Requisitos de Conectividad y Lista Blanca de Cortafuegos para EV4

Aviso Importante Sobre la Lista Blanca Solo de IP

Para la conectividad de EV4, usar solo la lista blanca de direcciones IP (sin permitir reglas basadas en dominio/FQDN) introduce un riesgo inherente y continuo de interrupción del servicio.

Muchos de los servicios en la nube e infraestructura utilizados por EV4 dependen de direcciones IP dinámicas. Estas direcciones IP pueden y cambian con el tiempo debido a:

• Escalamiento en la nube
• Balanceo de carga
• Cambios en el enrutamiento de CDN
• Eventos de conmutación por error regional
• Actualizaciones de infraestructura del proveedor

Cuando cambian los rangos de IP, el tráfico puede ser bloqueado hasta que las reglas del cortafuegos se actualicen manualmente. Esto puede resultar en pérdida de conectividad, fallos en el acceso remoto, problemas de sincronización de tiempo o interrupciones del servicio.

Permisos de IP Requeridos (Si No Se Permite la Lista Blanca de FQDN)

Si su política de seguridad permite solo la lista blanca de IP, debe permitir y mantener continuamente los rangos de IP actuales para los siguientes proveedores.

Amazon Web Services (AWS)

AWS publica sus rangos de IP públicos completos aquí y los actualiza regularmente:

https://ip-ranges.amazonaws.com/ip-ranges.json

Estos rangos deben ser monitoreados y actualizados en su cortafuegos de manera continua.

Cloudflare

Cloudflare publica sus rangos de IP globales aquí:

https://www.cloudflare.com/ips/

Tanto los rangos IPv4 como IPv6 deben ser incluidos.

TeamViewer

TeamViewer no proporciona una lista blanca de IP estática. Su infraestructura utiliza direccionamiento dinámico.

Los requisitos de red y los puertos están documentados aquí:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Dado que las IP no son fijas, la lista blanca confiable solo de IP para TeamViewer no es posible.

Servicios de Google (1e100.net)

El dominio 1e100.net es un dominio DNS inverso de propiedad de Google utilizado en muchos servicios de Google como:

• APIs de Google
• Servicios de Android
• YouTube
• Gmail
• Búsqueda
• Servicios de tiempo

Cualquier dirección IP de Google puede resolver PTR a *.1e100.net. No hay un rango de IP fijo que se pueda permitir de manera segura o permanente para este dominio.

La lista blanca solo de IP basada en este dominio no es factible.

NTP – pool.ntp.org

pool.ntp.org es un grupo global de servidores de tiempo cargado en DNS con miles de servidores de tiempo.

• No existe un rango de IP estático
• Los resultados de DNS varían según la región y disponibilidad
• Las IP de los servidores rotan con frecuencia

Por lo tanto, la lista blanca de IP es poco confiable.

NTP de Android – time.android.com

time.android.com es el punto final NTP predeterminado de Android y es un alias para los servicios NTP públicos de Google.

Al igual que pool.ntp.org, no tiene rangos de IP fijos y puede rotar dinámicamente.

Recomendación

Para una estabilidad a largo plazo y una sobrecarga operativa reducida, se recomienda encarecidamente la lista blanca de dominio/FQDN siempre que sea posible.

Las reglas basadas en FQDN permiten:

• Adaptación automática a los cambios de IP del proveedor
• Sin actualizaciones manuales del cortafuegos
• Mayor confiabilidad durante eventos de conmutación por error y escalado
• Compatibilidad probada con implementaciones de EV4

Posición de Soporte

Por favor, tenga en cuenta lo siguiente:

• La operación de EV4 utilizando solo lista blanca de IP no está validada por Elo.
• Esta configuración no ha sido probada formalmente y no se conoce que esté en uso de producción por otros clientes.
• Incluso con todos los rangos conocidos en lista blanca, pueden ocurrir problemas de conectividad debido a la rotación dinámica de IPs fuera de los rangos publicados.

Por estas razones, la lista blanca de dominio/FQDN sigue siendo el enfoque recomendado y soportado para el acceso a la red de EV4.