Saltar al contenido principal

Requisitos de red y firewall

Requisitos de conectividad y seguridad del SEW Gateway​

Descripción general​

El SEW Gateway requiere conectividad a internet únicamente de salida para comunicarse de forma segura con los servicios de SEW Cloud.
Todos los dominios de servicio de SEW utilizan certificados firmados por la autoridad de certificación Amazon Root CA 1.
Debe asegurarse de que el almacén de certificados de confianza de su sistema incluya este certificado raíz para permitir una validación SSL/TLS correcta.

Consideraciones de seguridad​

  • Sin conexiones entrantes
    El Gateway inicia toda la comunicación de salida. No se requieren reglas de firewall entrantes ni reenvío de puertos.
  • Solo puerto 443
    Todo el tráfico de SEW utiliza HTTPS/SSL sobre TCP 443 estándar, lo que simplifica la configuración del firewall y normalmente se ajusta a las políticas de seguridad corporativas.
  • Requisitos de DNS
    La resolución DNS debe estar disponible para todos los dominios de SEW con el fin de admitir:
    • balanceo de carga,
    • descubrimiento de servicios,
    • y conmutación por error entre los endpoints de SEW Cloud.
  • Compatible con proxy

Dominio específico del tenant​

Los servicios de SEW están delimitados por tenant. Siempre que vea {tenant_id}, sustitúyalo por el Tenant ID proporcionado por el soporte de SEW.

Ejemplo
Tenant ID:
11111111-2222-3333-4444-555555555555

Dominio del tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Este dominio —y el comodín bajo él— deben ser accesibles desde el Gateway.

Dominios y puertos requeridos​

DominioPuertoProtocoloDescripción
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker: mantiene la conexión segura y persistente para el intercambio de mensajes, la telemetría y el control/comandos.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servidores de conectividad del tenant: se utilizan para establecer túneles VPN dinámicos bajo demanda; el DNS devuelve una lista con balanceo de carga.
api.eu1.sdaconsole.io443HTTPSSEW APIs: autenticación del Gateway, operaciones del plano de control y acceso a la Web Console. Se utiliza principalmente durante el onboarding/la configuración inicial.
repository.eu1.sdaconsole.io443HTTPSRepositorio de aplicaciones: descarga componentes de SEW, actualizaciones de Glue, paquetes de agentes y parches de seguridad. Se utiliza durante la instalación y las comprobaciones periódicas de actualizaciones.
repository.sdaconsole.io (opcional)443HTTPSRéplica global del repositorio: fuente de actualización alternativa (mejora prevista).

Inspección del tráfico con los servicios de SEW​

Algunas organizaciones utilizan inspección SSL / interceptación TLS (por ejemplo, Zscaler SSL Inspection, Palo Alto Decryption) para el tráfico de salida. Estas herramientas pueden interrumpir la conectividad con SEW si alteran o vuelven a firmar los certificados de SEW, ya que los servicios de SEW utilizan certificados encadenados a Amazon Root CA 1.

Para evitar fallos de conexión:

  1. Excluir de la inspección los dominios de SEW
    Añada los dominios de SEW anteriores (API, IoT, dominio del tenant, repositorio) a una lista de no inspección.
  2. Permitir MQTT sobre WebSocket Secure (WSS)
    La mensajería IoT de SEW utiliza MQTT sobre WSS en el puerto 443. Asegúrese de que este protocolo esté permitido.
  3. Túneles VPN con capa SSL
    Si se utiliza una VPN corporativa y el tráfico se inspecciona, asegúrese de que el túnel admita una capa SSL para que la inspección no interfiera con el TLS de extremo a extremo hacia SEW.

Si no es posible omitir la inspección, coordine con el equipo de SEW los certificados aprobados y el comportamiento de la inspección.

Lista de comprobación de whitelisting de firewall y validación de red​

Utilice esta lista como entrega al departamento de TI/seguridad del cliente.

CategoríaElementoRequisito / paso de validaciónEstado (✓/✗)
Conectividad de redInternet de salidaEl Gateway puede iniciar sesiones únicamente de salida hacia internet.
Puerto 443El puerto TCP 443 está abierto de salida hacia los dominios de SEW.
DNSEl DNS resuelve todos los dominios de SEW indicados anteriormente.
Certificados & cifradoAmazon Root CA 1La CA raíz está presente en el almacén de confianza para que la validación TLS sea correcta.
Inspección TLS / SSLLa inspección del tráfico de salida no sustituye los certificados de SEW o los dominios de SEW están excluidos.
Inspección de tráfico / VPNExclusión de la inspección SSLLos dominios de SEW están excluidos de la interceptación SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sobre WSSSe permite WSS en el puerto 443 (utilizado por el broker IoT).
Capa VPNSi se utiliza VPN, permite TLS de extremo a extremo hacia SEW Cloud.
Configuración del tenantDominio {tenant_id}{tenant_id}.eu1.sdaconsole.io y *.{tenant_id}.eu1.sdaconsole.io son accesibles.
Acceso al repositorioActualizacionesrepository.eu1.sdaconsole.io es accesible para actualizaciones y parches.

Pasos de validación (aptos para CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / puerto 443

    curl -v https://api.eu1.sdaconsole.io

  3. Cadena TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Confirme que la cadena termina en Amazon Root CA 1.

  4. Registros del Gateway
    Revise los registros de sistema/servicio del Gateway para comprobar que las sesiones MQTT (WSS) y HTTPS se establecen correctamente.

  5. Prueba de actualización
    Active una sincronización del repositorio o una actualización del agente para verificar el acceso de descarga.

Diagrama de topología de red​

La sección Arquitectura/Servicios de conectividad de SEW describe múltiples configuraciones para el SEW Gateway. \


Soporte​

Si alguna de las comprobaciones anteriores falla o si no es posible omitir la inspección SSL en su entorno, póngase en contacto con:

Soporte de SEW
📧 OrchestrationSuite-Support@sew-eurodrive.de

Incluya:

  • su Tenant ID,
  • la versión del Gateway,
  • una copia de los resultados de sus pruebas de conectividad (curl / openssl / nslookup),
  • y los registros de firewall relevantes (puerto 443 bloqueado, TLS fallido).