoint_Appliance_5/Securepoint_Appliance_5.qcow2
Die qcow2-Datei kann nun als Festplatte im Virt-Manager oder einem anderen KVM Verwaltungstool der VM hinzugefügt werden.
Allgemeine Hinweise
- OVA mittels 7zip entpacken
- neue VM auf Hypervisor anlegen (Ressourcenbedarf beachten), keine Festplatte anlegen
- entpackte .vmdk in Ordner der zuvor angelegten VM hochladen / kopieren
- Der VM das .vmdk als vorhandene Festplatte hinzufügen
IP Konfiguration einer oder mehrerer Application Control Appliances
- Die Application Control Server Appliance fragt beim ersten Start nach der Installation einen DHCP-Server nach einer (temporären) IP-Adresse.
- Falls kein DHCP-Server im Netzwerksegment der Application Control Server Appliance betrieben wird, kann beim Booten eine temporäre IP-Adresse manuell in der Konsole eingegeben werden.
- Bei einer temporären Änderung der IP in der Konsole gilt die IP-Konfiguration nur für diesen einen Bootvorgang, d.h. nach jedem Reboot wird die IP wieder auf die fest konfigurierte IP zurückgesetzt.
- Eine dauerhafte Änderung der Konfiguration muss dann über den
AdminWizard unter 
Securepoint Appliance, Abschnitt IP Konfiguration der Appliance(s), Schaltfläche Konfigurationvorgenommen werden.
Die Application Control unterstützt den Betrieb mehrerer, paralleler Application Control Appliances. Die Application Control Appliances arbeiten dann als Cluster mit automatischer Lastverteilung, Synchronisation und Redundanz (Ausfallsicherheit).
Anleitung einblenden
Anleitung ausblenden
Klicken für dauerhafte Anzeige
- Zu Beginn sollte nur eine Application Control Appliance in Betrieb genommen werden
- Der AdminWizard sollte mit der ersten Application Control Appliance verbunden werden und in der GUI des AdminWizards unter “Application Control Appliance” muss die IP Konfiguration für die weiteren Application Control Appliances durchgeführt werden
- Falls lizenziert, können nun weitere Application Control Appliances in Betrieb genommen werden, indem jeweils dasselbe OVA Image importiert wird, das für die Inbetriebnahme der ersten Application Control Appliance verwendet wurde. Beim Start muss jeder weiteren Application Control Appliance mitgeteilt werden, unter welcher IP-Adresse die erste Application Control Appliance zu erreichen ist. Hierzu auf der Konsole das Boot-Menü auswählen und unter “multi-server setup” die IP-Adresse der bereits in Betrieb befindlichen ersten Application Control Appliance angeben. Jede zusätzliche Application Control Appliance wird nun automatisch und selbstständig folgende Schritte durchführen:
- per DHCP eine IP-V4 Adresse beziehen
- die über das Boot-Menü angegebene IP-Adresse der ersten Application Control Appliance kontaktieren und die IP-Konfiguration aller Server herunterladen
- Die IP-Adresse der zweiten Application Control Appliance anpingen, um zu prüfen, ob die IP-Adresse der zweiten Application Control Appliance frei ist (Ping ist nicht erfolgreich, folglich ist die zweite Application Control Appliance noch nicht in Betrieb)
- die IP-Konfiguration für die Application Control Appliance aus Schritt b in der Application Control Appliance hinterlegen
- rebooten
- mit der ermittelten IP-Adresse in Betrieb gehen
- die Datenbank mit den bestehenden Application Control Appliances synchronisieren
- Falls weitere Appliances verbunden werden sollen, können diese wie in Schritt 3 beschrieben in Betrieb genommen werden
- ggf. kann nach Abschluss der Installation aller Instanzen des Application Control Appliance Clusters ein Reboot der Application Control Appliance notwendig sein, da die ersten Application Control Appliances beim Boot die nachträglich in Betrieb genommene Application Control Appliance noch nicht erreichen konnte
- Die Application Control Appliance des Clusters booten mit leerer Datenbank (Whitelist) und daher im Lernmodus. Es werden in dieser Zeit also keine Programme verweigert. Spielen Sie eine ggf. vorhandene Datensicherung der bisherigen Application Control Appliance ein und schalten Sie den Lernmodus ab.
