Nexus RMM – Installation und Administration

1 Überblick und Voraussetzungen

Nexus RMM besteht aus zwei Teilen: dem Server (die Weboberfläche, die du hier installierst) und den Agenten (kleine Programme auf den überwachten Geräten). Die Agenten melden sich alle 60 Sekunden beim Server. Der Server baut nie eine Verbindung zu den Geräten auf. Auf den Geräten muss deshalb kein Port geöffnet werden.

Was du brauchst

• Einen Linux-Webserver (Ubuntu 22.04/24.04 oder Debian 12) mit Root- oder sudo-Zugriff, oder ein Webhosting-Paket mit PHP und MariaDB
• Apache 2.4 mit den Modulen rewrite und headers
• PHP 8.1 oder neuer mit den Erweiterungen pdo_mysql, openssl, zip, mbstring, curl, gd (sodium wird für die Lizenzprüfung empfohlen)
• MariaDB 10.5 oder neuer (oder MySQL 8)
• Eine eigene Domain oder Subdomain mit HTTPS, zum Beispiel rmm.deine-firma.de
• Deinen Lizenzschlüssel (kommt nach dem Kauf per E-Mail) und das Programmpaket (ZIP) aus deinem Kundenkonto
• Für die Agenten: Windows 10/11 oder Server 2016+, Linux mit systemd und Python 3, oder Synology DSM 7 mit Python 3

2 Server installieren

2.1 Pakete installieren

Auf Ubuntu oder Debian als Administrator:

sudo apt update
sudo apt install apache2 mariadb-server php php-mysql php-zip php-mbstring \
     php-curl php-gd php-xml libapache2-mod-php unzip
sudo a2enmod rewrite headers
sudo systemctl restart apache2

2.2 Datenbank anlegen

sudo mysql
CREATE DATABASE nexusrmm CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'nexusrmm'@'localhost' IDENTIFIED BY 'EIN-STARKES-PASSWORT';
GRANT ALL PRIVILEGES ON nexusrmm.* TO 'nexusrmm'@'localhost';
FLUSH PRIVILEGES;
EXIT;

Notiere Datenbankname, Benutzer und Passwort. Du brauchst sie gleich im Installer. Verwende nicht den Datenbank-Benutzer root.

2.3 Dateien auf den Server bringen

1. Kopiere das ZIP auf den Server (zum Beispiel mit SFTP nach /tmp).
2. Entpacke es und verschiebe den Inhalt in das Webverzeichnis der Domain. Wichtig: Auch die versteckten Dateien .htaccess und .user.ini müssen mitkommen.
3. Setze die Rechte. Der Webserver-Benutzer heißt unter Ubuntu www-data.

cd /tmp && unzip -q hartmann74-nexusrmm-*.zip
sudo mkdir -p /var/www/rmm
sudo cp -a nexus-rmm/. /var/www/rmm/
sudo chown -R www-data:www-data /var/www/rmm
sudo chmod -R u+rwX /var/www/rmm

2.4 Apache einrichten

Lege die Datei /etc/apache2/sites-available/rmm.conf an:

<VirtualHost *:80>
    ServerName rmm.deine-firma.de
    DocumentRoot /var/www/rmm
    <Directory /var/www/rmm>
        AllowOverride All
        Require all granted
    </Directory>
</VirtualHost>

Seite aktivieren und kostenloses HTTPS-Zertifikat von Let's Encrypt holen:

sudo a2ensite rmm
sudo systemctl reload apache2
sudo apt install certbot python3-certbot-apache
sudo certbot --apache -d rmm.deine-firma.de

2.5 Web-Installer ausführen

Öffne https://rmm.deine-firma.de/install.php. Trage ein:

1. Datenbank-Benutzer und Passwort aus Schritt 2.2. Host ist meist localhost, Port 3306.
2. Datenbankname aus Schritt 2.2.
3. Öffentliche Adresse mit https:// und ohne Schrägstrich am Ende. Die Agenten bekommen diese Adresse als Ziel.
4. Benutzername des Plattform-Administrators (Superadmin).
5. Passwort des Superadmins. Der Installer verlangt mindestens 6 Zeichen. Wähle mindestens 12 und wiederhole es im Feld darunter.

Klicke auf Einrichten. Der Installer legt die Tabellen und die Datei config.php an.

