# Zero\-Trust\-Netzwerkrouten konfigurieren

Canonical: https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/

Language: de-DE

Updated: 2026-11-15T04:12:06.636717Z

Für Ping64 gilt: Eine Netzwerkroute stellt ausgewählten Endpunkten über einen Zero-Trust-Routingknoten einen Pfad zu einem Netzwerk oder einer Domäne bereit. Ziel, Routingknoten, empfangende Endpunkte und Zugriffsrichtlinie sind getrennt festzulegen. Speichern beweist weder die Übernahme am Endpunkt noch Weiterleitung durch den Knoten oder autorisierten Zugriff auf den Zieldienst.

## Vorbereitung

-   Prüfen Sie die Administrationsrechte für Zero-Trust-Zugriffsgruppen, Richtlinien und Routen. Stellen Sie einen mit Zero Trust verbundenen Routingknoten bereit, der das Zielnetz erreicht. Bei einer Routingknoten-Zugriffsgruppe prüfen Sie Verbindung, Erreichbarkeit und Weiterleitung aller Kandidaten.
-   Bestimmen Sie Zielnetz oder Domäne, zugreifende Endpunkte, Geschäftsprotokolle und Ports. Prüfen Sie Zielfirewall, Gateway-Weiterleitung und Rückweg; beginnen Sie mit kontrollierten Testendpunkten.
-   Für Domänenrouten müssen Endpunkte den Namen auflösen können. DNS und Route werden getrennt konfiguriert; siehe [DNS-Nameservergruppen konfigurieren](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/).
-   Prüfen Sie bestehende Routen, Gruppen und Richtlinien sowie die Auswirkungen der Änderung. Verteilungsbereich, Zugriffsrichtlinie und Zielfirewall haben unterschiedliche Aufgaben und ersetzen einander nicht.

## Zugriffsgruppen und Richtlinie vorbereiten

-   [Zugriffsrichtlinien](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)

1.  Prüfen Sie unter den Zero-Trust-Zugriffsgruppen zuerst die Mitgliedschaft der Pilotknoten in einer vorhandenen Quellgruppe sowie die für die Route verfügbare Richtlinienzielgruppe einschließlich Zweck und Verwendungen. Verwenden Sie passende Gruppen weiter, ohne Mitglieder erneut hinzuzufügen. Nur bei Bedarf erstellt eine berechtigte Administration eine Gruppe oder fügt Pilotknoten unter **Endpoints** in den Quellgruppendetails hinzu. Bewerten Sie vor Änderungen bestehender Gruppen die Auswirkungen auf andere Konfigurationen und Geschäftsabläufe.
2.  Prüfen Sie unter **Zero Trust > Access Control > Policies** zunächst bei einer geltenden vorhandenen Richtlinie den Aktivierungsstatus, die Quellgruppe oder den Quellknoten, Zielgruppe, Aktion, Richtung, Protokoll und Ports. Die Zielgruppe muss zur für die Route vorgesehenen Richtlinienzielgruppe passen. Verwenden Sie eine passende Richtlinie weiter; nur bei Bedarf bewertet eine berechtigte Administration die Auswirkungen und erstellt oder ändert sie anhand der [Zugriffsrichtlinie](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/access-control/access-policy/).
3.  Speichern Sie bei Änderungen die Richtlinie und prüfen Sie diese Einstellungen erneut; ohne Änderungen ist kein erneutes Speichern nötig. Ein leeres TCP- oder UDP-Portfeld bedeutet alle Ports. Mischen Sie in einer Richtlinie weder einzelne Ports mit Portbereichen noch `*` mit anderen Ports. Testen Sie nach der Routenkonfiguration erwartungsgemäß erlaubte und nicht erlaubte Endpunkte und prüfen Sie andere geltende Richtlinien. Speichern allein belegt keinen funktionierenden Zugriff.

**Wichtig:** „Effective Scope“ bestimmt, welche Endpunkte die Route erhalten; „Policy Target Groups“ verknüpft die Route mit Zugriffsrichtlinien. **Bleibt Policy Target Groups leer, wird eine Standard-Erlaubnisregel erzeugt; leer bedeutet nicht standardmäßig verweigert.** Wählen Sie für eingeschränkten Zugriff die Zielgruppe in der Route und prüfen Sie, dass eine aktivierte Richtlinie dieselbe Zielgruppe und die vorgesehenen Quellen verwendet. Testen Sie den Zugriff; Gruppennamen allein belegen keine Berechtigung.

