Ugrás a fő tartalomhoz

Hálózati és tűzfalkövetelmények

SEW Gateway kapcsolati és biztonsági követelmények​

Áttekintés​

A SEW Gateway kizárólag kimenő internetkapcsolatot igényel a SEW Cloud szolgáltatásokkal való biztonságos kommunikációhoz.
Minden SEW szolgáltatási tartomány az Amazon Root CA 1 hitelesítésszolgáltató által aláírt tanúsítványokat használ.
Gondoskodnia kell arról, hogy a rendszer megbízható tanúsítványtárolója tartalmazza ezt a gyökértanúsítványt a megfelelő SSL/TLS-ellenőrzés érdekében.

Biztonsági megfontolások​

  • Nincsenek bejövő kapcsolatok
    A Gateway minden kommunikációt kifelé kezdeményez. Nincs szükség bejövő tűzfalszabályokra vagy porttovábbításra.
  • Kizárólag a 443-as port
    A teljes SEW forgalom szabványos HTTPS/SSL-t használ TCP 443-on, ami egyszerűsíti a tűzfalkonfigurációt, és jellemzően összhangban van a vállalati biztonsági irányelvekkel.
  • DNS-követelmények
    A DNS-feloldásnak elérhetőnek kell lennie minden SEW tartomány esetében az alábbiak támogatásához:
    • terheléselosztás,
    • szolgáltatásfelderítés,
    • és feladatátvétel a SEW Cloud végpontok között.
  • Proxykompatibilis

Bérlőspecifikus tartomány​

A SEW szolgáltatások bérlőnként vannak hatókörözve. Ahol a {tenant_id} szerepel, ott cserélje ki a SEW Support által megadott Tenant ID értékre.

Példa
Tenant ID:
11111111-2222-3333-4444-555555555555

Bérlői tartomány:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ennek a tartománynak — és az alatta lévő helyettesítő karakteres tartománynak — elérhetőnek kell lennie a Gateway felől.

Szükséges tartományok és portok​

TartományPortProtokollLeírás
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – fenntartja az állandó, biztonságos kapcsolatot az üzenetváltáshoz, a telemetriához és a vezérléshez/parancsküldéshez.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Bérlői kapcsolati kiszolgálók – igény szerinti dinamikus VPN-alagutak létesítésére szolgálnak; a DNS terheléselosztott listát ad vissza.
api.eu1.sdaconsole.io443HTTPSSEW API-k – Gateway-hitelesítés, vezérlősík-műveletek és a Web Console elérése. Elsősorban az onboarding/kezdeti beállítás során használatos.
repository.eu1.sdaconsole.io443HTTPSAlkalmazás-tároló – SEW komponensek, Glue-frissítések, ügynökcsomagok és biztonsági javítások letöltése. A telepítés és az időszakos frissítésellenőrzések során használatos.
repository.sdaconsole.io (opcionális)443HTTPSGlobális tárolótükör – alternatív frissítési forrás (tervezett bővítés).

Forgalomellenőrzés a SEW szolgáltatásokkal​

Egyes szervezetek SSL-ellenőrzést / TLS-elfogást (pl. Zscaler SSL Inspection, Palo Alto Decryption) alkalmaznak a kimenő forgalomra. Ezek az eszközök megszakíthatják a SEW kapcsolatot, ha módosítják vagy újra aláírják a SEW tanúsítványait, mivel a SEW szolgáltatások az Amazon Root CA 1-hez láncolt tanúsítványokat használnak.

A kapcsolódási hibák elkerülése érdekében:

  1. A SEW tartományok kihagyása az ellenőrzésből
    Vegye fel a fenti SEW tartományokat (API, IoT, bérlői tartomány, tároló) a nem ellenőrzendő listára.
  2. Engedélyezze az MQTT-t WebSocket Secure (WSS) felett
    A SEW IoT üzenetkezelés MQTT-t használ WSS-en, a 443-as porton. Gondoskodjon arról, hogy ez a protokoll engedélyezett legyen.
  3. VPN-alagutak SSL-átfedéssel
    Ha vállalati VPN-t használnak és a forgalmat ellenőrzik, biztosítsák, hogy az alagút támogassa az SSL-átfedést, így az ellenőrzés nem zavarja a SEW felé irányuló végponttól végpontig tartó TLS-t.

Ha az ellenőrzés nem kerülhető meg, egyeztessen a SEW csapatával a jóváhagyott tanúsítványokról és az ellenőrzés viselkedéséről.

Tűzfal-engedélyezési és hálózatellenőrzési ellenőrzőlista​

Használja ezt átadási anyagként az ügyfél IT-/biztonsági csapata felé.

KategóriaElemKövetelmény / ellenőrzési lépésÁllapot (✓/✗)
Hálózati kapcsolatKimenő internetA Gateway képes kizárólag kimenő munkameneteket kezdeményezni az internet felé.
443-as portA TCP 443 kimenő irányban nyitva van a SEW tartományok felé.
DNSA DNS feloldja a fent felsorolt összes SEW tartományt.
Tanúsítvány & titkosításAmazon Root CA 1A gyökér-CA megtalálható a megbízható tárolóban, így a TLS-ellenőrzés sikeres.
TLS-/SSL-ellenőrzésA kimenő forgalom ellenőrzése nem cseréli le a SEW tanúsítványait, vagy a SEW tartományok ki vannak hagyva.
Forgalomellenőrzés / VPNSSL-ellenőrzés megkerüléseA SEW tartományok ki vannak zárva az SSL/TLS-elfogásból (Zscaler, Palo Alto stb.).
MQTT WSS felettA WSS engedélyezett a 443-as porton (az IoT broker használja).
VPN-átfedésHa VPN-t használnak, az lehetővé teszi a végponttól végpontig tartó TLS-t a SEW Cloud felé.
Bérlői konfiguráció{tenant_id} tartományA {tenant_id}.eu1.sdaconsole.io és a *.{tenant_id}.eu1.sdaconsole.io elérhető.
TárolóhozzáférésFrissítésekA repository.eu1.sdaconsole.io elérhető a frissítésekhez és javításokhoz.

Ellenőrzési lépések (CLI-barát)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / 443-as port

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-lánc

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Ellenőrizze, hogy a lánc az Amazon Root CA 1-nél végződik.

  4. Gateway-naplók
    Ellenőrizze a Gateway rendszer-/szolgáltatásnaplóit a sikeres MQTT (WSS) és HTTPS munkamenetek szempontjából.

  5. Frissítési teszt
    Indítson el egy tárolószinkronizálást vagy ügynökfrissítést a letöltési hozzáférés ellenőrzéséhez.

Hálózati topológiai ábra​

Az Architektúra/SEW kapcsolati szolgáltatások fejezet több konfigurációt ismertet a SEW Gateway számára. \


Támogatás​

Ha a fenti ellenőrzések bármelyike sikertelen, vagy ha az SSL-ellenőrzés nem kerülhető meg az Ön környezetében, lépjen kapcsolatba az alábbi címen:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Csatolja az alábbiakat:

  • a Tenant ID azonosítóját,
  • a Gateway verzióját,
  • a kapcsolati tesztek kimeneteinek másolatát (curl / openssl / nslookup),
  • és a vonatkozó tűzfalnaplókat (blokkolt 443, sikertelen TLS).