In segmentierten Netzen ist selten GLPI Agent selbst das Problem – sondern die Route. Niederlassungen ohne VPN, DMZs, OT/ICS-Netze und Labore haben meist nur ausgehenden HTTP-Zugang nach außen und nie einen direkten Weg zum Inventarserver. Beim Betrieb von GLPI-Umgebungen für Kunden wird der Proxy-Modus von GLPI Agent genau hier von einer Kuriosität in der Dokumentation zur produktiven Architektur: Ein Agent pro Netz sammelt das Inventar der Nachbarn und leitet es über einen einzigen kontrollierten Kanal an GLPI weiter.
Wo der Proxy wirklich hilft (und wo nicht)
Der Proxy-Modus existiert nicht, um „Agenten zu sparen“. Er existiert, um N Firewall-Regeln auf eine einzige zu reduzieren. Ohne Proxy müsste jeder Arbeitsplatz einer Niederlassung den GLPI-Server erreichen – also entweder den gesamten Bestand zum Rechenzentrum hin öffnen oder sich auf ein VPN verlassen, das selten Druckernetz, Fabriksteuerungen oder Gästesegment abdeckt. Mit Proxy spricht nur der Sammel-Agent mit GLPI. Die Situationen, in denen wir ihn einsetzen:
- Niederlassungen ohne direktes VPN zum Rechenzentrum, nur mit freigegebenem Web-Zugang.
- Isolierte Netze: DMZ, OT/ICS (Fertigung), Labor, Gästesegment.
- Restriktive Firewall, bei der nur ausgehender HTTP/HTTPS-Verkehr über einen Unternehmens-Proxy läuft.
- Entfernte Standorte mit instabiler Leitung, bei denen lokales Sammeln und Weiterleiten Neuübertragungen über WAN reduziert.
Wo es sich nicht lohnt: in einem flachen Netz, das GLPI bereits erreicht, oder bei einem kleinen Bestand hinter einem stabilen VPN. Dort fügt der Proxy nur eine Fehlerquelle hinzu. Die Regel, die wir in der Beratung anwenden, ist einfach: Proxy, wenn die Barriere bei Route/Firewall liegt, nicht wenn es um Skalierung geht.
Architektur: ein Sammelpunkt pro Netzbereich
[Branch A hosts] --HTTP--> [GLPI Agent Proxy A :62354] --+
[Branch B hosts] --HTTP--> [GLPI Agent Proxy B :62354] --+--HTTPS 443--> [GLPI Server]
[OT/ICS network] --HTTP--> [GLPI Agent Proxy C :62354] --+ (glpi.yourcompany.com)Jedes Netz hat einen Agenten mit aktiviertem lokalem HTTP-Server (Funktion proxy). Die Agenten der Arbeitsplätze kennen GLPI nicht: Sie senden ihr Inventar an den Proxy ihres eigenen Netzes. Der Proxy leitet es über eine einzige TLS-Verbindung an den GLPI-Server weiter. Im Betrieb bedeutet dies: Die Firewall-Übersicht des Kunden hat nicht mehr Dutzende Quellen, sondern eine Zeile pro Netz.
Reale Konfiguration, die wir in Produktion gebracht haben
In den Versionen 1.x von GLPI Agent liegt die Konfiguration in .cfg-Dateien, und der Dienst stellt die HTTP-Aufgaben auf Port 62354 bereit. Der Sammelpunkt braucht zwei Dinge: die aktivierte lokale Serveraufgabe und eine Vertrauensliste (httpd-trust), beschränkt auf den Adressbereich des Netzes – niemals offen.
1. Sammel-Agent (Proxy des Netzes)
# /etc/glpi-agent/conf.d/proxy.cfg (concentrator agent)
# Where the collected inventories are forwarded:
server = https://glpi.yourcompany.com/front/inventory.php
# Enables the embedded HTTP server and the relay task:
tasks = inventory, remoteinventory
# Trust: ONLY the local network range may post to the proxy
httpd-trust = 192.168.10.0/24
# Local listener port (GLPI Agent default):
httpd-port = 62354
# Do not double-inventory the concentrator itself:
no-task = collect2. Agenten der Arbeitsplätze (zeigen auf den Proxy, nicht auf GLPI)
