Zum Hauptinhalt springen

Netzwerk- und Firewall-Anforderungen

SEW Gateway – Konnektivitäts- und Sicherheitsanforderungen​

Überblick​

Das SEW Gateway benötigt ausschließlich ausgehende Internetverbindungen, um sicher mit den SEW Cloud Services zu kommunizieren.
Alle SEW-Servicedomänen verwenden Zertifikate, die von der Amazon Root CA 1 Certificate Authority signiert sind.
Stellen Sie sicher, dass der vertrauenswürdige Zertifikatspeicher Ihres Systems dieses Stammzertifikat enthält, damit die SSL/TLS-Validierung korrekt durchgeführt werden kann.

Sicherheitshinweise​

  • Keine eingehenden Verbindungen
    Das Gateway initiiert jegliche Kommunikation ausgehend. Es sind keine eingehenden Firewall-Regeln oder Port-Weiterleitungen erforderlich.
  • Nur Port 443
    Der gesamte SEW-Datenverkehr nutzt Standard-HTTPS/SSL über TCP 443, was die Firewall-Konfiguration vereinfacht und in der Regel mit unternehmensweiten Sicherheitsrichtlinien vereinbar ist.
  • DNS-Anforderungen
    Die DNS-Auflösung muss für alle SEW-Domänen verfügbar sein, um Folgendes zu unterstützen:
    • Lastverteilung,
    • Service Discovery,
    • sowie Failover zwischen SEW Cloud-Endpunkten.
  • Proxy-kompatibel

Mandantenspezifische Domäne​

SEW Services sind pro Mandant (Tenant) abgegrenzt. Überall dort, wo {tenant_id} erscheint, ersetzen Sie dies durch die von SEW Support bereitgestellte Tenant-ID.

Beispiel
Tenant-ID:
11111111-2222-3333-4444-555555555555

Tenant-Domäne:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Diese Domäne – und der zugehörige Wildcard-Eintrag – muss vom Gateway aus erreichbar sein.

Erforderliche Domänen und Ports​

DomänePortProtokollBeschreibung
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – hält die dauerhafte, sichere Verbindung für Nachrichtenaustausch, Telemetrie und Steuerung/Befehle aufrecht.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenant Connectivity Servers – dienen dem bedarfsgesteuerten Aufbau dynamischer VPN-Tunnel; DNS liefert eine lastverteilte Liste zurück.
api.eu1.sdaconsole.io443HTTPSSEW APIs – Gateway-Authentifizierung, Control-Plane-Vorgänge und Zugriff auf die Web Console. Wird primär während Onboarding/Ersteinrichtung genutzt.
repository.eu1.sdaconsole.io443HTTPSApplication Repository – lädt SEW-Komponenten, Glue-Updates, Agent-Pakete und Sicherheitspatches herunter. Wird bei der Installation und bei regelmäßigen Update-Prüfungen verwendet.
repository.sdaconsole.io (optional)443HTTPSGlobal Repository Mirror – alternative Update-Quelle (geplante Erweiterung).

Traffic Inspection mit SEW Services​

Einige Organisationen setzen SSL Inspection / TLS-Interception (z. B. Zscaler SSL Inspection, Palo Alto Decryption) für ausgehenden Datenverkehr ein. Diese Werkzeuge können die SEW-Konnektivität unterbrechen, wenn sie SEW-Zertifikate verändern oder neu signieren, da SEW Services Zertifikate verwenden, deren Kette auf Amazon Root CA 1 zurückgeht.

So vermeiden Sie Verbindungsfehler:

  1. SEW-Domänen von der Inspektion ausnehmen (Bypass / No-Inspect)
    Fügen Sie die oben genannten SEW-Domänen (API, IoT, Tenant-Domäne, Repository) einer Do-not-inspect-Liste hinzu.
  2. MQTT über WebSocket Secure (WSS) zulassen
    Das SEW IoT Messaging nutzt MQTT über WSS auf Port 443. Stellen Sie sicher, dass dieses Protokoll zugelassen ist.
  3. VPN-Tunnel mit SSL-Overlay
    Wird ein Unternehmens-VPN eingesetzt und der Datenverkehr inspiziert, stellen Sie sicher, dass der Tunnel ein SSL-Overlay unterstützt, sodass die Inspektion die durchgängige TLS-Verbindung zu SEW nicht beeinträchtigt.

Falls eine Ausnahme von der Inspektion nicht möglich ist, stimmen Sie sich mit dem SEW-Team über freigegebene Zertifikate und das Inspektionsverhalten ab.

Checkliste für Firewall-Whitelisting & Netzwerkvalidierung​

Nutzen Sie diese Checkliste zur Übergabe an die IT/Security des Kunden.

KategoriePunktAnforderung / ValidierungsschrittStatus (✓/✗)
NetzwerkkonnektivitätAusgehendes InternetGateway kann ausschließlich ausgehende Sitzungen ins Internet initiieren.
Port 443TCP 443 ist ausgehend zu den SEW-Domänen geöffnet.
DNSDNS löst alle oben aufgeführten SEW-Domänen auf.
Zertifikate & VerschlüsselungAmazon Root CA 1Root CA ist im vertrauenswürdigen Speicher vorhanden, sodass die TLS-Validierung erfolgreich ist.
TLS-/SSL-InspektionDie Egress-Inspektion ersetzt SEW-Zertifikate nicht, oder SEW-Domänen sind ausgenommen.
Traffic Inspection / VPNSSL-Inspection-BypassSEW-Domänen sind von der SSL/TLS-Interception ausgenommen (Zscaler, Palo Alto usw.).
MQTT über WSSWSS auf Port 443 ist zugelassen (wird vom IoT Broker genutzt).
VPN-OverlaySofern VPN genutzt wird, erlaubt es durchgängiges TLS zur SEW Cloud.
Tenant-KonfigurationDomäne {tenant_id}{tenant_id}.eu1.sdaconsole.io und *.{tenant_id}.eu1.sdaconsole.io sind erreichbar.
Repository-ZugriffUpdatesrepository.eu1.sdaconsole.io ist für Updates und Patches erreichbar.

Validierungsschritte (CLI-freundlich)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Port 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-Kette

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Prüfen Sie, dass die Kette bei Amazon Root CA 1 endet.

  4. Gateway-Logs
    Prüfen Sie die System-/Service-Logs des Gateways auf erfolgreiche MQTT- (WSS) und HTTPS-Sitzungen.

  5. Update-Test
    Lösen Sie eine Repository-Synchronisierung oder ein Agent-Update aus, um den Download-Zugriff zu verifizieren.

Netzwerktopologie-Diagramm​

Die Seite Architektur/SEW Connectivity Services beschreibt mehrere Konfigurationen für das SEW Gateway. \


Support​

Sollte eine der oben genannten Prüfungen fehlschlagen oder die SSL-Inspektion in Ihrer Umgebung nicht umgangen werden können, wenden Sie sich an:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Geben Sie dabei an:

  • Ihre Tenant-ID,
  • die Gateway-Version,
  • eine Kopie der Ausgaben Ihrer Konnektivitätstests (curl / openssl / nslookup),
  • sowie relevante Firewall-Logs (blockierte 443, fehlgeschlagene TLS-Verbindungen).