Ga naar hoofdinhoud

Netwerk- en firewallvereisten

Connectiviteits- en beveiligingsvereisten voor de SDA Gateway​

Overzicht​

De SDA Gateway vereist uitsluitend uitgaande internetconnectiviteit om veilig te communiceren met SDA Cloud-services.
Alle SDA-servicedomeinen gebruiken certificaten die zijn ondertekend door de Amazon Root CA 1 Certificate Authority.
U dient ervoor te zorgen dat de vertrouwde certificaatopslag van uw systeem dit rootcertificaat bevat, zodat correcte SSL/TLS-validatie mogelijk is.

Beveiligingsoverwegingen​

  • Geen inkomende verbindingen
    De Gateway initieert alle communicatie uitgaand. Er zijn geen inkomende firewallregels of port-forwarding vereist.
  • Uitsluitend poort 443
    Al het SDA-verkeer gebruikt standaard HTTPS/SSL over TCP 443, wat de firewallconfiguratie vereenvoudigt en doorgaans aansluit op het beveiligingsbeleid van de onderneming.
  • DNS-vereisten
    DNS-resolutie moet beschikbaar zijn voor alle SDA-domeinen ter ondersteuning van:
    • load balancing,
    • service discovery,
    • en failover tussen SDA Cloud-endpoints.
  • Proxycompatibel

Tenantspecifiek domein​

SDA-services zijn per tenant afgebakend. Overal waar u {tenant_id} ziet, vervangt u dit door het Tenant ID dat door SDA Support is verstrekt.

Voorbeeld
Tenant ID:
11111111-2222-3333-4444-555555555555

Tenantdomein:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Dit domein — en de wildcard eronder — moet bereikbaar zijn vanaf de Gateway.

Vereiste domeinen en poorten​

DomeinPoortProtocolBeschrijving
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – onderhoudt de permanente, beveiligde verbinding voor berichtenuitwisseling, telemetrie en command/control.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenant Connectivity Servers – worden gebruikt om op aanvraag dynamische VPN-tunnels op te zetten; DNS retourneert een load-balanced lijst.
api.eu1.sdaconsole.io443HTTPSSDA API's – Gateway-authenticatie, control-plane-bewerkingen en toegang tot de Web Console. Hoofdzakelijk gebruikt tijdens onboarding/initiële installatie.
repository.eu1.sdaconsole.io443HTTPSApplication Repository – downloadt SDA-componenten, Glue-updates, agentpakketten en beveiligingspatches. Gebruikt tijdens installatie en periodieke updatecontroles.
repository.sdaconsole.io (optioneel)443HTTPSGlobal Repository Mirror – alternatieve updatebron (geplande uitbreiding).

Verkeersinspectie bij SDA-services​

Sommige organisaties gebruiken SSL-inspectie / TLS-interceptie (bijv. Zscaler SSL Inspection, Palo Alto Decryption) voor uitgaand verkeer. Deze tools kunnen de SDA-connectiviteit verbreken wanneer zij SDA-certificaten wijzigen of opnieuw ondertekenen, omdat SDA-services certificaten gebruiken die zijn gekoppeld aan Amazon Root CA 1.

Om verbindingsfouten te voorkomen:

  1. SDA-domeinen omzeilen / niet inspecteren
    Voeg de bovenstaande SDA-domeinen (API, IoT, tenantdomein, repository) toe aan een do-not-inspect-lijst.
  2. MQTT over WebSocket Secure (WSS) toestaan
    SDA IoT-messaging gebruikt MQTT over WSS op poort 443. Zorg ervoor dat dit protocol is toegestaan.
  3. VPN-tunnels met SSL-overlay
    Als er een bedrijfs-VPN wordt gebruikt en het verkeer wordt geïnspecteerd, zorg er dan voor dat de tunnel een SSL-overlay ondersteunt, zodat inspectie de end-to-end TLS naar SDA niet verstoort.

Als inspectie niet kan worden omzeild, stem dan met het SDA-team af over goedgekeurde certificaten en inspectiegedrag.

Checklist firewall-whitelisting & netwerkvalidatie​

Gebruik dit als overdracht aan de IT-/securityafdeling van de klant.

CategorieItemVereiste / validatiestapStatus (✓/✗)
NetwerkconnectiviteitUitgaand internetGateway kan uitsluitend uitgaande sessies naar het internet initiëren.
Poort 443TCP 443 is uitgaand geopend naar SDA-domeinen.
DNSDNS herleidt alle hierboven vermelde SDA-domeinen.
Certificaat & encryptieAmazon Root CA 1Root CA is aanwezig in de vertrouwde opslag zodat TLS-validatie slaagt.
TLS-/SSL-inspectieUitgaande inspectie vervangt niet de SDA-certificaten, of SDA-domeinen worden omzeild.
Verkeersinspectie / VPNOmzeiling SSL-inspectieSDA-domeinen zijn uitgesloten van SSL/TLS-interceptie (Zscaler, Palo Alto, enz.).
MQTT over WSSWSS op poort 443 is toegestaan (gebruikt door de IoT-broker).
VPN-overlayAls er een VPN wordt gebruikt, staat deze end-to-end TLS naar SDA Cloud toe.
Tenantconfiguratie{tenant_id}-domein{tenant_id}.eu1.sdaconsole.io en *.{tenant_id}.eu1.sdaconsole.io zijn bereikbaar.
RepositorytoegangUpdatesrepository.eu1.sdaconsole.io is bereikbaar voor updates en patches.

Validatiestappen (CLI-vriendelijk)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / poort 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-keten

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Controleer of de keten eindigt bij Amazon Root CA 1.

  4. Gateway-logboeken
    Controleer de systeem-/servicelogboeken van de Gateway op geslaagde MQTT- (WSS) en HTTPS-sessies.

  5. Updatetest
    Start een repositorysynchronisatie of agentupdate om de downloadtoegang te verifiëren.

Netwerktopologiediagram​

De Architecture/SDA Connectivity Services beschrijft meerdere configuraties voor de SDA Gateway. \


Support​

Als een van de bovenstaande controles mislukt of als SSL-inspectie in uw omgeving niet kan worden omzeild, neem dan contact op met:

SDA Support
📧 support@softwaredefinedautomation.io

Vermeld daarbij:

  • uw Tenant ID,
  • de Gateway-versie,
  • een kopie van de uitvoer van uw connectiviteitstests (curl / openssl / nslookup),
  • en relevante firewalllogboeken (geblokkeerde 443, mislukte TLS).