Prejsť na hlavný obsah

Sieťové požiadavky a požiadavky na firewall

Požiadavky na konektivitu a bezpečnosť SDA Gateway​

Prehľad​

SDA Gateway vyžaduje výlučne odchádzajúce internetové pripojenie na bezpečnú komunikáciu so službami SDA Cloud.
Všetky doménové mená služieb SDA používajú certifikáty podpísané certifikačnou autoritou Amazon Root CA 1.
Musíte zabezpečiť, aby úložisko dôveryhodných certifikátov vášho systému obsahovalo tento koreňový certifikát, aby bola možná správna validácia SSL/TLS.

Bezpečnostné aspekty​

  • Žiadne prichádzajúce spojenia
    Gateway iniciuje všetku komunikáciu odchádzajúco. Nie sú potrebné žiadne pravidlá firewallu pre prichádzajúcu prevádzku ani presmerovanie portov.
  • Iba port 443
    Všetka prevádzka SDA používa štandardné HTTPS/SSL cez TCP 443, čo zjednodušuje konfiguráciu firewallu a zvyčajne je v súlade s podnikovými bezpečnostnými politikami.
  • Požiadavky na DNS
    Pre všetky domény SDA musí byť dostupné rozlíšenie DNS, aby sa podporilo:
    • vyvažovanie záťaže,
    • zisťovanie služieb,
    • a prepnutie pri zlyhaní medzi koncovými bodmi SDA Cloud.
  • Kompatibilné s proxy

Doména špecifická pre tenanta​

Služby SDA sú vymedzené pre jednotlivých tenantov. Kdekoľvek uvidíte {tenant_id}, nahraďte to identifikátorom Tenant ID poskytnutým podporou SDA.

Príklad
Tenant ID:
11111111-2222-3333-4444-555555555555

Doména tenanta:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Táto doména — a zástupný znak pod ňou — musí byť dostupná z Gateway.

Požadované domény a porty​

DoménaPortProtokolPopis
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – udržiava trvalé, bezpečné spojenie na výmenu správ, telemetriu a riadenie/príkazy.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servery konektivity tenanta – používajú sa na vytváranie dynamických VPN tunelov na požiadanie; DNS vracia zoznam s vyvažovaním záťaže.
api.eu1.sdaconsole.io443HTTPSSDA API – autentifikácia Gateway, operácie riadiacej roviny a prístup k webovej konzole. Používa sa najmä počas onboardingu/úvodného nastavenia.
repository.eu1.sdaconsole.io443HTTPSRepozitár aplikácií – sťahovanie komponentov SDA, aktualizácií Glue, balíkov agentov a bezpečnostných záplat. Používa sa počas inštalácie a pri periodických kontrolách aktualizácií.
repository.sdaconsole.io (voliteľné)443HTTPSGlobálne zrkadlo repozitára – alternatívny zdroj aktualizácií (plánované rozšírenie).

Inšpekcia prevádzky pri službách SDA​

Niektoré organizácie používajú pre odchádzajúcu prevádzku inšpekciu SSL / zachytávanie TLS (napr. Zscaler SSL Inspection, Palo Alto Decryption). Tieto nástroje môžu narušiť konektivitu SDA, ak menia alebo znova podpisujú certifikáty SDA, pretože služby SDA používajú certifikáty naviazané na Amazon Root CA 1.

Ako predísť zlyhaniu spojenia:

  1. Obídenie / vylúčenie domén SDA z inšpekcie
    Pridajte vyššie uvedené domény SDA (API, IoT, doména tenanta, repozitár) do zoznamu vylúčeného z inšpekcie.
  2. Povoľte MQTT cez WebSocket Secure (WSS)
    Správy SDA IoT používajú MQTT cez WSS na porte 443. Zabezpečte, aby bol tento protokol povolený.
  3. VPN tunely s SSL prekrytím
    Ak sa používa podniková VPN a prevádzka je kontrolovaná, zabezpečte, aby tunel podporoval SSL prekrytie, takže inšpekcia nenaruší end-to-end TLS smerom k SDA.

Ak inšpekciu nie je možné obísť, koordinujte s tímom SDA schválené certifikáty a správanie inšpekcie.

Kontrolný zoznam pre whitelisting firewallu a validáciu siete​

Použite ho ako podklad pre IT / bezpečnostné oddelenie zákazníka.

KategóriaPoložkaPožiadavka / krok validácieStav (✓/✗)
Sieťová konektivitaOdchádzajúce pripojenie na internetGateway dokáže iniciovať výlučne odchádzajúce relácie do internetu.
Port 443TCP 443 je otvorený pre odchádzajúcu prevádzku do domén SDA.
DNSDNS rozlišuje všetky vyššie uvedené domény SDA.
Certifikáty a šifrovanieAmazon Root CA 1Koreňová CA je prítomná v dôveryhodnom úložisku, takže validácia TLS prebehne úspešne.
Inšpekcia TLS / SSLInšpekcia odchádzajúcej prevádzky nenahrádza certifikáty SDA alebo sú domény SDA vylúčené.
Inšpekcia prevádzky / VPNObídenie SSL inšpekcieDomény SDA sú vylúčené zo zachytávania SSL/TLS (Zscaler, Palo Alto atď.).
MQTT cez WSSWSS na porte 443 je povolené (používa ho IoT broker).
VPN prekrytieAk sa používa VPN, umožňuje end-to-end TLS do SDA Cloud.
Konfigurácia tenantaDoména {tenant_id}{tenant_id}.eu1.sdaconsole.io a *.{tenant_id}.eu1.sdaconsole.io sú dostupné.
Prístup k repozitáruAktualizácierepository.eu1.sdaconsole.io je dostupný pre aktualizácie a záplaty.

Kroky validácie (vhodné pre CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Reťazec TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Overte, že reťazec končí certifikátom Amazon Root CA 1.

  4. Logy Gateway
    Skontrolujte systémové/servisné logy Gateway pre úspešné relácie MQTT (WSS) a HTTPS.

  5. Test aktualizácie
    Spustite synchronizáciu repozitára alebo aktualizáciu agenta na overenie prístupu k sťahovaniu.

Diagram sieťovej topológie​

Architektúra/Služby konektivity SDA popisuje viacero konfigurácií pre SDA Gateway. \


Podpora​

Ak niektorá z vyššie uvedených kontrol zlyhá alebo ak vo vašom prostredí nie je možné obísť SSL inšpekciu, kontaktujte:

Podpora SDA
📧 support@softwaredefinedautomation.io

Priložte:

  • vaše Tenant ID,
  • verziu Gateway,
  • skopírované výstupy testov konektivity (curl / openssl / nslookup),
  • a príslušné logy firewallu (blokovaný 443, zlyhané TLS).