Netzwerk & Firewall

Firewall-Konfiguration

Wenn die Appliance in einem eingeschränkten lokalen Netzwerk läuft, geben Sie den ausgehenden Zugriff auf die folgenden IronFlock-Endpunkte frei, damit sie die Cloud erreichen kann. Alle Verbindungen werden von der Appliance aus initiiert — es müssen keine eingehenden Ports in Ihrer Firewall geöffnet werden.

instance-registry.ironflock.com:443   # Herunterladen und Aktualisieren der IronFlock-Software und Agenten; der KI-Assistent und SMS-Benachrichtigungen
cbw.ironflock.com:443                 # Remote-Verwaltung der Appliance aus der Cloud
web.ironflock.com:443                 # Aktivieren und Validieren der Lizenz
registry.ironflock.com:443            # Abrufen von App-Images beim Synchronisieren aus dem öffentlichen IronFlock Store
regauth.ironflock.com:443             # Authentifizieren dieser App-Image-Abrufe aus dem öffentlichen Store
app.ironflock.com:443                 # Öffnen von App- und Geräteoberflächen aus der Cloud (optional)
smtp-proxy.ironflock.com:2525         # Versand von Konto- und Benachrichtigungs-E-Mails (optional)

Die Einträge registry.ironflock.com und regauth.ironflock.com werden benötigt, um Apps aus dem öffentlichen IronFlock Store in den lokalen App Store zu synchronisieren. registry.ironflock.com liefert die App-Images und regauth.ironflock.com stellt das Token aus, das jeden Abruf autorisiert — beide müssen erreichbar sein, sonst schlägt die Synchronisierung (sowie das Durchsuchen und Installieren entfernter Apps) fehl. Wenn Ihre Appliance ausschließlich lokal von Ihnen erstellte Apps bereitstellt, können Sie sie weglassen. Eine App, deren Images aus einer öffentlichen Registry wie Docker Hub stammen, wird bei der Synchronisierung aus dieser Registry kopiert — die Appliance muss sie daher ebenfalls erreichen können.

Über den Eintrag app.ironflock.com läuft der Fernzugriffs-Tunnel, der die Benutzeroberflächen von Apps und Geräten erreichbar macht, während Sie über ironflock.com in der Instanz arbeiten. Er läuft wie alles andere über Port 443, direkt oder über einen Unternehmens-Proxy; nur eine mit IRONFLOCK_CLOUD_TUNNEL_TCP=1 installierte Appliance nutzt stattdessen Port 7000. Ist der Eintrag blockiert, schlägt nichts hörbar fehl — diese Oberflächen öffnen sich dann einfach nicht aus der Cloud, funktionieren im lokalen Netzwerk aber weiterhin. Nutzen Sie die Appliance nur lokal, können Sie ihn weglassen.

Der Eintrag smtp-proxy.ironflock.com wird nur benötigt, wenn Sie das integrierte IronFlock-E-Mail-Relay verwenden. Wenn Sie Ihren eigenen SMTP-Server konfigurieren, können Sie ihn weglassen.

Optionale Ziele. Der KI-Assistent aktualisiert Modell- und Widget-Metadaten von raw.githubusercontent.com und cdn.jsdelivr.net, und die Adresssuche für Gerätestandorte nutzt nominatim.openstreetmap.org. Alle drei sind optional: Sind sie blockiert, greift der Assistent auf seine integrierten Daten zurück, und die Adresssuche steht nicht zur Verfügung.

Zeitsynchronisation steht nicht in dieser Liste, weil sie nicht zu IronFlock führt: Die Appliance benötigt dennoch eine funktionierende Zeitquelle. Geben Sie ausgehendes UDP 123 zu Ihren Zeitservern frei, oder konfigurieren Sie Ihren internen Zeitserver auf dem Host — siehe Zeitsynchronisation (NTP).

