Requisitos de Conectividade e Whitelisting de Firewall do EV4

Aviso Importante Sobre Whitelisting Apenas de IP

Para conectividade do EV4, usar whitelisting apenas de endereços IP (sem permitir regras baseadas em domínio/FQDN) introduz um risco inerente e contínuo de interrupção do serviço.

Serviços de nuvem e de infraestrutura utilizados pelo EV4 dependem de endereçamento IP dinâmico. Esses endereços IP podem e mudam ao longo do tempo devido a:

• Escalonamento na nuvem
• Balanceamento de carga
• Mudanças de roteamento de CDN
• Eventos regionais de failover
• Atualizações de infraestrutura do provedor

Quando os intervalos de IP mudam, o tráfego pode ser bloqueado até que as regras do firewall sejam atualizadas manualmente. Isso pode resultar em perda de conectividade, falhas de acesso remoto, problemas de sincronização de tempo ou interrupções de serviço.

Permissões de IP Necessárias (Se o Whitelisting de FQDN Não For Permitido)

Se sua política de segurança permitir whitelisting apenas de IP, você deve permitir e manter continuamente os intervalos de IP atuais para os seguintes provedores.

Amazon Web Services (AWS)

A AWS publica seus intervalos de IP públicos completos aqui e os atualiza regularmente:

https://ip-ranges.amazonaws.com/ip-ranges.json

Esses intervalos devem ser monitorados e atualizados no seu firewall de forma contínua.

Cloudflare

A Cloudflare publica seus intervalos de IP globais aqui:

https://www.cloudflare.com/ips/

Tanto os intervalos IPv4 quanto IPv6 devem ser incluídos.

TeamViewer

O TeamViewer não fornece uma lista de permissão de IPs estáticos. Sua infraestrutura usa endereçamento dinâmico.

Os requisitos da rede e as portas estão documentados aqui:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Como os IPs não são fixos, o whitelisting confiável apenas de IP para TeamViewer não é possível.

Serviços do Google (1e100.net)

O domínio 1e100.net é um domínio de DNS reverso pertencente ao Google, utilizado em vários serviços do Google, como:

• APIs do Google
• Serviços Android
• YouTube
• Gmail
• Pesquisa
• Serviços de hora

Qualquer endereço IP do Google pode resolver PTR para *.1e100.net. Não há um intervalo de IP fixo que possa ser seguro ou permanentemente listado para este domínio.

O whitelisting apenas de IP baseado neste domínio não é viável.

NTP – pool.ntp.org

pool.ntp.org é um pool global de milhares de servidores de tempo, balanceados por DNS.

• Nenhum intervalo de IP estático existe
• Os resultados do DNS variam por região e disponibilidade
• Os IPs dos servidores rotacionam frequentemente

Portanto, o whitelisting de IP é não confiável.

Android NTP – time.android.com

time.android.com é o ponto final de NTP padrão do Android e é um alias para os serviços NTP públicos do Google.

Como o pool.ntp.org, não possui intervalos de IP fixos e pode rotacionar dinamicamente.

Recomendação

Para estabilidade a longo prazo e redução da sobrecarga operacional, whitelisting de domínio/FQDN é fortemente recomendado sempre que possível.

Regras baseadas em FQDN permitem:

• Adaptação automática às mudanças de IP do provedor
• Nenhuma atualização manual do firewall
• Maior confiabilidade durante eventos de failover e escalonamento
• Compatibilidade comprovada com implantações do EV4

Posição de Suporte

Por favor, note o seguinte:

• A operação do EV4 usando whitelisting apenas de IP não é validada pela Elo.
• Esta configuração não foi formalmente testada e não se sabe que esteja em uso produtivo por outros clientes.
• Mesmo com todos os intervalos conhecidos permitidos, problemas de conectividade ainda podem ocorrer devido à rotação dinâmica de IPs fora dos intervalos publicados.

Por essas razões, whitelisting de domínio/FQDN continua sendo a abordagem recomendada e suportada para acesso à rede do EV4.