Welche Adresse nutzt der Fernzugriff über Tailscale und LAN?

Der Remote-Host von MXterm Pro startet standardmäßig nicht von selbst

Der Remote-Host von MXterm Pro ist standardmäßig ausgeschaltet. Er startet, wenn Sie in den Einstellungen unter Fernzugriff & gekoppelte Geräte auf Server starten drücken, und bis dahin lauscht nichts auf andere Geräte. Standardmäßig startet der Server nicht beim Start der App. Unter „Unbeaufsichtigter Zugriff“ auf derselben Einstellungsseite ändert die Option „Host-Server starten, wenn MXterm geöffnet wird“ das. Sie ist so lange aus, bis Sie sie einschalten.

Auch nach einem Neustart des Macs startet der Server nur, wenn „Host-Server starten, wenn MXterm geöffnet wird“ an ist (zusammen mit „Bei Anmeldung öffnen“ unter Einstellungen → Allgemein). Ist die Option aus, drücken Sie erneut Server starten. Freigaben von Panes überstehen seit 1.1.30 einen Neustart der App: Eine Freigabe soll zurückkommen, sobald ihr Pane wieder läuft, aber nur vor ihrem Ablaufzeitpunkt, und eine Freigabe, die sich nicht überprüfen lässt, wird verworfen.

Wechselt der Mac das Netzwerk, während der Host läuft, zum Beispiel nach dem Aufwachen in einem anderen WLAN, zeigen die Einstellungen den Server als gestoppt an und bieten wieder Server starten an. Drücken Sie darauf, damit der Host an den Adressen lauscht, die der Mac jetzt hat.

Dieser Aufbau stellt sicher, dass MXterm Pro den Remote-Host nie für andere Geräte öffnet, solange Sie nicht selbst Server starten drücken oder die Startoption einschalten. Beides ist standardmäßig aus. Wenn Sie die App schließen oder beenden, schließen sich die lauschenden Sockets, und es bleibt keine Adresse offen.

An welchen Adressen MXterm Pro lauscht: Tailscale, und LAN nur, wenn Sie es erlauben

Drücken Sie Server starten, startet MXterm Pro pro Adresse einen Listener. Der erste gehört zu Ihrer Tailscale-Adresse. Die übrigen gehören zu Ihren privaten LAN-Adressen, aber nur, wenn Sie unter Einstellungen → Fernzugriff & gekoppelte Geräte → Erweitert Geräte in meinem lokalen Netzwerk zulassen eingeschaltet haben. Auf Loopback, einer öffentlichen Adresse oder einem Platzhalter (Wildcard) lauscht es nie, und es sind höchstens 4 Adressen gleichzeitig. Der Standardport ist 6868. Ist der vorherige Port belegt, geht es bis 6877 hoch.

Vor 1.1.30 band der Host eine einzelne Adresse und wich von selbst von Tailscale auf LAN aus. Diese Kette gibt es nicht mehr. Tailscale und LAN laufen jetzt parallel, jeder Listener weiß, in welcher Art von Netzwerk er sitzt, und LAN gilt nie als verschlüsselt. Ändern Sie den Schalter, während der Server läuft, werden die Listener ohne Neustart hinzugefügt oder entfernt.

Hat Ihr Mac eine Tailscale-Adresse, kann ein Gerät in Ihrem Tailscale-Netzwerk den Host erreichen. Es muss sich aber trotzdem mit dem Kopplungscode (6 Zeichen) oder dem Zugriffspasswort koppeln, und es kann nur die Panes öffnen, die Sie freigeben (nur ansehen oder mit Steuerung, optional bis zu einem Zeitpunkt). Dauerhafte Zugriffspasswörter brauchen den Pro-Tarif. Im Free-Tarif gibt es ein temporäres Zugriffspasswort mit einer Gültigkeit von bis zu 8 Stunden, bei Pro bis zu 7 Tage. Ein Passwort braucht mindestens 6 Zeichen.

Im Free-Tarif kann jeweils ein anderer Computer diesen Mac steuern, und Sie können bis zu 5 Panes gleichzeitig teilen. Die MXterm-App auf dem Telefon (iPhone, iPad) zählt nicht zum Computer-Limit, ein Browser ebenfalls nicht. Die Limits für SSH-Hosts, für die Mitglieder des Control Room (früher War Room) und für Rechner gelten, wenn Sie etwas Neues anlegen, und schließen nie, was bereits offen ist.

Ohne Tailscale lauscht nichts in Ihrem Netzwerk, bis Sie den Zugriff im lokalen Netzwerk einschalten. Fehlt Tailscale und ist LAN aus, startet Server starten nicht und sagt das auch. Loopback wird nur genutzt, wenn der Mac gar kein Netzwerk hat, und dann erreicht ihn nur dieser Mac.

