Siirry pääsisältöön

Verkko- ja palomuurivaatimukset

SEW Gatewayn yhteys- ja tietoturvavaatimukset​

Yleiskatsaus​

SEW Gateway edellyttää vain ulospäin suuntautuvaa internet-yhteyttä, jotta se voi kommunikoida turvallisesti SEW Cloud -palveluiden kanssa.
Kaikki SEW-palveluverkkotunnukset käyttävät Amazon Root CA 1 -varmenneviranomaisen allekirjoittamia varmenteita.
Varmista, että järjestelmäsi luotettujen varmenteiden varasto sisältää tämän juurivarmenteen, jotta SSL/TLS-validointi toimii oikein.

Tietoturvanäkökohdat​

  • Ei sisääntulevia yhteyksiä
    Gateway avaa kaiken tietoliikenteen ulospäin. Sisääntulevia palomuurisääntöjä tai porttiohjauksia ei tarvita.
  • Vain portti 443
    Kaikki SEW-liikenne käyttää vakiomuotoista HTTPS/SSL-yhteyttä TCP-portissa 443, mikä yksinkertaistaa palomuurin konfigurointia ja on tyypillisesti linjassa yrityksen tietoturvakäytäntöjen kanssa.
  • DNS-vaatimukset
    DNS-nimenselvityksen on oltava käytettävissä kaikille SEW-verkkotunnuksille, jotta tuetaan:
    • kuormantasausta,
    • palveluiden löytämistä
    • ja vikasietoista siirtymistä SEW Cloud -päätepisteiden välillä.
  • Yhteensopiva välityspalvelimen kanssa

Vuokralaiskohtainen verkkotunnus​

SEW-palvelut on rajattu vuokralaiskohtaisesti. Korvaa kaikki kohdat, joissa näkyy {tenant_id}, SEW Supportin toimittamalla Tenant ID:llä.

Esimerkki
Tenant ID:
11111111-2222-3333-4444-555555555555

Vuokralaisen verkkotunnus:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Tämän verkkotunnuksen – ja sen alaisen jokerimerkkitunnuksen – on oltava tavoitettavissa Gatewaylta.

Vaaditut verkkotunnukset ja portit​

VerkkotunnusPorttiProtokollaKuvaus
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – ylläpitää pysyvää, suojattua yhteyttä viestinvälitystä, telemetriaa ja komento-/ohjaustoimintoja varten.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Vuokralaisen yhteyspalvelimet – käytetään dynaamisten VPN-tunneleiden muodostamiseen tarvittaessa; DNS palauttaa kuormantasatun listan.
api.eu1.sdaconsole.io443HTTPSSEW APIs – Gatewayn todennus, ohjaustason toiminnot ja Web Console -käyttö. Käytetään pääasiassa käyttöönoton/alkuasennuksen aikana.
repository.eu1.sdaconsole.io443HTTPSSovellusrepositorio – lataa SEW-komponentit, Glue-päivitykset, agenttipaketit ja tietoturvakorjaukset. Käytetään asennuksen ja säännöllisten päivitystarkistusten aikana.
repository.sdaconsole.io (valinnainen)443HTTPSGlobaali repositoriopeili – vaihtoehtoinen päivityslähde (suunniteltu parannus).

Liikenteen tarkastus SEW-palveluiden kanssa​

Jotkin organisaatiot käyttävät SSL-tarkastusta / TLS-liikenteen purkua (esim. Zscaler SSL Inspection, Palo Alto Decryption) ulosmenevälle liikenteelle. Nämä työkalut voivat katkaista SEW-yhteyden, jos ne muuttavat tai allekirjoittavat uudelleen SEW-varmenteita, koska SEW-palvelut käyttävät varmenteita, joiden ketju johtaa Amazon Root CA 1 -varmenteeseen.

Yhteysvirheiden välttämiseksi:

  1. Ohita tarkastus SEW-verkkotunnuksille
    Lisää yllä mainitut SEW-verkkotunnukset (API, IoT, vuokralaisen verkkotunnus, repositorio) ei-tarkastettavien listalle.
  2. Salli MQTT WebSocket Securen (WSS) yli
    SEW IoT -viestintä käyttää MQTT-protokollaa WSS:n yli portissa 443. Varmista, että tämä protokolla on sallittu.
  3. VPN-tunnelit SSL-peitteellä
    Jos käytössä on yrityksen VPN ja liikennettä tarkastetaan, varmista että tunneli tukee SSL-peitettä, jotta tarkastus ei häiritse päästä päähän -TLS-yhteyttä SEW:hen.

Jos tarkastusta ei voida ohittaa, sovi SEW-tiimin kanssa hyväksytyistä varmenteista ja tarkastuskäytännöistä.

Palomuurin sallimislistan ja verkkovalidoinnin tarkistuslista​

Käytä tätä luovutusmateriaalina asiakkaan IT-/tietoturvatiimille.

KategoriaKohdeVaatimus / validointivaiheTila (✓/✗)
VerkkoyhteysUlospäin suuntautuva internetGateway voi avata vain ulospäin suuntautuvia yhteyksiä internetiin.
Portti 443TCP 443 on auki ulospäin SEW-verkkotunnuksiin.
DNSDNS selvittää kaikki yllä luetellut SEW-verkkotunnukset.
Varmenteet & salausAmazon Root CA 1Juurivarmenne on luotettujen varastossa, jotta TLS-validointi onnistuu.
TLS-/SSL-tarkastusUlosmenevän liikenteen tarkastus ei korvaa SEW-varmenteita tai SEW-verkkotunnukset ohitetaan.
Liikenteen tarkastus / VPNSSL-tarkastuksen ohitusSEW-verkkotunnukset on suljettu pois SSL/TLS-liikenteen purusta (Zscaler, Palo Alto jne.).
MQTT WSS:n yliWSS portissa 443 on sallittu (IoT-brokerin käyttämä).
VPN-peiteJos VPN on käytössä, se sallii päästä päähän -TLS-yhteyden SEW Cloudiin.
Vuokralaisen konfiguraatio{tenant_id}-verkkotunnus{tenant_id}.eu1.sdaconsole.io ja *.{tenant_id}.eu1.sdaconsole.io ovat tavoitettavissa.
Repositorion käyttöPäivityksetrepository.eu1.sdaconsole.io on tavoitettavissa päivityksiä ja korjauksia varten.

Validointivaiheet (CLI-ystävälliset)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / portti 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-ketju

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Varmista, että ketju päättyy varmenteeseen Amazon Root CA 1.

  4. Gatewayn lokit
    Tarkista Gatewayn järjestelmä-/palvelulokeista onnistuneet MQTT (WSS)- ja HTTPS-yhteydet.

  5. Päivitystesti
    Käynnistä repositorion synkronointi tai agentin päivitys latausyhteyden varmistamiseksi.

Verkkotopologiakaavio​

Arkkitehtuuri/SEW-yhteyspalvelut esittelee useita SEW Gatewayn konfiguraatioita. \


Tuki​

Jos jokin yllä olevista tarkistuksista epäonnistuu tai SSL-tarkastusta ei voida ohittaa ympäristössäsi, ota yhteyttä:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Liitä mukaan:

  • Tenant ID,
  • Gatewayn versio,
  • kopio yhteystestien tulosteista (curl / openssl / nslookup)
  • ja asiaankuuluvat palomuurilokit (estetty 443, epäonnistunut TLS).