1. Mit diesem Link gelangst du zur Anmeldung des Plattform-Administrators.

3 Erste Einrichtung

3.1 Als Plattform-Administrator anmelden

Öffne https://rmm.deine-firma.de/superadmin/login und melde dich mit dem Superadmin aus dem Installer an. Die Plattform-Verwaltung ist dein Bereich. Sie ist unabhängig von den Kunden (Mandanten), die du später anlegst.

1. Passwort-Feld. Benutzername steht darüber.

1. Mandanten: deine Kunden anlegen und verwalten.
2. Lizenz: Lizenzschlüssel eintragen.
3. System-Update: neue Programmversionen einspielen.

3.2 Lizenz eintragen

1. Lizenzschlüssel einfügen. Er beginnt mit H74LIC1. und ist eine lange Zeichenfolge. Kopiere ihn komplett und ohne Leerzeichen.
2. Speichern klicken. Der Status wechselt auf „gültig“ und zeigt, wie viele Kunden du anlegen darfst.

3.3 Ersten Kunden (Mandanten) anlegen

Jeder Kunde bekommt einen eigenen, abgeschotteten Bereich mit eigener Anmeldeadresse, eigenen Geräten, Tickets und Benutzern.

1. Auf + Kunde anlegen klicken.

1. Firmenname des Kunden.
2. Login-Kennung. Sie wird Teil der Anmeldeadresse und aus dem Namen vorgeschlagen.
3. Erster Admin-Benutzername des Kunden.
4. Erstes Admin-Passwort. Der Kunde sollte es nach der ersten Anmeldung ändern.
5. Anlegen klicken. Optional kannst du vorher Firmenfarbe und Logo des Kunden einstellen.

1. Anmeldeadresse des Kunden. Gib sie dem Kunden weiter: https://rmm.deine-firma.de/t/<kennung>/login.
2. Öffnen wechselt direkt in den Bereich des Kunden.

4 Geräte und Agenten

Ein Gerät wird immer in zwei Schritten verbunden: Du legst es beim Kunden an. Dabei entsteht ein persönlicher Agent-Schlüssel. Dann installierst du den Agenten auf dem Gerät. Sobald er sich meldet, erscheint das Gerät als „online“.

4.1 Gerät anlegen und Installer holen

1. Anmelden mit dem Admin des Kunden.

1. Geräte: hier legst du Geräte an.
2. Tickets: Support-Tickets des Kunden.
3. Benutzer: weitere Mitarbeiter des Kunden anlegen.

1. + Gerät hinzufügen klicken.

1. Name des Geräts, zum Beispiel FS-SRV-01.
2. Typ wählen (Server, Client, NAS, Firewall, Router, Switch, Access Point, Drucker, USV, Kamera, Telefon oder Sonstige).
3. Agent-Schlüssel erzeugen klicken.

1. Windows-Installer (EXE): Doppelklick genügt. Die Konfiguration ist eingebettet.
2. Paket als ZIP: für Windows, Linux und Synology oder wenn keine EXE bereitliegt.

4.2 Windows

1. Lade die EXE (oder das ZIP) auf dem Windows-Gerät herunter. Beim ZIP: entpacken.
2. EXE: Doppelklick und die Rückfrage der Benutzerkontensteuerung bestätigen. ZIP: Rechtsklick auf install.bat → „Als Administrator ausführen“.
3. Warte auf die Meldung „Fertig“. Das Gerät erscheint innerhalb einer Minute im Dashboard als online.

1. install.bat markieren und Rechtsklick.
2. „Als Administrator ausführen“ wählen.

Was install.bat macht: Es kopiert den Agenten nach C:\ProgramData\Hartmann74\Agent, beschränkt den Zugriff auf SYSTEM und Administratoren, führt einen Test-Check-in aus und legt in der Aufgabenplanung die Aufgabe „Hartmann74 Agent“ an (Start beim Systemstart, als SYSTEM). Zum Entfernen führst du deinstallieren.bat als Administrator aus.

4.3 Linux

Voraussetzung: systemd und Python 3. Als root:

apt install -y python3 python3-pip unzip
unzip FS-SRV-01-agent.zip -d agent && cd agent
sh install_linux.sh

Das Skript kopiert den Agenten nach /opt/h74agent, installiert requests und psutil, führt einen Test-Check-in aus und richtet den Dienst h74-agent ein, der beim Start automatisch läuft.

