Agent-Changelog

Was sich von Version zu Version im Agenten geändert hat.

Agent-Changelog #

Was sich am Agenten geändert hat – dem Programm, das auf deinen Systemen läuft. Änderungen an der Plattform stehen im Changelog der Website.

So bringst du ihn auf den neuesten Stand: Agent aktualisieren (agent-update).

1.3.0 · 2026-08-18 #

DNS richtig messen.

• Der Agent hat einen eigenen DNS-Fragesteller bekommen. Der eingebaute Resolver beantwortet nur „welche Adresse hat dieser Name?" und verschweigt alles, was eine Messung ausmacht: die Gültigkeitsdauer (TTL), wer geantwortet hat, ob die Antwort autoritativ war und ob Signaturen mitkamen. Und er kann nur den Resolver fragen, den das System vorgibt.
• Eine DNS-Messung befragt jetzt bis zu drei Sorten Server und vergleicht die Antworten: den lokalen Resolver, die autoritativen Nameserver der Zone und auf Wunsch öffentliche Resolver. Der Wert liegt im Unterschied — er findet Umleitungen, kaputte Anycast-Knoten und halb ausgerollte Änderungen.
• Neue Datensatztypen: CAA, DS, DNSKEY, dazu SOA mit allen Zeitwerten. AXFR gibt es bewusst nicht — eine Zonenübertragung ist keine Messung, sondern ein Abzug.
• Zu DNSSEC sagen wir nur, was wir wissen: ob Signaturen mitkamen (RRSIG) und ob der befragte Resolver sie akzeptiert hat (AD-Bit). Selbst zu validieren hiesse, die Vertrauenskette von der Wurzel nachzurechnen — ein halbfertiger Validator sagt „gültig", wo er nur „nichts gefunden" meint.
• Bei Anycast-Diensten wird die Kennung des antwortenden Knotens mitgeführt (NSID) — sie unterscheidet einen kaputten Knoten von einem kaputten Dienst.

1.2.0 · 2026-08-18 #

IPv6 gleichberechtigt.

• Jede Sonar-Messung meldet jetzt, über welche Adressfamilie sie gelaufen ist, und die aufgelöste Adresse dazu. Damit steht im Ergebnis nicht mehr nur eine Laufzeit, sondern auch der Weg — und erst der Vergleich zwischen IPv4 und IPv6 ist die eigentliche Auskunft.
• Löst ein Ziel auf A und AAAA auf, misst der Agent künftig beides: Der Server legt dafür zwei Aufträge an, einen je Familie.
• Die Sperrliste kennt drei Bereiche mehr: den Dokumentationsbereich 2001:db8::/32, 100::/64 (Discard-Only) und 2002::/16 (6to4). Ein neuer Test hält beide Seiten — Agent und Server — auf demselben Stand.
• Der Rohsocket für Traceroute lauscht bei IPv6 jetzt direkt auf :: statt über einen Rückfall.
• Mehr IPv6-Einstellungen werden erhoben (forwarding, use_tempaddr, autoconf, accept_ra_defrtr, disable_ipv6) — sie tragen die neuen Prüfungen im Dashboard.

1.1.0 · 2026-08-18 #

Inodes.

• Der Agent erhebt jetzt auch die Inode-Belegung je Dateisystem. Ein Dateisystem kann voll sein, obwohl Platz frei ist: Gehen die Inodes aus, scheitert jedes Anlegen einer Datei mit „No space left on device", während df -h vierzig Prozent frei zeigt. Das ist eine der verwirrendsten Störungen überhaupt — und die Zahlen liefert statfs ohnehin mit, es kostet also keine zusätzliche Arbeit auf dem System.
• Nicht jedes Dateisystem hat Inodes: btrfs und XFS vergeben sie dynamisch und melden 0. Dann bleibt der Wert leer, statt 0 % zu behaupten.
• Daraus entsteht im Dashboard der neue Alarm „Inodes gehen aus".

