EV4 Connectiviteit en Firewall Whitelisting Vereisten

Belangrijke Mededeling Over IP-Alleen Whitelisting

Voor EV4 connectiviteit, het gebruik van IP-adres whitelisting alleen (zonder het toestaan van domein/FQDN-gebaseerde regels) introduceert een inherente en voortdurende risico op serviceonderbreking.

Veel van de cloud- en infrastructuurdiensten die door EV4 worden gebruikt, zijn afhankelijk van dynamische IP-adressering. Deze IP-adressen kunnen en veranderen in de loop van de tijd vanwege:

• Cloud schaling
• Load balancing
• CDN routeringswijzigingen
• Regionale failover evenementen
• Provider infrastructuurupdates

Wanneer IP-reeksen veranderen, kan verkeer geblokkeerd worden totdat firewallregels handmatig zijn bijgewerkt. Dit kan resulteren in verlies van connectiviteit, mislukte externe toegang, tijdsynchronisatieproblemen of serviceonderbrekingen.

Vereiste IP Toegestane Lijsten (Als FQDN Whitelisting Niet Is Toegestaan)

Als uw beveiligingsbeleid IP whitelisting alleen toestaat, moet u de huidige IP-reeksen voor de volgende providers toestaan en continu onderhouden.

Amazon Web Services (AWS)

AWS publiceert hier zijn volledige publieke IP-reeksen en bijgewerkte regelmatig:

https://ip-ranges.amazonaws.com/ip-ranges.json

Deze reeksen moeten voortdurend worden gecontroleerd en vernieuwd in uw firewall.

Cloudflare

Cloudflare publiceert hier zijn globale IP-reeksen:

https://www.cloudflare.com/ips/

Zowel IPv4- als IPv6-reeksen moeten worden opgenomen.

TeamViewer

TeamViewer biedt geen statische IP-toegewezen lijst. Hun infrastructuur gebruikt dynamische adressering.

Netvereisten en poorten zijn hier gedocumenteerd:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Omdat IP's niet vast zijn, is betrouwbare IP-alleen whitelisting voor TeamViewer niet mogelijk.

Google Diensten (1e100.net)

Het domein 1e100.net is een door Google eigendom reverse DNS-domein dat wordt gebruikt voor veel Google-diensten zoals:

• Google API's
• Android-diensten
• YouTube
• Gmail
• Zoeken
• Tijddiensten

Een willekeurig Google IP-adres kan PTR-resolutie hebben naar *.1e100.net. Er is geen vaste IP-reeks die veilig of permanent kan worden toegestaan voor dit domein.

IP-alleen whitelisting op basis van dit domein is niet haalbaar.

NTP – pool.ntp.org

pool.ntp.org is een globale, DNS load-balanced pool van duizenden tijdservers.

• Er bestaat geen statische IP-reeks
• DNS-resultaten variëren per regio en beschikbaarheid
• Server-IP's draaien vaak

IP whitelisting is daarom onbetrouwbaar.

Android NTP – time.android.com

time.android.com is de standaard Android NTP-eindpunt en is een alias voor Google Public NTP-diensten.

Net als pool.ntp.org heeft het geen vaste IP-reeksen en kan het dynamisch draaien.

Aanbeveling

Voor langdurige stabiliteit en vermindering van operationele overhead, domein/FQDN whitelisting wordt sterk aanbevolen waar mogelijk.

FQDN-gebaseerde regels stellen in staat:

• Automatische aanpassing aan provider IP-wijzigingen
• Geen handmatige firewall-updates
• Grotere betrouwbaarheid tijdens failover- en schalingsevents
• Bewezen compatibiliteit met EV4-implementaties

Ondersteuningspositie

Let op het volgende:

• EV4-operatie met IP whitelisting alleen is niet gevalideerd door Elo.
• Deze configuratie is niet formeel getest en is niet bekend als in productie gebruikt door andere klanten.
• Zelfs met alle bekende reeksen toegestaan, kunnen er nog steeds connectiviteitsproblemen optreden als gevolg van dynamische IP-rotatie buiten de gepubliceerde reeksen.

Om deze redenen blijft domein/FQDN whitelisting de aanbevolen en ondersteunde benadering voor EV4-netwerktoegang.