Hoppa till huvudinnehåll

Nätverks- och brandväggskrav

SEW Gateway – anslutnings- och säkerhetskrav​

Översikt​

SEW Gateway kräver enbart utgående internetanslutning för att säkert kunna kommunicera med SEW Cloud-tjänster.
Alla SEW-tjänstedomäner använder certifikat som är signerade av Amazon Root CA 1 Certificate Authority.
Du måste säkerställa att systemets betrodda certifikatlager innehåller detta rotcertifikat för att korrekt SSL/TLS-validering ska fungera.

Säkerhetsöverväganden​

  • Inga inkommande anslutningar
    Gateway initierar all kommunikation utgående. Inga inkommande brandväggsregler eller portvidarebefordran krävs.
  • Endast port 443
    All SEW-trafik använder standard HTTPS/SSL över TCP 443, vilket förenklar brandväggskonfigurationen och normalt överensstämmer med företagets säkerhetspolicyer.
  • DNS-krav
    DNS-uppslag måste vara tillgängligt för alla SEW-domäner för att stödja:
    • lastbalansering,
    • tjänsteupptäckt (service discovery),
    • och failover mellan SEW Cloud-slutpunkter.
  • Proxykompatibel

Tenantspecifik domän​

SEW-tjänster är avgränsade per tenant. Överallt där du ser {tenant_id} ska du ersätta det med det Tenant ID som tillhandahålls av SEW Support.

Exempel
Tenant ID:
11111111-2222-3333-4444-555555555555

Tenantdomän:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

Denna domän — och wildcard under den — måste vara nåbar från Gateway.

Nödvändiga domäner och portar​

DomänPortProtokollBeskrivning
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT Broker – upprätthåller den beständiga, säkra anslutningen för meddelandeutbyte, telemetri och kommando/styrning.
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)Tenantens anslutningsservrar – används för att vid behov upprätta dynamiska VPN-tunnlar; DNS returnerar en lastbalanserad lista.
api.eu1.sdaconsole.io443HTTPSSEW API:er – autentisering av Gateway, control plane-operationer och åtkomst till webbkonsolen. Används främst vid onboarding/initial konfiguration.
repository.eu1.sdaconsole.io443HTTPSApplikationsrepository – hämtar SEW-komponenter, Glue-uppdateringar, agentpaket och säkerhetspatchar. Används vid installation och periodiska uppdateringskontroller.
repository.sdaconsole.io (valfritt)443HTTPSGlobal repository-spegel – alternativ uppdateringskälla (planerad förbättring).

Trafikinspektion med SEW-tjänster​

Vissa organisationer använder SSL-inspektion / TLS-avlyssning (t.ex. Zscaler SSL Inspection, Palo Alto Decryption) för utgående trafik. Dessa verktyg kan bryta SEW-anslutningen om de ändrar eller omsignerar SEW-certifikat, eftersom SEW-tjänster använder certifikat som är kedjade till Amazon Root CA 1.

För att undvika anslutningsfel:

  1. Kringgå/inspektera inte SEW-domäner
    Lägg till SEW-domänerna ovan (API, IoT, tenantdomän, repository) i en lista över domäner som inte ska inspekteras.
  2. Tillåt MQTT över WebSocket Secure (WSS)
    SEW IoT-meddelandehantering använder MQTT över WSS på port 443. Säkerställ att detta protokoll tillåts.
  3. VPN-tunnlar med SSL-overlay
    Om ett företags-VPN används och trafiken inspekteras, säkerställ att tunneln stöder en SSL-overlay så att inspektionen inte stör end-to-end-TLS till SEW.

Om inspektionen inte kan kringgås, samordna med SEW-teamet kring godkända certifikat och inspektionsbeteende.

Checklista för brandväggsvitlistning och nätverksvalidering​

Använd denna som överlämning till kundens IT/säkerhet.

KategoriPunktKrav / valideringsstegStatus (✓/✗)
NätverksanslutningUtgående internetGateway kan initiera enbart utgående sessioner mot internet.
Port 443TCP 443 är öppen utgående mot SEW-domäner.
DNSDNS löser upp alla SEW-domäner som listas ovan.
Certifikat & krypteringAmazon Root CA 1Rot-CA finns i det betrodda lagret så att TLS-validering lyckas.
TLS-/SSL-inspektionInspektion av utgående trafik ersätter inte SEW-certifikat, eller SEW-domänerna kringgås.
Trafikinspektion / VPNKringgående av SSL-inspektionSEW-domäner är undantagna från SSL/TLS-avlyssning (Zscaler, Palo Alto, etc.).
MQTT över WSSWSS på port 443 är tillåtet (används av IoT-brokern).
VPN-overlayOm VPN används tillåter det end-to-end-TLS till SEW Cloud.
Tenantkonfiguration{tenant_id}-domän{tenant_id}.eu1.sdaconsole.io och *.{tenant_id}.eu1.sdaconsole.io är nåbara.
Repository-åtkomstUppdateringarrepository.eu1.sdaconsole.io är nåbar för uppdateringar och patchar.

Valideringssteg (CLI-vänliga)​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / port 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS-kedja

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    Bekräfta att kedjan slutar i Amazon Root CA 1.

  4. Gateway-loggar
    Kontrollera Gatewayens system-/tjänsteloggar för lyckade MQTT- (WSS) och HTTPS-sessioner.

  5. Uppdateringstest
    Utlös en repository-synkronisering eller agentuppdatering för att verifiera nedladdningsåtkomst.

Diagram över nätverkstopologi​

Architecture/SEW Connectivity Services beskriver flera konfigurationer för SEW Gateway. \


Support​

Om någon av kontrollerna ovan misslyckas eller om SSL-inspektion inte kan kringgås i din miljö, kontakta:

SEW Support
📧 OrchestrationSuite-Support@sew-eurodrive.de

Inkludera:

  • ditt Tenant ID,
  • Gateway-versionen,
  • en kopia av dina utdata från anslutningstester (curl / openssl / nslookup),
  • och relevanta brandväggsloggar (blockerad 443, misslyckad TLS).