Konfigurieren von Verbindungen zur Tanium Core Platform

Nachdem Sie den Tanium Client auf einem Endpunkt installiert haben, initiiert der Client eine Verbindung zur TaaS-Instanzzum Tanium Server oder Zonenserver entsprechend der Konfiguration in den ursprünglichen Einstellungen. Nach der Installation können Sie die Verbindungseinstellungen nach Bedarf durch Sensoren und Pakete ändern, die Tanium zur Verfügung stellt. Sie können eine direkte Verbindung zu TaaSdem Server konfigurieren oder einen TLS-Tunnel über einen Hypertext Transfer Protocol Secure (HTTPS) Proxy-Server einrichten.

Einstellungen für Verbindungen zu TaaSden Tanium Kernplattform-Servern

Die folgenden Einstellungen, die Verbindungen von Tanium Clients zu TaaS dem Tanium Server oder Zonenserver regulieren, werden auf den Client-Endpunkten gespeichert.

Für Einstellungen zur Verbindung von Tanium Clients über HTTPS-Proxy-Server siehe Verbindung über einen HTTPS-Proxy-Server.

ServerNameList

Der Tanium Client verbindet sich gleichzeitig mit nur einer TaaS-Instanz einem Tanium Server oder Zonenserver. Um jedoch einen Single Point of Failure zu vermeiden, können Sie die ServerNameList-Einstellung mit einer Liste von InstanzenServern konfigurieren, zu denen der Client einen Verbindungsaufbau versuchen kann. Sie geben die InstanzenServer als komma-getrennte Liste von FQDNs oder IP-Adressen an.

Bei den Namen der TaaS-Instanzen Namen der Tanium Server und Zonenserver in der ServerNameList-Einstellung muss es sich um vollständig qualifizierte Domänennamen (FQDNs) oder IP-Adressen handeln, auf die Clients von ihrem Netzwerkstandort aus zugreifen können. Die Server-FQDNs können je nach Client-Sets an verschiedenen Standorten variieren und von den FQDNs abweichen, die Sie lokal auf den Servern konfigurieren. Wenden Sie sich an einen Netzwerkadministrator bezüglich der Instanz-Server-FQDNs, die Sie auf Clients konfigurieren müssen.

Wenn ServerNameList mehrere Einträge hat, muss der Tanium Client jedes Mal einen auswählen, wenn der Client-Prozess neu gestartet oder der Client zurückgesetzt wird. Der Client wählt zufällig eine TaaS-Instanz einen Server aus der ServerNameList aus, ungeachtet der Reihenfolge, in der die InstanzenServer aufgelistet sind. Der Client protokolliert fehlgeschlagene Verbindungsversuche und gibt der Instanzdem Server mit den wenigsten fehlgeschlagenen Verbindungsversuchen Vorrang.

Der Tanium Client überschreibt den Wert der ServerName-Einstellung mit der TaaS-Instanz, diedem Server, den er aus der ServerNameList auswählt. Der Client verwendet dann diesen Wert, wenn eine Verbindung zu TaaSdem Tanium Server oder Zonenserver angefordert wird.

Bei der Tanium Core Platform 7.2.314.3263 oder höher können Sie optional den Port festlegen, den der Tanium Client verwendet, um mit Servern zu kommunizieren, indem Sie :<port_number> an die IP-Adressen des Servers oder FQDNs anhängen (z. B. ts1.local.com:443,ts2.local.com:443,zs1.example.com:443). Die ServerNameList-Port-Werte überschreiben die ServerPort-Einstellung in der Konfiguration des Tanium Clients (standardmäßig 17472).

ServerName

Der ServerName gibt die FQDN oder IP-Adresse der TaaS-Instanz an, mit derdes Tanium Servers oder Zonenservers an, mit dem der Tanium Client eine Verbindung herzustellen versucht. Konfigurieren Sie ServerName nur, wenn Sie die ServerNameList-Einstellung nicht konfigurieren. Wenn ServerNameList konfiguriert ist, überschreibt der Tanium Client den ServerName-Wert mit der Instanz, diedem Server, den er aus der ServerNameList ausgewählt hat.

Bei den Namen der TaaS-Instanz Namen der Tanium Server oder Zonenserver in der ServerName-Einstellung muss es sich um vollständig qualifizierte Domänennamen (FQDNs) oder IP-Adressen handeln, auf die Clients von ihrem Netzwerkstandort aus zugreifen können. Die Server-FQDN kann je nach Client-Sets an verschiedenen Standorten variieren und von der FQDN abweichen, die Sie lokal auf dem Server konfigurieren. Wenden Sie sich an einen Netzwerkadministrator bezüglich der Instanz-Server-FQDN, die Sie auf Clients konfigurieren müssen.

