Siirry pääsisältöön

Verkko- ja palomuurivaatimukset

SDA Gatewayn liitettävyys- ja tietoturvavaatimukset​

Yleiskuvaus​

SDA Gateway edellyttää vain ulospäin suuntautuvaa internet-yhteyttä, jotta se voi kommunikoida turvallisesti SDA Cloud -palveluiden kanssa.
Kaikki SDA-palvelujen verkkotunnukset käyttävät sertifikaatteja, jotka on allekirjoittanut Amazon Root CA 1 -varmentaja.
Varmista, että järjestelmäsi luotettujen sertifikaattien varastossa on tämä juurisertifikaatti, jotta SSL/TLS-validointi toimii oikein.

Tietoturvanäkökohdat​

  • Ei saapuvia yhteyksiä
    Gateway aloittaa kaiken tiedonsiirron ulospäin. Saapuvia palomuurisääntöjä tai porttiohjauksia ei tarvita.
  • Vain portti 443
    Kaikki SDA-liikenne käyttää standardia HTTPS/SSL-yhteyttä TCP-portissa 443, mikä yksinkertaistaa palomuurin konfigurointia ja on tyypillisesti yhteensopiva yritysten tietoturvakäytäntöjen kanssa.
  • DNS-vaatimukset
    DNS-nimenselvityksen on oltava käytettävissä kaikille SDA-verkkotunnuksille, jotta seuraavat toimivat:
    • kuormantasaus,
    • palveluiden löytäminen (service discovery),
    • ja vikasietoinen siirtymä SDA Cloud -päätepisteiden välillä.
  • Välityspalvelinyhteensopiva

Vuokralaiskohtainen verkkotunnus​

SDA-palvelut on rajattu vuokralaiskohtaisesti. Korvaa {tenant_id} kaikkialla SDA-tuen toimittamalla Tenant ID -tunnuksella.

Esimerkki
Tenant ID:
11111111-2222-3333-4444-555555555555

Vuokralaisen verkkotunnus:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Tähän verkkotunnukseen – ja sen alaisiin jokerimerkkiosoitteisiin – on oltava yhteys Gatewaylta.

Vaaditut verkkotunnukset ja portit​

VerkkotunnusPorttiProtokollaKuvaus
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – ylläpitää jatkuvaa, suojattua yhteyttä viestinvaihtoon, telemetriaan ja komentoihin/ohjaukseen.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Vuokralaisen liitettävyyspalvelimet – käytetään dynaamisten VPN-tunnelien muodostamiseen tarvittaessa; DNS palauttaa kuormantasatun listan.
api.eu1.sdaconsole.io443HTTPSSDA API:t – Gatewayn autentikointi, ohjaustason toiminnot ja Web Console -käyttö. Käytetään pääasiassa käyttöönoton/alkuasennuksen aikana.
repository.eu1.sdaconsole.io443HTTPSSovellusrepositorio – lataa SDA-komponentit, Glue-päivitykset, agenttipaketit ja tietoturvakorjaukset. Käytetään asennuksen ja säännöllisten päivitystarkistusten aikana.
repository.sdaconsole.io (valinnainen)443HTTPSGlobaali repositorion peilipalvelin – vaihtoehtoinen päivityslähde (suunniteltu parannus).

Liikenteen tarkastus SDA-palveluiden kanssa​

Jotkin organisaatiot käyttävät SSL-tarkastusta / TLS-purkua (esim. Zscaler SSL Inspection, Palo Alto Decryption) ulospäin suuntautuvalle liikenteelle. Nämä työkalut voivat rikkoa SDA-liitettävyyden, jos ne muuttavat tai uudelleenallekirjoittavat SDA-sertifikaatteja, koska SDA-palvelut käyttävät sertifikaatteja, joiden luottamusketju päätyy Amazon Root CA 1 -juureen.

Yhteysvirheiden välttämiseksi:

  1. Ohita tarkastus SDA-verkkotunnuksille
    Lisää yllä mainitut SDA-verkkotunnukset (API, IoT, vuokralaisen verkkotunnus, repositorio) tarkastuksen ohituslistalle.
  2. Salli MQTT WebSocket Secure (WSS) -yhteyden yli
    SDA:n IoT-viestinvälitys käyttää MQTT-protokollaa WSS:n yli portissa 443. Varmista, että tämä protokolla on sallittu.
  3. VPN-tunnelit SSL-overlayn kanssa
    Jos käytetään yrityksen VPN-yhteyttä ja liikenne tarkastetaan, varmista, että tunneli tukee SSL-overlayta, jottei tarkastus häiritse päästä päähän -TLS-yhteyttä SDA:han.

Jos tarkastusta ei voida ohittaa, sovi SDA-tiimin kanssa hyväksytyistä sertifikaateista ja tarkastuksen toimintatavasta.

Palomuurin sallimislista ja verkon validointitarkistuslista​

Käytä tätä luovutusdokumenttina asiakkaan IT-/tietoturvatiimille.

KategoriaKohdeVaatimus / validointivaiheTila (✓/✗)
VerkkoliitettävyysUlospäin suuntautuva internetGateway voi aloittaa vain ulospäin suuntautuvia istuntoja internetiin.
Portti 443TCP 443 on auki ulospäin SDA-verkkotunnuksiin.
DNSDNS selvittää kaikki yllä listatut SDA-verkkotunnukset.
Sertifikaatit & salausAmazon Root CA 1Juuri-CA on luotettujen varastossa, jotta TLS-validointi onnistuu.
TLS-/SSL-tarkastusUlospäin suuntautuvan liikenteen tarkastus ei korvaa SDA-sertifikaatteja tai SDA-verkkotunnukset ohitetaan.
Liikenteen tarkastus / VPNSSL-tarkastuksen ohitusSDA-verkkotunnukset on jätetty SSL/TLS-purun ulkopuolelle (Zscaler, Palo Alto jne.).
MQTT WSS:n yliWSS portissa 443 on sallittu (IoT-brokerin käytössä).
VPN-overlayJos VPN on käytössä, se sallii päästä päähän -TLS-yhteyden SDA Cloudiin.
Vuokralaisen konfiguraatio{tenant_id} -verkkotunnus{tenant_id}.eu1.sdaconsole.io ja *.{tenant_id}.eu1.sdaconsole.io ovat saavutettavissa.
Repositorion käyttöPäivityksetrepository.eu1.sdaconsole.io on saavutettavissa päivityksiä ja korjauksia varten.

Validointivaiheet (CLI-ystävälliset)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / portti 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-ketju

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Varmista, että ketju päättyy Amazon Root CA 1 -juureen.

  4. Gatewayn lokit
    Tarkista Gatewayn järjestelmä-/palvelulokit onnistuneiden MQTT (WSS)- ja HTTPS-istuntojen varalta.

  5. Päivitystesti
    Käynnistä repositorion synkronointi tai agentin päivitys latausyhteyden varmistamiseksi.

Verkkotopologiakaavio​

Arkkitehtuuri/SDA-liitettävyyspalvelut esittelee useita SDA Gatewayn konfiguraatioita. \


Tuki​

Jos jokin yllä olevista tarkistuksista epäonnistuu tai jos SSL-tarkastusta ei voida ohittaa ympäristössäsi, ota yhteyttä:

SDA Support
📧 support@softwaredefinedautomation.io

Liitä mukaan:

  • Tenant ID -tunnuksesi,
  • Gatewayn versio,
  • kopio liitettävyystestien tulosteista (curl / openssl / nslookup),
  • ja asiaan liittyvät palomuurilokit (estetty 443, epäonnistunut TLS).