Systeeminstellingen

Op de pagina's met systeeminstellingen configureert u de identiteit, netwerkconnectiviteit en basisbeveiliging van uw PrivateLAN-appliance.

Systeemoverzicht

• Systeemnaam — een herkenbare naam voor de appliance, gebruikt om deze te identificeren in apps voor tweefactorauthenticatie en als projectnaam op pdf-rapporten
• Telemetrie — bepaalt of PrivateLAN gebruiksgegevens verstuurt om het product te verbeteren:
• Ingeschakeld — verstuurt gebeurtenissen samen met een unieke instantie-identificatie
• Anoniem — verstuurt gebeurtenissen zonder identificerende informatie; PrivateLAN koppelt ze niet aan de licentie. De appliance bewijst wel met zijn sleutel dat een gebeurtenis van een echte PrivateLAN-appliance komt (zie het privacybeleid)
• Uitgeschakeld — verstuurt nooit telemetrie

Telemetrie wordt alleen verstuurd door een appliance waarvan de licentie aan zijn updatesleutel is gekoppeld. Sinds 26.10.4 geldt Uitgeschakeld ook voor de meldingen die de appliance zelf verstuurt: het verloop en de uitkomst van een update, het automatisch herstellen van uitgevallen diensten en het automatisch blokkeren van inloggen op afstand. De updates zelf blijven werken; alleen de meldingen erover stoppen.

Diagnostics, naast de instelling, opent een pagina die laat zien waarom de appliance wel of niet rapporteert (de instelling, de koppeling met de licentie, de rapportageminuut), met een knop die het systeemrapport meteen verstuurt.

Een foutmelding noemt het bestand en de regel waar de fout optrad. Voordat de melding wordt verstuurd, maskeert de appliance daarin IP-, MAC- en e-mailadressen, accountnamen en ingevoerde waarden, en gaat de verwijzende pagina mee zonder de naam of het adres van uw appliance en zonder de waarden uit de adresbalk.

Welke verbindingen de appliance met PrivateLAN maakt, en welke daarvan de telemetrie-instelling regelt, staat in Uitgaande verbindingen.

Netwerkinstellingen

1. General settings — tijdserver en tijdzone
2. Eth0 - LAN — het adres voor de webinterface en de switches
3. Eth1 - WAN — alleen voor updates en uitgaand verkeer

Wijzigingen in netwerkinstellingen worden direct toegepast — controleer of de nieuwe instellingen correct zijn voordat u opslaat, vooral als u via de gewijzigde interface verbonden bent.

Wanneer Eth1 op DHCP staat, worden twee extra knoppen getoond:

• Refresh — leest het adres dat de interface op dit moment heeft opnieuw uit en toont het op het scherm. Er wordt geen contact opgenomen met de DHCP-server.
• Renew DHCP — geeft de huidige lease vrij en vraagt een nieuwe aan. Gebruik dit wanneer er aan de WAN-kant iets is gewijzigd (bijvoorbeeld een ander VLAN of subnet op de uplink), omdat de appliance anders zijn vorige adres blijft gebruiken tot de lease verloopt. Het vernieuwen duurt enkele seconden; uitgaand verkeer is tijdens het aanvragen van de nieuwe lease kort niet beschikbaar.

Beveiligingsinstellingen

De beveiligingspagina toont de status van de interne firewall van de appliance. Beheerders met de juiste rechten kunnen SSH-toegang via de firewall in- of uitschakelen.

1. Firewall status — de firewall in de appliance, en of SSH open staat
2. Allowed networks — de netwerken die de webinterface mogen bereiken

SSH-toegang staat standaard uit. De appliance onthoudt de laatste instelling over een herstart heen, dus een herstart opent of sluit SSH niet. Het openen van SSH is bedoeld als tijdelijk: de appliance sluit SSH weer aan het einde van elke update en tijdens de nachtelijke controle. Sessies die al open zijn, blijven verbonden.

Toegangsbeperking webinterface (IP/subnet)

Beheerders met de rol Webinterface IP-beperking beheren zien op de beveiligingspagina een extra paneel waarmee de toegang tot de webinterface zelf kan worden beperkt tot bepaalde netwerken. Voer één IP-adres of subnet (CIDR-notatie) per regel in, bijvoorbeeld 172.16.100.0/24. Bezoekers vanaf een ander netwerk zien vervolgens een duidelijke foutmelding in plaats van de inlogpagina.

