Von einem anderen Rechner zugreifen (HTTPS)

Direkt am Gerät (Kiosk-Bildschirm) läuft die Bedienoberfläche über http://localhost:5000. Von anderen Rechnern im Netzwerk erreichen Sie dieselbe Oberfläche zusätzlich verschlüsselt:

https://<edge-ip>:5443

Beide Zugänge zeigen dieselbe Anwendung mit denselben Benutzern und Rechten.

Warum HTTPS auf einem eigenen Port?

Einige eingebettete Anwendungen benötigen im Browser einen sogenannten sicheren Kontext. Der ist bei http://localhost auf dem Gerät selbst gegeben, bei einem Zugriff über eine LAN-IP jedoch nur mit HTTPS. Die Edge stellt deshalb beide Zugänge bereit (im Stream für GMN seit Firmware 2.1.1): HTTP auf Port 5000 (lokal/Kiosk) und HTTPS auf Port 5443 (Fernzugriff).

Das Zertifikat der Edge

Edges haben meist keinen Internetzugang; ein Zertifikat einer öffentlichen Zertifizierungsstelle kommt deshalb nicht in Frage. Die Edge bringt stattdessen ihre eigene Zertifizierungsstelle mit, die Edge-CA. Sie entsteht beim ersten Start, bleibt für die Lebensdauer des Geräts dieselbe und stellt das Zertifikat für Port 5443 aus. Dieses Zertifikat deckt alle privaten IP-Adressen der Edge ab; es läuft ein gutes Jahr und wird von der Edge selbst rechtzeitig erneuert, ebenso beim nächsten Start, wenn eine IP-Adresse hinzugekommen ist.

Solange Ihr Rechner der Edge-CA nicht vertraut, zeigt der Browser beim Aufruf eine Warnung („Verbindung ist nicht privat“). Sie haben drei Möglichkeiten:

Warnung bestätigen („Erweitert“ → „Weiter zu …“) — genügt für einen gelegentlichen Zugriff.
Der Edge-CA einmal vertrauen — danach keine Warnung mehr, auch nicht nach einer Erneuerung oder einem IP-Wechsel. Siehe unten.
Ein Zertifikat Ihrer Firmen-CA installieren — wenn Ihre IT eine eigene Zertifizierungsstelle betreibt, der Ihre Rechner ohnehin vertrauen. Siehe Eigenes Zertifikat.

Der Edge-CA vertrauen

Die Edge-CA kann nur für private Adressen und lokale Namen bürgen (10.x, 172.16–31.x, 192.168.x, Namen auf .local, .lan, .internal, .intranet, .intern, .corp, .home.arpa). Das ist im Zertifikat selbst festgeschrieben und wird vom Browser geprüft. Selbst wer an ihren Schlüssel käme, könnte damit keine Website im Internet vortäuschen.

Melden Sie sich als Administrator an und öffnen Sie Einstellungen → HTTPS-Zertifikat.
Notieren Sie den Fingerabdruck (SHA-256) und klicken Sie auf Edge-CA herunterladen. Sie erhalten die Datei edge-ca.crt.
Installieren Sie die Datei auf dem Rechner als vertrauenswürdige Stammzertifizierungsstelle:
- Windows (gilt für Edge und Chrome): Doppelklick auf edge-ca.crt → Zertifikat installieren → Lokaler Computer → Alle Zertifikate in folgendem Speicher speichern → Vertrauenswürdige Stammzertifizierungsstellen. Vor dem Abschluss zeigt Windows den Fingerabdruck an — vergleichen Sie ihn.
- Viele Rechner auf einmal: Ihre IT kann die Datei per Gruppenrichtlinie verteilen (Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Richtlinien für öffentliche Schlüssel → Vertrauenswürdige Stammzertifizierungsstellen).
- macOS: Datei öffnen → Schlüsselbund System → im Zertifikat unter Vertrauen „SSL“ auf Immer vertrauen stellen.
- Firefox (eigene Zertifikatsverwaltung): Einstellungen → Datenschutz & Sicherheit → Zertifikate anzeigen → Zertifizierungsstellen → Importieren und „Dieser CA vertrauen, um Websites zu identifizieren“ ankreuzen.
Browser neu starten und https://<edge-ip>:5443 aufrufen — ohne Warnung.