Bei der Tanium Core Platform 7.2.314.3263 oder höher können Sie den Port festlegen, den der Tanium Client verwendet, um mit Servern zu kommunizieren, indem Sie :<port_number> anServerName anhängen (beispielsweise ts1.local.com:443). Der ServerName-Port überschreibt die ServerPort-Einstellung in der Konfiguration des Tanium Clients (standardmäßig 17472).

LastGoodServerName

LastGoodServerName speichert den Namen der TaaS-Instanz, mit derdes Tanium Servers oder Zonenservers, mit dem sich der Tanium Client zuletzt erfolgreich verbunden hat. Wenn der Client die Instanzden Server aus ServerName oder eine beliebige Instanzeinen beliebigen Server aus ServerNameList nicht erreichen kann, versucht der Client eine Verbindung zu einer Instanzeinem Server aus LastGoodServerName aufzubauen. Legen Sie LastGoodServerName nicht fest; der Client definiert es automatisch.

ServerPort

ServerPort gibt den Port an, den der Tanium Client für die Client-TaaSServer- und Client-Client-Kommunikation verwendet. Ändern Sie nicht den Standardwert 17472, der für die Kommunikation mit TaaS erforderlich ist und nicht geändert werden sollte.Der Standardwert ist 17472, aber Sie können einen benutzerdefinierten Port konfigurieren. Der Client verwendet ServerPort automatisch für Verbindungen zu den TaaS-InstanzenTanium Servern und Zonenservern, die in den Einstellungen ServerNameList und ServerName angegeben sind. Die Angabe des Ports innerhalb dieser Einstellungen ist nicht erforderlich. Wenn ServerName oder ServerNameList jedoch einen Port angeben, wird ServerPort überschrieben.

Inhalte zum Konfigurieren von Verbindungen zu TaaSTanium Kernplattform-Servern

Das Standard-Inhaltspaket von Tanium enthält Sensoren und Pakete zur Verwaltung der Werte ServerNameList, ServerName und ServerPort auf den Endpunkten, die den Tanium Client hosten.

Verbindung über einen HTTPS-Proxy-Server

Wenn die Netzwerkrichtlinien Ihrer Organisation Endpunkten die direkte Verbindung über das Internet mit TaaSeinem Tanium Server oder Zonenserver verbieten, können Sie Tanium Client 7.4 oder höher so konfigurieren, dass ein TLS-Tunnel über einen HTTPS-Proxy-Server hergestellt wird. Eine Organisation benötigt möglicherweise einen Proxy für Tanium Clients in den Büronetzwerken ihrer Remote-Niederlassungen. Möglicherweise benötigen Sie auch einen Proxy, wenn TaaSder Tanium Server als Managed Security Service Provider (MSSP) in einem isolierten Netzwerk fungiert, wo Routing-Änderungen nicht möglich sind. Um zu verhindern, dass ein einzelner Proxy-Fehler Client-Verbindungen unterbricht, können Sie Clients so konfigurieren, dass Verbindungsanfragen an mehrere Proxys gesendet werden.

Die Schritte zur Verbindung mit einem Proxy hängen davon ab, ob die Endpunkte auf eine Proxy-Autokonfigurationsdatei (PAC) zugreifen können, die nur für Windows-Endpunkte verfügbar ist. Eine PAC-Datei definiert, wie Webbrowser sich mit bestimmten URLs verbinden (z. B. der TaaSTanium Server-FQDN), ob direkt oder über einen Proxy-Server und definiert, wie die Browser den richtigen Proxy für jede URL auswählen. Konfigurieren Sie die Einstellung ProxyAutoConfigAddress für Endpunkte, die auf eine PAC-Datei zugreifen können, und die Einstellung ProxyServers für Endpunkte, die das nicht können. Konfigurieren Sie nur eine der Einstellungen für einen einzelnen Endpunkt: Wenn Sie beides konfigurieren, verwendet der Tanium Client nur ProxyAutoConfigAddress und ignoriert ProxyServers.

Bevor Sie beginnen

Arbeiten Sie mit Ihrem Netzwerkadministrationsteam zusammen, um die folgenden Aufgaben auszuführen, bevor Sie Tanium Clients mit einem Proxy-Server verbinden:

1. Konfigurieren Sie den Proxy-Server so, dass der Port zugelassen wird, den der Client für Tanium-Traffic verwendet (Standard 17472), unabhängig von Sicherheitsbeschränkungen, die auf dem Server konfiguriert sind. Siehe Netzwerkverbindung, Ports und Firewalls.

2. (Nur Windows-Endpunkte) Wenn Tanium Clients Proxy-Verbindungen über eine PAC-Datei herstellen müssen, erstellen Sie die Datei und kopieren Sie sie auf einen Webserver, auf den die Clients zugreifen können.

