メインコンテンツまでスキップ

ネットワーク＆ファイアウォール要件

SEW Gateway の接続性とセキュリティ要件​

概要​

SEW Gateway は SEW Cloud サービスと安全に通信するために、アウトバウンドのみのインターネット接続を必要とします。
すべての SEW サービスドメインは Amazon Root CA 1 認証局によって署名された証明書を使用しています。
適切な SSL/TLS 検証を有効にするため、システムの信頼された証明書ストアにこのルート証明書が含まれていることを確認してください。

セキュリティに関する考慮事項​

  • インバウンド接続なし
    Gateway はすべての通信をアウトバウンドで開始します。インバウンドのファイアウォールルールやポートフォワーディングは不要です。
  • ポート 443 のみ
    すべての SEW トラフィックは標準の HTTPS/SSL over TCP 443 を使用します。これによりファイアウォール構成が簡素化され、通常は企業のセキュリティポリシーにも適合します。
  • DNS 要件
    以下をサポートするため、すべての SEW ドメインに対して DNS 解決が利用できる必要があります。
    • ロードバランシング
    • サービスディスカバリ
    • SEW Cloud エンドポイント間のフェイルオーバー
  • プロキシ対応

テナント固有のドメイン​

SEW サービスはテナントごとにスコープが設定されています。{tenant_id} と記載されている箇所は、SEW サポートから提供されたテナント ID に置き換えてください。

例
テナント ID:
11111111-2222-3333-4444-555555555555

テナントドメイン:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

このドメイン（およびその配下のワイルドカード）は Gateway から到達可能である必要があります。

必要なドメインとポート​

ドメインポートプロトコル説明
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – メッセージ交換、テレメトリ、コマンド/制御のための永続的かつセキュアな接続を維持します。
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)テナント接続サーバー – オンデマンドで動的な VPN トンネルを確立するために使用されます。DNS はロードバランスされたリストを返します。
api.eu1.sdaconsole.io443HTTPSSEW API – Gateway 認証、コントロールプレーン操作、Web Console へのアクセス。主にオンボーディング/初期セットアップ時に使用されます。
repository.eu1.sdaconsole.io443HTTPSアプリケーションリポジトリ – SEW コンポーネント、Glue の更新、エージェントパッケージ、セキュリティパッチをダウンロードします。インストール時および定期的な更新チェック時に使用されます。
repository.sdaconsole.io (オプション)443HTTPSグローバルリポジトリミラー – 代替の更新ソース（拡張予定）。

SEW サービスにおけるトラフィック検査​

一部の組織では、送信トラフィックに対して SSL 検査/TLS インターセプト（例: Zscaler SSL Inspection、Palo Alto Decryption）を使用しています。SEW サービスは Amazon Root CA 1 に連なる証明書を使用しているため、これらのツールが SEW 証明書を変更または再署名すると、SEW への接続が切断される可能性があります。

接続障害を回避するには:

  1. SEW ドメインのバイパス/検査除外
    上記の SEW ドメイン（API、IoT、テナントドメイン、リポジトリ）を検査除外リストに追加してください。
  2. MQTT over WebSocket Secure (WSS) の許可
    SEW IoT メッセージングは ポート 443 上の WSS を介した MQTT を使用します。このプロトコルが許可されていることを確認してください。
  3. SSL オーバーレイを伴う VPN トンネル
    企業 VPN を使用しトラフィックが検査される場合、検査が SEW への end-to-end TLS を妨げないよう、トンネルが SSL オーバーレイをサポートしていることを確認してください。

検査をバイパスできない場合は、承認済みの証明書と検査動作について SEW チームと調整してください。

ファイアウォールのホワイトリスト登録とネットワーク検証チェックリスト​

顧客の IT/セキュリティ部門への引き継ぎ資料としてご利用ください。

カテゴリ項目要件/検証手順ステータス (✓/✗)
ネットワーク接続アウトバウンドインターネットGateway がアウトバウンドのみのセッションをインターネットに対して開始できること。
ポート 443SEW ドメインに対して TCP 443 がアウトバウンドで開放されていること。
DNSDNS が上記のすべての SEW ドメインを解決できること。
証明書と暗号化Amazon Root CA 1TLS 検証が成功するよう、ルート CA が信頼ストアに存在すること。
TLS/SSL 検査送信検査が SEW 証明書を置き換えないこと、または SEW ドメインがバイパスされていること。
トラフィック検査/VPNSSL 検査のバイパスSEW ドメインが SSL/TLS インターセプト（Zscaler、Palo Alto など）から除外されていること。
MQTT over WSSポート 443 上の WSS が許可されていること（IoT ブローカーが使用）。
VPN オーバーレイVPN を使用する場合、SEW Cloud への end-to-end TLS が許可されていること。
テナント構成{tenant_id} ドメイン{tenant_id}.eu1.sdaconsole.io および *.{tenant_id}.eu1.sdaconsole.io に到達可能であること。
リポジトリアクセス更新更新およびパッチ適用のために repository.eu1.sdaconsole.io に到達可能であること。

検証手順（CLI 向け）​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / ポート 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS チェーン

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    チェーンが Amazon Root CA 1 で終わっていることを確認してください。

  4. Gateway ログ
    Gateway のシステム/サービスログで、MQTT (WSS) および HTTPS セッションが成功していることを確認してください。

  5. 更新テスト
    リポジトリの同期またはエージェントの更新を実行し、ダウンロードアクセスを検証してください。

ネットワークトポロジ図​

アーキテクチャ/SEW 接続サービスでは、SEW Gateway の複数の構成について概説しています。 \


サポート​

上記のいずれかのチェックが失敗した場合、またはご使用の環境で SSL 検査をバイパスできない場合は、以下にお問い合わせください。

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

以下を含めてください。

  • テナント ID
  • Gateway のバージョン
  • 接続テストの出力のコピー＆ペースト（curl / openssl / nslookup）
  • 関連するファイアウォールログ（ブロックされた 443、失敗した TLS）