Wymagania dotyczące łączności EV4 i białej listy zapory

Ważna informacja o białej liście tylko dla adresów IP

Dla łączności EV4, użycie tylko białej listy adresów IP (bez zezwolenia na zasady oparte na domenach/FQDN) wprowadza wewnętrzne i nieustanne ryzyko zakłóceń usług.

Wiele usług chmurowych i infrastrukturalnych używanych przez EV4 polega na dynamice adresacji IP. Te adresy IP mogą się zmieniać w czasie z powodu:

• Skalowania chmury
• Równoważenia obciążenia
• Zmian w routingu CDN
• Wydarzeń przełączania regionalnego
• Aktualizacji infrastruktury dostawcy

Gdy zakresy IP się zmieniają, ruch może być zablokowany, aż zasady zapory zostaną zaktualizowane ręcznie. Może to prowadzić do utraty łączności, niepowodzeń w zdalnym dostępie, problemów z synchronizacją czasu lub awarii usług.

Wymagana biała lista IP (jeśli nie zezwolono na białą listę FQDN)

Jeśli twoja polityka bezpieczeństwa zezwala na tylko białą listę IP, musisz zezwolić i nieprzerwanie utrzymywać aktualne zakresy IP dla następujących dostawców.

Amazon Web Services (AWS)

AWS publikuje pełne publiczne zakresy IP tutaj i regularnie je aktualizuje:

https://ip-ranges.amazonaws.com/ip-ranges.json

Te zakresy muszą być monitorowane i odświeżane w twojej zaporze na bieżąco.

Cloudflare

Cloudflare publikuje swoje globalne zakresy IP tutaj:

https://www.cloudflare.com/ips/

Zakresy zarówno IPv4, jak i IPv6 powinny być uwzględnione.

TeamViewer

TeamViewer nie zapewnia statycznej białej listy IP. Ich infrastruktura korzysta z adresowania dynamicznego.

Wymagania sieciowe i porty są udokumentowane tutaj:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Ponieważ adresy IP nie są stałe, wiarygodne zezwolenie na białą listę tylko dla adresów IP dla TeamViewer nie jest możliwe.

Usługi Google (1e100.net)

Domena 1e100.net to domena odwrotnego DNS należąca do Google, używana w wielu usługach Google, takich jak:

• API Google
• Usługi Android
• YouTube
• Gmail
• Wyszukiwanie
• Usługi czasowe

Każdy adres IP Google może być rozwiązany jako PTR do *.1e100.net. Nie ma stałego zakresu IP, który można bezpiecznie lub trwale umieścić na białej liście dla tej domeny.

Umożliwienie białej listy tylko na podstawie tej domeny nie jest wykonalne.

NTP – pool.ntp.org

pool.ntp.org to globalna, zrównoważona DNS grupa tysięcy serwerów czasowych.

• Nie istnieje statyczny zakres IP
• Wyniki DNS różnią się w zależności od regionu i dostępności
• Adresy IP serwerów często się zmieniają

Umożliwienie białej listy IP jest zatem niepewne.

Android NTP – time.android.com

time.android.com to domyślny punkt końcowy NTP Androida i jest aliasem dla publicznych usług NTP Google.

Podobnie jak pool.ntp.org, nie ma stałych zakresów IP i może rotować dynamicznie.

Rekomendacja

Dla długoterminowej stabilności i zmniejszenia kosztów operacyjnych, zaleca się korzystanie z białej listy domen/FQDN wszędzie tam, gdzie to możliwe.

Zasady oparte na FQDN pozwalają na:

• Automatyczne dostosowywanie do zmian adresów IP dostawcy
• Brak ręcznych aktualizacji zapory
• Większa niezawodność podczas wydarzeń przełączania i skalowania
• Sprawdzona zgodność z wdrożeniami EV4

Stan wsparcia

Proszę zwrócić uwagę na poniższe:

• Działanie EV4 przy użyciu tylko białej listy adresów IP nie jest zatwierdzone przez Elo.
• Ta konfiguracja nie była formalnie testowana i nie jest znana jako używana produkcyjnie przez innych klientów.
• Nawet przy wszystkich znanych zakresach na białej liście, problemy z łącznością mogą nadal występować z powodu dynamicznej rotacji IP poza opublikowane zakresy.

Z tych powodów biała lista domen/FQDN pozostaje zalecaną i wspieraną metodą dla dostępu do sieci EV4.