Requisitos de Conectividad y Lista Blanca de Cortafuegos para EV4

Aviso Importante sobre la Lista Blanca Solo por IP

Para la conectividad de EV4, usar solo la lista blanca de direcciones IP (sin permitir reglas basadas en dominio/FQDN) introduce un riesgo inherente y continuo de interrupción del servicio.

Muchos de los servicios en la nube e infraestructura utilizados por EV4 dependen de direccionamiento IP dinámico. Estas direcciones IP pueden cambiar con el tiempo debido a:

• Escalabilidad en la nube
• Balanceo de carga
• Cambios en el enrutamiento de CDN
• Eventos de conmutación por error regional
• Actualizaciones de infraestructura del proveedor

Cuando cambian los rangos de IP, el tráfico puede ser bloqueado hasta que las reglas del cortafuegos se actualicen manualmente. Esto puede resultar en pérdida de conectividad, fallos de acceso remoto, problemas de sincronización de tiempo o interrupciones del servicio.

Requisitos de Permitir IP (Si No Se Permite la Lista Blanca FQDN)

Si su política de seguridad permite solo la lista blanca de IP, debe permitir y mantener continuamente los rangos de IP actuales para los siguientes proveedores.

Amazon Web Services (AWS)

AWS publica sus rangos de IP públicos completos aquí y los actualiza regularmente:

https://ip-ranges.amazonaws.com/ip-ranges.json

Estos rangos deben ser monitoreados y actualizados en su cortafuegos de manera continua.

Cloudflare

Cloudflare publica sus rangos de IP globales aquí:

https://www.cloudflare.com/ips/

Se deben incluir tanto rangos IPv4 como IPv6.

TeamViewer

TeamViewer no proporciona una lista blanca de IP estática. Su infraestructura utiliza direccionamiento dinámico.

Los requisitos de red y los puertos se documentan aquí:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Debido a que las IP no son fijas, la lista blanca de IP solo para TeamViewer no es posible.

Servicios de Google (1e100.net)

El dominio 1e100.net es un dominio de DNS inverso de Google utilizado en muchos servicios de Google como:

• APIs de Google
• Servicios de Android
• YouTube
• Gmail
• Búsqueda
• Servicios de tiempo

Cualquier dirección IP de Google puede resolver PTR a *.1e100.net. No hay un rango de IP fijo que se pueda incluir de manera segura o permanente para este dominio.

La lista blanca de IP solo basada en este dominio no es factible.

NTP – pool.ntp.org

pool.ntp.org es un grupo global de servidores de tiempo equilibrado por DNS compuesto por miles de servidores de tiempo.

• No existe un rango de IP estático
• Los resultados de DNS varían según la región y la disponibilidad
• Las IPs de los servidores rotan con frecuencia

Por lo tanto, la lista blanca de IP es poco confiable.

Android NTP – time.android.com

time.android.com es el punto final NTP predeterminado de Android y es un alias para los servicios NTP públicos de Google.

Al igual que pool.ntp.org, no tiene rangos de IP fijos y puede rotar de manera dinámica.

Recomendación

Para una estabilidad a largo plazo y una reducción en la sobrecarga operativa, se recomienda encarecidamente la lista blanca de dominio/FQDN siempre que sea posible.

Las reglas basadas en FQDN permiten:

• Adaptación automática a los cambios de IP del proveedor
• Sin actualizaciones manuales del cortafuegos
• Mayor confiabilidad durante eventos de conmutación por error y escalado
• Compatibilidad comprobada con implementaciones de EV4

Posición de Soporte

Tenga en cuenta lo siguiente:

• La operación de EV4 utilizando solo la lista blanca de IP no está validada por Elo.
• Esta configuración no ha sido formalmente probada y no se sabe que esté en uso en producción por otros clientes.
• Incluso con todos los rangos conocidos incluidos en la lista blanca, aún pueden ocurrir problemas de conectividad debido a la rotación de IP dinámica fuera de los rangos publicados.

Por estas razones, la lista blanca de dominio/FQDN sigue siendo el enfoque recomendado y respaldado para el acceso a la red EV4.