Przejdź do głównej zawartości

Wymagania sieciowe i dotyczące zapory

Wymagania dotyczące łączności i bezpieczeństwa SEW Gateway​

Przegląd​

SEW Gateway wymaga wyłącznie wychodzącej łączności internetowej, aby bezpiecznie komunikować się z usługami SEW Cloud.
Wszystkie domeny usług SEW korzystają z certyfikatów podpisanych przez urząd certyfikacji Amazon Root CA 1.
Należy zapewnić, aby magazyn zaufanych certyfikatów systemu zawierał ten certyfikat główny, co umożliwi prawidłową weryfikację SSL/TLS.

Kwestie bezpieczeństwa​

  • Brak połączeń przychodzących
    Gateway inicjuje całą komunikację wychodzącą. Nie są wymagane żadne reguły zapory dla ruchu przychodzącego ani przekierowanie portów.
  • Tylko port 443
    Cały ruch SEW korzysta ze standardowego protokołu HTTPS/SSL przez TCP 443, co upraszcza konfigurację zapory i zwykle jest zgodne z korporacyjnymi politykami bezpieczeństwa.
  • Wymagania DNS
    Rozwiązywanie nazw DNS musi być dostępne dla wszystkich domen SEW, aby obsługiwać:
    • równoważenie obciążenia,
    • wykrywanie usług,
    • oraz przełączanie awaryjne między punktami końcowymi SEW Cloud.
  • Zgodność z serwerem proxy

Domena specyficzna dla dzierżawcy​

Usługi SEW mają zasięg ograniczony do dzierżawcy. Wszędzie, gdzie widoczne jest {tenant_id}, należy zastąpić je identyfikatorem dzierżawcy (Tenant ID) dostarczonym przez SEW Support.

Przykład
Tenant ID:
11111111-2222-3333-4444-555555555555

Domena dzierżawcy:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Ta domena — oraz wieloznacznik (wildcard) w jej obrębie — musi być osiągalna z Gateway.

Wymagane domeny i porty​

DomenaPortProtokółOpis
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – utrzymuje trwałe, bezpieczne połączenie do wymiany komunikatów, telemetrii oraz sterowania/komend.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Serwery łączności dzierżawcy – używane do dynamicznego nawiązywania tuneli VPN na żądanie; DNS zwraca listę z równoważeniem obciążenia.
api.eu1.sdaconsole.io443HTTPSSEW APIs – uwierzytelnianie Gateway, operacje warstwy sterowania oraz dostęp do Web Console. Używane głównie podczas onboardingu/wstępnej konfiguracji.
repository.eu1.sdaconsole.io443HTTPSRepozytorium aplikacji – pobieranie komponentów SEW, aktualizacji Glue, pakietów agentów i poprawek bezpieczeństwa. Używane podczas instalacji i okresowych sprawdzeń aktualizacji.
repository.sdaconsole.io (opcjonalnie)443HTTPSGlobalne kopie repozytorium – alternatywne źródło aktualizacji (planowane rozszerzenie).

Inspekcja ruchu a usługi SEW​

Niektóre organizacje stosują inspekcję SSL / przechwytywanie TLS (np. Zscaler SSL Inspection, Palo Alto Decryption) dla ruchu wychodzącego. Narzędzia te mogą przerwać łączność z SEW, jeśli modyfikują lub ponownie podpisują certyfikaty SEW, ponieważ usługi SEW korzystają z certyfikatów powiązanych z Amazon Root CA 1.

Aby uniknąć awarii połączeń:

  1. Pominięcie inspekcji domen SEW
    Dodaj powyższe domeny SEW (API, IoT, domena dzierżawcy, repozytorium) do listy wyłączonej z inspekcji.
  2. Zezwolenie na MQTT przez WebSocket Secure (WSS)
    Komunikacja SEW IoT wykorzystuje MQTT przez WSS na porcie 443. Upewnij się, że ten protokół jest dozwolony.
  3. Tunele VPN z warstwą SSL
    Jeśli używany jest korporacyjny VPN, a ruch podlega inspekcji, upewnij się, że tunel obsługuje warstwę SSL (overlay), aby inspekcja nie zakłócała szyfrowania TLS end-to-end do SEW.

Jeśli inspekcji nie można pominąć, skoordynuj z zespołem SEW zatwierdzone certyfikaty oraz sposób działania inspekcji.

Lista kontrolna: whitelisting zapory i walidacja sieci​

Wykorzystaj ją jako materiał przekazywany do działu IT / bezpieczeństwa klienta.

KategoriaPozycjaWymaganie / krok walidacjiStatus (✓/✗)
Łączność sieciowaWychodzący dostęp do internetuGateway może inicjować sesje wyłącznie wychodzące do internetu.
Port 443TCP 443 jest otwarty dla ruchu wychodzącego do domen SEW.
DNSDNS rozwiązuje wszystkie wymienione powyżej domeny SEW.
Certyfikaty i szyfrowanieAmazon Root CA 1Certyfikat główny znajduje się w magazynie zaufanych certyfikatów, dzięki czemu weryfikacja TLS przebiega pomyślnie.
Inspekcja TLS / SSLInspekcja ruchu wychodzącego nie zastępuje certyfikatów SEW lub domeny SEW są wyłączone z inspekcji.
Inspekcja ruchu / VPNPominięcie inspekcji SSLDomeny SEW są wyłączone z przechwytywania SSL/TLS (Zscaler, Palo Alto itp.).
MQTT przez WSSWSS na porcie 443 jest dozwolony (używany przez broker IoT).
Warstwa VPNJeśli używany jest VPN, umożliwia on szyfrowanie TLS end-to-end do SEW Cloud.
Konfiguracja dzierżawcydomena {tenant_id}{tenant_id}.eu1.sdaconsole.io oraz *.{tenant_id}.eu1.sdaconsole.io są osiągalne.
Dostęp do repozytoriumAktualizacjerepository.eu1.sdaconsole.io jest osiągalne dla aktualizacji i poprawek.

Kroki walidacji (przyjazne dla CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Łańcuch TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Potwierdź, że łańcuch kończy się na Amazon Root CA 1.

  4. Logi Gateway
    Sprawdź logi systemowe/usług Gateway w poszukiwaniu pomyślnych sesji MQTT (WSS) i HTTPS.

  5. Test aktualizacji
    Wyzwól synchronizację repozytorium lub aktualizację agenta, aby zweryfikować dostęp do pobierania.

Diagram topologii sieci​

Sekcja Architektura/Usługi łączności SEW przedstawia wiele konfiguracji dla SEW Gateway. \


Wsparcie​

Jeśli którakolwiek z powyższych kontroli zakończy się niepowodzeniem lub jeśli w Twoim środowisku nie można pominąć inspekcji SSL, skontaktuj się z:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Dołącz:

  • swój Tenant ID,
  • wersję Gateway,
  • skopiowane wyniki testów łączności (curl / openssl / nslookup),
  • oraz odpowiednie logi zapory (zablokowany port 443, nieudane TLS).