Netzwerkanforderungen

Alle Verbindungen zu IronFlock gehen nach außen: Browser und Edge-Geräte verbinden sich mit IronFlock, und IronFlock baut nie Verbindungen in Ihr Netzwerk auf. Eingehende Ports müssen nicht geöffnet werden. In einem Netzwerk mit Firewall, Webfilter oder Proxy geben Sie die Ziele auf dieser Seite frei.

Übersicht

Von	Ziel	Port	Benötigt für
Browser	`*.ironflock.com`	TCP `443` (HTTPS und WebSocket)	IronFlock Studio
Browser	`cdn.jsdelivr.net`, `unpkg.com`	TCP `443`	Dashboard-Widgets und den Code-Editor
Browser	`fonts.googleapis.com`, `fonts.gstatic.com`	TCP `443`	Schriften und Icons
Edge-Gerät	`*.ironflock.com`	TCP `443` (HTTPS und WebSocket)	Plattformverbindung, App-Images, Installation, Updates und Fernzugriff
Edge-Gerät	`app.ironflock.com`	TCP `7000`	Fernzugriff, statt `443` genutzt, wo der Port offen ist (optional)

Geben Sie *.ironflock.com als Ganzes frei statt einzelner Hostnamen: IronFlock nutzt mehrere Subdomains, und ein Filter, der nur einige davon durchlässt, verhindert den Start von Studio.

Browser

IronFlock Studio läuft im Browser. Neben der Seite selbst verbindet sich Studio mit weiteren Subdomains von ironflock.com: für die Anmeldung und für eine WebSocket-Verbindung, die alle Daten überträgt, solange Studio geöffnet ist.

WebSockets: Proxys und Webfilter müssen WebSocket-Verbindungen (wss://) zu *.ironflock.com zulassen und dürfen sie während der Nutzung nicht trennen. Wenn Ihr Proxy TLS-Verkehr inspiziert, muss er WebSockets unterstützen oder *.ironflock.com von der Inspektion ausnehmen.
Widgets: Dashboard-Widgets und der Code-Editor werden vom öffentlichen npm-CDN cdn.jsdelivr.net geladen, mit unpkg.com als Ausweichquelle. Sind beide blockiert, zeigen Dashboards keine Widgets.
Schriften und Icons kommen von fonts.googleapis.com und fonts.gstatic.com. Sind sie blockiert, funktioniert Studio weiterhin, aber Schriften und Icons sehen anders aus.
Zahlungen: js.stripe.com wird nur auf der Zahlungsseite Ihrer Kontoeinstellungen geladen.

Firmen-Laptops und VPNs

Verwaltete Firmen-Laptops filtern Webverkehr oft unterschiedlich, je nachdem, ob das Firmen-VPN verbunden ist. Mit VPN läuft der Verkehr über das Firmen-Gateway und dessen Regeln; ohne VPN wendet ein Sicherheits-Client auf dem Laptop eine eigene, oft strengere Richtlinie an. Funktioniert IronFlock nur mit verbundenem VPN, muss auch diese Richtlinie außerhalb des Firmennetzes *.ironflock.com zulassen — bis dahin verbinden Sie das VPN, wenn Sie IronFlock nutzen.

Wenn die Verbindung blockiert ist

Kann der Browser die IronFlock-Server nicht erreichen, zeigt Studio eine Seite mit den freizugebenden Adressen und verbindet sich automatisch, sobald sie erreichbar sind. In der Entwicklerkonsole des Browsers zeigt sich eine blockierte Verbindung typischerweise als ERR_CONNECTION_RESET für auth.ironflock.com oder cbw.ironflock.com, während die Studio-Seite selbst normal lädt.

Edge-Geräte

Der IronFlock-Agent auf einem Edge-Gerät baut seine Verbindungen zu IronFlock selbst auf und hält sie offen; das Gerät braucht keine offenen eingehenden Ports (siehe Edge-Geräte & Agent). Akzeptiert Ihre Firewall keine Wildcards, sind dies die Ziele hinter *.ironflock.com für ein Gerät, das mit der IronFlock-Cloud verbunden ist:

Ziel	Port	Zweck
`cbw.ironflock.com`	TCP `443` (WebSocket)	Dauerhafte Verbindung zur Plattform
`registry.ironflock.com`	TCP `443`	Herunterladen von App-Images
`regauth.ironflock.com`	TCP `443`	Autorisierung von App-Image-Downloads
`instance-registry.ironflock.com`	TCP `443`	Installation und Aktualisierung des Geräte-Agents
`app.ironflock.com`	TCP `443` (WebSocket) und TCP `7000`, falls offen	Fernzugriff auf die Benutzeroberflächen von Geräten und Apps

Der Fernzugriff braucht nur Port 443. Der Agent versucht zuerst Port 7000 und wechselt von selbst zu 443, wenn 7000 blockiert ist, auch über einen auf dem Gerät konfigurierten HTTP-Proxy. Wenn Ihr Proxy TLS-Verkehr inspiziert, muss das Gerät dem Stammzertifikat Ihres Unternehmens vertrauen, und der Proxy muss WebSockets zu app.ironflock.com zulassen oder die Adresse von der Inspektion ausnehmen. Ältere Agents nutzen nur Port 7000: Schlägt der Fernzugriff in einem Netzwerk fehl, das 7000 blockiert, aktualisieren Sie den Geräte-Agent. Ohne Fernzugriff arbeitet das Gerät normal, aber seine Benutzeroberflächen und Ports lassen sich nicht über den Fernzugriff öffnen.

Bei der Installation unter Linux installiert das Setup-Tool außerdem Pakete aus den Paketquellen Ihres Betriebssystems und, falls Docker fehlt, Docker von get.docker.com und download.docker.com.

Apps können eigene Ziele benötigen, zum Beispiel eine externe API, an die sie Daten melden. Wird eine App auf einem Gerät im Entwicklungsmodus gebaut, lädt das Gerät die im Dockerfile genannten Basis-Images aus ihrer Registry, etwa von Docker Hub.

Für ein Gerät in einem eingeschränkten Unternehmensnetzwerk planen Sie außerdem ein:

Einen Unternehmens-HTTP-Proxy: Agent und Docker müssen ihn kennen — siehe Hinter einem Unternehmens-Proxy → Edge-Geräte.
Identity-Aware Firewalls: Binden Sie die Regel an das Gerät, nie an einen angemeldeten Benutzer — siehe Identity-Aware Firewalls und Proxys.
Zeitsynchronisation: Geräte brauchen einen funktionierenden Zeitserver, meist über UDP 123 — siehe Zeitsynchronisation (NTP).

On-Premises-Appliance

Eine IronFlock Appliance hat ihre eigene Liste von Zielen — siehe Firewall-Konfiguration. Edge-Geräte, die mit einer Appliance verbunden sind, verbinden sich mit der Appliance statt mit ironflock.com: siehe Geräte, die sich mit der Appliance verbinden.