Effective Scope bestimmt die Empfänger der Route, begrenzt aber die Quellen dieser Standard-Erlaubnisregel nicht auf diese Endpunkte. Die Standardregel schränkt passenden Weiterleitungsverkehr nicht nach Quelle, Protokoll oder Port ein. Die tatsächliche Erreichbarkeit hängt weiterhin von Verbindung, anderen Kontrollen und Zielnetz ab. Verwenden Sie den Verteilungsbereich nicht allein zur Isolation; wählen Sie Richtlinienzielgruppen und testen Sie weitere Pfade separat.

**Nach Änderungen erneut prüfen:** Ein Wechsel von `TCP` oder `UDP` zu `ALL` oder `ICMP` löscht eingegebene Ports und Portbereiche. Beim Zurückwechseln zu `TCP` oder `UDP` werden sie nicht automatisch wiederhergestellt; ein leeres Feld bedeutet alle Ports. Ein Wechsel des Quell- oder Zieltyps löscht auch die Auswahl auf der jeweiligen Seite. Bei einer Netzwerkressource als Ziel wird die Richtung auf Quelle zu Ziel gesetzt; beim Zurückwechseln ist die frühere bidirektionale Einstellung nicht automatisch wiederhergestellt. Wählen Sie Objekte vor dem Speichern erneut aus und prüfen Sie Protokoll, Ports und Richtung, um unbeabsichtigte Zugriffsänderungen zu vermeiden.

**Schnittmenge aus Verteilungsbereich und Richtlinienquelle:** Hat eine Route eine Richtlinienzielgruppe, prüfen Sie sowohl die Zugehörigkeit des Endpunkts zum Verteilungsbereich als auch die Quell- und Sicherheitsprüfungsbedingungen der betreffenden Richtlinie. Eine einzelne erfüllte Bedingung belegt keine Freigabe über diese Route. Beispiel: Die Route wird an „Pilotendpunkte“ verteilt, die Richtlinienquelle ist „Entwicklung“ und das Richtlinienziel die in der Route gewählte Zielgruppe. Nur ein Endpunkt in beiden erstgenannten Gruppen kann im Bereich dieser Richtlinie liegen; zusätzlich müssen zutreffende Sicherheitsprüfungen sowie Protokoll- und Portbedingungen erfüllt sein. Ein Endpunkt nur in „Pilotendpunkte“ oder nur in „Entwicklung“ gilt nicht allein deshalb als passend. Die Gruppennamen sind Beispiele, keine Standardwerte. Andere Richtlinien, Verbindungen und Netzwerkpfade können das Ergebnis beeinflussen und sind separat zu testen.

## Route erstellen

1.  Öffnen Sie Zero Trust und die Routen und wählen Sie „Create Route“. Geben Sie Netzwerkname und nötige Beschreibung ein. Der Name umfasst 1 bis 40 Buchstaben, Ziffern, Unterstriche oder Bindestriche, beginnt und endet mit einem Buchstaben oder einer Ziffer und darf nicht auf `-v6` enden.
2.  Wählen Sie das Ziel: Für eine Netzwerkroute eine IPv4-CIDR wie `10.20.30.0/24` eingeben; für eine einzelne IPv4-Adresse ist `/32` möglich. Für eine Domänenroute eine oder mehrere gültige, nicht doppelte Domänen eingeben. Eine Domäne muss mindestens einen Punkt enthalten; Platzhalter `*.example.com`, Schema, Port oder Pfad sind nicht zulässig. Die Duplikatprüfung unterscheidet nicht zwischen Groß- und Kleinschreibung. Das Register heißt in der englischen Oberfläche „Route Settings“.
3.  Wählen Sie entweder einen Routingknoten oder eine Routingknoten-Zugriffsgruppe, nicht beides. Prüfen Sie Zero-Trust-Verbindung, Zielerreichbarkeit und Weiterleitung der Kandidaten.
4.  Wählen Sie unter „Effective Scope“ mindestens eine empfangende Zugriffsgruppe und prüfen Sie deren Knoten. Wählen Sie unter Zugriffskontrolle die vorbereitete Richtlinienzielgruppe und prüfen Sie Quelle und Ziel der Richtlinie erneut. Das Register heißt „Access Control“.
5.  Prüfen Sie in den erweiterten Einstellungen automatische Anwendung, Routenerhalt und Masquerade. Speichern Sie und kontrollieren Sie Ziel, Knoten, Bereich und Status in der Liste. Warten Sie auf den Konfigurationsempfang und testen Sie den Zugriff. Das Register „Advanced Settings“ enthält „Auto Apply“, „Keep Route“ und „Masquerade“.