• Laat het veld leeg om de beperking uit te schakelen — dit is de standaardinstelling en betekent dat de webinterface vanaf elk netwerk bereikbaar is.
• Deze beperking werkt op applicatieniveau (een "soft block" binnen PrivateLAN zelf) en is geen firewallregel — de interne achtergrondtaken van de appliance blijven altijd werken, ongeacht deze instelling.
• Zorg dat het IP-adres waarmee u zelf verbinding maakt in de lijst staat voordat u opslaat, anders verliest u mogelijk uw eigen toegang tot de webinterface.
• Deze rol staat los van de algemene rol om de beveiligingspagina te mogen bekijken, zodat dit gevoelige onderdeel apart aan specifieke beheerders kan worden toegewezen (zie Gebruikersbeheer).

Certificaat van de webinterface

De webinterface gebruikt een certificaat voor app.privatelan.nl dat de appliance zelf maakt: een eigen CA ondertekent het servercertificaat. Daarvoor wordt niets van internet gehaald, dus het werkt ook offline. De beveiligingspagina toont het certificaat dat in gebruik is (wie het heeft uitgegeven, de namen, hoe lang het geldig is en de SHA-256-vingerafdruk) en de CA van de appliance.

• Vertrouw de CA van de appliance. Download privatelan-appliance-ca.crt van de beveiligingspagina en installeer het als vertrouwd basiscertificaat op de computers die de webinterface gebruiken. In Windows: open het bestand, kies Certificaat installeren, Lokale computer en het archief Vertrouwde basiscertificeringsinstanties, of verspreid het met een groepsbeleid. Firefox heeft een eigen lijst: importeer het bestand in de certificaatinstellingen van Firefox, als certificeringsinstantie voor websites. Browsers openen de webinterface daarna zonder waarschuwing. De CA kan alleen instaan voor app.privatelan.nl; wie hem vertrouwt, laat hem dus niet instaan voor een andere site.
• Vernieuwen. Het servercertificaat is 825 dagen geldig en wordt 30 dagen voor het einde automatisch vernieuwd door dezelfde CA, zodat computers die de CA vertrouwen er niets van merken. De CA zelf is 20 jaar geldig. 825 dagen is de langste periode die Apple-apparaten accepteren, ook voor een certificaat dat u zelf vertrouwt.
• Elke appliance heeft een eigen. Geen twee appliances delen een certificaat of een CA: een appliance die vanaf de image is geïnstalleerd, maakt bij de eerste start een nieuwe, en opnieuw wanneer het standaardwachtwoord van de beheerder wordt gewijzigd. Uw browser toont dan nog één keer de certificaatwaarschuwing.
• Uw eigen certificaat uploaden. Beheerders met de rol Can regenerate or upload the certificate of the web interface kunnen in plaats daarvan een certificaat van uw eigen CA uploaden: een PEM-bestand met het certificaat (eventueel gevolgd door de keten) en een onversleutelde PEM-privésleutel, of een PFX/P12-bestand met het wachtwoord. Het certificaat moet de naam app.privatelan.nl (of *.privatelan.nl) bevatten, bedoeld zijn voor een webserver en niet verlopen zijn; de sleutel moet RSA van minstens 2048 bits zijn, of EC P-256 of P-384. Een geüpload certificaat wordt niet automatisch vernieuwd: upload een nieuw certificaat voordat het verloopt.
• Regenerate certificate maakt een nieuw servercertificaat met dezelfde CA. Regenerate CA maakt ook een nieuwe CA; computers die de oude CA vertrouwden, moeten dan de nieuwe vertrouwen. Zolang een geüpload certificaat in gebruik is, schakelt Use generated certificate terug naar het eigen certificaat van de appliance.
• Nooit buitengesloten. De webinterface blijft bereikbaar met een verlopen of niet-vertrouwd certificaat: de browser toont een waarschuwing waar u doorheen kunt klikken, zodat u hier altijd een nieuw certificaat kunt maken. Een certificaat dat de webserver weigert, wordt niet geïnstalleerd en het vorige blijft in gebruik. Laad de pagina na een wijziging opnieuw; uw browser kan één keer waarschuwen voor het nieuwe certificaat.

API-verzoeklimieten

Beheerders met de rol API-verzoeklimieten beheren zien op de beveiligingspagina een paneel waarmee wordt ingesteld hoeveel API-verzoeken één API-key per minuut mag doen. Dat beschermt de appliance en de switches erachter tegen een op hol geslagen integratie; het staat los van de blokkade die al geldt voor mislukte aanmeldpogingen, die ongeacht deze instelling blijft werken.