1.0.0 · 2026-08-18 #

Sprechende Versionsnummern.

• Der Agent heißt ab sofort 1.0.0 statt phase-25-4-g09c790d. Die Nummer folgt Semantic Versioning: Die erste Zahl ändert sich, wenn etwas bricht (Protokoll, Konfigurationsformat), die zweite bei neuen Fähigkeiten, die dritte bei Fehlerbehebungen. Damit sagt ein Update, was es bedeutet — die alte Kennung sagte nur, wie viele Commits vergangen waren.
• Der Bauzeitpunkt und der Commit bleiben erhalten: node64-agent --version zeigt weiter beides.
• Der Server vergleicht Versionen jetzt nach Rang statt als Text. Vorher wäre 1.10.0 als kleiner gewogen worden als 1.9.0 — ein Fehler, der genau beim zehnten Release aufgefallen wäre.
• Wer noch eine Fassung mit phase-… einsetzt, bekommt den Update-Hinweis: Solche Kennungen gelten als älter als jede Semver-Version.
• Inhaltlich ist an der Erhebung nichts geändert. Es ist derselbe Agent, nur mit einer Nummer, die etwas aussagt.

phase-18 · 2026-08-17 #

Module getrennt schaltbar.

• Die Sicherheitsprüfung lässt sich je Gerät abschalten, unabhängig vom Messnetz. Ist sie aus, erhebt der Agent das Inventar gar nicht erst – er sendet nicht etwa weniger, er sammelt nichts. Gemessen: 532 Pakete und 22 KB werden zu 0 Paketen und 1 KB, die Erhebung dauert statt 770 ms noch 4 ms.
• Eigener Melde-Takt je Gerät, einstellbar im Dashboard. Seltener geht immer, häufiger nur so oft, wie der Tarif erlaubt.
• node64-agent update – der Agent aktualisiert sich auf Zuruf, mit geprüfter Signatur. Automatisch passiert weiterhin nichts.
• Behoben: Der Handlauf node64-agent once übernahm die Vorgaben des Servers nicht (auch die überwachten Dateipfade nicht) – er startete jedes Mal mit den Standardwerten.

phase-17 · 2026-08-17 #

Mehr Messwerte, ein wichtiger Fehler weniger.

• Datenvolumen je Netzwerkkarte wird erhoben (empfangen und gesendet).
• Behoben, und das war folgenreich: Der Agent las die Einhängepunkte aus seiner eigenen Sicht statt aus der des Systems. Weil der Dienst gehärtet läuft (ProtectSystem=strict), sah er sein Wurzeldateisystem als schreibgeschützt und meldete jeden Einhängepunkt als „nur lesbar". Die Auswertung überspringt nur-lesende Dateisysteme bei der Füllstandsprüfung – auf jeder regulär installierten Instanz war die Erkennung „Datenträger läuft voll" damit stillschweigend abgeschaltet. Wer eine ältere Version einsetzt, sollte aktualisieren.

phase-16 · 2026-08-16 #

Python-Pakete und Debian-Derivate.

• pip-Pakete werden erfasst. Was per pip install auf dem System liegt, taucht im System-Paketmanager nicht auf – und wurde deshalb nie auf Schwachstellen geprüft. Jetzt schon.
• Debian-Derivate (Parrot, Kali und Verwandte) melden zusätzlich ihre echte Debian-Grundlage, damit der Schwachstellen-Abgleich greift. Vorher lieferten sie für diese Systeme gar keine Ergebnisse.
• Ransomware- und Schadsoftware-Spuren: Erpresser-Notizen, massenhaft verschlüsselte Dateien, Alter der Virenscanner-Signaturen.

phase-15 und früher #

Der Agent entstand in Phase 12 und wuchs seither um Prüfungen: Datenträger-Gesundheit (SMART), Dateisysteme, Verbünde (ZFS, mdadm, btrfs), Container-Härtung, Netzverbünde, Kernel-Einstellungen, Log-Signale und das Messnetz Sonar.