Ga naar hoofdinhoud

Netwerk- en firewallvereisten

Connectiviteits- en beveiligingsvereisten van de SEW Gateway​

Overzicht​

De SEW Gateway vereist uitsluitend uitgaande internetconnectiviteit om veilig te communiceren met SEW Cloud-services.
Alle SEW-servicedomeinen gebruiken certificaten die zijn ondertekend door de Amazon Root CA 1 Certificate Authority.
U dient ervoor te zorgen dat de vertrouwde certificaatopslag van uw systeem dit rootcertificaat bevat, zodat correcte SSL/TLS-validatie mogelijk is.

Beveiligingsoverwegingen​

  • Geen inkomende verbindingen
    De Gateway initieert alle communicatie uitgaand. Er zijn geen inkomende firewallregels of port forwarding vereist.
  • Uitsluitend poort 443
    Al het SEW-verkeer gebruikt standaard HTTPS/SSL over TCP 443, wat de firewallconfiguratie vereenvoudigt en doorgaans aansluit op het bedrijfsbeveiligingsbeleid.
  • DNS-vereisten
    DNS-resolutie moet beschikbaar zijn voor alle SEW-domeinen ter ondersteuning van:
    • load balancing,
    • service discovery,
    • en failover tussen SEW Cloud-endpoints.
  • Proxy-compatibel

Tenantspecifiek domein​

SEW-services zijn per tenant afgebakend. Overal waar u {tenant_id} ziet, vervangt u dit door de Tenant ID die door SEW Support is verstrekt.

Voorbeeld
Tenant ID:
11111111-2222-3333-4444-555555555555

Tenantdomein:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Dit domein — en de wildcard eronder — moet bereikbaar zijn vanaf de Gateway.

Vereiste domeinen en poorten​

DomeinPoortProtocolBeschrijving
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – onderhoudt de permanente, beveiligde verbinding voor berichtuitwisseling, telemetrie en commando/besturing.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenant Connectivity Servers – gebruikt om op aanvraag dynamische VPN-tunnels op te zetten; DNS retourneert een load-balanced lijst.
api.eu1.sdaconsole.io443HTTPSSEW APIs – Gateway-authenticatie, control-plane-bewerkingen en toegang tot de Web Console. Voornamelijk gebruikt tijdens onboarding/initiële installatie.
repository.eu1.sdaconsole.io443HTTPSApplication Repository – downloadt SEW-componenten, Glue-updates, agentpakketten en beveiligingspatches. Gebruikt tijdens de installatie en periodieke updatecontroles.
repository.sdaconsole.io (optioneel)443HTTPSGlobal Repository Mirror – alternatieve updatebron (geplande uitbreiding).

Verkeersinspectie met SEW-services​

Sommige organisaties gebruiken SSL-inspectie / TLS-interceptie (bijv. Zscaler SSL Inspection, Palo Alto Decryption) voor uitgaand verkeer. Deze tools kunnen de SEW-connectiviteit verstoren als zij SEW-certificaten wijzigen of opnieuw ondertekenen, omdat SEW-services certificaten gebruiken die zijn gekoppeld aan Amazon Root CA 1.

Om verbindingsfouten te voorkomen:

  1. SEW-domeinen omzeilen / niet inspecteren
    Voeg de bovenstaande SEW-domeinen (API, IoT, tenantdomein, repository) toe aan een do-not-inspect-lijst.
  2. MQTT over WebSocket Secure (WSS) toestaan
    SEW IoT-messaging gebruikt MQTT over WSS op poort 443. Zorg ervoor dat dit protocol is toegestaan.
  3. VPN-tunnels met SSL-overlay
    Als er een bedrijfs-VPN wordt gebruikt en het verkeer wordt geïnspecteerd, zorg er dan voor dat de tunnel een SSL-overlay ondersteunt, zodat de inspectie de end-to-end TLS naar SEW niet verstoort.

Als inspectie niet kan worden omzeild, stem dan met het SEW Team af over goedgekeurde certificaten en inspectiegedrag.

Checklist voor firewall-whitelisting en netwerkvalidatie​

Gebruik dit als overdracht aan de IT-/beveiligingsafdeling van de klant.

CategorieItemVereiste / validatiestapStatus (✓/✗)
NetwerkconnectiviteitUitgaand internetGateway kan uitsluitend uitgaande sessies naar internet initiëren.
Poort 443TCP 443 is uitgaand geopend naar SEW-domeinen.
DNSDNS resolvet alle hierboven vermelde SEW-domeinen.
Certificaat & versleutelingAmazon Root CA 1Root CA is aanwezig in de vertrouwde opslag zodat TLS-validatie slaagt.
TLS-/SSL-inspectieUitgaande inspectie vervangt geen SEW-certificaten of SEW-domeinen worden omzeild.
Verkeersinspectie / VPNOmzeiling van SSL-inspectieSEW-domeinen zijn uitgesloten van SSL/TLS-interceptie (Zscaler, Palo Alto, enz.).
MQTT over WSSWSS op poort 443 is toegestaan (gebruikt door de IoT-broker).
VPN-overlayIndien VPN wordt gebruikt, staat deze end-to-end TLS naar SEW Cloud toe.
Tenantconfiguratie{tenant_id}-domein{tenant_id}.eu1.sdaconsole.io en *.{tenant_id}.eu1.sdaconsole.io zijn bereikbaar.
Repository-toegangUpdatesrepository.eu1.sdaconsole.io is bereikbaar voor updates en patches.

Validatiestappen (CLI-vriendelijk)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / poort 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-keten

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Controleer of de keten eindigt bij Amazon Root CA 1.

  4. Gateway-logs
    Controleer de systeem-/servicelogs van de Gateway op succesvolle MQTT- (WSS) en HTTPS-sessies.

  5. Updatetest
    Start een repository-synchronisatie of agent-update om de downloadtoegang te verifiëren.

Netwerktopologiediagram​

De Architectuur/SEW Connectivity Services beschrijft meerdere configuraties voor de SEW Gateway. \


Support​

Als een van de bovenstaande controles mislukt of als SSL-inspectie in uw omgeving niet kan worden omzeild, neem dan contact op met:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Vermeld daarbij:

  • uw Tenant ID,
  • de Gateway-versie,
  • een kopie van de uitvoer van uw connectiviteitstests (curl / openssl / nslookup),
  • en relevante firewall-logs (geblokkeerde 443, mislukte TLS).