Falls Sie Tailscale erst nach dem ersten Start des Hosts installieren, stoppen Sie den Server und drücken Sie erneut Server starten, damit die neue Tailscale-Adresse übernommen wird.

Was die jeweilige Adresse für die Erreichbarkeit bedeutet

Die Adresse des Fernzugriffs von MXterm Pro entscheidet, welche Geräte Ihren Remote-Host erreichen. Eine Tailscale-Adresse ist von jedem Gerät erreichbar, das im selben Tailscale-Netzwerk angemeldet ist, egal wo es steht. Eine private LAN-Adresse ist, sobald Sie sie erlauben, von Geräten erreichbar, die diese private Adresse routen können, meist im selben WLAN oder LAN. Ein Loopback-Listener, der nur ohne Netzwerk genutzt wird, ist nur vom Mac selbst erreichbar.

In jedem Fall bindet MXterm Pro nie an eine öffentliche IP-Adresse. Der Host ist aus dem Internet nicht direkt erreichbar.

Tailscale verbindet Ihre Geräte direkt, wann immer es kann, und nutzt seine DERP-Relay-Server nur als letzten Ausweg (siehe tailscale.com/kb/1232). Eine private LAN-Adresse braucht keine zusätzliche Software, funktioniert aber nur in Reichweite Ihres Routers.

Ihre Tailscale-IP-Adresse finden (falls Sie Tailscale nutzen)

Lauscht MXterm Pro an Ihrer Tailscale-Adresse, steht sie direkt auf der Host-Karte unter Einstellungen → Fernzugriff & gekoppelte Geräte mit dem Titel „Host-Server · Tailscale“. Sie können auch tailscale status in einem beliebigen Terminalfenster auf diesem Mac ausführen. Die Ausgabe zeigt Ihre Tailscale-IP (siehe die CLI-Referenz unter tailscale.com/cli).

Ist Tailscale nicht installiert, können nur die LAN-Listener laufen, und nur, wenn Sie den Zugriff im lokalen Netzwerk erlaubt haben.

Der Port: 6868 und warum er bis 6877 hochgehen kann

Der Remote-Host von MXterm Pro lauscht standardmäßig auf Port 6868. Ist dieser Port auf Ihrem Mac schon belegt, probiert MXterm Pro 6869, dann 6870 und so weiter bis 6877. Nach einem Start versucht es zuerst den Port, den es beim letzten Mal genutzt hat, sodass eine gespeicherte Adresse weiter funktioniert. So müssen Sie keinen Port von Hand konfigurieren, wenn der Standardport belegt ist.

Wenn Sie den Host auf einem Client-Mac als Rechner hinzufügen, geben Sie die vollständige Adresse samt Port ein: http://100.64.1.5:6868 (Beispiel mit Tailscale). Den Kopplungscode oder, falls Sie eines eingeschaltet haben, das Zugriffspasswort des Hosts geben Sie separat in der App ein. Das Zugriffspasswort wird über Tailscale akzeptiert oder, wenn Sie LAN eingeschaltet haben, über Ihr lokales Netzwerk. Loopback lehnt es ab.

LAN ist nicht verschlüsselt: was Sie wissen müssen

Schalten Sie den Zugriff im lokalen Netzwerk ein, ist der Datenverkehr auf dieser Adresse nicht verschlüsselt. Es ist reines HTTP im lokalen Netzwerk, kein HTTPS. Jeder im selben WLAN oder Subnetz könnte diesen Datenverkehr unter Umständen mitlesen. Die App selbst und die Bedienungsanleitung weisen beide darauf hin, und der Schalter verlangt eine Bestätigung, bevor er sich einschaltet.

Brauchen Sie verschlüsselten Datenverkehr, nutzen Sie stattdessen eine Tailscale-Adresse. Tailscale sichert den Datenverkehr zwischen Knoten mit Ende-zu-Ende-Verschlüsselung (siehe tailscale.com/kb/1153). Der Host-Server von MXterm Pro hat auf einer LAN-Adresse keine HTTPS-Option, die Verschlüsselung auf diesem Weg kommt also nur von Tailscale. Das Zugriffspasswort funktioniert auch im LAN, aber weil LAN unverschlüsseltes HTTP ist, nutzen Sie für alles Sensible besser Tailscale.

Ein gekoppeltes Gerät erhält ein eigenes Token, das Sie pro Gerät unter Einstellungen → Fernzugriff & gekoppelte Geräte widerrufen können. Gekoppelte Geräte bleiben auch nach einem Neustart des Hosts gekoppelt. Ein Gerät, das 30 Tage nicht genutzt wurde, muss sich erneut koppeln.