Beispiel: Verwenden Sie `10.20.30.0/24`, einen erreichenden Routingknoten, eine Testendpunktgruppe im Geltungsbereich sowie eine Zielgruppe und Richtlinie, die nur benötigte Protokolle und Ports erlaubt. Dies sind Beispiele und keine Standardwerte; das Ergebnis hängt außerdem von Verbindung, Richtlinien, Dienst und Netzwerk ab.

**Mehrere Routing-Knoten und Fehlertests:** Prüfen Sie bei einer Routing-Knoten-Zugriffsgruppe für jeden Kandidaten getrennt, ob er weiterleiten und den Zieldienst erreichen kann. Die Pfadwahl des Endgeräts hängt unter anderem vom Verbindungsstatus und den Routenbedingungen ab. Ein online angezeigter Knoten belegt weder einen funktionierenden Pfad zum Zieldienst noch eine garantierte automatische Umschaltung bei dessen Ausfall. Prüfen Sie gemäß genehmigtem Wartungsverfahren im Piloten getrennt den Verbindungsausfall eines Knotens und einen online bleibenden Knoten ohne Zielerreichbarkeit. Überprüfen Sie Ersatzpfad, bestehende Geschäftssitzungen und Wiederherstellung; versprechen Sie weder unterbrechungsfreie Umschaltung noch eine feste Dauer.

**Domänenrouten und gemeinsam genutzte Adressen:** Eine Domänenroute stellt einen Zugriffsweg bereit und ist keine Zugriffsliste, die den Zugriff strikt nach Domänennamen begrenzt. Bei einigen Endgerätepfaden werden Routen anhand der für die konfigurierte Domäne aufgelösten IP-Adressen eingerichtet. Wenn beispielsweise `app.example.com` und `reports.example.com` dieselbe Adresse auflösen, kann auch eine Verbindung über den anderen Namen oder direkt zur Adresse diese Route verwenden. Das tatsächliche Verhalten hängt vom Endgerät, DNS, anderen Routen und Netzwerkkontrollen ab; das Beispiel garantiert keinen Zugriff auf den Zieldienst. Konfigurieren Sie nach Bedarf Zugriffsrichtlinien, die Authentifizierung am Zieldienst und Firewalls. Testen Sie in einer autorisierten Pilotumgebung die konfigurierte Domäne, andere Domänen mit derselben Adresse und den direkten IP-Zugriff getrennt und prüfen Sie die Namensauflösung der tatsächlichen Anwendung.

## Ausgangsknoten konfigurieren

Ein Ausgangsknoten stellt die breit wirkende IPv4-Standardroute `0.0.0.0/0` bereit, anders als Routen für bestimmte Netze oder Domänen. Bewerten Sie Geschäftsverkehr, Ausgangskapazität, Sicherheit und bestehende Routen. Die Erstellung beweist nicht, dass der gesamte Verkehr den Ausgang nutzt.

1.  Konfigurieren Sie wie oben beschrieben Quellgruppe und Zugriffsrichtlinie für benötigte Protokolle und Ports der Pilotendgeräte. Bereiten Sie einen erreichbaren Zero-Trust-Ausgangsknoten vor, der weiterleiten und Ziele erreichen kann; prüfen Sie Firewall und Rückweg.
2.  Wählen Sie unter **Zero Trust > Routes** **Create Exit Node**, geben Sie Namen und Beschreibung ein, wählen Sie einen Ausgangsknoten oder eine Knotengruppe sowie mindestens eine Pilotzugriffsgruppe als Geltungsbereich.
3.  Wählen Sie in der Zugriffskontrolle die Zielgruppe der Richtlinie. **Ein leeres Feld erzeugt auf dem Routingknoten eine Standard-Erlaubnisregel, keine Standardverweigerung.** Prüfen Sie **Auto Apply** und weitere Einstellungen, speichern Sie und prüfen Sie Status, Knoten und Bereich.
4.  Warten Sie auf den Empfang und testen Sie erwartete erlaubte und nicht erlaubte Zugriffe getrennt. Prüfen Sie den tatsächlichen Weg am Ausgang und Ziel. Bei mehreren automatischen Ausgängen ohne ausdrückliche Endgeräteauswahl darf nicht von einer Auswahl nach Listenreihenfolge ausgegangen werden; prüfen Sie den Endgerätestatus gemäß Organisationsverfahren.

Ein IPv4-Ausgang bedeutet weder automatische Verteilung einer IPv6-Standardroute noch, dass sämtlicher IPv6-Verkehr ihn nutzt. Spezifischere Routen, Endgeräteeinstellungen, Anwendungen und Netzwerkbedingungen beeinflussen den Weg. Konfigurieren und testen Sie Beschränkungen anderer Wege getrennt; verlassen Sie sich nicht allein auf den Ausgangsschalter.

