Pular para o conteúdo principal

Requisitos de Rede e Firewall

Requisitos de Conectividade e Segurança do SEW Gateway​

Visão geral​

O SEW Gateway requer conectividade de internet exclusivamente de saída (outbound-only) para comunicar-se de forma segura com os serviços SEW Cloud.
Todos os domínios de serviço SEW utilizam certificados assinados pela Autoridade Certificadora Amazon Root CA 1.
É necessário garantir que o repositório de certificados confiáveis do seu sistema inclua este certificado raiz para permitir a validação SSL/TLS adequada.

Considerações de Segurança​

  • Nenhuma Conexão de Entrada
    O Gateway inicia toda a comunicação de saída. Não são necessárias regras de firewall de entrada nem encaminhamento de portas.
  • Apenas a Porta 443
    Todo o tráfego SEW utiliza HTTPS/SSL sobre TCP 443 padrão, o que simplifica a configuração do firewall e normalmente está alinhado com as políticas de segurança corporativas.
  • Requisitos de DNS
    A resolução DNS deve estar disponível para todos os domínios SEW, a fim de suportar:
    • balanceamento de carga,
    • descoberta de serviços,
    • e failover entre os endpoints do SEW Cloud.
  • Compatível com Proxy

Domínio Específico do Tenant​

Os serviços SEW têm escopo por tenant. Sempre que aparecer {tenant_id}, substitua pelo Tenant ID fornecido pelo Suporte SEW.

Exemplo
Tenant ID:
11111111-2222-3333-4444-555555555555

Domínio do tenant:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Este domínio — e o curinga (wildcard) sob ele — deve estar acessível a partir do Gateway.

Domínios e Portas Necessários​

DomínioPortaProtocoloDescrição
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – mantém a conexão persistente e segura para troca de mensagens, telemetria e comando/controle.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servidores de Conectividade do Tenant – usados para estabelecer túneis VPN dinâmicos sob demanda; o DNS retorna uma lista com balanceamento de carga.
api.eu1.sdaconsole.io443HTTPSAPIs SEW – autenticação do Gateway, operações do plano de controle e acesso ao Web Console. Usado principalmente durante o onboarding/configuração inicial.
repository.eu1.sdaconsole.io443HTTPSRepositório de Aplicações – faz o download de componentes SEW, atualizações do Glue, pacotes de agentes e patches de segurança. Utilizado durante a instalação e nas verificações periódicas de atualização.
repository.sdaconsole.io (opcional)443HTTPSEspelho Global do Repositório – fonte alternativa de atualizações (melhoria planejada).

Inspeção de Tráfego com Serviços SEW​

Algumas organizações utilizam inspeção SSL / interceptação TLS (por exemplo, Zscaler SSL Inspection, Palo Alto Decryption) para o tráfego de saída. Essas ferramentas podem interromper a conectividade SEW caso alterem ou reassinem os certificados SEW, pois os serviços SEW utilizam certificados encadeados ao Amazon Root CA 1.

Para evitar falhas de conexão:

  1. Ignorar / Não Inspecionar os Domínios SEW
    Adicione os domínios SEW acima (API, IoT, domínio do tenant, repositório) a uma lista de não inspeção.
  2. Permitir MQTT sobre WebSocket Secure (WSS)
    A troca de mensagens SEW IoT utiliza MQTT sobre WSS na porta 443. Assegure-se de que este protocolo seja permitido.
  3. Túneis VPN com Sobreposição SSL
    Se uma VPN corporativa for utilizada e o tráfego for inspecionado, garanta que o túnel suporte uma sobreposição SSL, de modo que a inspeção não interfira no TLS ponta a ponta com a SEW.

Se a inspeção não puder ser contornada, coordene com a Equipe SEW a definição de certificados aprovados e do comportamento de inspeção.

Checklist de Whitelisting de Firewall e Validação de Rede​

Utilize este checklist como material de repasse para a equipe de TI / segurança do cliente.

CategoriaItemRequisito / Etapa de ValidaçãoStatus (✓/✗)
Conectividade de RedeInternet de saídaO Gateway consegue iniciar sessões exclusivamente de saída para a internet.
Porta 443A porta TCP 443 está aberta para saída em direção aos domínios SEW.
DNSO DNS resolve todos os domínios SEW listados acima.
Certificado & CriptografiaAmazon Root CA 1A CA raiz está presente no repositório confiável para que a validação TLS seja bem-sucedida.
Inspeção TLS / SSLA inspeção de saída não substitui os certificados SEW ou os domínios SEW são ignorados pela inspeção.
Inspeção de Tráfego / VPNBypass de inspeção SSLOs domínios SEW estão excluídos da interceptação SSL/TLS (Zscaler, Palo Alto, etc.).
MQTT sobre WSSWSS na porta 443 é permitido (utilizado pelo broker IoT).
Sobreposição VPNSe VPN for utilizada, ela permite TLS ponta a ponta com o SEW Cloud.
Configuração do TenantDomínio {tenant_id}{tenant_id}.eu1.sdaconsole.io e *.{tenant_id}.eu1.sdaconsole.io estão acessíveis.
Acesso ao RepositórioAtualizaçõesrepository.eu1.sdaconsole.io está acessível para atualizações e patches.

Etapas de Validação (Compatíveis com CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / Porta 443

    curl -v https://api.eu1.sdaconsole.io

  3. Cadeia TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Confirme que a cadeia termina em Amazon Root CA 1.

  4. Logs do Gateway
    Verifique os logs de sistema/serviço do Gateway para confirmar sessões MQTT (WSS) e HTTPS bem-sucedidas.

  5. Teste de Atualização
    Acione uma sincronização de repositório ou uma atualização de agente para verificar o acesso de download.

Diagrama de Topologia de Rede​

A seção Arquitetura/Serviços de Conectividade SEW descreve múltiplas configurações para o SEW Gateway. \


Suporte​

Se alguma das verificações acima falhar ou se a inspeção SSL não puder ser contornada em seu ambiente, entre em contato com:

Suporte SEW
📧 OrchestrationSuite-Support@sew-eurodrive.de

Inclua:

  • o seu Tenant ID,
  • a versão do Gateway,
  • uma cópia dos resultados dos testes de conectividade (curl / openssl / nslookup),
  • e os logs de firewall relevantes (porta 443 bloqueada, falhas de TLS).