Hoppa till huvudinnehåll

Nätverks- och brandväggskrav

Anslutnings- och säkerhetskrav för SDA Gateway​

Översikt​

SDA Gateway kräver utgående internetanslutning enbart för att säkert kommunicera med SDA Cloud-tjänster.
Alla SDA-tjänstedomäner använder certifikat signerade av certifikatutfärdaren Amazon Root CA 1.
Du måste säkerställa att systemets certifikatlager för betrodda certifikat innehåller detta rotcertifikat för att möjliggöra korrekt SSL/TLS-validering.

Säkerhetsöverväganden​

  • Inga inkommande anslutningar
    Gateway initierar all kommunikation utgående. Inga inkommande brandväggsregler eller portvidarebefordran krävs.
  • Endast port 443
    All SDA-trafik använder standard HTTPS/SSL över TCP 443, vilket förenklar brandväggskonfigurationen och normalt överensstämmer med företagets säkerhetspolicyer.
  • DNS-krav
    DNS-uppslag måste vara tillgängligt för alla SDA-domäner för att stödja:
    • lastbalansering,
    • tjänsteupptäckt,
    • och redundansväxling mellan SDA Cloud-slutpunkter.
  • Proxy-kompatibel

Tenant-specifik domän​

SDA-tjänster är avgränsade per tenant. Överallt där du ser {tenant_id} ska du ersätta det med det Tenant ID som tillhandahålls av SDA Support.

Exempel
Tenant ID:
11111111-2222-3333-4444-555555555555

Tenant-domän:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Denna domän — och jokertecknet under den — måste vara nåbar från Gateway.

Nödvändiga domäner och portar​

DomänPortProtokollBeskrivning
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – upprätthåller den beständiga, säkra anslutningen för meddelandeutbyte, telemetri och kommando/styrning.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenant Connectivity Servers – används för att upprätta dynamiska VPN-tunnlar vid behov; DNS returnerar en lastbalanserad lista.
api.eu1.sdaconsole.io443HTTPSSDA API – Gateway-autentisering, styrplansoperationer och åtkomst till webbkonsolen. Används främst under onboarding/initial konfiguration.
repository.eu1.sdaconsole.io443HTTPSApplikationsrepository – laddar ner SDA-komponenter, Glue-uppdateringar, agentpaket och säkerhetsuppdateringar. Används vid installation och periodiska uppdateringskontroller.
repository.sdaconsole.io (valfritt)443HTTPSGlobal repository-spegling – alternativ uppdateringskälla (planerad förbättring).

Trafikinspektion med SDA-tjänster​

Vissa organisationer använder SSL-inspektion / TLS-avlyssning (t.ex. Zscaler SSL Inspection, Palo Alto Decryption) för utgående trafik. Dessa verktyg kan bryta SDA-anslutningen om de ändrar eller omsignerar SDA-certifikat, eftersom SDA-tjänster använder certifikat som är kedjade till Amazon Root CA 1.

För att undvika anslutningsfel:

  1. Kringgå / undanta SDA-domäner från inspektion
    Lägg till SDA-domänerna ovan (API, IoT, tenant-domän, repository) i en lista över domäner som inte ska inspekteras.
  2. Tillåt MQTT över WebSocket Secure (WSS)
    SDA IoT-meddelanden använder MQTT över WSS på port 443. Säkerställ att detta protokoll är tillåtet.
  3. VPN-tunnlar med SSL-overlay
    Om ett företags-VPN används och trafiken inspekteras, säkerställ att tunneln stöder ett SSL-overlay så att inspektionen inte stör end-to-end-TLS till SDA.

Om inspektionen inte kan kringgås, samordna med SDA-teamet gällande godkända certifikat och inspektionsbeteende.

Checklista för brandväggsvitlistning och nätverksvalidering​

Använd denna som överlämning till kundens IT/säkerhetsavdelning.

KategoriPunktKrav / valideringsstegStatus (✓/✗)
NätverksanslutningUtgående internetGateway kan initiera enbart utgående sessioner mot internet.
Port 443TCP 443 är öppen utgående mot SDA-domäner.
DNSDNS löser upp alla SDA-domäner som listas ovan.
Certifikat & krypteringAmazon Root CA 1Rot-CA finns i det betrodda certifikatlagret så att TLS-valideringen lyckas.
TLS-/SSL-inspektionInspektion av utgående trafik ersätter inte SDA-certifikat, eller så kringgås SDA-domäner.
Trafikinspektion / VPNKringgående av SSL-inspektionSDA-domäner är undantagna från SSL/TLS-avlyssning (Zscaler, Palo Alto osv.).
MQTT över WSSWSS på port 443 är tillåtet (används av IoT-brokern).
VPN-overlayOm VPN används tillåter det end-to-end-TLS till SDA Cloud.
Tenant-konfigurationDomänen {tenant_id}{tenant_id}.eu1.sdaconsole.io och *.{tenant_id}.eu1.sdaconsole.io är nåbara.
Repository-åtkomstUppdateringarrepository.eu1.sdaconsole.io är nåbar för uppdateringar och patchar.

Valideringssteg (CLI-vänliga)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-kedja

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Bekräfta att kedjan slutar i Amazon Root CA 1.

  4. Gateway-loggar
    Kontrollera Gatewayens system-/tjänsteloggar för lyckade MQTT- (WSS) och HTTPS-sessioner.

  5. Uppdateringstest
    Utlös en repository-synkronisering eller agentuppdatering för att verifiera nedladdningsåtkomst.

Diagram över nätverkstopologi​

Architecture/SDA Connectivity Services beskriver flera konfigurationer för SDA Gateway. \


Support​

Om någon av kontrollerna ovan misslyckas eller om SSL-inspektion inte kan kringgås i din miljö, kontakta:

SDA Support
📧 support@softwaredefinedautomation.io

Inkludera:

  • ditt Tenant ID,
  • Gateway-versionen,
  • en kopia av dina resultat från anslutningstester (curl / openssl / nslookup),
  • och relevanta brandväggsloggar (blockerad 443, misslyckad TLS).