EV4-Konnektivität und Firewall-Whitelisting-Anforderungen

Wichtiger Hinweis zum IP-Only-Whitelisting

Bei der EV4-Konnektivität, die nur IP-Adress-Whitelisting (ohne Erlaubnis von domänen-/FQDN-basierten Regeln) verwendet, besteht ein inhärentes und fortlaufendes Risiko von Dienstunterbrechungen.

Viele der von EV4 genutzten Cloud- und Infrastrukturservices basieren auf dynamischer IP-Adressierung. Diese IP-Adressen können sich im Laufe der Zeit aufgrund von:

• Cloud-Skalierung
• Lastverteilung
• CDN-Routing-Änderungen
• Regionale Failover-Ereignisse
• Provider-Infrastruktur-Updates

Wenn sich IP-Bereiche ändern, kann der Datenverkehr blockiert werden, bis die Firewall-Regeln manuell aktualisiert werden. Dies kann zu einem Verlust der Konnektivität, zu Fehlschlägen beim Remote-Zugriff, zu Zeit-Synchronisationsproblemen oder zu Ausfällen führen.

Erforderliches IP-Whitelisting (wenn FQDN-Whitelisting nicht gestattet ist)

Wenn Ihre Sicherheitsrichtlinie nur IP-Whitelisting erlaubt, müssen Sie die aktuellen IP-Bereiche für die folgenden Anbieter erlauben und kontinuierlich auf dem neuesten Stand halten.

Amazon Web Services (AWS)

AWS veröffentlicht hier seine vollständigen öffentlichen IP-Bereiche und aktualisiert diese regelmäßig:

https://ip-ranges.amazonaws.com/ip-ranges.json

Diese Bereiche müssen in Ihrer Firewall kontinuierlich überwacht und aktualisiert werden.

Cloudflare

Cloudflare veröffentlicht hier seine globalen IP-Bereiche:

https://www.cloudflare.com/ips/

Sowohl IPv4- als auch IPv6-Bereiche sollten einbezogen werden.

TeamViewer

TeamViewer stellt kein statisches IP-Whitelisting zur Verfügung. Ihre Infrastruktur verwendet dynamische Adressierung.

Die Netzwerkanforderungen und Ports sind hier dokumentiert:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Da IPs nicht fest sind, ist ein zuverlässiges IP-Only-Whitelisting für TeamViewer nicht möglich.

Google-Dienste (1e100.net)

Die Domain 1e100.net ist eine von Google betriebene Reverse-DNS-Domain, die in vielen Google-Diensten wie:

• Google APIs
• Android-Dienste
• YouTube
• Gmail
• Suche
• Zeitsynchronisierungsdienste

Jede Google-IP-Adresse kann auf *.1e100.net PTR-aufgelöst werden. Es gibt keinen festen IP-Bereich, der sicher oder dauerhaft für diese Domain whitelisted werden kann.

IP-only-Whitelisting basierend auf dieser Domain ist nicht praktikabel.

NTP – pool.ntp.org

pool.ntp.org ist ein globaler, DNS-lastbalancierter Pool von Tausenden Zeitservern.

• Es gibt keinen statischen IP-Bereich
• DNS-Ergebnisse variieren je nach Region und Verfügbarkeit
• Server-IPs rotieren häufig

IP-Whitelisting ist daher unzuverlässig.

Android NTP – time.android.com

time.android.com ist der Standard-A Android-NTP-Endpunkt und ist ein Alias für Google Public NTP-Dienste.

Wie pool.ntp.org hat es keine festen IP-Bereiche und kann dynamisch rotieren.

Empfehlung

Für langfristige Stabilität und reduzierte Betriebskosten wird dringend empfohlen, domänen-/FQDN-Whitelisting wo immer möglich zu verwenden.

FQDN-basierte Regeln ermöglichen:

• Automatische Anpassung an IP-Änderungen des Anbieters
• Keine manuellen Firewall-Updates
• Größere Zuverlässigkeit bei Failover- und Skalierungsereignissen
• Bewährte Kompatibilität mit EV4-Einsätzen

Support-Position

Bitte beachten Sie Folgendes:

• Der Betrieb von EV4 mit nur IP-Whitelisting ist nicht validiert von Elo.
• Diese Konfiguration wurde nicht formal getestet und ist anderen Kunden nicht bekannt.
• Selbst wenn alle bekannten Bereiche whitelisted sind, können weiterhin Probleme mit der Konnektivität aufgrund von dynamischer IP-Rotation außerhalb der veröffentlichten Bereiche auftreten.

Aus diesen Gründen bleibt das Domänen-/FQDN-Whitelisting der empfohlene und unterstützte Ansatz für den EV4-Netzwerkzugriff.