Bridge

Connic Bridges ermöglichen sicheren Zugriff auf private Dienste aus Verbindungen, LLM Providern, MCP Servern, eigenen Tools und Middleware. Eingehende Firewall-Regeln sind dafür nicht erforderlich.

Was ist die Connic Bridge?

Die Connic Bridge ist ein schlanker Agent, der in einem privaten Netzwerk läuft und einen sicheren ausgehenden Tunnel zur Connic Cloud aufbaut. Verbindungen, eigene LLM Provider, MCP Server, Tools und Middleware können darüber auf Dienste zugreifen, die nur im privaten Netzwerk erreichbar sind.

Da die Bridge ausschließlich ausgehende Verbindungen aufbaut, sind keine eingehenden Firewall-Freigaben nötig. Private Dienste müssen nicht öffentlich im Internet erreichbar sein.

Wann ist eine Bridge erforderlich?

Eine Bridge ist erforderlich, wenn der Ziel-Service:

• sich in einer privaten AWS VPC, GCP VPC oder einem Azure VNet befindet,
• On-Premises hinter einer Unternehmens-Firewall läuft,
• nur über privates DNS oder private IPs erreichbar ist oder
• hinter einer IP-Allowlist liegt, in die Connics IPs nicht aufgenommen werden können.

Öffentlich erreichbare Services (z. B. Managed Kafka in Confluent Cloud oder AWS SQS über einen öffentlichen Endpoint) benötigen die Bridge nicht.

Verbindungsablauf

Einrichtung

docker run -d --name connic-bridge \
  -e BRIDGE_TOKEN=cbr_your_token_here \
  -e ALLOWED_HOSTS=kafka:9092,postgres:5432 \
  connicorg/bridge:latest

pip install connic-bridge

connic-bridge \
  --token cbr_your_token_here \
  --allow kafka:9092 \
  --allow postgres:5432

services:
  connic-bridge:
    image: connicorg/bridge:latest
    restart: always
    environment:
      BRIDGE_TOKEN: cbr_your_token_here
      ALLOWED_HOSTS: kafka:9092,postgres:5432,my-db:5432
      LOG_LEVEL: INFO

Sobald die Bridge online ist, können Verbindungen, LLM Provider, benutzerdefinierter Code und MCP Server die Bridge für ihren Traffic nutzen. Konfiguriere jede Anbindung unabhängig.

Wo Bridges eingesetzt werden

import psycopg
from aiokafka import AIOKafkaProducer
import httpx

BRIDGE_ID = "abc123"  # aus Projekt Settings > Bridge kopieren

async def lookup_order(order_id: str) -> dict:
    # Postgres in einer privaten VPC
    with psycopg.connect(
        host=f"postgres-primary.cnc-bridge-{BRIDGE_ID}",
        port=5432, dbname="orders", user="reader", password="...",
    ) as conn:
        row = conn.execute(
            "SELECT data FROM orders WHERE id = %s", (order_id,)
        ).fetchone()

    # Privates Kafka-Topic
    producer = AIOKafkaProducer(
        bootstrap_servers=f"kafka.cnc-bridge-{BRIDGE_ID}:9092"
    )
    await producer.start()
    await producer.send("order-lookups", order_id.encode())
    await producer.stop()

    # Privater HTTP-Service
    r = httpx.get(f"http://billing.cnc-bridge-{BRIDGE_ID}/v1/orders/{order_id}")
    return {"row": row, "billing": r.json()}

from connic import bridge_host

host = bridge_host("abc123", "postgres-primary")
# ergibt "postgres-primary.cnc-bridge-abc123"

{
  "routes": [
    {
      "match_type": "exact",
      "target": "redis-sentinel.internal",
      "port": 26379
    },
    {
      "match_type": "regex",
      "target": "^redis-[a-z0-9-]+\\.internal$",
      "port": 6379
    }
  ]
}

from redis.sentinel import Sentinel

sentinel = Sentinel(
    [("redis-sentinel.internal", 26379)],
    socket_timeout=1,
)
redis = sentinel.master_for("orders-primary", socket_timeout=1)

# Der von Sentinel zurückgegebene Master-Hostname wird automatisch geroutet.
value = redis.get("health")

mcp_servers:
  - name: internal-mcp
    url: http://mcp.internal:8080/mcp
    bridge: ${INTERNAL_BRIDGE_ID}

Konfigurationsreferenz

Sicherheit

• Nur ausgehend – die Bridge akzeptiert nie eingehende Verbindungen. Es müssen keine Ports geöffnet werden.
• Optionale erlaubte Hosts – konfiguriere exakte Host:Port-Werte, um die erreichbaren Ziele der Bridge einzuschränken. Ohne Wert oder mit einer leeren Liste ist jedes aus ihrem Netzwerk verfügbare Ziel erlaubt.
• Token-Authentifizierung – jede Bridge hat einen eigenen Token, der an ein einzelnes Connic-Projekt gebunden ist. Tokens können jederzeit rotiert werden; für dasselbe Projekt lassen sich mehrere Bridges in verschiedenen Netzwerken ausführen.
• TLS-Verschlüsselung – die Kommunikation zwischen Bridge und Connic Tunnel Endpoint verwendet WSS (WebSocket über TLS).