Ugrás a fő tartalomhoz

Hálózati és tűzfalkövetelmények

SDA Gateway csatlakoztathatósági és biztonsági követelmények​

Áttekintés​

Az SDA Gateway kizárólag kimenő internetkapcsolatot igényel az SDA Cloud szolgáltatásokkal való biztonságos kommunikációhoz.
Minden SDA szolgáltatási tartomány az Amazon Root CA 1 tanúsítványkibocsátó által aláírt tanúsítványt használ.
Gondoskodnia kell arról, hogy a rendszer megbízható tanúsítványtárolója tartalmazza ezt a gyökértanúsítványt, hogy az SSL/TLS-ellenőrzés megfelelően működjön.

Biztonsági megfontolások​

  • Nincsenek bejövő kapcsolatok
    A Gateway minden kommunikációt kimenő irányban kezdeményez. Nincs szükség bejövő tűzfalszabályokra vagy porttovábbításra.
  • Csak a 443-as port
    Minden SDA-forgalom szabványos HTTPS/SSL over TCP 443 kapcsolatot használ, ami egyszerűsíti a tűzfalkonfigurációt, és jellemzően illeszkedik a vállalati biztonsági irányelvekhez.
  • DNS-követelmények
    A DNS-feloldásnak minden SDA-tartomány esetében elérhetőnek kell lennie az alábbiak támogatásához:
    • terheléselosztás,
    • szolgáltatásfelderítés,
    • és az SDA Cloud végpontok közötti feladatátvétel.
  • Proxy-kompatibilis

Bérlőspecifikus tartomány​

Az SDA szolgáltatások bérlőnként vannak elkülönítve. Ahol a {tenant_id} szerepel, ott cserélje ki az SDA támogatás által megadott bérlőazonosítóra (Tenant ID).

Példa
Tenant ID:
11111111-2222-3333-4444-555555555555

Bérlői tartomány:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ennek a tartománynak – és az alatta lévő helyettesítő karakteres tartománynak – elérhetőnek kell lennie a Gateway felől.

Szükséges tartományok és portok​

TartományPortProtokollLeírás
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – fenntartja az állandó, biztonságos kapcsolatot az üzenetváltáshoz, a telemetriához és a vezérléshez.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Bérlői csatlakozási kiszolgálók – igény szerinti dinamikus VPN-alagutak létrehozásához; a DNS terheléselosztott listát ad vissza.
api.eu1.sdaconsole.io443HTTPSSDA API-k – Gateway-hitelesítés, vezérlősík-műveletek és a webkonzol elérése. Elsősorban az onboarding/kezdeti beállítás során használatos.
repository.eu1.sdaconsole.io443HTTPSAlkalmazástár – SDA-komponensek, Glue-frissítések, ügynökcsomagok és biztonsági javítások letöltése. A telepítés és az időszakos frissítésellenőrzések során használatos.
repository.sdaconsole.io (opcionális)443HTTPSGlobális tártükör – alternatív frissítési forrás (tervezett bővítés).

Forgalomvizsgálat az SDA szolgáltatásokkal​

Egyes szervezetek SSL-vizsgálatot / TLS-elfogást (pl. Zscaler SSL Inspection, Palo Alto Decryption) alkalmaznak a kimenő forgalomra. Ezek az eszközök megszakíthatják az SDA-kapcsolatot, ha módosítják vagy újra aláírják az SDA-tanúsítványokat, mivel az SDA szolgáltatások Amazon Root CA 1 tanúsítványláncot használnak.

A kapcsolódási hibák elkerülése érdekében:

  1. SDA-tartományok kihagyása a vizsgálatból
    Vegye fel a fenti SDA-tartományokat (API, IoT, bérlői tartomány, tár) a nem vizsgálandó (do-not-inspect) listára.
  2. MQTT engedélyezése WebSocket Secure (WSS) felett
    Az SDA IoT-üzenetkezelés MQTT-t használ WSS felett, a 443-as porton. Gondoskodjon róla, hogy ez a protokoll engedélyezett legyen.
  3. VPN-alagutak SSL-fedőréteggel
    Ha vállalati VPN-t használnak és a forgalmat vizsgálják, biztosítsa, hogy az alagút támogassa az SSL-fedőréteget, hogy a vizsgálat ne zavarja az SDA felé irányuló végponttól végpontig terjedő TLS-t.

Ha a vizsgálat nem kerülhető meg, egyeztessen az SDA csapattal a jóváhagyott tanúsítványokról és a vizsgálati viselkedésről.

Tűzfal-engedélyezési és hálózatellenőrzési ellenőrzőlista​

Használja ezt az ügyfél IT-/biztonsági csapatának átadott dokumentumként.

KategóriaElemKövetelmény / ellenőrzési lépésÁllapot (✓/✗)
Hálózati kapcsolatKimenő internetA Gateway képes kizárólag kimenő munkameneteket kezdeményezni az internet felé.
443-as portA TCP 443 nyitva van kimenő irányban az SDA-tartományok felé.
DNSA DNS feloldja az összes fent felsorolt SDA-tartományt.
Tanúsítvány & titkosításAmazon Root CA 1A gyökértanúsítvány szerepel a megbízható tárolóban, így a TLS-ellenőrzés sikeres.
TLS-/SSL-vizsgálatA kimenő forgalom vizsgálata nem cseréli le az SDA-tanúsítványokat, vagy az SDA-tartományok ki vannak hagyva.
Forgalomvizsgálat / VPNSSL-vizsgálat kihagyásaAz SDA-tartományok ki vannak zárva az SSL/TLS-elfogásból (Zscaler, Palo Alto stb.).
MQTT WSS felettA WSS engedélyezett a 443-as porton (az IoT broker használja).
VPN-fedőrétegHa VPN-t használnak, az lehetővé teszi a végponttól végpontig terjedő TLS-t az SDA Cloud felé.
Bérlői konfiguráció{tenant_id} tartományA {tenant_id}.eu1.sdaconsole.io és a *.{tenant_id}.eu1.sdaconsole.io elérhető.
TárelérésFrissítésekA repository.eu1.sdaconsole.io elérhető a frissítésekhez és javításokhoz.

Ellenőrzési lépések (parancssorbarát)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / 443-as port

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-lánc

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Ellenőrizze, hogy a lánc az Amazon Root CA 1 tanúsítvánnyal zárul-e.

  4. Gateway-naplók
    Ellenőrizze a Gateway rendszer-/szolgáltatásnaplóit a sikeres MQTT (WSS) és HTTPS munkamenetek szempontjából.

  5. Frissítési teszt
    Indítson el egy társzinkronizálást vagy ügynökfrissítést a letöltési hozzáférés ellenőrzéséhez.

Hálózati topológiai ábra​

Az Architektúra/SDA csatlakozási szolgáltatások fejezet több konfigurációt is ismertet az SDA Gateway számára. \


Támogatás​

Ha a fenti ellenőrzések bármelyike sikertelen, vagy ha az SSL-vizsgálat nem kerülhető meg a környezetében, forduljon ide:

SDA Support
📧 support@softwaredefinedautomation.io

Adja meg a következőket:

  • a Tenant ID azonosítóját,
  • a Gateway verzióját,
  • a kapcsolódási tesztek kimenetének másolatát (curl / openssl / nslookup),
  • és a vonatkozó tűzfalnaplókat (blokkolt 443, sikertelen TLS).