# /etc/glpi-agent/conf.d/local.cfg (branch workstations)
# The "server" here is the network proxy, not GLPI:
server = http://proxy-branch-a.local:62354
# Resend interval (seconds). 86400 = once a day:
delaytime = 86400
# Avoid everyone firing at the same instant (random window):
lazy = 13. Schnelle Prüfung am Sammelpunkt
# Did the listener respond?
curl -sS http://localhost:62354/ | head -n 5
# Force a run and watch the forward to GLPI:
glpi-agent --debug --force
# On the server: did the inventory arrive through the proxy?
tail -f /var/log/glpi-agent/glpi-agent.log | grep -i "success"Was NexTool in der Praxis gelernt hat
Ein Detail, das erst im Betrieb auffällt: Wenn httpd-trust zu weit gefasst ist (oder auf einen Unternehmens-Proxy mit SNAT zeigt), kommen alle Arbeitsplätze mit derselben Quell-IP am Sammelpunkt an – der des Unternehmens-Proxys. Wenn Sie der IP des Unternehmens-Proxys statt dem realen Adressbereich der Arbeitsplätze vertraut haben, kann praktisch jeder Host, der über diesen Proxy läuft, Inventar senden. Wir korrigieren dies immer, indem wir httpd-trust auf den physischen Adressbereich des Arbeitsplatznetzes beschränken, niemals auf die IP des Ausgangs-Gateways. Die zweite Lehre betrifft die Uhrzeit: Ohne lazy = 1 lösen Bestände mit Hunderten Rechnern, die über dieselbe GPO eingeschaltet werden, ihr Inventar in derselben Minute der morgendlichen Anmeldung aus und stauen sich am Sammelpunkt – die Leitung der Niederlassung stockt jeden Tag um 8 Uhr. Das Zufallsfenster von lazy löst dies, ohne die Infrastruktur anzufassen.
Proxy-Modus vs. direkter Agent: wann Sie welchen wählen
| Kriterium | Direkter Agent | Proxy-Modus |
|---|---|---|
| Firewall-Regeln | Eine pro Quelle (skaliert nicht) | Eine pro Netz |
| Netz ohne Route zu GLPI | Funktioniert nicht | Löst es |
| Single Point of Failure | Kein zusätzlicher | Der Sammelpunkt (mit 2 Proxys abmildern) |
| WAN-Verkehr | N Verbindungen | 1 gebündelte Verbindung |
| Betriebliche Komplexität | Gering | Mittel (1 Host pro Netz zu betreuen) |
| Am besten für | Flaches Netz / stabiles VPN | DMZ, OT, Niederlassung ohne VPN |
Integration mit GLPI und dem NexTool-Ökosystem
Sammeln ist die halbe Arbeit; der Wert liegt in dem, was GLPI nach dem Eintreffen des Inventars daraus macht. In den Umgebungen, die wir betreuen, verbinden wir das Inventar per Proxy mit dem restlichen Lebenszyklus des Assets:
- Geschäftsregeln von GLPI ordnen das Asset anhand der vom Proxy gelieferten Daten einer Einheit/einem Standort zu – die richtige Niederlassung, die richtige Kategorie, ohne manuelle Eingabe.
- Audit-Modul von NexTool erfasst, wenn ein Asset hinzukommt, den Besitzer wechselt oder aus dem Inventar verschwindet – unverzichtbar in OT-Netzen, in denen Geräte nicht einfach „verschwinden“ dürfen.
- Benachrichtigungen werden ausgelöst, wenn ein Proxy keine Daten mehr meldet: Ein stummer Sammelpunkt bedeutet ein komplett blindes Netz, und daraus wird eine Warnung, keine Überraschung am Monatsende.
Hier liegt der Unterschied zwischen „GLPI Agent installieren“ und „verlässliches Inventar betreiben“: Der Proxy ist die Eingangstür, aber die Daten werden erst dann zu Asset-Management, wenn GLPI dahinter so konfiguriert ist, dass es sie empfängt, klassifiziert und auditiert.
Wenn Ihr Netz Niederlassungen, eine DMZ oder eine Fertigung hat, die heute nicht im Inventar erscheinen, entwirft das GLPI-Betriebsteam von NexTool die Proxy-Topologie, härtet httpd-trust und verbindet ein Inventar mit den Regeln und dem Audit Ihres GLPI. Sprechen Sie mit uns über den Betrieb von GLPI.
Geprüft vom Team von NexTool Solutions.