Wenn Ihr Netzwerk das Internet nur über einen Unternehmens-HTTP-Proxy erreicht, siehe Hinter einem Unternehmens-Proxy — der Installer kann den Docker-Daemon automatisch auf Ihren Proxy verweisen.

Geräte, die sich mit der Appliance verbinden

Edge-Geräte verbinden sich mit der Appliance, nicht mit der Cloud. Wenn Geräte in einem anderen Netzwerksegment als die Appliance liegen, geben Sie den Gerätenetzwerken den Zugriff auf den Appliance-Host über diese Ports frei:

<APPLIANCE_HOST>:18080   # Geräteverbindung (WebSocket) — erforderlich
<APPLIANCE_HOST>:15001   # Registry des local App Store (App-Image-Abrufe) — erforderlich
<APPLIANCE_HOST>:15002   # Registry-Authentifizierung (Tokens für den Image-Abruf), Updates des Geräte-Agenten und Geräte-Installer — erforderlich
<APPLIANCE_HOST>:7000    # Fernzugriff auf Geräte-UIs (optionale Tunnel-Funktion)

Dies sind direkte Verbindungen — sie dürfen nicht über einen Unternehmens-HTTP-Proxy geleitet werden. Erzwingt das Netzwerk eines Geräts, dass der gesamte Datenverkehr über einen Proxy läuft, nehmen Sie entweder den Appliance-Host auf dem Gerät vom Proxy aus, oder stellen Sie die Appliance auf HTTPS mit Ihrem Unternehmenszertifikat um: In diesem Modus wandert der gesamte Geräteverkehr — die Geräteverbindung, App-Image-Abrufe, Agent-Updates und der Fernzugriffs-Tunnel — auf einen einzigen, proxy-freundlichen Port: 443 auf Ihrer Domain und funktioniert durch Unternehmens-Proxys und strenge Firewalls hindurch, ohne Ausnahmen pro Port.

Über Port 15002 laufen auch die Updates des Geräte-Agenten und der Geräte-Installer: Mit der Appliance verbundene Geräte laden Agent-Updates — und neue Geräte den Installer — von der Appliance selbst herunter, nie aus dem Internet; im Domain-Modus stattdessen von https://registry.<APPLIANCE_DOMAIN>/dl über Port 443. Siehe Updates des Geräte-Agenten und Geräte ohne Internetzugang anbinden.

Geräte brauchen für den normalen Betrieb keinen Internetzugang. Für alles, was ein angebundenes Gerät tut — die Geräteverbindung, App-Images, Agent-Updates, den Fernzugriff —, spricht es die Appliance an. Ins Internet geht ein Gerät nur, wenn es eine App aus einem Dockerfile baut, dessen Basis-Image in einer öffentlichen Registry liegt, wenn Sie eine App veröffentlichen, die öffentliche Images verwendet, wenn Docker selbst erst noch installiert werden muss, und — auf Geräten mit FlockOS — um unter instance-registry.ironflock.com nach Betriebssystem-Updates zu suchen. Die Apps, die Sie bereitstellen, können eigene Netzwerkanforderungen haben.

Netzwerkidentität für IronFlock-Hosts

Die Appliance und jedes Edge-Gerät betreiben IronFlock als unbeaufsichtigten Systemdienst: Er startet beim Hochfahren und bleibt rund um die Uhr verbunden, unabhängig davon, ob jemand angemeldet ist. Firewall- und Proxy-Regeln für diese Hosts müssen deshalb an die Maschine gebunden sein — niemals an die Person, die gerade daran angemeldet ist. Für Edge-Geräte gilt das unabhängig davon, mit welcher Plattform sie sich verbinden; der Geräte-Leitfaden behandelt das im Abschnitt Identity-Aware Firewalls und Proxys.