## Erweiterte Einstellungen

-   **Automatische Anwendung:** Bei Erstellung zunächst aktiviert. Dieser Schalter steuert nicht, ob der Server eine Route an Endgeräte im Geltungsbereich verteilt. Gewöhnliche Netz- und Domänenrouten können auch bei ausgeschaltetem Schalter ausgewählt werden, wenn sie am Endgerät nicht ausdrücklich ausgeschlossen wurden. Die Auswahl von Standardrouten hängt zusätzlich von der Endgeräteauswahl und anderen Standardrouten ab. Der Schalter ist weder Zugriffsbeschränkung noch Rücknahme einer Route. Deaktivieren Sie zum Zurückziehen die Route oder ändern Sie ihren Geltungsbereich und prüfen Sie das Ergebnis zusammen mit Zugriffsrichtlinie, anderen Wegen und tatsächlichem Endgerätezustand.
-   **Routenerhalt:** Bei geänderter Domänenauflösung bleiben Routen zu nicht mehr zurückgegebenen IP-Adressen erhalten. Bewerten Sie das Risiko fortgesetzten Zugriffs auf alte Adressen. Bei Erstellung zunächst deaktiviert.
-   **Masquerade:** Verwendet beim Weiterleiten die Adresse des Routingknotens und kann zusätzliche Rückrouten im Zielnetz reduzieren. Die am Ziel sichtbare Quelladresse kann sich ändern. Bei Erstellung zunächst aktiviert; Weiterleitung, Firewall und tatsächlicher Rückweg sind weiterhin zu prüfen.

## Übereinstimmung testen und Reihenfolge ändern

1.  Wählen Sie unter **Zero Trust > Routes** **Test Routes**, geben Sie eine IPv4-Adresse, einen IPv4-CIDR oder eine exakte Domäne ein und testen Sie. `10.20.30.15` und `app.example.com` sind Beispiele, keine Standardwerte.
2.  Prüfen Sie passende Routen, Ziele, Knoten, Prioritäten und Gründe. Der Test betrachtet geladene aktivierte Routen: Eine Adresse muss im Netz liegen, ein CIDR vollständig abgedeckt sein. Domänen werden exakt verglichen, nicht zuerst in IP-Adressen aufgelöst; eine Unterdomäne passt nicht automatisch zur übergeordneten Domäne. Die Listenkategorie begrenzt den Test nicht.
3.  Die Reihenfolge zeigt Konfigurationsübereinstimmungen, prüft aber weder Endgerätebereich, Zugriffsrichtlinie, DNS, Knotenstatus noch Erreichbarkeit. Kein Treffer beweist nicht, dass andere Netzwerkwege fehlen. Führen Sie die nachfolgenden Zugriffstests durch.
4.  Zur Änderung der Reihenfolge wechseln Sie mit Schreibberechtigung zu **All**, ziehen eine Routenzeile und warten das Speichern ab. Dabei können mehrere Prioritäten geändert werden. Laden Sie bei einem Fehler neu und prüfen Sie jede Route; nehmen Sie keine vollständige Rücknahme an. Die Konfigurationsreihenfolge garantiert keinen tatsächlichen Endgerätepfad; prüfen Sie Bereich, Knotenstatus und Endgerätenetz.

## Prüfen, ändern und Fehler beheben

1.  Prüfen Sie aktivierte Route, Ziel, Empfangsbereich und Knoten sowie Verbindung und Konfigurationsempfang der Endpunkte und Knoten.
2.  Prüfen Sie zunächst vom Routingknoten die Erreichbarkeit des Dienstes. Bei Domänenrouten prüfen Sie zusätzlich die Namensauflösung am Endpunkt und das Abhören des benötigten Protokolls und Ports am Dienst.
3.  Testen Sie den Dienst von einem vorgesehenen Endpunkt und die Einschränkung von einem nicht erlaubten Endpunkt. Prüfen Sie bei Abweichungen eine leere Zielgruppe, Richtlinienquellen und -ziele, Protokolle, Ports und weitere Richtlinien.
4.  Ist das Ziel vom Knoten, aber nicht vom Endpunkt erreichbar, prüfen Sie Routenverteilung, Weiterleitung, Zielfirewall und Rückweg. Bei Masquerade prüfen Sie auch die Einstellung und die am Ziel sichtbare Quelle.
5.  Dokumentieren Sie vor Bearbeitung, Deaktivierung oder Löschung die bisherige Konfiguration und bewerten Sie abhängige Dienste. Prüfen Sie nach der Änderung in der Routenliste Verteilung sowie erlaubten und verweigerten Zugriff erneut. Das Speichern belegt weder Verbindung noch Isolation.