Przejdź do głównej zawartości

Wymagania sieciowe i zapory sieciowej

Wymagania dotyczące łączności i bezpieczeństwa SDA Gateway​

Przegląd​

SDA Gateway wymaga wyłącznie wychodzącej łączności internetowej, aby bezpiecznie komunikować się z usługami SDA Cloud.
Wszystkie domeny usług SDA korzystają z certyfikatów podpisanych przez urząd certyfikacji Amazon Root CA 1.
Należy upewnić się, że magazyn zaufanych certyfikatów systemu zawiera ten certyfikat główny, aby umożliwić prawidłową walidację SSL/TLS.

Zagadnienia bezpieczeństwa​

  • Brak połączeń przychodzących
    Gateway inicjuje całą komunikację wychodzącą. Nie są wymagane żadne przychodzące reguły zapory ani przekierowanie portów.
  • Wyłącznie port 443
    Cały ruch SDA korzysta ze standardowego HTTPS/SSL przez TCP 443, co upraszcza konfigurację zapory i zazwyczaj jest zgodne z korporacyjnymi politykami bezpieczeństwa.
  • Wymagania DNS
    Rozwiązywanie nazw DNS musi być dostępne dla wszystkich domen SDA, aby obsłużyć:
    • równoważenie obciążenia,
    • wykrywanie usług,
    • oraz przełączanie awaryjne pomiędzy punktami końcowymi SDA Cloud.
  • Zgodność z serwerami proxy

Domena specyficzna dla dzierżawcy​

Usługi SDA mają zakres przypisany do dzierżawcy (tenant). Wszędzie tam, gdzie widnieje {tenant_id}, należy zastąpić ten element identyfikatorem dzierżawcy (Tenant ID) dostarczonym przez wsparcie SDA.

Przykład
Tenant ID:
11111111-2222-3333-4444-555555555555

Domena dzierżawcy:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ta domena — oraz domeny wieloznaczne w jej obrębie — muszą być osiągalne z Gateway.

Wymagane domeny i porty​

DomenaPortProtokółOpis
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – utrzymuje trwałe, bezpieczne połączenie na potrzeby wymiany komunikatów, telemetrii oraz sterowania/poleceń.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Serwery łączności dzierżawcy – wykorzystywane do dynamicznego zestawiania tuneli VPN na żądanie; DNS zwraca listę z równoważeniem obciążenia.
api.eu1.sdaconsole.io443HTTPSSDA APIs – uwierzytelnianie Gateway, operacje warstwy sterowania oraz dostęp do Web Console. Wykorzystywane przede wszystkim podczas onboardingu/konfiguracji początkowej.
repository.eu1.sdaconsole.io443HTTPSRepozytorium aplikacji – pobieranie komponentów SDA, aktualizacji Glue, pakietów agentów i poprawek bezpieczeństwa. Używane podczas instalacji i okresowych sprawdzeń aktualizacji.
repository.sdaconsole.io (opcjonalnie)443HTTPSGlobalne repozytorium lustrzane – alternatywne źródło aktualizacji (planowane rozszerzenie).

Inspekcja ruchu a usługi SDA​

Niektóre organizacje stosują inspekcję SSL / przechwytywanie TLS (np. Zscaler SSL Inspection, Palo Alto Decryption) dla ruchu wychodzącego. Narzędzia te mogą przerwać łączność SDA, jeśli modyfikują lub ponownie podpisują certyfikaty SDA, ponieważ usługi SDA korzystają z certyfikatów w łańcuchu zaufania Amazon Root CA 1.

Aby uniknąć błędów połączenia:

  1. Pomiń inspekcję domen SDA
    Dodaj powyższe domeny SDA (API, IoT, domena dzierżawcy, repozytorium) do listy wyłączonej z inspekcji.
  2. Zezwól na MQTT przez WebSocket Secure (WSS)
    Komunikacja SDA IoT wykorzystuje MQTT przez WSS na porcie 443. Upewnij się, że ten protokół jest dozwolony.
  3. Tunele VPN z warstwą SSL
    Jeśli używany jest korporacyjny VPN, a ruch podlega inspekcji, upewnij się, że tunel obsługuje warstwę SSL, tak aby inspekcja nie zakłócała szyfrowania TLS end-to-end do SDA.

Jeśli inspekcji nie da się pominąć, skoordynuj działania z zespołem SDA w zakresie zatwierdzonych certyfikatów i zachowania inspekcji.

Lista kontrolna: whitelisting zapory i walidacja sieci​

Wykorzystaj ją jako materiał przekazywany działowi IT / bezpieczeństwa klienta.

KategoriaPozycjaWymaganie / krok walidacjiStatus (✓/✗)
Łączność sieciowaWychodzący dostęp do internetuGateway może inicjować sesje wyłącznie wychodzące do internetu.
Port 443TCP 443 jest otwarty wychodząco do domen SDA.
DNSDNS rozwiązuje wszystkie wymienione powyżej domeny SDA.
Certyfikaty i szyfrowanieAmazon Root CA 1Certyfikat główny znajduje się w magazynie zaufanych certyfikatów, dzięki czemu walidacja TLS przebiega pomyślnie.
Inspekcja TLS / SSLInspekcja ruchu wychodzącego nie podmienia certyfikatów SDA lub domeny SDA są pomijane.
Inspekcja ruchu / VPNPominięcie inspekcji SSLDomeny SDA są wyłączone z przechwytywania SSL/TLS (Zscaler, Palo Alto itp.).
MQTT przez WSSWSS na porcie 443 jest dozwolone (używane przez broker IoT).
Warstwa VPNJeśli używany jest VPN, umożliwia on szyfrowanie TLS end-to-end do SDA Cloud.
Konfiguracja dzierżawcyDomena {tenant_id}{tenant_id}.eu1.sdaconsole.io oraz *.{tenant_id}.eu1.sdaconsole.io są osiągalne.
Dostęp do repozytoriumAktualizacjerepository.eu1.sdaconsole.io jest osiągalne na potrzeby aktualizacji i poprawek.

Kroki walidacji (przyjazne dla CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Łańcuch TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Potwierdź, że łańcuch kończy się na Amazon Root CA 1.

  4. Logi Gateway
    Sprawdź logi systemowe/usług Gateway pod kątem udanych sesji MQTT (WSS) i HTTPS.

  5. Test aktualizacji
    Uruchom synchronizację repozytorium lub aktualizację agenta, aby zweryfikować dostęp do pobierania.

Diagram topologii sieci​

Sekcja Architecture/SDA Connectivity Services opisuje wiele konfiguracji SDA Gateway. \


Wsparcie​

Jeśli którakolwiek z powyższych weryfikacji zakończy się niepowodzeniem lub jeśli w Twoim środowisku nie można pominąć inspekcji SSL, skontaktuj się z:

SDA Support
📧 support@softwaredefinedautomation.io

Dołącz:

  • swój Tenant ID,
  • wersję Gateway,
  • skopiowane wyniki testów łączności (curl / openssl / nslookup),
  • oraz odpowiednie logi zapory (zablokowany port 443, nieudane TLS).