Saltar al contenido principal

Requisitos de red y firewall

Requisitos de conectividad y seguridad del SDA Gateway​

Descripción general​

El SDA Gateway requiere conectividad a internet exclusivamente saliente para comunicarse de forma segura con los servicios de SDA Cloud.
Todos los dominios de servicio de SDA utilizan certificados firmados por la autoridad de certificación Amazon Root CA 1.
Debe asegurarse de que el almacén de certificados de confianza de su sistema incluya este certificado raíz para permitir una validación SSL/TLS correcta.

Consideraciones de seguridad​

  • Sin conexiones entrantes
    El Gateway inicia toda la comunicación de forma saliente. No se requieren reglas de firewall entrantes ni reenvío de puertos.
  • Solo puerto 443
    Todo el tráfico de SDA utiliza HTTPS/SSL sobre TCP 443 estándar, lo que simplifica la configuración del firewall y normalmente se alinea con las políticas de seguridad corporativas.
  • Requisitos de DNS
    La resolución DNS debe estar disponible para todos los dominios de SDA para admitir:
    • balanceo de carga,
    • descubrimiento de servicios,
    • y conmutación por error entre los puntos finales de SDA Cloud.
  • Compatible con proxy

Dominio específico del tenant​

Los servicios de SDA se delimitan por tenant. Dondequiera que vea {tenant_id}, sustitúyalo por el Tenant ID proporcionado por el soporte de SDA.

Ejemplo
Tenant ID:
11111111-2222-3333-4444-555555555555

Dominio del tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Este dominio —y el comodín bajo él— debe ser accesible desde el Gateway.

Dominios y puertos requeridos​

DominioPuertoProtocoloDescripción
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – mantiene la conexión persistente y segura para el intercambio de mensajes, telemetría y comando/control.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servidores de conectividad del tenant – se utilizan para establecer túneles VPN dinámicos bajo demanda; el DNS devuelve una lista con balanceo de carga.
api.eu1.sdaconsole.io443HTTPSSDA APIs – autenticación del Gateway, operaciones del plano de control y acceso a la Web Console. Se utiliza principalmente durante el onboarding/configuración inicial.
repository.eu1.sdaconsole.io443HTTPSRepositorio de aplicaciones – descarga componentes de SDA, actualizaciones de Glue, paquetes de agentes y parches de seguridad. Se utiliza durante la instalación y en las comprobaciones periódicas de actualizaciones.
repository.sdaconsole.io (opcional)443HTTPSEspejo global del repositorio – fuente alternativa de actualizaciones (mejora prevista).

Inspección de tráfico con los servicios de SDA​

Algunas organizaciones utilizan inspección SSL / interceptación TLS (p. ej. Zscaler SSL Inspection, Palo Alto Decryption) para el tráfico de salida. Estas herramientas pueden interrumpir la conectividad de SDA si alteran o vuelven a firmar los certificados de SDA, dado que los servicios de SDA utilizan certificados encadenados a Amazon Root CA 1.

Para evitar fallos de conexión:

  1. Omita la inspección de los dominios de SDA
    Añada los dominios de SDA indicados arriba (API, IoT, dominio del tenant, repositorio) a una lista de exclusión de inspección.
  2. Permita MQTT sobre WebSocket Secure (WSS)
    La mensajería IoT de SDA utiliza MQTT sobre WSS en el puerto 443. Asegúrese de que este protocolo esté permitido.
  3. Túneles VPN con capa SSL
    Si se utiliza una VPN corporativa y el tráfico se inspecciona, asegúrese de que el túnel admita una capa SSL para que la inspección no interfiera con el TLS de extremo a extremo hacia SDA.

Si no es posible omitir la inspección, coordine con el equipo de SDA los certificados aprobados y el comportamiento de la inspección.

Lista de comprobación de whitelisting de firewall y validación de red​

Utilice esto como entrega al equipo de TI / seguridad del cliente.

CategoríaElementoRequisito / Paso de validaciónEstado (✓/✗)
Conectividad de redInternet salienteEl Gateway puede iniciar sesiones exclusivamente salientes hacia internet.
Puerto 443El TCP 443 está abierto en sentido saliente hacia los dominios de SDA.
DNSEl DNS resuelve todos los dominios de SDA indicados arriba.
Certificados & cifradoAmazon Root CA 1La CA raíz está presente en el almacén de confianza para que la validación TLS se realice correctamente.
Inspección TLS / SSLLa inspección de salida no sustituye los certificados de SDA o los dominios de SDA están excluidos.
Inspección de tráfico / VPNExclusión de inspección SSLLos dominios de SDA están excluidos de la interceptación SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sobre WSSSe permite WSS en el puerto 443 (utilizado por el broker IoT).
Capa VPNSi se utiliza VPN, esta permite TLS de extremo a extremo hacia SDA Cloud.
Configuración del tenantDominio {tenant_id}{tenant_id}.eu1.sdaconsole.io y *.{tenant_id}.eu1.sdaconsole.io son accesibles.
Acceso al repositorioActualizacionesrepository.eu1.sdaconsole.io es accesible para actualizaciones y parches.

Pasos de validación (aptos para CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Puerto 443

    curl -v https://api.eu1.sdaconsole.io

  3. Cadena TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Confirme que la cadena termina en Amazon Root CA 1.

  4. Registros del Gateway
    Revise los registros de sistema/servicio del Gateway para comprobar que las sesiones MQTT (WSS) y HTTPS son correctas.

  5. Prueba de actualización
    Active una sincronización del repositorio o una actualización de agente para verificar el acceso de descarga.

Diagrama de topología de red​

La sección Architecture/SDA Connectivity Services describe múltiples configuraciones para el SDA Gateway. \


Soporte​

Si alguna de las comprobaciones anteriores falla o si no es posible omitir la inspección SSL en su entorno, contacte con:

SDA Support
📧 support@softwaredefinedautomation.io

Incluya:

  • su Tenant ID,
  • la versión del Gateway,
  • una copia de los resultados de sus pruebas de conectividad (curl / openssl / nslookup),
  • y los registros de firewall relevantes (bloqueos en 443, fallos de TLS).