본문으로 건너뛰기

네트워크 및 방화벽 요구사항

SDA Gateway 연결성 및 보안 요구사항​

개요​

SDA Gateway는 SDA Cloud 서비스와 안전하게 통신하기 위해 아웃바운드 전용 인터넷 연결이 필요합니다.
모든 SDA 서비스 도메인은 Amazon Root CA 1 인증 기관에서 서명한 인증서를 사용합니다.
올바른 SSL/TLS 검증이 이루어지도록 시스템의 신뢰할 수 있는 인증서 저장소에 이 루트 인증서가 포함되어 있는지 확인해야 합니다.

보안 고려사항​

  • 인바운드 연결 없음
    Gateway는 모든 통신을 아웃바운드로 개시합니다. 인바운드 방화벽 규칙이나 포트 포워딩은 필요하지 않습니다.
  • 포트 443만 사용
    모든 SDA 트래픽은 표준 HTTPS/SSL over TCP 443을 사용하므로 방화벽 구성이 단순해지고 일반적으로 기업 보안 정책과도 부합합니다.
  • DNS 요구사항
    다음을 지원하기 위해 모든 SDA 도메인에 대한 DNS 확인이 가능해야 합니다:
    • 로드 밸런싱,
    • 서비스 디스커버리,
    • 그리고 SDA Cloud 엔드포인트 간 장애 조치(failover).
  • 프록시 호환

테넌트별 도메인​

SDA 서비스는 테넌트 단위로 범위가 지정됩니다. {tenant_id}가 표시된 모든 위치는 SDA 지원팀이 제공한 테넌트 ID로 대체하십시오.

예시
테넌트 ID:
11111111-2222-3333-4444-555555555555

테넌트 도메인:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

이 도메인과 그 하위 와일드카드 도메인은 Gateway에서 접근 가능해야 합니다.

필요한 도메인 및 포트​

도메인포트프로토콜설명
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT 브로커 – 메시지 교환, 텔레메트리 및 명령/제어를 위한 지속적이고 안전한 연결을 유지합니다.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)테넌트 연결 서버 – 필요 시 동적 VPN 터널을 설정하는 데 사용되며, DNS는 로드 밸런싱된 목록을 반환합니다.
api.eu1.sdaconsole.io443HTTPSSDA API – Gateway 인증, 컨트롤 플레인 작업 및 웹 콘솔 접근에 사용됩니다. 주로 온보딩/초기 설정 시 사용됩니다.
repository.eu1.sdaconsole.io443HTTPS애플리케이션 저장소 – SDA 구성 요소, Glue 업데이트, 에이전트 패키지 및 보안 패치를 다운로드합니다. 설치 및 주기적 업데이트 확인 시 사용됩니다.
repository.sdaconsole.io (선택 사항)443HTTPS글로벌 저장소 미러 – 대체 업데이트 소스(향후 개선 예정).

SDA 서비스와 트래픽 검사​

일부 조직은 아웃바운드 트래픽에 대해 SSL 검사 / TLS 인터셉션(예: Zscaler SSL Inspection, Palo Alto Decryption)을 사용합니다. SDA 서비스는 Amazon Root CA 1에 체인된 인증서를 사용하기 때문에, 이러한 도구가 SDA 인증서를 변경하거나 재서명하면 SDA 연결이 중단될 수 있습니다.

연결 실패를 방지하려면:

  1. SDA 도메인 우회 / 검사 제외
    위의 SDA 도메인(API, IoT, 테넌트 도메인, 저장소)을 검사 제외 목록에 추가하십시오.
  2. MQTT over WebSocket Secure (WSS) 허용
    SDA IoT 메시징은 포트 443의 WSS를 통한 MQTT를 사용합니다. 이 프로토콜이 허용되는지 확인하십시오.
  3. SSL 오버레이를 사용하는 VPN 터널
    기업 VPN을 사용하고 트래픽이 검사되는 경우, 검사가 SDA로의 종단 간 TLS를 방해하지 않도록 터널이 SSL 오버레이를 지원하는지 확인하십시오.

검사를 우회할 수 없는 경우, 승인된 인증서 및 검사 동작에 대해 SDA 팀과 협의하십시오.

방화벽 허용 목록 및 네트워크 검증 체크리스트​

이 항목을 고객 IT / 보안 담당자에게 전달하십시오.

분류항목요구사항 / 검증 단계상태 (✓/✗)
네트워크 연결아웃바운드 인터넷Gateway가 인터넷으로 아웃바운드 전용 세션을 개시할 수 있습니다.
포트 443SDA 도메인에 대해 TCP 443이 아웃바운드로 열려 있습니다.
DNSDNS가 위에 나열된 모든 SDA 도메인을 확인합니다.
인증서 & 암호화Amazon Root CA 1TLS 검증이 성공하도록 루트 CA가 신뢰 저장소에 존재합니다.
TLS / SSL 검사아웃바운드 검사가 SDA 인증서를 대체하지 않거나 SDA 도메인이 우회됩니다.
트래픽 검사 / VPNSSL 검사 우회SDA 도메인이 SSL/TLS 인터셉션(Zscaler, Palo Alto 등)에서 제외되어 있습니다.
MQTT over WSS포트 443의 WSS가 허용됩니다(IoT 브로커에서 사용).
VPN 오버레이VPN을 사용하는 경우, SDA Cloud로의 종단 간 TLS를 허용합니다.
테넌트 구성{tenant_id} 도메인{tenant_id}.eu1.sdaconsole.io 및 *.{tenant_id}.eu1.sdaconsole.io에 접근할 수 있습니다.
저장소 접근업데이트업데이트 및 패치를 위해 repository.eu1.sdaconsole.io에 접근할 수 있습니다.

검증 단계 (CLI 기반)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / 포트 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS 체인

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    체인이 Amazon Root CA 1로 끝나는지 확인하십시오.

  4. Gateway 로그
    Gateway의 시스템/서비스 로그에서 MQTT(WSS) 및 HTTPS 세션이 정상적으로 이루어졌는지 확인하십시오.

  5. 업데이트 테스트
    저장소 동기화 또는 에이전트 업데이트를 실행하여 다운로드 접근성을 검증하십시오.

네트워크 토폴로지 다이어그램​

아키텍처/SDA 연결 서비스에서 SDA Gateway에 대한 여러 구성 방식을 설명합니다. \


지원​

위의 검사 항목 중 하나라도 실패하거나 환경에서 SSL 검사를 우회할 수 없는 경우 다음으로 문의하십시오:

SDA Support
📧 support@softwaredefinedautomation.io

다음 내용을 포함해 주십시오:

  • 테넌트 ID,
  • Gateway 버전,
  • 연결 테스트 출력 복사본(curl / openssl / nslookup),
  • 그리고 관련 방화벽 로그(차단된 443, 실패한 TLS).