Pangolin

Der Pangolin-Server verwaltet Benutzer, Ressourcen und Zugriffsregeln. Ein Zugangsknoten nimmt Verbindungen an und vermittelt sie zum Ziel. Im privaten Standortnetz läuft ein Site-Connector mit dem Netzwerkbaustein Newt. Er baut die Verbindung zum Zugangsknoten ausgehend auf. Am Standort ist dafür keine eingehende Portweiterleitung erforderlich.

Beim klassischen Eigenbetrieb arbeiten mehrere Komponenten zusammen. Die offizielle Architekturübersicht beschreibt ihre Aufgaben und die getrennten Datenwege.

Bei einer öffentlichen Webressource öffnet der Benutzer eine Adresse wie portal.example.com. Pangolin kann die Anmeldung vor die Anwendung schalten. Ein installierter Pangolin-Client ist für diesen Zugriff nicht erforderlich. Öffentlich bedeutet hier, dass der Zugangspunkt im Internet erreichbar ist, nicht dass die Anwendung ohne Anmeldung zugänglich sein muss. Quelle: HTTP-/HTTPS-Ressourcen.

Private Ressourcen setzen einen verbundenen und berechtigten Client voraus. Als Ziel lassen sich einzelne Hosts, vollständige Domainnamen oder Netzpräfixe definieren. Der Client stellt die erforderlichen Routen bereit. Für ein einzelnes Administrationsziel ist eine Hostfreigabe meist enger und nachvollziehbarer als die Freigabe eines ganzen Netzes. Quelle: Private Ziele.

Private Verbindungen können direkt zwischen Client und Standort entstehen. Scheitert der direkte Aufbau, kann ein Relay am Zugangsknoten vermitteln. Der Relay-Weg erhöht dessen Bandbreitenbedarf und kann die Latenz verändern. Eine restriktive Firewall muss auch den tatsächlich verwendeten Relay-Transport zulassen.

Pangolin kann eigene Benutzerkonten und externe Identitätsanbieter einbinden. OpenID Connect (OIDC) ermöglicht die Anmeldung über einen vorhandenen Identity Provider, etwa Keycloak oder Microsoft Entra ID. Single Sign-on (SSO) beschreibt die gemeinsame Anmeldung. Es ersetzt keine Entscheidung darüber, welche Ressource eine Person erreichen darf.

Beim Eigenbetrieb sind externe Identitätsanbieter und erweiterte Rollenfunktionen nach der aktuellen Enterprise-Dokumentation editionsabhängig. Eine Planung mit zentraler Unternehmensanmeldung darf sie nicht stillschweigend der Community Edition zurechnen. Quelle: Enterprise Edition.

Für einen Dienstleister sollte die Freigabe auf benötigte Anwendungen und Ports begrenzt sein. Mehrfaktor-Authentifizierung (MFA), Ablauf von Sitzungen und das Sperren ausgeschiedener Benutzer gehören in den Abnahmetest. Dabei auch bereits aktive Sitzungen und Maschinenzugänge prüfen. Eine vorgeschaltete Anmeldung ersetzt die Berechtigungen innerhalb der Fachanwendung nicht.

Für den dokumentierten Standardaufbau braucht es einen geeigneten Server, eine Domain und die Containerumgebung nach Installationsanleitung. Das Domain Name System (DNS) muss die verwendeten Namen zum Zugangsknoten auflösen. Bei IPv4 und IPv6 sind Erreichbarkeit und Firewallregeln getrennt zu prüfen. Einen AAAA-Eintrag nur veröffentlichen, wenn der IPv6-Pfad tatsächlich funktioniert.

Der Site-Connector benötigt Zugriff auf die freigegebenen Ziele und gegebenenfalls deren interne Namensauflösung. Serverleistung und Datenvolumen anhand gleichzeitiger Verbindungen, großer Übertragungen und des Relay-Anteils dimensionieren. Eine kleine Testinstallation ist kein belastbarer Kapazitätsnachweis. Quelle: Installation.

Bei öffentlichen Webressourcen endet Transport Layer Security (TLS) am Reverse Proxy. Der Standorttunnel ist WireGuard-verschlüsselt, der letzte Abschnitt vom Connector zur Anwendung hängt jedoch vom konfigurierten Zielprotokoll ab. Ein HTTP-Backend wird durch den Tunnel nicht automatisch zu einem durchgehend TLS-geschützten Dienst. Für vertrauliche Daten auch diesen Abschnitt verschlüsseln und Zertifikate prüfen.