• Algemene limiet (standaard 100) geldt voor alle API-endpoints.
• Switch-belastende endpoints (standaard 10) is een tweede, veel kleiner budget voor de verzoeken die een SSH-sessie naar een switch openen of een taak inplannen die dat doet: apparaat- en switchacties, live apparaat- en switchstatus, het activeren van een servicepoort, het uitgeven of intrekken van een certificaat, en het starten van een systeemupdate. Die verzoeken tellen mee voor beide budgetten, omdat een switch maar een paar sessies tegelijk aankan.
• Verzoeken die alleen al verzamelde gegevens teruglezen — een lijst apparaten, het statusoverzicht van meerdere apparaten tegelijk, de poortenlijst van een switch — tellen alleen mee voor de algemene limiet, dus gewone monitoring merkt hier niets van.
• Zet een limiet op 0 om hem uit te schakelen. De switch-belastende limiet kan niet hoger worden gezet dan de algemene limiet, omdat die verzoeken altijd uit beide budgetten putten.
• Een key die over een limiet gaat, krijgt een duidelijke weigering met daarin het aantal seconden dat gewacht moet worden. Zie de REST API-documentatie voor het exacte antwoord en de headers.
• Deze rol staat los van de algemene rol om de beveiligingspagina te mogen bekijken, zodat dit onderdeel apart aan specifieke beheerders kan worden toegewezen (zie Gebruikersbeheer).

Devices-instellingen

Beheerders met de rol Camera bewerken zien op de System-pagina ook een paneel Devices met de optie Camera Autostart. Hiermee bepaalt u of het live camerabeeld van een apparaat (zie Camera live-view) automatisch start zodra u de bewerkpagina van dat apparaat opent, of alleen nadat u zelf op Start stream klikt. Standaard staat deze optie aan.

Uiterlijk en huisstijl

• Licht, donker of automatisch — de webinterface heeft een licht en een donker uiterlijk. Standaard volgt hij de instelling van uw besturingssysteem. De knoppen Light, Dark en Auto onderaan het menu overschrijven dat voor de browser die u gebruikt; de keuze wordt niet gedeeld met andere gebruikers of browsers. De Tux-assistent volgt dezelfde keuze.
• Huisstijl van een reseller — een appliance die via een reseller is geleverd, kan het logo en de kleuren van die reseller tonen, in de webinterface en op de PDF-rapporten. Het uiterlijk is onderdeel van de licentie, dus op de appliance hoeft niets te worden ingesteld. Een licentie zonder reseller-huisstijl toont het uiterlijk van PrivateLAN, ook nadat de licentie is verlopen.

AI-instellingen

Beheerders met de rol AI-assistent-instellingen beheren zien een pagina Systeem / AI waarmee de Tux-assistent voor het hele systeem wordt ingesteld. Deze rol staat los van de algemene rollen elders op de Systeempagina, zodat hij aan specifieke beheerders kan worden toegewezen (zie Gebruikersbeheer).

1. Mode — Disable, Read only of Full control
2. Provider — PrivateLAN-cloud of uw eigen AI-server on-prem

• Modus — Uitschakelen zet de assistent volledig uit, voor iedereen, ongeacht individuele rechten. Alleen-lezen (standaard) laat de assistent gegevens opzoeken, maar nooit iets wijzigen. Volledige controle staat de assistent daarnaast toe om wijzigingen door te voeren — maar alleen voor een gebruiker die daarnaast apart het bijbehorende recht heeft gekregen, en pas nadat u elke wijziging in het gesprek heeft goedgekeurd. Deze modus werkt als een plafond: hij kan alleen rechten wegnemen, nooit zelf rechten toekennen. Zie Tux, de AI-assistent voor wat Volledige controle wel en niet toestaat.
• Backend — kies tussen de PrivateLAN-hosted assistent (standaard) of een eigen on-prem AI-server die u zelf beheert. Bij on-prem geeft u een server-URL en API-sleutel op voor uw eigen OpenAI-compatibele AI-server (bijvoorbeeld een lokaal gehost model), en kunt u optioneel extra instructies toevoegen via een systeemprompt-veld, die worden toegevoegd aan de standaardinstructies van de assistent. De API-sleutel wordt versleuteld opgeslagen en wordt na opslaan nooit meer getoond.
• Antwoordtime-out (alleen bij on-prem) — hoelang de appliance op een antwoord van uw AI-server wacht, tussen 10 en 600 seconden, standaard 120. Een model op uw eigen hardware kan aanzienlijk meer tijd nodig hebben dan een clouddienst, vooral bij de eerste vraag nadat het in het geheugen is geladen. Let op: Volledige controle vereist een model dat tool calling ondersteunt; een model zonder die ondersteuning kan wel vragen beantwoorden, maar niets uitvoeren.