Aller au contenu principal

Exigences réseau et pare-feu

Connectivité de la passerelle SEW et exigences de sécurité​

Vue d'ensemble​

La passerelle SEW nécessite une connectivité Internet sortante uniquement pour communiquer de manière sécurisée avec les services SEW Cloud.
Tous les domaines de service SEW utilisent des certificats signés par l'autorité de certification Amazon Root CA 1.
Vous devez vous assurer que le magasin de certificats de confiance de votre système inclut ce certificat racine afin de permettre une validation SSL/TLS correcte.

Considérations de sécurité​

  • Aucune connexion entrante
    La passerelle initie toutes les communications en sortie. Aucune règle de pare-feu entrante ni redirection de port n'est requise.
  • Port 443 uniquement
    Tout le trafic SEW utilise le standard HTTPS/SSL sur TCP 443, ce qui simplifie la configuration du pare-feu et s'aligne généralement avec les politiques de sécurité de l'entreprise.
  • Exigences DNS
    La résolution DNS doit être disponible pour tous les domaines SEW afin de prendre en charge :
    • la répartition de charge,
    • la découverte de services,
    • et le basculement entre les points de terminaison SEW Cloud.
  • Compatible avec les proxys

Domaine spécifique au tenant​

Les services SEW sont délimités par tenant. Partout où vous voyez {tenant_id}, remplacez-le par l'identifiant de tenant (Tenant ID) fourni par le support SEW.

Exemple
Tenant ID :
11111111-2222-3333-4444-555555555555

Domaine du tenant :
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ce domaine — ainsi que le caractère générique sous celui-ci — doit être accessible depuis la passerelle.

Domaines et ports requis​

DomainePortProtocoleDescription
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – maintient la connexion sécurisée persistante pour l'échange de messages, la télémétrie et les commandes/contrôles.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Serveurs de connectivité du tenant – utilisés pour établir des tunnels VPN dynamiques à la demande ; le DNS renvoie une liste répartie en charge.
api.eu1.sdaconsole.io443HTTPSAPI SEW – authentification de la passerelle, opérations du plan de contrôle et accès à la console Web. Utilisées principalement lors de l'onboarding/configuration initiale.
repository.eu1.sdaconsole.io443HTTPSRéférentiel d'applications – téléchargement des composants SEW, des mises à jour Glue, des paquets d'agents et des correctifs de sécurité. Utilisé lors de l'installation et des vérifications périodiques de mises à jour.
repository.sdaconsole.io (optionnel)443HTTPSMiroir de référentiel global – source de mise à jour alternative (amélioration prévue).

Inspection du trafic avec les services SEW​

Certaines organisations utilisent l'inspection SSL / l'interception TLS (par exemple Zscaler SSL Inspection, Palo Alto Decryption) pour le trafic sortant. Ces outils peuvent interrompre la connectivité SEW s'ils modifient ou resignent les certificats SEW, car les services SEW utilisent des certificats chaînés à Amazon Root CA 1.

Pour éviter les échecs de connexion :

  1. Contourner / ne pas inspecter les domaines SEW
    Ajoutez les domaines SEW ci-dessus (API, IoT, domaine du tenant, référentiel) à une liste d'exclusion d'inspection.
  2. Autoriser MQTT sur WebSocket Secure (WSS)
    La messagerie IoT de SEW utilise MQTT sur WSS via le port 443. Assurez-vous que ce protocole est autorisé.
  3. Tunnels VPN avec superposition SSL
    Si un VPN d'entreprise est utilisé et que le trafic est inspecté, assurez-vous que le tunnel prend en charge une superposition SSL afin que l'inspection n'interfère pas avec le TLS de bout en bout vers SEW.

Si l'inspection ne peut pas être contournée, coordonnez-vous avec l'équipe SEW pour obtenir les certificats approuvés et le comportement d'inspection adéquat.

Liste de contrôle de la mise en liste blanche du pare-feu et de la validation réseau​

À utiliser comme document de transfert vers le service informatique / sécurité du client.

CatégorieÉlémentExigence / Étape de validationStatut (✓/✗)
Connectivité réseauInternet sortantLa passerelle peut initier des sessions sortantes uniquement vers Internet.
Port 443Le port TCP 443 est ouvert en sortie vers les domaines SEW.
DNSLe DNS résout tous les domaines SEW listés ci-dessus.
Certificats & chiffrementAmazon Root CA 1L'autorité racine est présente dans le magasin de confiance afin que la validation TLS réussisse.
Inspection TLS / SSLL'inspection du trafic sortant ne remplace pas les certificats SEW, ou les domaines SEW sont contournés.
Inspection du trafic / VPNContournement de l'inspection SSLLes domaines SEW sont exclus de l'interception SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sur WSSWSS sur le port 443 est autorisé (utilisé par le broker IoT).
Superposition VPNSi un VPN est utilisé, il autorise le TLS de bout en bout vers SEW Cloud.
Configuration du tenantDomaine {tenant_id}{tenant_id}.eu1.sdaconsole.io et *.{tenant_id}.eu1.sdaconsole.io sont accessibles.
Accès au référentielMises à jourrepository.eu1.sdaconsole.io est accessible pour les mises à jour et les correctifs.

Étapes de validation (compatibles CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Chaîne TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Vérifiez que la chaîne se termine par Amazon Root CA 1.

  4. Journaux de la passerelle
    Consultez les journaux système/de service de la passerelle pour vérifier la réussite des sessions MQTT (WSS) et HTTPS.

  5. Test de mise à jour
    Déclenchez une synchronisation du référentiel ou une mise à jour d'agent afin de vérifier l'accès au téléchargement.

Schéma de la topologie réseau​

La section Architecture/Services de connectivité SEW décrit plusieurs configurations pour la passerelle SEW. \


Support​

Si l'une des vérifications ci-dessus échoue ou si l'inspection SSL ne peut pas être contournée dans votre environnement, contactez :

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Veuillez inclure :

  • votre Tenant ID,
  • la version de la passerelle,
  • un copier/coller des résultats de vos tests de connectivité (curl / openssl / nslookup),
  • et les journaux de pare-feu pertinents (port 443 bloqué, échecs TLS).