Tanium Clients, die eine Proxy-Verbindung benötigen, verbinden sich nicht direkt mit Servern der Tanium Core Platform. Da der Tanium Client Management Service eine direkte Verbindung vom Tanium-Modulserver zu Clients erfordert, können Sie Client Management nicht verwenden, um Clients bereitzustellen, die eine Proxy-Verbindung benötigen.

Konfigurieren von Proxy-Verbindungen mit einer PAC-Datei

Für Tanium Clients auf Windows-Endpunkten können Sie Proxyverbindungen mithilfe einer PAC-Datei konfigurieren, wenn eine verfügbar ist. Der Endpunkt lädt die Datei von der URL herunter, die Sie angeben, und führt ein Skript aus, das die Datei enthält, um den richtigen Proxy für die Verbindung zu einer bestimmten TaaS-Instanzeinem bestimmten Tanium Server oder Zonenserver auszuwählen.

Konfigurieren von Proxy-Verbindungen während der Client-Verteilung

Konfigurieren Sie Tanium Clients so, dass sie auf eine PAC-Datei zurückgreifen, indem Sie ProxyAutoConfigAddress während der Client-Installation festlegen. Siehe Bereitstellen des Tanium Client mithilfe von Client Management oder Bereitstellen des Tanium Client auf Windows-Endpunkten mithilfe des Installationsprogramms für die Schritte zur Installation des Clients.

Konfigurieren von Proxy-Verbindungen nach der Client-Verteilung

Sie können Tanium Clients so konfigurieren, dass sie nach der ersten Client-Bereitstellung eine PAC-Datei verwenden, oder die Datei auf Clients ändern, die bereits eine PAC-Datei verwenden.

1. Gehen Sie zur Tanium-Startseite und stellen Sie die folgende Frage, um die Proxy-Server zu identifizieren, mit denen sich Tanium Clients derzeit verbinden, falls vorhanden:

   Spezifische Tanium Client-Einstellung[ProxyAutoConfigAddress] und spezifische Tanium Client-Einstellung[ProxyServers] von allen Computern abrufen

2. Wählen Sie die Ergebnisse für Clients aus, die die gewünschte PAC-Datei noch nicht verwenden, und klicken Sie auf Deploy Action (Aktion ausführen).

3. Konfigurieren Sie die Paketeinstellungen:

   • Verteilungspaket: Wählen Sie Modify Tanium Client Setting (Tanium Client-Einstellung ändern).
   • RegType: Wählen Sie REG_SZ.
   • ValueName: Geben Sie ProxyAutoConfigAddress ein.
   • ValueData: Geben Sie die neue PAC-Datei-URL und den Dateinamen im Format http[s]://<PAC file URL>/<PAC file name>.pac ein.

4. (Optional) Legen Sie im Abschnitt Schedule Deployment (Planen der Verteilung) einen Zeitplan für die Aktion fest.

   Legen Sie ein Neuausgabe-Intervall fest, wenn einige Zielendpunkte offline sein könnten, wenn Sie die Aktion anfänglich verteilen.

5. Stellen Sie im Abschnitt Targeting Criteria (Zielkriterien) sicher, dass die Einstellungen nur auf die Endpunkte abzielen, die die aktualisierte Proxy-Einstellung erfordern.
6. Klicken Sie auf Show preview to continue (Vorschau anzeigen, um fortzufahren) und überprüfen Sie, ob das Targeting korrekt ist.
7. Klicken Sie auf Deploy Action (Aktion bereitstellen) und überprüfen Sie den Aktionsstatus, um zu überprüfen, ob die Aktion ohne Fehler abgeschlossen wird.

8. Stellen Sie die folgende Frage, um zu überprüfen, ob Clients die aktualisierte ProxyAutoConfigAddress-Einstellung haben:

   Tanium Client explizite Einstellung[ProxyAutoConfigAddress] von allen Maschinen erhalten

   Clients wenden die aktualisierte Einstellung nicht an, bis Sie sie manuell neu starten oder auf das automatische Zurücksetzen des Clients warten, was standardmäßig in einem zufälligen Intervall von 2 bis 6 Stunden passiert.

9. (Optional) Starten Sie den Tanium Client-Dienst auf jedem Endpunkt neu, um die aktualisierte Proxy-Einstellung sofort anzuwenden. Die entsprechenden Schritte finden Sie unter Verwalten des Tanium Client-Dienstes auf Windows.

Konfigurieren von Proxy-Verbindungen ohne PAC-Datei

Konfigurieren Sie den Tanium Client auf Nicht-Windows-Endpunkten oder auf Windows-Endpunkten, die nicht auf eine PAC-Datei zugreifen können, so, dass er sich mit einem Proxy-Server verbindet, indem Sie die Proxy-IP-Adresse oder FQDN und den Proxy-Port in den ProxyServers-Einstellungen angeben. Wenn Sie mehrere Proxys angeben, versucht der Client, sich mit den Proxys in der Reihenfolge zu verbinden, wie sie in ProxyServers auflistet sind. Nachdem eine einzelne Verbindung erfolgreich ist, versucht der Client nicht mehr, sich mit mehr Proxys zu verbinden.

