Zugriff aus dem Internet

Steht der invoiceR auf einem Server in eurem Netz (zum Beispiel weil er Umsysteme direkt ansprechen muss), ist er zunächst nur intern erreichbar. Sollen Benutzer auch von unterwegs arbeiten, braucht es einen sicheren Weg aus dem Internet zum Server.

Klassisch geschieht das mit einer Firewall-Regel, die eingehenden Verkehr an den Server weiterleitet, oft zusätzlich mit einem eigenen Netzsegment (DMZ). Das bedeutet für eure IT einen grossen Aufwand bei Einrichtung und Betrieb. Zwei Alternativen kommen ohne eingehende Firewall-Regel aus.

Hinweis

Der invoiceR besteht aus Frontend und Backend. Beide müssen von aussen erreichbar sein, also braucht es immer zwei Freigaben.

Microsoft Entra Application Proxy

Habt ihr Microsoft Entra ID mit mindestens einer P1-Lizenz für die Benutzer, ist der Application Proxy die empfohlene Lösung. Benutzer müssen sich zuerst bei Microsoft anmelden, bevor überhaupt eine Anfrage euer Netz erreicht. Zusammen mit der Anmeldung mit Microsoft ergibt das eine einfache Anmeldung und mehr Sicherheit als eine offene Firewall.

So funktioniert es: Ein kleiner Windows-Dienst (Connector) im eigenen Netz, meist direkt auf dem invoiceR-Server, baut von innen eine Verbindung zu Microsoft auf. Über diese Verbindung leitet Microsoft die Anfragen an den Connector weiter, und der Connector ruft den invoiceR intern auf.

Einrichten

1. Öffne unter https://portal.azure.com Microsoft Entra ID > Application proxy und lade den Connector herunter.
2. Installiere den Connector im eigenen Netz und melde dich bei der Installation mit einem Administrator-Konto an. Nach einem Neuladen der Seite erscheint der Connector im Portal.
3. Klicke auf Configure an app und fülle aus:
   • Name: frei wählbar, zum Beispiel invoiceR Frontend.
   • Internal Url: Adresse, unter der der invoiceR intern erreichbar ist. Läuft der Connector auf dem invoiceR-Server, geht auch localhost.
   • External Url: Adresse für den Zugriff von aussen, auch mit eigener Domäne wie invoicer.contoso.ch.
   • Pre Authentication: Microsoft Entra ID.
4. Klicke auf Create. Wiederhole die Schritte für das Backend.
5. Öffne unter Enterprise applications die neu angelegten Apps und lege unter Users and groups fest, welche Benutzer oder Gruppen zugreifen dürfen.

Formular Configure an app im Application Proxy mit den Feldern Name, Internal Url, External Url und Pre Authentication

ngrok

Steht Microsoft Entra ID nicht zur Verfügung oder fehlen die Lizenzen, ist ein ähnliches Konzept mit ngrok (https://ngrok.com) möglich: Ein Dienst im eigenen Netz baut einen Tunnel nach aussen auf. Mit zusätzlicher Authentifizierung lässt sich der Tunnel auf berechtigte Benutzer beschränken.

ngrok hilft auch im umgekehrten Fall: Läuft der invoiceR in der Cloud und muss er ein System in eurem Netz erreichen (zum Beispiel die Schnittstelle eines lokalen Archivs), leitet ngrok die Anfragen weiter. Dabei lässt sich festlegen, dass nur Anfragen von bestimmten IP-Adressen angenommen werden.

Eine klassische VPN-Verbindung ist ebenfalls möglich, bedeutet aber meist mehr Aufwand für eure IT.