Am wichtigsten ist das in Netzwerken mit einer Identity-Aware Firewall oder einem Identity-Aware Proxy — solche Systeme gewähren den Zugriff anhand der Verzeichnisidentität statt anhand der Adresse. Ist die Regel, die einen IronFlock-Host zulässt, an einen Benutzer gebunden, verliert der Host den Zugang, sobald die Sitzung dieses Benutzers abläuft. Bereits offene Verbindungen laufen weiter, während jede neue still verworfen wird. Der Host wirkt deshalb gesund, bis er das nächste Mal eine Verbindung aufbauen muss — dann scheitern App-Installation, Agent-Update oder Wiederverbindung, und nach seinem nächsten Neustart bleibt das Gerät offline.

Eine Ausnahme von der identitätsbasierten Zugriffskontrolle ist nicht nötig. Bitten Sie Ihr Netzwerk-Team, jeden Host über die Identität zu erkennen, die er tatsächlich hat:

So setzen Sie das in verbreiteten Produkten um:

• Check Point Identity Awareness: Wählen Sie in der Access Role die Maschine (Computerobjekt oder Gruppe) statt Benutzern aus. Maschinenidentitäten werden durch die eigene Domänenaktivität des Computers aufgefrischt; können sie auf Ihrem Gateway verfallen, verwenden Sie stattdessen ein Netzwerkobjekt.
• Palo Alto Networks User-ID: Computerkonten erzeugen keine Zuordnungen von IP-Adresse zu Benutzer; verwenden Sie daher ein Adressobjekt, ein Tag oder Device-ID.
• Fortinet FSSO und ähnliche verzeichnisbasierte Firewalls: Verwenden Sie ein Adressobjekt für den Host oder die dynamische Adresse, die Ihre Netzwerkzugangskontrolle vergibt.
• Zscaler, Prisma Access und andere Cloud-Security-Gateways: Registrieren Sie die Adresse der Appliance als Server- oder IoT-Standort (eine vertrauenswürdige Quelle), damit ihr Verkehr anhand des Standorts statt anhand eines Benutzers erkannt wird.

So erkennen Sie den Fehler. Ein Gerät, das online bleibt, aber bei jeder neuen Verbindung scheitert — Image-Abrufe, Registry-Logins, Wiederverbindungen —, während Pings und seine bestehende Sitzung weiter funktionieren, deutet auf eine abgelaufene Identitätsregel hin, nicht auf ein Problem am Gerät. Starten Sie den Agenten nicht neu, bevor wieder eine frische Verbindung vom Gerät gelingt: Die noch offene Sitzung ist die einzige, die funktioniert.

Auf Ihre Instanz über ironflock.com zugreifen

Auch wenn die Appliance eine vollständig lokale Plattform ist, müssen Sie nicht im Werksnetzwerk sein, um sie zu nutzen. Solange die Appliance über eine Internetverbindung verfügt und Ihr Appliance-Konto mit Ihrem Konto auf ironflock.com verbunden ist (siehe Konten verknüpfen), können Sie direkt aus der IronFlock Cloud-UI in Ihre Instanz wechseln — ohne VPN, ohne Portfreigabe, ohne zusätzliche Tools.

Das bedeutet:

• Eine einheitliche UI — Verwalten Sie Ihre Cloud-Projekte und Ihre Appliance-Instanzen Seite an Seite in einem einzigen Browser-Tab.
• Arbeiten von überall — Operatoren, Entwickler und Support-Mitarbeiter können die Appliance über das Internet erreichen, während alle Produktionsdaten und Workloads lokal auf der Appliance verbleiben.
• Einfache Multi-Site-Übersicht — Wenn Sie mehrere Appliances in verschiedenen Werken betreiben, taucht jede davon in Ihrem ironflock.com-Konto auf und ist nur einen Klick entfernt.

Verliert die Appliance ihre Internetverbindung, läuft sie lokal weiter und bleibt aus dem Werksnetz unter http://<appliance-host> erreichbar — nur der Remote-Zugriff pausiert, bis die Verbindung wiederhergestellt ist.