Dienst prüfen und Protokoll ansehen:

systemctl status h74-agent
journalctl -u h74-agent -n 50 --no-pager

4.4 Synology NAS (DSM 7)

Auf dem NAS wird der Agent über die Aufgabenplanung installiert. Du brauchst kein SSH. Voraussetzung ist das Paket Python 3 (Paketzentrum) und Internetzugang des NAS.

1. Lege in der File Station einen Ordner RMM/nas-agent an (Pfad /volume1/RMM/nas-agent).
2. Entpacke das ZIP auf deinem PC und lade h74_agent.py, agent_config.json und install_synology.sh in diesen Ordner hoch. Lade auch h74_inventory.py und h74_netscan.py hoch, falls sie im ZIP liegen.
3. Öffne Systemsteuerung → Aufgabenplaner → Erstellen → Geplante Aufgabe → Benutzerdefiniertes Skript.
4. Reiter Allgemein: Name Hartmann74 Agent installieren, Benutzer root. Reiter Zeitplan: „Am folgenden Datum“ (einmalig). Reiter Aufgabeneinstellungen: Befehl sh /volume1/RMM/nas-agent/install_synology.sh.
5. Aufgabe markieren und auf Ausführen klicken. Nach etwa einer Minute steht das Ergebnis in /volume1/RMM/nas-agent/install.log.
6. Lege eine zweite Aufgabe an: Erstellen → Ausgelöste Aufgabe → Benutzerdefiniertes Skript. Ereignis Hochfahren, Benutzer root, Befehl sh /volume1/RMM/nas-agent/start.sh. Sie startet den Agenten bei jedem Neustart des NAS.
7. Führe die zweite Aufgabe einmal manuell aus. Das NAS erscheint danach als online.

1. Befehl im Reiter „Aufgabeneinstellungen“.
2. Benutzer root im Reiter „Allgemein“.

1. Ereignis „Hochfahren“.
2. Benutzer root.
3. Befehl sh /volume1/RMM/nas-agent/start.sh.

4.5 Windows-EXE bereitstellen (optional, empfohlen)

Die EXE ist ein einzelnes Programm mit allem Nötigen. Auf dem Zielgerät muss kein Python installiert sein. Liegt agent_dist/Hartmann74_Agent.exe im Webverzeichnis, bietet der Dialog „Gerät hinzufügen“ den Windows-Installer an.

Falls die EXE nicht im Paket liegt, baust du sie einmal selbst auf einem Windows-PC:

1. Installiere Python 3.10 oder neuer (python.org, „Add to PATH“ anhaken).
2. Öffne eine Eingabeaufforderung und führe aus: pip install pyinstaller requests psutil mss pillow
3. Kopiere den Ordner agent und desktop des Programmpakets auf den PC und starte desktop\build_agent_exe.bat.
4. Kopiere Hartmann74_Agent.exe und agent_version.txt aus dem entstandenen Ordner agent_dist auf den Server nach /var/www/rmm/agent_dist/.

4.6 Das Gerät prüfen

1. Name des Geräts. Klick öffnet die Detailseite.

Meldet sich das Gerät nicht innerhalb von zwei Minuten, hilft die Fehlersuche in Abschnitt 8.

5 Täglich mit dem RMM arbeiten

5.1 Die Geräteseite

1. Status: Online heißt, der letzte Check-in liegt weniger als zwei Minuten zurück.
2. Agent-Installer (EXE) und ZIP erzeugen den Installer für dieses Gerät erneut.
3. Patches: ausstehende Updates mit Anzahl.
4. Fernwartung & Konsole: Shell auf dem Gerät.

Die Reiter im Überblick:

5.2 Patches installieren

1. Reiter Patches. Die Zahl zeigt, wie viele Updates anstehen.

1. Öffne den Reiter Patches.
2. Klicke bei einem Update auf Installieren. Die Schaltfläche zeigt „Angestoßen…“, darunter „Wartet auf das Gerät“ oder „Läuft auf dem Gerät …“ und zuletzt „Erledigt ✓“ oder „Fehlgeschlagen“.
3. Der Agent holt den Auftrag innerhalb weniger Sekunden ab. Du musst nicht auf den nächsten Check-in warten.

