본문으로 건너뛰기

네트워크 및 방화벽 요구 사항

SEW Gateway 연결 및 보안 요구 사항​

개요​

SEW Gateway는 SEW Cloud 서비스와 안전하게 통신하기 위해 아웃바운드 전용 인터넷 연결을 필요로 합니다.
모든 SEW 서비스 도메인은 Amazon Root CA 1 인증 기관에서 서명한 인증서를 사용합니다.
올바른 SSL/TLS 검증이 가능하도록 시스템의 신뢰할 수 있는 인증서 저장소에 이 루트 인증서가 포함되어 있어야 합니다.

보안 고려 사항​

  • 인바운드 연결 없음
    Gateway는 모든 통신을 아웃바운드로 시작합니다. 인바운드 방화벽 규칙이나 포트 포워딩은 필요하지 않습니다.
  • 포트 443만 사용
    모든 SEW 트래픽은 표준 HTTPS/SSL over TCP 443을 사용하므로 방화벽 구성이 단순해지고 일반적으로 기업 보안 정책에 부합합니다.
  • DNS 요구 사항
    다음을 지원하기 위해 모든 SEW 도메인에 대한 DNS 확인이 가능해야 합니다.
    • 로드 밸런싱,
    • 서비스 디스커버리,
    • SEW Cloud 엔드포인트 간 페일오버.
  • 프록시 호환

테넌트별 도메인​

SEW 서비스는 테넌트 단위로 범위가 지정됩니다. {tenant_id}가 표시된 모든 곳은 SEW Support에서 제공한 테넌트 ID로 바꾸십시오.

예시
테넌트 ID:
11111111-2222-3333-4444-555555555555

테넌트 도메인:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

이 도메인과 해당 도메인 하위의 와일드카드는 Gateway에서 접근 가능해야 합니다.

필요한 도메인 및 포트​

도메인포트프로토콜설명
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – 메시지 교환, 텔레메트리 및 명령/제어를 위한 지속적이고 안전한 연결을 유지합니다.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)테넌트 연결 서버 – 필요 시 동적 VPN 터널을 설정하는 데 사용되며, DNS는 로드 밸런싱된 목록을 반환합니다.
api.eu1.sdaconsole.io443HTTPSSEW API – Gateway 인증, 컨트롤 플레인 작업 및 Web Console 접근. 주로 온보딩/초기 설정 중에 사용됩니다.
repository.eu1.sdaconsole.io443HTTPS애플리케이션 리포지토리 – SEW 구성 요소, Glue 업데이트, 에이전트 패키지 및 보안 패치를 다운로드합니다. 설치 및 주기적인 업데이트 확인 시 사용됩니다.
repository.sdaconsole.io (선택 사항)443HTTPS글로벌 리포지토리 미러 – 대체 업데이트 소스(향후 개선 예정).

SEW 서비스에서의 트래픽 검사​

일부 조직은 이그레스 트래픽에 SSL 검사 / TLS 인터셉션(예: Zscaler SSL Inspection, Palo Alto Decryption)을 사용합니다. SEW 서비스는 Amazon Root CA 1에 체인으로 연결된 인증서를 사용하므로, 이러한 도구가 SEW 인증서를 변경하거나 재서명하면 SEW 연결이 중단될 수 있습니다.

연결 실패를 방지하려면:

  1. SEW 도메인 우회 / 검사 제외
    위의 SEW 도메인(API, IoT, 테넌트 도메인, 리포지토리)을 검사 제외 목록에 추가하십시오.
  2. MQTT over WebSocket Secure(WSS) 허용
    SEW IoT 메시징은 포트 443의 WSS를 통한 MQTT를 사용합니다. 이 프로토콜이 허용되어 있는지 확인하십시오.
  3. SSL 오버레이를 사용하는 VPN 터널
    기업 VPN이 사용되고 트래픽이 검사되는 경우, 검사가 SEW로의 종단 간 TLS를 방해하지 않도록 터널이 SSL 오버레이를 지원하는지 확인하십시오.

검사를 우회할 수 없는 경우, 승인된 인증서 및 검사 동작에 대해 SEW 팀과 협의하십시오.

방화벽 화이트리스트 및 네트워크 검증 체크리스트​

이 내용을 고객 IT / 보안 담당자에게 전달하십시오.

분류항목요구 사항 / 검증 단계상태 (✓/✗)
네트워크 연결아웃바운드 인터넷Gateway가 인터넷으로 아웃바운드 전용 세션을 시작할 수 있습니다.
포트 443SEW 도메인으로의 TCP 443 아웃바운드가 열려 있습니다.
DNSDNS가 위에 나열된 모든 SEW 도메인을 확인합니다.
인증서 & 암호화Amazon Root CA 1TLS 검증이 성공하도록 루트 CA가 신뢰 저장소에 존재합니다.
TLS / SSL 검사이그레스 검사가 SEW 인증서를 대체하지 않거나 SEW 도메인이 우회됩니다.
트래픽 검사 / VPNSSL 검사 우회SEW 도메인이 SSL/TLS 인터셉션(Zscaler, Palo Alto 등)에서 제외되어 있습니다.
MQTT over WSS포트 443의 WSS가 허용됩니다(IoT 브로커에서 사용).
VPN 오버레이VPN을 사용하는 경우, SEW Cloud로의 종단 간 TLS를 허용합니다.
테넌트 구성{tenant_id} 도메인{tenant_id}.eu1.sdaconsole.io 및 *.{tenant_id}.eu1.sdaconsole.io에 접근할 수 있습니다.
리포지토리 접근업데이트업데이트 및 패치를 위해 repository.eu1.sdaconsole.io에 접근할 수 있습니다.

검증 단계 (CLI 활용)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / 포트 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS 체인

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    체인이 Amazon Root CA 1로 끝나는지 확인하십시오.

  4. Gateway 로그
    MQTT(WSS) 및 HTTPS 세션이 정상적으로 이루어졌는지 Gateway의 시스템/서비스 로그를 확인하십시오.

  5. 업데이트 테스트
    리포지토리 동기화 또는 에이전트 업데이트를 실행하여 다운로드 접근을 확인하십시오.

네트워크 토폴로지 다이어그램​

Architecture/SEW Connectivity Services에서 SEW Gateway의 여러 구성 방식을 설명합니다. \


지원​

위의 검사 항목 중 하나라도 실패하거나 사용 환경에서 SSL 검사를 우회할 수 없는 경우 다음으로 문의하십시오.

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

다음 정보를 포함해 주십시오.

  • 테넌트 ID,
  • Gateway 버전,
  • 연결 테스트 출력(curl / openssl / nslookup) 복사/붙여넣기,
  • 관련 방화벽 로그(차단된 443, 실패한 TLS).