Passa al contenuto principale

Requisiti di rete e firewall

Requisiti di connettività e sicurezza del Gateway SDA​

Panoramica​

Il Gateway SDA richiede connettività internet solo in uscita per comunicare in modo sicuro con i servizi SDA Cloud.
Tutti i domini dei servizi SDA utilizzano certificati firmati dall'autorità di certificazione Amazon Root CA 1.
È necessario assicurarsi che l'archivio dei certificati attendibili del sistema includa questo certificato radice, per consentire una corretta convalida SSL/TLS.

Considerazioni sulla sicurezza​

  • Nessuna connessione in entrata
    Il Gateway avvia tutte le comunicazioni in uscita. Non sono richieste regole firewall in entrata né port forwarding.
  • Solo porta 443
    Tutto il traffico SDA utilizza il protocollo standard HTTPS/SSL su TCP 443, il che semplifica la configurazione del firewall e in genere risulta conforme alle policy di sicurezza aziendali.
  • Requisiti DNS
    La risoluzione DNS deve essere disponibile per tutti i domini SDA, al fine di supportare:
    • il bilanciamento del carico,
    • il service discovery,
    • e il failover tra gli endpoint SDA Cloud.
  • Compatibile con proxy

Dominio specifico del tenant​

I servizi SDA hanno un ambito definito per ciascun tenant. Ovunque compaia {tenant_id}, sostituirlo con il Tenant ID fornito dal Supporto SDA.

Esempio
Tenant ID:
11111111-2222-3333-4444-555555555555

Dominio del tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Questo dominio — e il relativo wildcard — devono essere raggiungibili dal Gateway.

Domini e porte richiesti​

DominioPortaProtocolloDescrizione
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – mantiene la connessione persistente e sicura per lo scambio di messaggi, la telemetria e le funzioni di comando/controllo.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Server di connettività del tenant – utilizzati per stabilire tunnel VPN dinamici on demand; il DNS restituisce un elenco con bilanciamento del carico.
api.eu1.sdaconsole.io443HTTPSAPI SDA – autenticazione del Gateway, operazioni del control plane e accesso alla Web Console. Utilizzate principalmente durante l'onboarding/la configurazione iniziale.
repository.eu1.sdaconsole.io443HTTPSRepository delle applicazioni – download dei componenti SDA, degli aggiornamenti Glue, dei pacchetti agent e delle patch di sicurezza. Utilizzato durante l'installazione e i controlli periodici degli aggiornamenti.
repository.sdaconsole.io (opzionale)443HTTPSMirror globale del repository – fonte di aggiornamento alternativa (miglioramento pianificato).

Ispezione del traffico con i servizi SDA​

Alcune organizzazioni utilizzano l'ispezione SSL / intercettazione TLS (ad es. Zscaler SSL Inspection, Palo Alto Decryption) per il traffico in uscita. Questi strumenti possono interrompere la connettività SDA se modificano o rifirmano i certificati SDA, poiché i servizi SDA utilizzano certificati concatenati ad Amazon Root CA 1.

Per evitare errori di connessione:

  1. Escludere i domini SDA dall'ispezione (bypass / no-inspect)
    Aggiungere i domini SDA sopra indicati (API, IoT, dominio del tenant, repository) a un elenco di esclusione dall'ispezione.
  2. Consentire MQTT su WebSocket Secure (WSS)
    La messaggistica IoT di SDA utilizza MQTT su WSS sulla porta 443. Assicurarsi che questo protocollo sia consentito.
  3. Tunnel VPN con overlay SSL
    Se si utilizza una VPN aziendale e il traffico viene ispezionato, verificare che il tunnel supporti un overlay SSL, in modo che l'ispezione non interferisca con il TLS end-to-end verso SDA.

Se non è possibile escludere l'ispezione, coordinarsi con il Team SDA per i certificati approvati e il comportamento dell'ispezione.

Checklist per il whitelisting del firewall e la convalida della rete​

Utilizzare questa checklist come documento di consegna all'IT / sicurezza del cliente.

CategoriaElementoRequisito / Passaggio di convalidaStato (✓/✗)
Connettività di reteInternet in uscitaIl Gateway può avviare sessioni solo in uscita verso internet.
Porta 443La porta TCP 443 è aperta in uscita verso i domini SDA.
DNSIl DNS risolve tutti i domini SDA elencati sopra.
Certificati & crittografiaAmazon Root CA 1La CA radice è presente nell'archivio attendibile, così la convalida TLS va a buon fine.
Ispezione TLS / SSLL'ispezione del traffico in uscita non sostituisce i certificati SDA oppure i domini SDA sono esclusi.
Ispezione del traffico / VPNBypass dell'ispezione SSLI domini SDA sono esclusi dall'intercettazione SSL/TLS (Zscaler, Palo Alto, ecc.).
MQTT su WSSWSS sulla porta 443 è consentito (utilizzato dal broker IoT).
Overlay VPNSe si utilizza una VPN, essa consente il TLS end-to-end verso SDA Cloud.
Configurazione del tenantDominio {tenant_id}{tenant_id}.eu1.sdaconsole.io e *.{tenant_id}.eu1.sdaconsole.io sono raggiungibili.
Accesso al repositoryAggiornamentirepository.eu1.sdaconsole.io è raggiungibile per aggiornamenti e patch.

Passaggi di convalida (da riga di comando)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Porta 443

    curl -v https://api.eu1.sdaconsole.io

  3. Catena TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Verificare che la catena termini con Amazon Root CA 1.

  4. Log del Gateway
    Controllare i log di sistema/servizio del Gateway per verificare le sessioni MQTT (WSS) e HTTPS riuscite.

  5. Test di aggiornamento
    Avviare una sincronizzazione del repository o un aggiornamento dell'agent per verificare l'accesso al download.

Diagramma della topologia di rete​

La sezione Architettura/Servizi di connettività SDA illustra diverse configurazioni per il Gateway SDA. \


Supporto​

Se uno dei controlli sopra descritti non va a buon fine o se nel proprio ambiente non è possibile escludere l'ispezione SSL, contattare:

Supporto SDA
📧 support@softwaredefinedautomation.io

Includere:

  • il proprio Tenant ID,
  • la versione del Gateway,
  • una copia degli output dei test di connettività (curl / openssl / nslookup),
  • e i log del firewall pertinenti (porta 443 bloccata, TLS non riuscito).