Requisiti di connettività e whitelist del firewall per EV4

Nota importante riguardo alla whitelist basata solo su IP

Per la connettività EV4, l'uso di solo whitelist per indirizzi IP (senza consentire regole basate su dominio/FQDN) introduce un rischio intrinseco e continuo di interruzione del servizio.

Molti dei servizi cloud e delle infrastrutture utilizzati da EV4 si basano su indirizzamento IP dinamico. Questi indirizzi IP possono e cambiano nel tempo a causa di:

• Scalabilità cloud
• Bilanciamento del carico
• Modifiche nel routing CDN
• Eventi di failover regionale
• Aggiornamenti dell'infrastruttura del fornitore

Quando i range IP cambiano, il traffico potrebbe essere bloccato fino a quando le regole del firewall non vengono aggiornate manualmente. Ciò può comportare perdita di connettività, fallimenti di accesso remoto, problemi di sincronizzazione del tempo o interruzioni del servizio.

Richiesta di allowlisting IP (se la whitelist FQDN non è consentita)

Se la tua politica di sicurezza consente solo la whitelist per indirizzi IP, devi consentire e mantenere continuamente i range IP attuali per i seguenti fornitori.

Amazon Web Services (AWS)

AWS pubblica i suoi range IP pubblici completi qui e li aggiorna regolarmente:

https://ip-ranges.amazonaws.com/ip-ranges.json

Questi range devono essere monitorati e aggiornati continuamente nel tuo firewall.

Cloudflare

Cloudflare pubblica i suoi range IP globali qui:

https://www.cloudflare.com/ips/

Devono essere inclusi sia i range IPv4 che IPv6.

TeamViewer

TeamViewer non fornisce una whitelist IP statica. La loro infrastruttura utilizza un indirizzamento dinamico.

I requisiti di rete e le porte sono documentati qui:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Poiché gli IP non sono fissi, non è possibile una whitelist affidabile solo per l'IP per TeamViewer.

Servizi Google (1e100.net)

Il dominio 1e100.net è un dominio DNS inverso di proprietà di Google utilizzato in molti servizi Google come:

• Google APIs
• Servizi Android
• YouTube
• Gmail
• Ricerca
• Servizi di ora

Qualsiasi indirizzo IP di Google può risolvere PTR in *.1e100.net. Non esiste un range IP fisso che possa essere messo in whitelist in modo sicuro o permanente per questo dominio.

La whitelist solo per IP basata su questo dominio non è praticabile.

NTP – pool.ntp.org

pool.ntp.org è una pool globale di server di tempo bilanciati tramite DNS.

• Non esiste un range IP statico
• I risultati DNS variano in base alla regione e alla disponibilità
• Gli IP dei server ruotano frequentemente

Di conseguenza, la whitelist IP è quindi inaffidabile.

Android NTP – time.android.com

time.android.com è l'endpoint NTP Android predefinito ed è un alias per i servizi NTP pubblici di Google.

Come pool.ntp.org, non ha range IP fissi e può ruotare dinamicamente.

Raccomandazione

Per stabilità a lungo termine e ridotto sovraccarico operativo, la whitelist basata su dominio/FQDN è fortemente raccomandata quando possibile.

Le regole basate su FQDN consentono:

• Adattamento automatico ai cambiamenti IP del fornitore
• Nessun aggiornamento manuale del firewall
• Maggiore affidabilità durante eventi di failover e scaling
• Compatibilità dimostrata con le distribuzioni EV4

Posizione del supporto

Si prega di notare i seguenti punti:

• L'operazione di EV4 utilizzando solo la whitelist per IP non è validata da Elo.
• Questa configurazione non è stata formalmente testata ed è noto che non è in uso da altri clienti.
• Anche con tutti i range noti in whitelist, potrebbero comunque verificarsi problemi di connettività a causa della rotazione dinamica degli IP al di fuori dei range pubblicati.

Per queste ragioni, la whitelist basata su dominio/FQDN rimane l'approccio raccomandato e supportato per l'accesso alla rete EV4.