5.3 Konsole und Fernwartung

1. Reiter Fernwartung & Konsole.
2. Live-Fernwartung starten: flüssiges Remote-Desktop für Windows-Geräte (bis etwa 20 Bilder pro Sekunde, mehrere Monitore, Maus und Tastatur).
3. Bildschirmfreigabe (einfach): der bisherige Weg mit 2 bis 8 Bildern pro Sekunde. Er braucht keinen Zusatzdienst und dient als Rückfall.
4. PowerShell öffnen: eine Konsole im Browser mit den Rechten des Agenten (normalerweise SYSTEM).
5. Dateimanager öffnen: Ordner durchsuchen, Dateien herunterladen und hochladen (Windows, Linux und NAS).
6. Vor dem Start nachfragen: mit Häkchen fragt der Browser vor der Bildschirmfreigabe nach. Ohne Häkchen startet sie sofort.

Bei Linux-Geräten öffnest du mit SSH-Konsole öffnen eine Shell, wie bei einer SSH-Sitzung, aber ohne SSH-Zugang. Bei Windows-Geräten nutzt du Live-Fernwartung starten, um den Bildschirm zu sehen und Maus und Tastatur zu steuern. Das Gerät verbindet sich dabei von innen nach außen mit deinem Server. Es sind weder offene Ports noch ein VPN noch eine feste IP nötig. PowerShell und die SSH-Konsole dürfen nur Benutzer mit der Rolle „admin“ öffnen.

Live-Fernwartung einrichten (einmalig, auf dem Server)

Die Live-Fernwartung und der Dateimanager brauchen einen kleinen Dienst auf dem Server, den Relay. Er besteht nur aus Python und läuft lokal. Apache reicht ihn über dein HTTPS durch. Ohne den Relay bleibt der Knopf Live-Fernwartung starten grau, und der Dateimanager startet nicht. Die einfache Bildschirmfreigabe funktioniert weiter.

1. Spiele das RMM-Update ein. Der Ordner relay liegt danach im RMM-Verzeichnis.
2. Führe auf dem Server aus (Pfad deinem RMM-Ordner anpassen): sudo bash /var/www/rmm/relay/install_relay.sh.
3. Das Skript legt das gemeinsame Geheimnis data/relay_secret an, richtet den Dienst h74-relay ein, aktiviert die Apache-Module proxy und proxy_wstunnel und trägt die Weiterleitung /relay/ws in die .htaccess ein. Am Ende meldet es „OK: Relay läuft“.
4. Öffne bei einem Windows-Gerät Fernwartung & Konsole. Der Knopf Live-Fernwartung starten ist jetzt blau.

sudo bash /var/www/rmm/relay/install_relay.sh
systemctl status h74-relay
curl http://127.0.0.1:8765/health

Mit der Live-Fernwartung arbeiten

• Klicke Live-Fernwartung starten. Nach wenigen Sekunden erscheint der Bildschirm des Geräts. Auf dem Gerät erscheint keine Abfrage. Im Browser fragt das RMM vorher nach, solange Vor dem Start nachfragen angehakt ist. Nimm das Häkchen heraus, wenn die Sitzung sofort starten soll. Der Browser merkt sich die Einstellung.
• Die Live-Fernwartung zeigt auch den Anmeldebildschirm und den gesperrten Bildschirm. Du kannst dich also aus der Ferne als Administrator am Gerät anmelden.
• Klicke ins Bild, um Maus und Tastatur zu steuern. Mit dem Mausrad scrollst du, Vollbild vergrößert die Ansicht.
• Bei mehreren Monitoren wählst du über die Auswahl oben den Monitor oder Alle Monitore.
• Über die Tastenleiste über dem Bild sendest du Strg+Alt+Entf, die Windows-Taste, Win+R, Win+E, Win+D, Win+L, Alt+Tab und den Task-Manager. Im Vollbild (Chrome oder Edge) gibt der Browser die ganze Tastatur weiter, auch Windows-Taste und Alt+Tab. Der Mauszeiger des Geräts ist im Bild nicht sichtbar, du siehst deinen eigenen Zeiger.
• Mit Verbindung beenden schließt du die Sitzung. Sie endet sonst nach spätestens 4 Stunden oder sobald eine Seite die Verbindung verliert.

