Contrixt Bridge

Manche Systeme in Ihrem Rechenzentrum sind bewusst nicht aus dem Internet erreichbar — etwa ein Proxmox-Cluster, ein VMware vCenter oder ein Hyper-V-Host hinter der Firma-Firewall. Damit Contrixt diese Umgebungen trotzdem auslesen kann, ohne dass Sie einen Port nach außen öffnen, gibt es die Contrixt Bridge: einen kleinen Agenten, den Sie im eigenen Netz installieren.

Wann brauche ich eine Bridge?

Immer dann, wenn die API einer On-Premises-Umgebung nicht öffentlich erreichbar ist:

Umgebung	Bridge nötig?
Proxmox VE ohne öffentliche API	Ja — die Bridge erreicht https://pve.firma.local:8006 aus dem internen Netz
VMware vCenter hinter der Firewall	Ja — die Bridge spricht die vCenter-REST-API intern an
Hyper-V (Push-Skript)	Nein — hier sendet ein PowerShell-Skript die Daten selbst
API über eine öffentliche Adresse erreichbar	Nein — wählen Sie Direkt (Cloud erreicht die API)

Ist die API dagegen ohnehin von außen erreichbar, verbindet sich Contrixt direkt — dann brauchen Sie keine Bridge.

So funktioniert die Bridge

Die Bridge baut die Verbindung ausschließlich ausgehend über Port 443 (HTTPS) auf — genau wie ein Browser. Sie fragt Contrixt regelmäßig, ob eine Aufgabe ansteht, führt diese im internen Netz aus (z. B. „VM-Liste von Proxmox holen") und meldet das Ergebnis zurück.

Keine eingehende Freischaltung

Es ist keine eingehende Firewall-Regel nötig. Sie öffnen keinen Port und veröffentlichen keine internen Adressen. Die Bridge initiiert jede Verbindung selbst.

Bridge einrichten

1. Öffnen Sie Administration → Bridges und legen Sie über Neue Bridge anlegen einen Eintrag an (z. B. „Rechenzentrum Frankfurt").
2. Sie erhalten einmalig einen Installations-Token. Kopieren Sie ihn sofort — er wird aus Sicherheitsgründen nicht erneut angezeigt.
3. Installieren Sie den Agenten auf einem Server im internen Netz (siehe unten) und schließen Sie die Einrichtung mit dem Token ab.
4. In der Bridge-Liste wechselt der Status kurz darauf auf Online.

Installation je Betriebssystem

Der Assistent zeigt den passenden, einsatzfertigen Befehl mit bereits eingesetztem Token. Grundsätzlich gilt:

Debian / Ubuntu (.deb)

curl -fsSL https://app.contrixt.com/api/bridge/download/deb -o contrixt-bridge.deb
sudo dpkg -i contrixt-bridge.deb
sudo contrixt-bridge setup --url https://<ihr-mandant>.contrixt.com --key <TOKEN>

RHEL / SUSE (.rpm)

curl -fsSL https://app.contrixt.com/api/bridge/download/rpm -o contrixt-bridge.rpm
sudo rpm -i contrixt-bridge.rpm
sudo contrixt-bridge setup --url https://<ihr-mandant>.contrixt.com --key <TOKEN>

Linux generisch (tar.gz)

curl -fsSL https://app.contrixt.com/api/bridge/download/tar -o contrixt-bridge.tar.gz
tar -xzf contrixt-bridge.tar.gz && cd contrixt-bridge
sudo ./install.sh
sudo contrixt-bridge setup --url https://<ihr-mandant>.contrixt.com --key <TOKEN>

Windows Server (MSI)

Invoke-WebRequest https://app.contrixt.com/api/bridge/download/msi -OutFile contrixt-bridge.msi
Start-Process msiexec.exe -ArgumentList '/i contrixt-bridge.msi /quiet' -Wait
& 'C:\Program Files\Contrixt Bridge\contrixt-bridge.exe' setup --url https://<ihr-mandant>.contrixt.com --key <TOKEN>

Der setup-Befehl hinterlegt den Token und startet den Dienst anschließend automatisch — unter Linux als systemd-Dienst, unter Windows als Windows-Dienst (läuft er bereits, wird er mit der neuen Konfiguration neu gestartet). Der Agent startet nach einem Server-Neustart automatisch wieder mit. Falls der automatische Start fehlschlägt, starten Sie den Dienst manuell mit contrixt-bridge service start.

Status: Online / Offline

Die Bridge meldet sich im Sekundentakt bei Contrixt. In der Liste unter Administration → Bridges sehen Sie je Eintrag:

• Online — die Bridge hat sich in der letzten Minute gemeldet.
• Offline — länger als eine Minute kein Kontakt (Dienst gestoppt, Server aus, Netzwerkproblem).
• Deaktiviert — Sie haben die Bridge manuell pausiert.

Zusätzlich zeigt die Liste, in wie vielen Virt-Verbindungen jede Bridge verwendet wird. Ist eine als Bridge geführte Verbindung offline, weist Contrixt beim Sync darauf hin.

Sicherheit

Die Bridge ist bewusst minimal und auf Nachvollziehbarkeit ausgelegt:

• Nur ausgehend, nur Port 443 — keine eingehende Firewall-Freischaltung, keine veröffentlichten internen Adressen.
• Token einmalig — der Schlüssel wird genau einmal angezeigt und nur als Hash gespeichert. Verlorene Token ersetzen Sie durch Löschen und Neuanlegen der Bridge.
• Kein Shell-Zugriff — die Bridge führt ausschließlich definierte HTTP-Abfragen an Ihre Virtualisierungs-APIs aus. Sie ist keine Fernwartung und öffnet keine Kommandozeile in Ihr Netz.
• Begrenzte Reichweite — jede Aufgabe wird validiert (erlaubte Protokolle, Größen- und Zeitlimits), bevor die Bridge sie ausführt.

Verbindung auf die Bridge umstellen

In jedem Virtualisierungs-Formular (Administration → Integrationen → Proxmox / VMware) finden Sie die Feldgruppe Zugriff:

• Direkt (Cloud erreicht die API) — Standard, wenn die API öffentlich erreichbar ist.
• über Bridge: <Name> — leitet die Abfragen über die gewählte Bridge; der Zusatz (online) / (offline) zeigt den aktuellen Status.

Mehr zur Anbindung selbst finden Sie unter Virtualisierung (VMs).