Требования к подключению EV4 и белому списку межсетевого экрана

Важное уведомление о белом списке только по IP

Для подключения EV4 использование только белого списка IP-адресов (без разрешения правил на основе доменов/FQDN) создает неотъемлемый и постоянный риск прерывания обслуживания.

Многие из облачных и инфраструктурных услуг, используемых EV4, зависят от динамической IP-адресации. Эти IP-адреса могут и меняются с течением времени из-за:

• Масштабирования облака
• Балансировки нагрузки
• Изменений маршрутизации CDN
• Региональных событий переключения
• Обновлений инфраструктуры провайдеров

Когда диапазоны IP меняются, трафик может быть заблокирован, пока правила межсетевого экрана не будут обновлены вручную. Это может привести к потере подключения, сбоям удаленного доступа, проблемам синхронизации времени или сбоям в обслуживании.

Требуемый белый список IP (если белый список FQDN не разрешен)

Если ваша политика безопасности разрешает только белый список IP, вы должны разрешить и постоянно поддерживать актуальные диапазоны IP для следующих провайдеров.

Amazon Web Services (AWS)

AWS публикует свои полные публичные диапазоны IP здесь и регулярно обновляет их:

https://ip-ranges.amazonaws.com/ip-ranges.json

Эти диапазоны должны контролироваться и обновляться в вашем межсетевом экране на постоянной основе.

Cloudflare

Cloudflare публикует свои глобальные диапазоны IP здесь:

https://www.cloudflare.com/ips/

Должны быть включены как диапазоны IPv4, так и IPv6.

TeamViewer

TeamViewer не предоставляет статический белый список IP. Их инфраструктура использует динамическую адресацию.

Сетевые требования и порты задокументированы здесь:

https://www.teamviewer.com/en-us/global/support/knowledge-base/teamviewer-remote/troubleshooting/ports-used-by-teamviewer/

Поскольку IP-адреса не фиксированные, надежный белый список только по IP для TeamViewer невозможен.

Службы Google (1e100.net)

Домен 1e100.net является обратным DNS-доменом, принадлежащим Google, и используется во многих службах Google, таких как:

• API Google
• Службы Android
• YouTube
• Gmail
• Поиск
• Службы времени

Любой IP-адрес Google может иметь PTR-разрешение на *.1e100.net. Нет фиксированного диапазона IP, который можно было бы безопасно или постоянно включить в белый список для этого домена.

Создание белого списка только по IP на основе этого домена невозможно.

NTP – pool.ntp.org

pool.ntp.org – это глобальный пул из тысяч серверов времени с нагрузочным балансировщиком DNS.

• Статического диапазона IP не существует
• Результаты DNS различаются по регионам и доступности
• IP-адреса серверов часто меняются

Поэтому создание белого списка IP является ненадежным.

Android NTP – time.android.com

time.android.com является конечной точкой NTP по умолчанию для Android и является псевдонимом для публичных NTP-сервисов Google.

Как и pool.ntp.org, у него нет фиксированных диапазонов IP и он может динамически изменяться.

Рекомендация

Для долгосрочной стабильности и снижения эксплуатационных затрат очень рекомендуется использование белого списка на основе домена/FQDN где это возможно.

Правила на основе FQDN позволяют:

• Автоматическую адаптацию к изменениям IP-провайдера
• Отсутствие ручных обновлений межсетевого экрана
• Более высокая надежность во время событий переключения и масштабирования
• Доказанная совместимость с развертываниями EV4

Позиция поддержки

Обратите внимание на следующее:

• Работа EV4 с использованием только белого списка IP не подтверждена компанией Elo.
• Эта конфигурация не была формально протестирована и не известно, что она используется в производственной среде другими клиентами.
• Даже при включении всех известных диапазонов в белый список, проблемы с подключением могут по-прежнему возникать из-за динамической ротации IP вне опубликованных диапазонов.

По этим причинам белый список на основе домена/FQDN остается рекомендуемым и поддерживаемым подходом для сетевого доступа EV4.