Dateimanager

Der Dateimanager zeigt die Ordner und Dateien eines Geräts im Browser, auch bei Linux-Geräten und NAS ohne SSH. Er nutzt denselben Relay wie die Live-Fernwartung (Einrichtung siehe oben) und läuft mit den Rechten des Agenten. Deshalb dürfen ihn nur Benutzer mit der Rolle „admin“ öffnen.

1. Pfad: zeigt den aktuellen Ordner. Tippe einen Pfad ein und drücke Enter, um direkt dorthin zu springen. Bei Windows beginnst du mit der Laufwerksliste, bei Linux mit /.
2. Hochladen: wählt Dateien auf deinem Rechner aus und legt sie im aktuellen Ordner ab. Du kannst Dateien auch per Drag & Drop in das Fenster ziehen.
3. Herunterladen: lädt die Datei auf deinen Rechner.
4. Löschen: entfernt die Datei oder den Ordner nach einer Rückfrage. Neben dem Papierkorb liegen Umbenennen (Stift) und oben Neuer Ordner.

5.4 Sensoren und Alarme

1. Reiter Sensoren.

Der Agent überwacht Speicherplatz, Arbeitsspeicher, CPU und Netzwerk. Überschreitet ein Wert seinen Schwellwert, entsteht ein Alarm. Alle offenen Alarme siehst du im Menü Alarme (im Kundenbereich) und unter Sensor-Alarme (in der Plattform-Verwaltung, kundenübergreifend).

5.5 Webseiten überwachen

Im Menü Webseiten trägst du Adressen ein, zum Beispiel https://www.kunde.de. Geprüft werden Erreichbarkeit, Antwortzeit und das SSL-Zertifikat (Ablaufdatum, Name, Aussteller). Optional prüfst du einen erwarteten Status (zum Beispiel 200) oder einen Text auf der Seite und lässt dich bei Statuswechsel per E-Mail benachrichtigen.

1. Nach dem Ausfüllen auf die blaue Schaltfläche klicken.

Damit die Prüfungen automatisch laufen, richtest du einmalig einen Cron-Job ein (Abschnitt 6.2). Ohne Cron kannst du jederzeit auf Jetzt prüfen klicken. Interne Adressen wie localhost oder 192.168.x.x sind aus Sicherheitsgründen gesperrt.

5.6 Tickets

Im Menü Tickets erfassen du und dein Kunde Störungen. Tickets lassen sich Geräten zuordnen, Kategorien und Zuweisungsregeln helfen bei der Verteilung, SLA-Zeiten steuern die Reaktionsfristen. Die Einstellungen dafür findest du in der Plattform-Verwaltung unter Ticket-Verwaltung (Reiter Kategorien, Tags, Zuweisungsregeln, SLA, Vorlagen, E-Mail, Checklisten).

5.7 Benutzer und Rollen

Im Kundenbereich legst du unter Benutzer weitere Mitarbeiter an. Es gibt zwei Rollen:

Weitere Bereiche des Kundenbereichs sind Angebote & Rechnungen, Kontakte, Software-Lizenzen, Serviceverträge, Passwörter (verschlüsselt gespeichert), Dokumentation und Dateien.

6 Server-Einstellungen

6.1 E-Mail über Microsoft 365 (Graph)

Das RMM kann Ticket-Antworten, Warnungen, Mahnungen und Meldungen der Webseiten-Überwachung über Microsoft 365 versenden und ein Support-Postfach auslesen. Dafür braucht es kein Passwort im RMM.