Konfigurieren von Proxy-Verbindungen während der Client-Verteilung

Konfigurieren Sie Tanium Clients durch Festlegen der ProxyServer, sodass sie sich während der Installation über Proxy-Server verbinden. Für Installationsverfahren siehe Tanium Client verteilen.

Konfigurieren von Proxy-Verbindungen nach der Client-Verteilung

Sie können Tanium Clients so konfigurieren, dass Proxy-Verbindungen nach der anfänglichen Client-Verteilung hergestellt werden, oder die Proxy-Einstellung auf Clients ändern, die sich bereits mit einem Proxy verbinden. Wiederholen Sie in einer Verteilung mit Windows- und Nicht-Windows-Endpunkten die Schritte für beide Arten von Endpunkten.

1. Gehen Sie zur Tanium-Startseite und stellen Sie die folgende Frage, um die Proxy-Server zu identifizieren, mit denen sich Tanium Clients derzeit verbinden, falls vorhanden:

   Tanium Client explizite Einstellung[ProxyServers] und Is Windows von allen Maschinen erhalten

2. Wählen Sie die Ergebnisse für Windows- oder Nicht-Windows-Endpunkte aus, die neue oder aktualisierte Proxyverbindungen erfordern, und klicken Sie auf Deploy Action (Aktion ausführen).

   Windows-Endpunkte und Nicht-Windows-Endpunkte erfordern unterschiedliche Pakete. Wenn Sie sowohl Windows- als auch Nicht-Windows-Endpunkte aktualisieren, führen Sie dieses Verfahren für jede Gruppe separat aus.

3. Konfigurieren Sie die Paketeinstellungen:

   • Verteilungspaket: Wählen Sie Modify Tanium Client Setting (Ändern der Tanium Client-Einstellung) für Windows-Endpunkte oder Modify Tanium Client Setting (Ändern der Tanium Client-Einstellung)[Non-Windows] für andere Endpunkte.
   • RegType (nur Windows): Wählen Sie REG_SZ.
   • Typ (nur Nicht-Windows): Wählen Sie STRING.
   • ValueName: Geben Sie ProxyServers ein.
   • ValueData: Geben Sie eine durch Komma getrennte Liste von Proxy-IP-Adressen oder FQDNs und Proxy-Ports im Format <proxy1 FQDN|IP address>:<port>,...,<proxyN FQDN|IP address>:<port> ein.

4. (Optional) Legen Sie im Abschnitt Schedule Deployment (Planen der Verteilung) einen Zeitplan für die Aktion fest.

   Legen Sie ein Neuausgabe-Intervall fest, wenn einige Zielendpunkte offline sein könnten, wenn Sie die Aktion anfänglich verteilen.

5. Stellen Sie im Abschnitt Targeting Criteria (Zielkriterien) sicher, dass die Einstellungen nur auf die Endpunkte abzielen, die:

   • Erfordern die aktualisierte Proxy-Einstellung
   • Führen Sie das Betriebssystem aus, das dem ausgewählten Paket entspricht (Windows oder Nicht-Windows)
6. Klicken Sie auf Show preview to continue (Vorschau anzeigen, um fortzufahren) und überprüfen Sie, ob das Targeting korrekt ist.
7. Klicken Sie auf Deploy Action (Aktion bereitstellen) und überprüfen Sie den Aktionsstatus, um zu überprüfen, ob die Aktion ohne Fehler abgeschlossen wird.

8. Stellen Sie die folgende Frage, um zu überprüfen, ob Clients die korrekte ProxyServers-Einstellung verwenden.

   Tanium Client explizite Einstellung[ProxyServers] und Is Windows von allen Maschinen erhalten

   Clients wenden die aktualisierte Einstellung nicht an, bis Sie sie manuell neu starten oder auf das automatische Zurücksetzen des Clients warten, was standardmäßig in einem zufälligen Intervall von 2 bis 6 Stunden passiert.

9. (Optional) Starten Sie den Tanium Client-Dienst auf jedem Endpunkt neu, um die aktualisierte Proxy-Einstellung sofort anzuwenden:

   • Verwalten des Tanium Client-Dienstes auf Windows
   • Verwalten des Tanium Client-Dienstes auf macOS
   • Verwalten des Tanium Client-Dienstes auf Linux
   • Verwalten des Tanium Client-Dienstes auf Solaris
   • Verwalten des Tanium Client-Dienstes auf AIX