Aller au contenu principal

Exigences réseau et pare-feu

Exigences de connectivité et de sécurité de la passerelle SDA​

Vue d'ensemble​

La passerelle SDA nécessite une connectivité Internet sortante uniquement pour communiquer de manière sécurisée avec les services SDA Cloud.
Tous les domaines de services SDA utilisent des certificats signés par l'autorité de certification Amazon Root CA 1.
Vous devez vous assurer que le magasin de certificats de confiance de votre système contient ce certificat racine afin de permettre une validation SSL/TLS correcte.

Considérations de sécurité​

  • Aucune connexion entrante
    La passerelle initie toutes les communications en sortie. Aucune règle de pare-feu entrante ni redirection de port n'est requise.
  • Port 443 uniquement
    L'ensemble du trafic SDA utilise le standard HTTPS/SSL sur TCP 443, ce qui simplifie la configuration du pare-feu et s'aligne généralement sur les politiques de sécurité de l'entreprise.
  • Exigences DNS
    La résolution DNS doit être disponible pour tous les domaines SDA afin de prendre en charge :
    • la répartition de charge,
    • la découverte de services,
    • et le basculement entre les points de terminaison SDA Cloud.
  • Compatible avec les proxys

Domaine spécifique au locataire​

Les services SDA sont cloisonnés par locataire (tenant). Partout où vous voyez {tenant_id}, remplacez cette valeur par l'ID de locataire fourni par le support SDA.

Exemple
ID de locataire :
11111111-2222-3333-4444-555555555555

Domaine du locataire :
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ce domaine — ainsi que le caractère générique qui lui est associé — doit être accessible depuis la passerelle.

Domaines et ports requis​

DomainePortProtocoleDescription
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – maintient la connexion sécurisée persistante pour l'échange de messages, la télémétrie et les commandes/le pilotage.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Serveurs de connectivité du locataire – utilisés pour établir des tunnels VPN dynamiques à la demande ; le DNS renvoie une liste répartie en charge.
api.eu1.sdaconsole.io443HTTPSAPI SDA – authentification de la passerelle, opérations du plan de contrôle et accès à la console Web. Principalement utilisées lors de l'intégration/configuration initiale.
repository.eu1.sdaconsole.io443HTTPSRéférentiel d'applications – téléchargement des composants SDA, des mises à jour Glue, des paquets d'agents et des correctifs de sécurité. Utilisé lors de l'installation et des vérifications périodiques de mises à jour.
repository.sdaconsole.io (optionnel)443HTTPSMiroir global du référentiel – source de mise à jour alternative (évolution prévue).

Inspection du trafic avec les services SDA​

Certaines organisations utilisent l'inspection SSL / l'interception TLS (par exemple Zscaler SSL Inspection, Palo Alto Decryption) pour le trafic sortant. Ces outils peuvent interrompre la connectivité SDA s'ils modifient ou resignent les certificats SDA, car les services SDA utilisent des certificats chaînés à Amazon Root CA 1.

Pour éviter les échecs de connexion :

  1. Contourner / ne pas inspecter les domaines SDA
    Ajoutez les domaines SDA ci-dessus (API, IoT, domaine du locataire, référentiel) à une liste d'exclusion d'inspection.
  2. Autoriser MQTT sur WebSocket Secure (WSS)
    La messagerie SDA IoT utilise MQTT sur WSS via le port 443. Assurez-vous que ce protocole est autorisé.
  3. Tunnels VPN avec superposition SSL
    Si un VPN d'entreprise est utilisé et que le trafic est inspecté, assurez-vous que le tunnel prend en charge une superposition SSL afin que l'inspection n'interfère pas avec le TLS de bout en bout vers SDA.

Si l'inspection ne peut pas être contournée, coordonnez-vous avec l'équipe SDA pour obtenir les certificats approuvés et définir le comportement d'inspection.

Liste de contrôle pour la mise en liste blanche du pare-feu et la validation réseau​

Utilisez ce document comme élément de transmission à l'équipe IT / sécurité du client.

CatégorieÉlémentExigence / Étape de validationStatut (✓/✗)
Connectivité réseauInternet sortantLa passerelle peut initier des sessions sortantes uniquement vers Internet.
Port 443Le port TCP 443 est ouvert en sortie vers les domaines SDA.
DNSLe DNS résout tous les domaines SDA listés ci-dessus.
Certificats & chiffrementAmazon Root CA 1L'autorité racine est présente dans le magasin de confiance afin que la validation TLS aboutisse.
Inspection TLS / SSLL'inspection du trafic sortant ne remplace pas les certificats SDA, ou les domaines SDA sont contournés.
Inspection du trafic / VPNContournement de l'inspection SSLLes domaines SDA sont exclus de l'interception SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sur WSSWSS sur le port 443 est autorisé (utilisé par le broker IoT).
Superposition VPNSi un VPN est utilisé, il autorise le TLS de bout en bout vers SDA Cloud.
Configuration du locataireDomaine {tenant_id}{tenant_id}.eu1.sdaconsole.io et *.{tenant_id}.eu1.sdaconsole.io sont accessibles.
Accès au référentielMises à jourrepository.eu1.sdaconsole.io est accessible pour les mises à jour et les correctifs.

Étapes de validation (en ligne de commande)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Chaîne TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Vérifiez que la chaîne se termine par Amazon Root CA 1.

  4. Journaux de la passerelle
    Consultez les journaux système/de service de la passerelle pour vérifier la réussite des sessions MQTT (WSS) et HTTPS.

  5. Test de mise à jour
    Déclenchez une synchronisation du référentiel ou une mise à jour d'agent pour vérifier l'accès au téléchargement.

Schéma de topologie réseau​

La page Architecture/Services de connectivité SDA décrit plusieurs configurations pour la passerelle SDA. \


Support​

Si l'une des vérifications ci-dessus échoue ou si l'inspection SSL ne peut pas être contournée dans votre environnement, contactez :

SDA Support
📧 support@softwaredefinedautomation.io

Veuillez inclure :

  • votre ID de locataire,
  • la version de la passerelle,
  • un copier-coller des résultats de vos tests de connectivité (curl / openssl / nslookup),
  • et les journaux de pare-feu pertinents (port 443 bloqué, échecs TLS).