Pular para o conteúdo principal

Requisitos de Rede e Firewall

Requisitos de Conectividade e Segurança do SDA Gateway​

Visão Geral​

O SDA Gateway requer conectividade de internet apenas de saída para comunicar-se de forma segura com os serviços do SDA Cloud.
Todos os domínios de serviço SDA utilizam certificados assinados pela Autoridade Certificadora Amazon Root CA 1.
Certifique-se de que o repositório de certificados confiáveis do seu sistema inclua este certificado raiz, de modo a permitir a validação SSL/TLS adequada.

Considerações de Segurança​

  • Sem Conexões de Entrada
    O Gateway inicia toda a comunicação de saída. Não são necessárias regras de firewall de entrada nem encaminhamento de portas.
  • Somente Porta 443
    Todo o tráfego SDA utiliza HTTPS/SSL sobre TCP 443, o que simplifica a configuração do firewall e normalmente está alinhado com as políticas corporativas de segurança.
  • Requisitos de DNS
    A resolução DNS deve estar disponível para todos os domínios SDA, de forma a suportar:
    • balanceamento de carga,
    • descoberta de serviços,
    • e failover entre os endpoints do SDA Cloud.
  • Compatível com Proxy

Domínio Específico do Tenant​

Os serviços SDA têm escopo por tenant. Sempre que encontrar {tenant_id}, substitua pelo Tenant ID fornecido pelo Suporte SDA.

Exemplo
Tenant ID:
11111111-2222-3333-4444-555555555555

Domínio do tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Este domínio — e o wildcard sob ele — deve ser acessível a partir do Gateway.

Domínios e Portas Necessários​

DomínioPortaProtocoloDescrição
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – mantém a conexão persistente e segura para troca de mensagens, telemetria e comando/controle.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servidores de Conectividade do Tenant – utilizados para estabelecer túneis VPN dinâmicos sob demanda; o DNS retorna uma lista com balanceamento de carga.
api.eu1.sdaconsole.io443HTTPSAPIs SDA – autenticação do Gateway, operações do plano de controle e acesso ao Web Console. Utilizadas principalmente durante o onboarding/configuração inicial.
repository.eu1.sdaconsole.io443HTTPSRepositório de Aplicações – faz o download de componentes SDA, atualizações do Glue, pacotes de agentes e patches de segurança. Utilizado durante a instalação e nas verificações periódicas de atualização.
repository.sdaconsole.io (opcional)443HTTPSEspelho Global do Repositório – fonte alternativa de atualização (melhoria planejada).

Inspeção de Tráfego com Serviços SDA​

Algumas organizações utilizam inspeção SSL / interceptação TLS (por exemplo, Zscaler SSL Inspection, Palo Alto Decryption) para o tráfego de saída. Essas ferramentas podem interromper a conectividade SDA caso alterem ou reassinem os certificados SDA, pois os serviços SDA utilizam certificados encadeados à Amazon Root CA 1.

Para evitar falhas de conexão:

  1. Ignorar / Não Inspecionar os Domínios SDA
    Adicione os domínios SDA acima (API, IoT, domínio do tenant, repositório) a uma lista de não inspeção.
  2. Permitir MQTT sobre WebSocket Secure (WSS)
    As mensagens IoT do SDA utilizam MQTT sobre WSS na porta 443. Certifique-se de que este protocolo seja permitido.
  3. Túneis VPN com Sobreposição SSL
    Se for utilizada uma VPN corporativa e o tráfego for inspecionado, certifique-se de que o túnel suporte uma sobreposição SSL, de modo que a inspeção não interfira no TLS fim a fim com o SDA.

Se a inspeção não puder ser contornada, coordene com a Equipe SDA a respeito dos certificados aprovados e do comportamento de inspeção.

Checklist de Whitelisting de Firewall e Validação de Rede​

Utilize este checklist como entrega para a equipe de TI / segurança do cliente.

CategoriaItemRequisito / Etapa de ValidaçãoStatus (✓/✗)
Conectividade de RedeInternet de saídaO Gateway consegue iniciar sessões apenas de saída para a internet.
Porta 443A porta TCP 443 está aberta para saída em direção aos domínios SDA.
DNSO DNS resolve todos os domínios SDA listados acima.
Certificado & CriptografiaAmazon Root CA 1A CA raiz está presente no repositório confiável, de forma que a validação TLS seja bem-sucedida.
Inspeção TLS / SSLA inspeção de saída não substitui os certificados SDA ou os domínios SDA são ignorados.
Inspeção de Tráfego / VPNBypass da inspeção SSLOs domínios SDA estão excluídos da interceptação SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sobre WSSWSS na porta 443 é permitido (utilizado pelo broker IoT).
Sobreposição VPNSe for utilizada VPN, ela permite TLS fim a fim com o SDA Cloud.
Configuração do TenantDomínio {tenant_id}{tenant_id}.eu1.sdaconsole.io e *.{tenant_id}.eu1.sdaconsole.io estão acessíveis.
Acesso ao RepositórioAtualizaçõesrepository.eu1.sdaconsole.io está acessível para atualizações e patches.

Etapas de Validação (Compatíveis com CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Porta 443

    curl -v https://api.eu1.sdaconsole.io

  3. Cadeia TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Confirme que a cadeia termina em Amazon Root CA 1.

  4. Logs do Gateway
    Verifique os logs de sistema/serviço do Gateway em busca de sessões MQTT (WSS) e HTTPS bem-sucedidas.

  5. Teste de Atualização
    Acione uma sincronização do repositório ou uma atualização de agente para verificar o acesso ao download.

Diagrama de Topologia de Rede​

A seção Arquitetura/Serviços de Conectividade SDA descreve múltiplas configurações para o SDA Gateway. \


Suporte​

Se alguma das verificações acima falhar ou se a inspeção SSL não puder ser contornada no seu ambiente, entre em contato com:

Suporte SDA
📧 support@softwaredefinedautomation.io

Inclua:

  • o seu Tenant ID,
  • a versão do Gateway,
  • uma cópia dos resultados dos testes de conectividade (curl / openssl / nslookup),
  • e os logs de firewall relevantes (porta 443 bloqueada, falhas de TLS).