Jede Edge hat ihre eigene CA. Bei mehreren Edges vertrauen Sie jeder einzeln — oder Sie verwenden für alle ein Zertifikat Ihrer Firmen-CA.

Hostnamen

Rufen Sie die Edge statt über ihre IP über einen Namen auf (etwa edge01.local oder einen Eintrag im DNS Ihrer Firma), tragen Sie ihn unter Einstellungen → HTTPS-Zertifikat → Hostnamen ein. Namen mit den oben genannten lokalen Endungen nimmt die Edge sofort in ihr Zertifikat auf. Für andere Namen, etwa edge01.firma.de, darf die Edge-CA nicht bürgen; sie landen nur in Zertifikatsanforderungen — für solche Namen brauchen Sie ein Zertifikat Ihrer Firmen-CA.

Eigenes Zertifikat Ihrer Firmen-CA

Betreibt Ihre IT eine eigene Zertifizierungsstelle (zum Beispiel Active Directory Certificate Services), können Sie ein Zertifikat von ihr verwenden. Die Edge kennt zwei Wege.

Weg 1: Zertifikatsanforderung (empfohlen)

Der private Schlüssel entsteht auf der Edge und verlässt sie nie.

Einstellungen → HTTPS-Zertifikat → Eigenes Zertifikat: Hostnamen eintragen (durch Kommas getrennt), bei Bedarf IP-Adressen dieser Edge aufnehmen ankreuzen und die Organisation angeben.
Zertifikatsanforderung erstellen, dann Anforderung herunterladen (edge.csr) oder In die Zwischenablage kopieren.
Ihre IT stellt daraus ein Webserver-Zertifikat aus. Bei einer Windows-CA zum Beispiel:
```
certreq -submit -attrib "CertificateTemplate:WebServer" edge.csr edge.cer
```
Auf derselben Seite die erhaltene Datei auswählen (.cer, .crt, .pem oder die Kette als .p7b) und Prüfen und installieren klicken. Die Edge ordnet das Zertifikat dem wartenden Schlüssel zu.

Solange eine Anforderung offen ist, zeigt die Seite sie an. Anforderung verwerfen löscht den wartenden Schlüssel; ein dafür ausgestelltes Zertifikat lässt sich danach nicht mehr installieren.

Weg 2: Zertifikat mit Schlüssel importieren

Hat Ihre IT Zertifikat und Schlüssel schon erzeugt, laden Sie beides hoch:

PKCS#12 (.pfx, .p12) — Passwort ins Feld daneben eintragen.
PEM — Zertifikat, Zwischenzertifikate und privater Schlüssel, in einer oder mehreren Dateien; ein verschlüsselter Schlüssel braucht sein Passwort.

Was die Edge vor dem Aktivieren prüft

Ein Zertifikat wird nur aktiviert, wenn es funktionieren kann. Abgelehnt wird es, wenn

der private Schlüssel fehlt oder nicht zum Zertifikat passt,
es abgelaufen oder noch nicht gültig ist (dann auch Datum und Uhrzeit der Edge prüfen),
es ein CA-Zertifikat ist, keinen Hostnamen nennt (Subject Alternative Name) oder nicht für Server bestimmt ist,
der Schlüssel zu schwach ist (RSA unter 2048 Bit) oder es mit SHA-1 signiert ist,
die mitgelieferte Kette nicht zusammenpasst.

Eine Warnung — das Zertifikat wird trotzdem installiert — erscheint, wenn es keine Adresse und keinen eingetragenen Hostnamen der Edge abdeckt, eine Zwischenzertifizierungsstelle zu fehlen scheint, es länger als 825 Tage gilt oder keinen Verwendungszweck nennt (Apple-Geräte lehnen die beiden letzten ab), oder wenn es in weniger als 30 Tagen abläuft.

