Exigences de connectivité et de liste blanche du pare-feu EV4

Avis important concernant la liste blanche uniquement par adresse IP

Pour la connectivité EV4, l'utilisation de la liste blanche par adresse IP uniquement (sans autoriser les règles basées sur le domaine/FQDN) introduit un risque inhérent et continu de perturbation du service.

De nombreux services cloud et d'infrastructure utilisés par EV4 reposent sur l'adressage IP dynamique. Ces adresses IP peuvent et changent avec le temps en raison de :

• Mise à l'échelle du cloud
• Équilibrage de charge
• Changements de routage CDN
• Événements de basculement régional
• Mises à jour de l'infrastructure du fournisseur

Lorsque les plages IP changent, le trafic peut être bloqué jusqu'à ce que les règles du pare-feu soient mises à jour manuellement. Cela peut entraîner une perte de connectivité, des échecs d'accès à distance, des problèmes de synchronisation horaire ou des interruptions de service.

Liste blanche IP requise (si la liste blanche FQDN n'est pas autorisée)

Si votre politique de sécurité autorise uniquement la liste blanche IP, vous devez autoriser et maintenir en permanence les plages IP actuelles pour les fournisseurs suivants.

Amazon Web Services (AWS)

AWS publie ses plages IP publiques complètes ici et les met à jour régulièrement :

https://ip-ranges.amazonaws.com/ip-ranges.json

Ces plages doivent être surveillées et rafraîchies en permanence dans votre pare-feu.

Cloudflare

Cloudflare publie ses plages IP globales ici :

https://www.cloudflare.com/ips/

Les plages IPv4 et IPv6 devraient être incluses.

TeamViewer

TeamViewer ne fournit pas de liste blanche d'IP statique. Leur infrastructure utilise l'adressage dynamique.

Les exigences réseau et les ports sont documentés ici :

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Comme les IP ne sont pas fixes, une liste blanche IP uniquement fiable pour TeamViewer n'est pas possible.

Services Google (1e100.net)

Le domaine 1e100.net est un domaine inverse DNS appartenant à Google utilisé à travers de nombreux services Google tels que :

• API Google
• Services Android
• YouTube
• Gmail
• Recherche
• Services de temps

Chaque adresse IP de Google peut être PTR-résolue en *.1e100.net. Il n'existe pas de plage IP fixe qui peut être facilement ou définitivement mise sur liste blanche pour ce domaine.

La liste blanche IP uniquement basée sur ce domaine n'est pas réalisable.

NTP – pool.ntp.org

pool.ntp.org est un pool mondial équilibré par DNS de milliers de serveurs de temps.

• Aucune plage IP statique n'existe
• Les résultats DNS varient selon la région et la disponibilité
• Les IP des serveurs tournent fréquemment

La liste blanche IP est donc peu fiable.

NTP Android – time.android.com

time.android.com est le point de terminaison NTP Android par défaut et est un alias pour les services NTP publics de Google.

Comme pool.ntp.org, il n'a pas de plages IP fixes et peut tourner dynamiquement.

Recommandation

Pour la stabilité à long terme et une réduction des coûts opérationnels, la liste blanche domaine/FQDN est fortement recommandée chaque fois que cela est possible.

Les règles basées sur FQDN permettent :

• Adaptation automatique aux changements d'IP des fournisseurs
• Pas de mises à jour manuelles du pare-feu
• Une fiabilité accrue lors des événements de basculement et de mise à l'échelle
• Une compatibilité éprouvée avec les déploiements EV4

Position de support

Veuillez noter ce qui suit :

• Le fonctionnement d'EV4 avec la liste blanche IP uniquement n'est pas validé par Elo.
• Cette configuration n'a pas été testée formellement et n'est pas connue pour être utilisée en production par d'autres clients.
• Même avec toutes les plages connues mises sur liste blanche, des problèmes de connectivité peuvent encore survenir en raison de la rotation dynamique des IP en dehors des plages publiées.

Pour ces raisons, la liste blanche domaine/FQDN reste l'approche recommandée et soutenue pour l'accès réseau EV4.