Preskočiť na hlavný obsah

Požiadavky na sieť a firewall

Požiadavky na konektivitu a bezpečnosť SEW Gateway​

Prehľad​

SEW Gateway vyžaduje výhradne odchádzajúce internetové pripojenie pre bezpečnú komunikáciu so službami SEW Cloud.
Všetky servisné domény SEW používajú certifikáty podpísané certifikačnou autoritou Amazon Root CA 1.
Musíte zabezpečiť, aby úložisko dôveryhodných certifikátov vášho systému obsahovalo tento koreňový certifikát, aby bola možná správna validácia SSL/TLS.

Bezpečnostné aspekty​

  • Žiadne prichádzajúce pripojenia
    Gateway iniciuje všetku komunikáciu odchádzajúco. Nie sú potrebné žiadne pravidlá firewallu pre prichádzajúcu komunikáciu ani presmerovanie portov.
  • Iba port 443
    Všetka prevádzka SEW používa štandardné HTTPS/SSL cez TCP 443, čo zjednodušuje konfiguráciu firewallu a zvyčajne je v súlade s firemnými bezpečnostnými politikami.
  • Požiadavky na DNS
    Rozlišovanie DNS musí byť dostupné pre všetky domény SEW, aby podporovalo:
    • vyvažovanie zaťaženia,
    • vyhľadávanie služieb,
    • a prepínanie pri zlyhaní (failover) medzi koncovými bodmi SEW Cloud.
  • Kompatibilné s proxy

Domény špecifické pre tenanta​

Služby SEW sú vymedzené pre jednotlivých tenantov. Kdekoľvek uvidíte {tenant_id}, nahraďte to identifikátorom Tenant ID, ktorý vám poskytne podpora SEW.

Príklad
Tenant ID:
11111111-2222-3333-4444-555555555555

Doména tenanta:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Táto doména — a zástupný znak (wildcard) pod ňou — musí byť dosiahnuteľná z Gateway.

Požadované domény a porty​

DoménaPortProtokolPopis
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – udržiava trvalé, bezpečné pripojenie pre výmenu správ, telemetriu a príkazy/riadenie.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Servery konektivity tenanta – slúžia na vytváranie dynamických VPN tunelov podľa potreby; DNS vracia zoznam s vyvažovaním zaťaženia.
api.eu1.sdaconsole.io443HTTPSSEW API – autentifikácia Gateway, operácie riadiacej vrstvy a prístup k webovej konzole. Používa sa primárne počas onboardingu / úvodného nastavenia.
repository.eu1.sdaconsole.io443HTTPSRepozitár aplikácií – stiahnutie komponentov SEW, aktualizácií Glue, balíkov agentov a bezpečnostných záplat. Používa sa počas inštalácie a pri periodických kontrolách aktualizácií.
repository.sdaconsole.io (voliteľné)443HTTPSGlobálne zrkadlo repozitára – alternatívny zdroj aktualizácií (plánované vylepšenie).

Inšpekcia prevádzky pri službách SEW​

Niektoré organizácie používajú pre odchádzajúcu prevádzku SSL inšpekciu / zachytávanie TLS (napr. Zscaler SSL Inspection, Palo Alto Decryption). Tieto nástroje môžu prerušiť konektivitu SEW, ak menia alebo znovu podpisujú certifikáty SEW, pretože služby SEW používajú certifikáty zreťazené na Amazon Root CA 1.

Ako predísť zlyhaniam pripojenia:

  1. Obídenie / vynechanie inšpekcie domén SEW
    Pridajte uvedené domény SEW (API, IoT, doména tenanta, repozitár) do zoznamu bez inšpekcie.
  2. Povoľte MQTT cez WebSocket Secure (WSS)
    Zasielanie správ SEW IoT používa MQTT cez WSS na porte 443. Zabezpečte, aby bol tento protokol povolený.
  3. VPN tunely s SSL overlay
    Ak sa používa firemná VPN a prevádzka je podrobená inšpekcii, zabezpečte, aby tunel podporoval SSL overlay, takže inšpekcia nenaruší end-to-end TLS smerom k SEW.

Ak inšpekciu nie je možné obísť, koordinujte s tímom SEW schválené certifikáty a správanie inšpekcie.

Kontrolný zoznam pre whitelisting vo firewalle a validáciu siete​

Použite ho ako podklad pre IT / bezpečnostné oddelenie zákazníka.

KategóriaPoložkaPožiadavka / validačný krokStav (✓/✗)
Sieťová konektivitaOdchádzajúci internetGateway môže iniciovať výhradne odchádzajúce sesie do internetu.
Port 443TCP 443 je otvorený pre odchádzajúcu prevádzku do domén SEW.
DNSDNS rozlišuje všetky vyššie uvedené domény SEW.
Certifikáty & šifrovanieAmazon Root CA 1Koreňová CA je prítomná v dôveryhodnom úložisku, takže validácia TLS je úspešná.
Inšpekcia TLS / SSLInšpekcia odchádzajúcej prevádzky nenahrádza certifikáty SEW alebo sú domény SEW vynechané.
Inšpekcia prevádzky / VPNObídenie SSL inšpekcieDomény SEW sú vylúčené zo zachytávania SSL/TLS (Zscaler, Palo Alto atď.).
MQTT cez WSSWSS na porte 443 je povolené (používa ho IoT broker).
VPN overlayAk sa používa VPN, umožňuje end-to-end TLS do SEW Cloud.
Konfigurácia tenantadoména {tenant_id}{tenant_id}.eu1.sdaconsole.io a *.{tenant_id}.eu1.sdaconsole.io sú dosiahnuteľné.
Prístup k repozitáruAktualizácierepository.eu1.sdaconsole.io je dosiahnuteľný pre aktualizácie a záplaty.

Validačné kroky (vhodné pre CLI)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. Reťazec TLS

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Overte, že reťazec končí na Amazon Root CA 1.

  4. Logy Gateway
    Skontrolujte systémové/servisné logy Gateway na úspešné sesie MQTT (WSS) a HTTPS.

  5. Test aktualizácie
    Spustite synchronizáciu repozitára alebo aktualizáciu agenta na overenie prístupu na stiahnutie.

Diagram sieťovej topológie​

Architektúra/Služby konektivity SEW opisuje viacero konfigurácií pre SEW Gateway. \


Podpora​

Ak ktorákoľvek z vyššie uvedených kontrol zlyhá alebo ak vo vašom prostredí nie je možné obísť SSL inšpekciu, kontaktujte:

Podpora SEW
📧 OrchestrationSuite-Support@sew-eurodrive.de

Priložte:

  • vaše Tenant ID,
  • verziu Gateway,
  • skopírované výstupy testov konektivity (curl / openssl / nslookup),
  • a relevantné logy firewallu (blokovaný 443, zlyhané TLS).