Ein Kafka-Cluster kann sich in einer privaten VPC befinden, eine Postgres-Datenbank hinter einer Unternehmens-Firewall und interne APIs ausschließlich über privates DNS erreichbar sein. Keiner dieser Dienste ist aus dem öffentlichen Internet zugänglich. Das ist so beabsichtigt.
KI-Agenten sollen dennoch auf Ereignisse in diesen Systemen reagieren: Kafka-Nachrichten verarbeiten, auf Datenbankänderungen reagieren und interne Dienste aufrufen. Dafür braucht eine in der Cloud gehostete Agenten-Plattform eine Verbindung zu Infrastruktur, die bewusst nicht öffentlich erreichbar ist.
Das Problem klassischer Ansätze
Um Cloud-Dienste mit privater Infrastruktur zu verbinden, greifen Teams meist zu einer Handvoll Optionen. Jede hat deutliche Nachteile:
Cloud-Agenten müssen private Dienste erreichen können, ohne dass diese aus dem Internet erreichbar werden. Genau das leistet Connic Bridge.
Binde Kafka-Cluster, Postgres-Datenbanken, interne APIs oder MCP-Server an. Wir zeigen dir den Zugriff über einen ausgehenden Bridge-Tunnel und die Konfiguration erlaubter Hosts. Außerdem zeigen wir, wie du sensible Aktionen mit Freigaben absicherst und in Traces nachvollziehst.
Bridge-Zugriff besprechenSo funktioniert Connic Bridge
Connic Bridge ist ein schlanker Agent, der im privaten Netzwerk läuft. Er stellt genau eine ausgehende WebSocket-Verbindung zum Connic Relay her, ohne eingehende Ports, VPN oder öffentliche Freigabe.
Muss eine Connic-Verbindung einen Dienst im privaten Netzwerk erreichen, leitet das Relay die Anfrage durch den bestehenden Tunnel an die Bridge weiter. Die Bridge öffnet dann eine lokale TCP-Verbindung zum Zieldienst.
Einrichtung in drei Schritten
Bridge ist in etwa fünf Minuten betriebsbereit; Netzwerkkonfiguration, Zertifikate und Firewallregeln bleiben dabei unverändert.
Schritt 1: Bridge-Token erzeugen
Im Connic Dashboard Projekt-Settings > Bridge öffnen und Set Up Bridge auswählen. Das angezeigte Token kopieren. Es beginnt mit cbr_ und wird nur einmal angezeigt.
Schritt 2: Bridge-Agent bereitstellen
Die Bridge im privaten Netzwerk ausführen. Erforderlich sind ausgehender Internetzugriff für die Verbindung zum Relay und lokaler Netzwerkzugriff auf die Dienste.
$ docker run -d --name connic-bridge \
-e BRIDGE_TOKEN=cbr_your_token_here \
-e ALLOWED_HOSTS=kafka:9092,postgres:5432 \
connicorg/bridge:latestDie Variable ALLOWED_HOSTS ist eine optionale, kommagetrennte Liste aus host:port-Paaren. Ist sie konfiguriert, werden Anfragen an Hosts außerhalb der Liste abgelehnt. Ist sie nicht gesetzt oder leer, kann die Bridge eine Verbindung zu jedem Ziel aufbauen, das aus ihrem Netzwerk erreichbar ist.
Alternativ funktioniert auch Docker Compose:
services:
connic-bridge:
image: connicorg/bridge:latest
restart: always
environment:
BRIDGE_TOKEN: cbr_your_token_here
ALLOWED_HOSTS: kafka:9092,postgres:5432,my-db:5432Schritt 3: Bridge für die Verbindungen aktivieren
Beim Erstellen oder Bearbeiten einer Verbindung den Bereich Network Access öffnen und die Bridge im Bridge-Dropdown auswählen. Connic routet den Datenverkehr dieser Verbindung dann durch den Bridge-Tunnel, statt eine direkte Verbindung herzustellen. Der Leitfaden zu vorgefertigten Verbindungen erklärt die Verbindungsebene vor dem Hinzufügen von Bridge.
Bridge-Zugriff wird unterstützt für:
Sicherheit von Anfang an
Wir haben die Bridge nach dem Zero-Trust-Prinzip entwickelt. Jede Sicherheitsebene begrenzt die möglichen Zugriffe:
Anwendungsfälle aus der Praxis
Einige Beispiele dafür, was Teams mit Bridge umsetzen:
Bridge im Vergleich zu Alternativen
| Connic Bridge | VPN / Peering | IP Allowlist | |
|---|---|---|---|
| Einrichtungszeit | 5 Minuten | Stunden bis Tage | Minuten (fragil) |
| Eingehende Ports erforderlich | Keine | Mehrere | Pro Dienst |
| Auswirkungsbereich | Explizite host:port-Liste | Gesamte VPC / gesamtes Subnetz | Pro IP-Bereich |
| Firewall-Änderungen | Keine | Ja | Ja |
| Laufende Wartung | Nahezu keine | Hoch | Moderat (wechselnde IP-Adressen) |
Eine Bridge überwachen
Nach der Bereitstellung lässt sich der Status der Bridge jederzeit unter Projekt-Settings > Bridge prüfen. Das Dashboard zeigt, ob und wann die Bridge zuletzt verbunden war, und bietet Optionen zum erneuten Erzeugen oder Widerrufen des Tokens.
BRIDGE_TOKEN in der Bridge-Bereitstellung aktualisieren. Neue Tunnel mit dem alten Token werden sofort abgelehnt und die aktive Relay-Verbindung wird innerhalb weniger Sekunden geschlossen.Erste Schritte
Für private Infrastruktur bietet Bridge einen direkten Weg zur Verbindung mit KI-Agenten:
- 1.Das Projekt im Connic Dashboard öffnen und zu Settings > Bridge wechseln
- 2.Ein Token erzeugen und den Bridge-Container im privaten Netzwerk bereitstellen
- 3.Connect via Bridge für jede Verbindung mit einem privaten Zieldienst aktivieren
- 4.Die Agenten können nun Events aus privater Infrastruktur verarbeiten und Ergebnisse dorthin zurückliefern
Die vollständige Konfigurationsreferenz und den Leitfaden zur Fehlerbehebung enthält die Bridge-Dokumentation. Bei einem neuen Connic-Projekt beschreibt der Quickstart-Leitfaden die erste Bereitstellung eines Agenten vor der Verbindung mit privater Infrastruktur.