Tunnel verursachen zusätzlichen Paket-Overhead. Die Maximum Transmission Unit (MTU) muss zum gesamten Pfad passen. Wenn Anmeldung und kleine Antworten funktionieren, große Uploads aber hängen, sind MTU und Path MTU Discovery (PMTUD) sinnvolle Prüfpunkte. Blockierte Rückmeldungen des Internet Control Message Protocol (ICMP) können zu stillen Paketverlusten führen. Jumbo Frames im lokalen Netz beheben keine kleinere MTU auf dem Internetpfad.

Bei Störungen schrittweise prüfen: Namensauflösung und Erreichbarkeit des Zugangsknotens, Connector-Status, Zugriff vom Connector zum Ziel, danach Anmeldung und Regeln. Bei privaten Ressourcen zusätzlich Client-Routen und den direkten beziehungsweise vermittelten Verbindungsweg kontrollieren.

Vor Updates Datenbank, Konfiguration und benötigte Schlüssel konsistent sichern. Pangolin führt Versionsmigrationen aus, ein Rücksprung auf ein älteres Container-Image allein ist deshalb kein verlässlicher Wiederherstellungsweg. Release-Hinweise für Pangolin, Gerbil, Badger, Connector und Clients gemeinsam lesen. Quelle: Update-Verfahren.

Ein einzelner Zugangsknoten bleibt eine Ausfallstelle. Seit Version 1.23.0 ist ein dokumentierter Enterprise-Clusteraufbau verfügbar. Mehrere Connectoren allein ersetzen keine hochverfügbare Steuerungs- und Zugangsebene. Wiederherstellung, Zertifikatserneuerung und Ausfallverhalten unter Last vor dem Produktivbetrieb testen. Quelle: Release 1.23.0.

Für den Betrieb sind fehlgeschlagene Anmeldungen, Tunnelabbrüche und Ressourcenfehler relevant. Benötigte Protokolltypen, Aufbewahrung und Exportmöglichkeiten vor der Editionswahl festlegen. Eigenbetrieb allein belegt weder Sicherheit noch Datenschutzkonformität. Entscheidend bleiben Zugriffsschutz, Datenflüsse, Protokollierung und die tatsächlichen Betriebsprozesse.

Der Pangolin-Kern steht unter der GNU Affero General Public License Version 3 (AGPL-3.0). Das Repository enthält zusätzlich Dateien unter der Fossorial Commercial License. Sichtbarer Quellcode bedeutet bei diesen Erweiterungen keine Open-Source-Lizenz. Maßgeblich sind die jeweiligen Lizenzhinweise, Drittkomponenten behalten ihre eigenen Lizenzen. Quelle: Lizenzdatei.

Die Enterprise Edition verwendet ein eigenes Container-Image und benötigt einen gültigen Lizenzschlüssel. Nach Herstellerangabe ist sie für persönliche Nutzung und Organisationen unter 100.000 US-Dollar Bruttojahresumsatz kostenlos lizenzierbar. Ab dieser Umsatzgrenze ist eine bezahlte kommerzielle Lizenz erforderlich. Diese Grenze betrifft Enterprise, nicht die Nutzung des AGPL-Kerns.

Community-Unterstützung und vertraglich vereinbarter Support sind getrennt zu betrachten. Benötigte Reaktionszeiten, Funktionsumfang und Benutzer- beziehungsweise Standortgrenzen anhand des konkreten Angebots prüfen. Pangolin Cloud ist ein gesondertes, vom Anbieter betriebenes Angebot. Lizenz- und Supportübersicht des Herstellers.

Pangolin 1.23.0 verbindet einen identitätsbewussten Anwendungszugang mit privaten Clientverbindungen. NetBird beschreibt seine Grundlage als verwaltetes Peer-to-Peer-Netzwerk auf WireGuard-Basis. Die Anforderungen können sich überschneiden. Für eine Auswahl konkret prüfen, ob Geräte untereinander kommunizieren sollen oder gezielte Zugänge zu Anwendungen und Standortressourcen im Vordergrund stehen. Quelle: NetBird-Architektur.

Cloudflare Tunnel verbindet einen internen Connector ausgehend mit dem Cloudflare-Netz. Cloudflare Access ergänzt Zugriffsrichtlinien. Beim vollständig selbst betriebenen Pangolin übernimmt das Unternehmen auch den Betrieb des Zugangsknotens. Die wichtige Abgrenzung ist damit die Verantwortung für Vermittlungsinfrastruktur und Steuerung. Ein Vergleich allein nach dem Merkmal „Tunnel ohne eingehende Standortports“ greift zu kurz. Quelle: Cloudflare Tunnel.