1. Öffne portal.azure.com → Microsoft Entra ID → App-Registrierungen → Neue Registrierung (Name zum Beispiel „RMM Mail“). Notiere „Anwendungs-ID (Client)“ und „Verzeichnis-ID (Mandant)“.
2. Öffne API-Berechtigungen → Berechtigung hinzufügen → Microsoft Graph → Anwendungsberechtigungen. Wähle Mail.Send, Mail.Read und Mail.ReadWrite. Klicke danach auf Administratorzustimmung erteilen.
3. Öffne Zertifikate & Geheimnisse → Neuer geheimer Clientschlüssel. Kopiere sofort den Wert (nicht die ID). Er wird nur einmal angezeigt.
4. Empfohlen: Beschränke die App per Exchange-Online-PowerShell (New-ApplicationAccessPolicy) auf das eine Support-Postfach, damit sie nicht alle Postfächer lesen darf.
5. Öffne im RMM Plattform-Verwaltung → Ticket-Verwaltung → Reiter E-Mail. Setze das Häkchen bei „E-Mail-Integration aktiviert“, wähle den Mail-Weg „Microsoft 365: Graph“ und trage Verzeichnis-ID, Anwendungs-ID, Clientschlüssel und das Postfach ein (zum Beispiel support@deine-firma.de).
6. Klicke auf Speichern und danach auf Testmail senden.

1. Reiter E-Mail. Dort stehen auch Posteingang und Postausgang für den klassischen Weg über IMAP und SMTP.

6.2 Automatische Aufgaben (Cron)

Zwei Skripte laufen regelmäßig. Öffne den Cron des Webserver-Benutzers mit sudo crontab -u www-data -e und füge ein:

* * * * *   /usr/bin/php /var/www/rmm/cron/webseiten_check.php >> /var/log/h74-webseiten.log 2>&1
*/5 * * * * /usr/bin/php /var/www/rmm/cron/ticket_mail_poll.php >> /var/log/h74-mail.log 2>&1

Die erste Zeile prüft die überwachten Webseiten (jede nur in ihrem eigenen Intervall, Standard 5 Minuten). Die zweite ruft das Support-Postfach ab und erzeugt Tickets aus E-Mails. Alternativ rufst du das Postfach im Reiter E-Mail manuell mit Postfach jetzt abrufen ab.

6.3 Zwei-Faktor-Anmeldung

Aktiviere sie für alle Administratoren. Du findest sie in der Plattform-Verwaltung links unten unter Sicherheit (2FA) und im Kundenbereich unter dem eigenen Konto. Du brauchst eine Authenticator-App (Microsoft Authenticator, Google Authenticator und ähnliche).

6.4 Weitere Einstellungen

In der Plattform-Verwaltung findest du Einstellungen (Branding mit Logo und Farben), Audit-Log (wer hat wann was geändert) und Alle Geräte (kundenübergreifende Liste). Mit Design links unten wählst du helles oder dunkles Erscheinungsbild.

7 Sicherung und Updates

7.1 Sichern

Sichere regelmäßig, am besten täglich per Cron, und lege die Sicherung außerhalb des Servers ab:

mysqldump -u nexusrmm -p nexusrmm > rmm-backup.sql
tar czf rmm-data.tar.gz /var/www/rmm/data /var/www/rmm/config.php

Wichtig ist der Ordner data/. Er enthält secret.key und Anhänge. Ohne secret.key sind gespeicherte Passwörter unbrauchbar.

7.2 Server aktualisieren

1. Die Seite „System-Update“.

1. Lade die neue Version aus deinem Kundenkonto auf hartmann74.com herunter.
2. Mache zuerst eine Sicherung der Datenbank (Abschnitt 7.1).
3. Öffne Plattform-Verwaltung → System-Update, lade das ZIP hoch, prüfe die Vorschau und bestätige.
4. Das Update sichert die überschriebenen Programmdateien. config.php, data/ und .htaccess bleiben unverändert. Datenbank-Änderungen laufen automatisch.

7.3 Agenten aktualisieren

Die Agenten aktualisieren sich selbst. Nach einem Server-Update erkennt jeder Agent beim nächsten Check-in die neue Version, lädt sie vom Server und startet neu. Das dauert etwa eine Minute pro Gerät. Die aktuelle Agent-Version steht pro Gerät auf der Detailseite. Du musst nichts neu installieren.

8 Fehlersuche

9 Sicherheit

• Betreibe das RMM nur über HTTPS und lösche install.php nach der Einrichtung.
• Verwende starke, einzigartige Passwörter und aktiviere die Zwei-Faktor-Anmeldung für alle Administratoren.
• Behandle Agent-Schlüssel wie Passwörter. Das ZIP nach der Installation löschen.
• Sichere config.php und data/secret.key getrennt vom Server.
• Halte Betriebssystem, PHP und MariaDB aktuell.

Support: https://hartmann74.com