Passa al contenuto principale

Requisiti di rete e firewall

Requisiti di connettività e sicurezza del Gateway SEW​

Panoramica​

Il Gateway SEW richiede connettività internet solo in uscita per comunicare in modo sicuro con i servizi SEW Cloud.
Tutti i domini dei servizi SEW utilizzano certificati firmati dall'autorità di certificazione Amazon Root CA 1.
È necessario assicurarsi che l'archivio dei certificati attendibili del sistema includa questo certificato root per consentire una corretta convalida SSL/TLS.

Considerazioni sulla sicurezza​

  • Nessuna connessione in entrata
    Il Gateway avvia tutte le comunicazioni in uscita. Non sono necessarie regole firewall in entrata né port forwarding.
  • Solo porta 443
    Tutto il traffico SEW utilizza il protocollo standard HTTPS/SSL su TCP 443, il che semplifica la configurazione del firewall e in genere è conforme alle policy di sicurezza aziendali.
  • Requisiti DNS
    La risoluzione DNS deve essere disponibile per tutti i domini SEW al fine di supportare:
    • il bilanciamento del carico,
    • il service discovery,
    • e il failover tra gli endpoint SEW Cloud.
  • Compatibile con proxy

Dominio specifico del tenant​

I servizi SEW sono definiti per singolo tenant. Ovunque compaia {tenant_id}, sostituirlo con il Tenant ID fornito dal Supporto SEW.

Esempio
Tenant ID:
11111111-2222-3333-4444-555555555555

Dominio del tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Questo dominio — e il wildcard sottostante — devono essere raggiungibili dal Gateway.

Domini e porte richiesti​

DominioPortaProtocolloDescrizione
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – mantiene la connessione persistente e sicura per lo scambio di messaggi, la telemetria e i comandi/controllo.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Server di connettività del tenant – utilizzati per stabilire tunnel VPN dinamici su richiesta; il DNS restituisce un elenco con bilanciamento del carico.
api.eu1.sdaconsole.io443HTTPSSEW API – autenticazione del Gateway, operazioni del control plane e accesso alla Web Console. Utilizzato principalmente durante l'onboarding/la configurazione iniziale.
repository.eu1.sdaconsole.io443HTTPSRepository delle applicazioni – download di componenti SEW, aggiornamenti Glue, pacchetti agent e patch di sicurezza. Utilizzato durante l'installazione e le verifiche periodiche degli aggiornamenti.
repository.sdaconsole.io (opzionale)443HTTPSMirror globale del repository – fonte alternativa per gli aggiornamenti (miglioramento pianificato).

Ispezione del traffico con i servizi SEW​

Alcune organizzazioni utilizzano l'ispezione SSL / intercettazione TLS (ad es. Zscaler SSL Inspection, Palo Alto Decryption) per il traffico in uscita. Questi strumenti possono interrompere la connettività SEW se alterano o rifirmano i certificati SEW, poiché i servizi SEW utilizzano certificati con catena verso Amazon Root CA 1.

Per evitare errori di connessione:

  1. Escludere i domini SEW dall'ispezione (bypass / no-inspect)
    Aggiungere i domini SEW sopra elencati (API, IoT, dominio del tenant, repository) a un elenco di esclusione dall'ispezione.
  2. Consentire MQTT su WebSocket Secure (WSS)
    La messaggistica SEW IoT utilizza MQTT su WSS sulla porta 443. Assicurarsi che questo protocollo sia consentito.
  3. Tunnel VPN con overlay SSL
    Se viene utilizzata una VPN aziendale e il traffico viene ispezionato, assicurarsi che il tunnel supporti un overlay SSL affinché l'ispezione non interferisca con il TLS end-to-end verso SEW.

Se non è possibile escludere l'ispezione, coordinarsi con il Team SEW per i certificati approvati e il comportamento dell'ispezione.

Checklist per il whitelisting del firewall e la convalida della rete​

Da utilizzare come documento di consegna all'IT / alla sicurezza del cliente.

CategoriaElementoRequisito / Passaggio di convalidaStato (✓/✗)
Connettività di reteInternet in uscitaIl Gateway può avviare sessioni solo in uscita verso internet.
Porta 443La porta TCP 443 è aperta in uscita verso i domini SEW.
DNSIl DNS risolve tutti i domini SEW elencati sopra.
Certificati e crittografiaAmazon Root CA 1La root CA è presente nell'archivio attendibile affinché la convalida TLS vada a buon fine.
Ispezione TLS / SSLL'ispezione del traffico in uscita non sostituisce i certificati SEW oppure i domini SEW sono esclusi.
Ispezione del traffico / VPNEsclusione dall'ispezione SSLI domini SEW sono esclusi dall'intercettazione SSL/TLS (Zscaler, Palo Alto, ecc.).
MQTT su WSSWSS sulla porta 443 è consentito (utilizzato dall'IoT broker).
Overlay VPNSe viene utilizzata una VPN, essa consente il TLS end-to-end verso SEW Cloud.
Configurazione del tenantDominio {tenant_id}{tenant_id}.eu1.sdaconsole.io e *.{tenant_id}.eu1.sdaconsole.io sono raggiungibili.
Accesso al repositoryAggiornamentirepository.eu1.sdaconsole.io è raggiungibile per aggiornamenti e patch.

Passaggi di convalida (da riga di comando)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Porta 443

    curl -v https://api.eu1.sdaconsole.io

  3. Catena TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Verificare che la catena termini con Amazon Root CA 1.

  4. Log del Gateway
    Controllare i log di sistema/servizio del Gateway per verificare la riuscita delle sessioni MQTT (WSS) e HTTPS.

  5. Test di aggiornamento
    Avviare una sincronizzazione del repository o un aggiornamento dell'agent per verificare l'accesso ai download.

Diagramma della topologia di rete​

La sezione Architettura/Servizi di connettività SEW descrive diverse configurazioni per il Gateway SEW. \


Supporto​

Se una delle verifiche sopra indicate non va a buon fine o se nel proprio ambiente non è possibile escludere l'ispezione SSL, contattare:

Supporto SEW
📧 OrchestrationSuite-Support@sew-eurodrive.de

Includere:

  • il proprio Tenant ID,
  • la versione del Gateway,
  • una copia degli output dei test di connettività (curl / openssl / nslookup),
  • e i log del firewall pertinenti (porta 443 bloccata, TLS non riuscito).