Nach Prüfen und installieren gilt das Zertifikat ab der nächsten Verbindung, ein Neustart ist nicht nötig. Laden Sie die Seite neu.

Welcher Rechner welches Zertifikat bekommt

Die Edge entscheidet je Verbindung:

Aufruf über einen Namen, den Ihr Zertifikat nennt (auch über einen Platzhalter wie *.firma.de) → Ihr Zertifikat.
Aufruf über eine IP-Adresse → Ihr Zertifikat nur, wenn es alle IP-Adressen der Edge enthält; sonst das Edge-Zertifikat. Der Browser verrät bei einem Aufruf per IP nicht, welche Adresse er gewählt hat; ein Zertifikat mit nur einer davon würde auf allen anderen Anschlüssen eine Warnung erzeugen.
alles andere → das Edge-Zertifikat.

Soll Ihr Zertifikat auch beim Aufruf per IP gelten, kreuzen Sie bei der Anforderung IP-Adressen dieser Edge aufnehmen an — oder rufen Sie die Edge über einen Namen auf, den das Zertifikat nennt.

Ablauf und Erneuerung

30 Tage vor Ablauf meldet die Diagnose den Code 1012; bei angebundener Flottenverwaltung erscheint die Meldung auch dort. Erneuern Sie wie beim ersten Mal (neue Anforderung oder Import). Ein abgelaufenes Zertifikat liefert die Edge weiter aus: der Browser warnt, Sie kommen aber auf die Oberfläche, um ein neues zu installieren.

Lässt sich Ihr Zertifikat einmal nicht laden, verwendet die Edge automatisch wieder ihr eigenes und meldet 1013. Wieder das Edge-Zertifikat verwenden entfernt Ihr Zertifikat dauerhaft. Dieselbe Meldung erscheint, wenn die Edge ihr eigenes Zertifikat nicht speichern oder erneuern konnte; dann arbeitet sie mit einem vorläufigen Zertifikat weiter und versucht es selbst erneut.

Unverschlüsselten Zugang schließen

Port 5000 (HTTP) bleibt ab Werk offen. Möchten Sie im Netzwerk nur verschlüsselte Zugriffe zulassen, schließen Sie ihn unter Einstellungen → Firewall — siehe Firewall konfigurieren. Der Kiosk-Bildschirm greift lokal zu und ist davon nicht betroffen.

Mehrere Netzwerk-Anschlüsse

Eine openXEdge hat bis zu drei LAN-Ports mit eigenen IP-Adressen (typisch: Büronetz, Anlagen-Subnetz, Service-Port). Die Oberfläche — einschließlich aller eingebetteten Anwendungen — ist über jede dieser Adressen erreichbar; verwenden Sie einfach die IP des Ports, mit dem Ihr Rechner verbunden ist. Die Zuordnung der Ports beschreibt Anschlüsse und Verkabelung.

Was tun bei Problemen?

Seite lädt nicht → Sind Sie im richtigen Subnetz? Die IP-Adressen aller Ports zeigt Einstellungen → Netzwerk nach der Anmeldung, auch am Bildschirm der Edge.
Eingebettete Ansicht bleibt leer (nur bei HTTP über LAN-IP) → Verwenden Sie den HTTPS-Zugang https://<edge-ip>:5443.
Warnung trotz installierter Edge-CA → Browser ganz neu starten. Rufen Sie die Edge über eine öffentliche IP oder einen Namen ohne lokale Endung auf, kann die Edge-CA dafür nicht bürgen; die Seite HTTPS-Zertifikat nennt solche Adressen. Firefox verwaltet Zertifikate getrennt von Windows.
Warnung nach einem Firmware-Update von einer Version vor der Edge-CA → Einmalig: Die Edge hat ihr altes selbstsigniertes Zertifikat durch eines der Edge-CA ersetzt. Vertrauen Sie der Edge-CA wie oben beschrieben.