Zum Hauptinhalt springen

Netzwerk- und Firewall-Anforderungen

Konnektivitäts- und Sicherheitsanforderungen des SDA Gateways​

Überblick​

Das SDA Gateway benötigt ausschließlich ausgehende Internetkonnektivität, um sicher mit den SDA Cloud Services zu kommunizieren.
Alle SDA-Service-Domains verwenden Zertifikate, die von der Zertifizierungsstelle Amazon Root CA 1 signiert sind.
Sie müssen sicherstellen, dass der vertrauenswürdige Zertifikatsspeicher Ihres Systems dieses Root-Zertifikat enthält, damit eine korrekte SSL/TLS-Validierung möglich ist.

Sicherheitsaspekte​

  • Keine eingehenden Verbindungen
    Das Gateway initiiert jede Kommunikation ausgehend. Es sind keine eingehenden Firewall-Regeln oder Port-Weiterleitungen erforderlich.
  • Nur Port 443
    Der gesamte SDA-Datenverkehr nutzt standardmäßiges HTTPS/SSL über TCP 443, was die Firewall-Konfiguration vereinfacht und in der Regel mit den Sicherheitsrichtlinien von Unternehmen vereinbar ist.
  • DNS-Anforderungen
    Die DNS-Auflösung muss für alle SDA-Domains verfügbar sein, um Folgendes zu unterstützen:
    • Lastverteilung,
    • Service Discovery,
    • und Failover zwischen SDA Cloud Endpoints.
  • Proxy-kompatibel

Mandantenspezifische Domain​

SDA Services sind pro Mandant abgegrenzt. Überall, wo {tenant_id} erscheint, ersetzen Sie diesen Platzhalter durch die von SDA Support bereitgestellte Tenant ID.

Beispiel
Tenant ID:
11111111-2222-3333-4444-555555555555

Mandanten-Domain:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Diese Domain – und der Wildcard darunter – müssen vom Gateway aus erreichbar sein.

Erforderliche Domains und Ports​

DomainPortProtokollBeschreibung
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – hält die dauerhafte, sichere Verbindung für Nachrichtenaustausch, Telemetrie und Steuerung/Kontrolle aufrecht.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenant Connectivity Servers – dienen dem bedarfsgesteuerten Aufbau dynamischer VPN-Tunnel; DNS liefert eine lastverteilte Liste zurück.
api.eu1.sdaconsole.io443HTTPSSDA APIs – Gateway-Authentifizierung, Control-Plane-Vorgänge und Zugriff auf die Web Console. Wird primär während des Onboardings/der Ersteinrichtung genutzt.
repository.eu1.sdaconsole.io443HTTPSApplication Repository – lädt SDA-Komponenten, Glue-Updates, Agent-Pakete und Sicherheitspatches herunter. Wird bei der Installation und bei periodischen Update-Prüfungen verwendet.
repository.sdaconsole.io (optional)443HTTPSGlobal Repository Mirror – alternative Update-Quelle (geplante Erweiterung).

Traffic Inspection bei SDA Services​

Einige Organisationen setzen SSL Inspection / TLS Interception (z. B. Zscaler SSL Inspection, Palo Alto Decryption) für ausgehenden Datenverkehr ein. Diese Werkzeuge können die SDA-Konnektivität unterbrechen, wenn sie SDA-Zertifikate verändern oder neu signieren, da SDA Services Zertifikate verwenden, deren Kette auf Amazon Root CA 1 zurückgeht.

So vermeiden Sie Verbindungsfehler:

  1. SDA-Domains von der Inspektion ausnehmen (Bypass / No-Inspect)
    Fügen Sie die oben genannten SDA-Domains (API, IoT, Mandanten-Domain, Repository) einer Do-not-inspect-Liste hinzu.
  2. MQTT über WebSocket Secure (WSS) zulassen
    Das SDA-IoT-Messaging nutzt MQTT über WSS auf Port 443. Stellen Sie sicher, dass dieses Protokoll zugelassen ist.
  3. VPN-Tunnel mit SSL-Overlay
    Wird ein Unternehmens-VPN verwendet und der Datenverkehr inspiziert, stellen Sie sicher, dass der Tunnel ein SSL-Overlay unterstützt, damit die Inspektion die Ende-zu-Ende-TLS-Verbindung zu SDA nicht beeinträchtigt.

Falls die Inspektion nicht umgangen werden kann, koordinieren Sie sich mit dem SDA Team hinsichtlich freigegebener Zertifikate und des Inspektionsverhaltens.

Checkliste für Firewall-Whitelisting und Netzwerkvalidierung​

Nutzen Sie diese Checkliste zur Übergabe an die IT-/Sicherheitsabteilung des Kunden.

KategoriePunktAnforderung / ValidierungsschrittStatus (✓/✗)
NetzwerkkonnektivitätAusgehendes InternetDas Gateway kann ausschließlich ausgehende Sitzungen ins Internet initiieren.
Port 443TCP 443 ist ausgehend zu den SDA-Domains geöffnet.
DNSDNS löst alle oben aufgeführten SDA-Domains auf.
Zertifikate & VerschlüsselungAmazon Root CA 1Das Root-CA-Zertifikat ist im vertrauenswürdigen Speicher vorhanden, sodass die TLS-Validierung erfolgreich ist.
TLS-/SSL-InspektionDie Egress-Inspektion ersetzt SDA-Zertifikate nicht bzw. SDA-Domains werden ausgenommen.
Traffic Inspection / VPNBypass der SSL-InspektionSDA-Domains sind von der SSL/TLS-Interception ausgenommen (Zscaler, Palo Alto usw.).
MQTT über WSSWSS auf Port 443 ist zugelassen (wird vom IoT Broker genutzt).
VPN-OverlayFalls ein VPN verwendet wird, erlaubt es Ende-zu-Ende-TLS zur SDA Cloud.
MandantenkonfigurationDomain {tenant_id}{tenant_id}.eu1.sdaconsole.io und *.{tenant_id}.eu1.sdaconsole.io sind erreichbar.
Repository-ZugriffUpdatesrepository.eu1.sdaconsole.io ist für Updates und Patches erreichbar.

Validierungsschritte (CLI-freundlich)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Port 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-Kette

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Prüfen Sie, dass die Kette bei Amazon Root CA 1 endet.

  4. Gateway-Logs
    Prüfen Sie die System-/Service-Logs des Gateways auf erfolgreiche MQTT- (WSS) und HTTPS-Sitzungen.

  5. Update-Test
    Lösen Sie eine Repository-Synchronisierung oder ein Agent-Update aus, um den Download-Zugriff zu verifizieren.

Netzwerktopologie-Diagramm​

Der Abschnitt Architecture/SDA Connectivity Services beschreibt mehrere Konfigurationen für das SDA Gateway. \


Support​

Sollte eine der oben genannten Prüfungen fehlschlagen oder die SSL-Inspektion in Ihrer Umgebung nicht umgangen werden können, wenden Sie sich an:

SDA Support
📧 support@softwaredefinedautomation.io

Geben Sie dabei an:

  • Ihre Tenant ID,
  • die Gateway-Version,
  • eine Kopie der Ausgaben Ihrer Konnektivitätstests (curl / openssl / nslookup),
  • sowie relevante Firewall-Logs (blockierter Port 443, fehlgeschlagenes TLS).