Requisitos de red
Todas las conexiones con IronFlock son salientes: los navegadores y los dispositivos edge se conectan a IronFlock, e IronFlock nunca se conecta hacia tu red. No hace falta abrir puertos entrantes. En una red con cortafuegos, filtro web o proxy, permite los destinos de esta página.
Resumen
| Desde | Destino | Puerto | Necesario para |
|---|---|---|---|
| Navegador | *.ironflock.com | TCP 443 (HTTPS y WebSocket) | IronFlock Studio |
| Navegador | cdn.jsdelivr.net, unpkg.com | TCP 443 | Widgets de los dashboards y el editor de código |
| Navegador | fonts.googleapis.com, fonts.gstatic.com | TCP 443 | Fuentes e iconos |
| Dispositivo edge | *.ironflock.com | TCP 443 (HTTPS y WebSocket) | Conexión con la plataforma, imágenes de apps, instalación, actualizaciones y acceso remoto |
| Dispositivo edge | app.ironflock.com | TCP 7000 | Acceso remoto, usado en lugar de 443 donde está abierto (opcional) |
Permite *.ironflock.com en su conjunto en lugar de nombres de host sueltos: IronFlock usa varios subdominios, y un filtro que solo deja pasar algunos impide que Studio arranque.
Navegadores
IronFlock Studio se ejecuta en el navegador. Además de la propia página, Studio se conecta a otros subdominios de ironflock.com: para iniciar sesión y para una conexión WebSocket que transporta todos los datos mientras Studio está abierto.
- WebSockets: los proxies y filtros web deben permitir conexiones WebSocket (
wss://) a*.ironflock.comy no deben cortarlas mientras están en uso. Si tu proxy inspecciona el tráfico TLS, tiene que admitir WebSockets o excluir*.ironflock.comde la inspección. - Widgets: los widgets de los dashboards y el editor de código se cargan desde la CDN pública de npm
cdn.jsdelivr.net, conunpkg.comcomo alternativa. Si ambas están bloqueadas, los dashboards no muestran widgets. - Las fuentes y los iconos vienen de
fonts.googleapis.comyfonts.gstatic.com. Si están bloqueados, Studio sigue funcionando, pero las fuentes y los iconos se ven distintos. - Pagos:
js.stripe.comsolo se carga en la página de pago de la configuración de tu cuenta.
Portátiles corporativos y VPN
Los portátiles corporativos gestionados suelen filtrar el tráfico web de forma distinta según si la VPN de la empresa está conectada. Con la VPN activa, el tráfico pasa por la pasarela de la empresa y sus reglas; sin la VPN, un cliente de seguridad del portátil aplica su propia política, a menudo más estricta. Si IronFlock solo funciona con la VPN conectada, esa política fuera de la red de la empresa también tiene que permitir *.ironflock.com — hasta entonces, conecta la VPN cuando uses IronFlock.
Cuando la conexión está bloqueada
Si el navegador no puede llegar a los servidores de IronFlock, Studio muestra una página con las direcciones que hay que permitir y se conecta automáticamente en cuanto son accesibles. En la consola de desarrollador del navegador, una conexión bloqueada suele aparecer como ERR_CONNECTION_RESET para auth.ironflock.com o cbw.ironflock.com, mientras que la propia página de Studio carga con normalidad.
Dispositivos edge
El agente de IronFlock en un dispositivo edge abre sus conexiones con IronFlock y las mantiene abiertas; el dispositivo no necesita puertos entrantes abiertos (consulta Dispositivos Edge y Agente). Si tu cortafuegos no acepta comodines, estos son los destinos que hay detrás de *.ironflock.com para un dispositivo conectado a la nube de IronFlock:
| Destino | Puerto | Propósito |
|---|---|---|
cbw.ironflock.com | TCP 443 (WebSocket) | Conexión permanente con la plataforma |
registry.ironflock.com | TCP 443 | Descarga de imágenes de apps |
regauth.ironflock.com | TCP 443 | Autorización de las descargas de imágenes de apps |
instance-registry.ironflock.com | TCP 443 | Instalación y actualización del agente del dispositivo |
app.ironflock.com | TCP 443 (WebSocket) y TCP 7000 si está abierto | Acceso remoto a las interfaces de usuario de dispositivos y apps |
El acceso remoto solo necesita el puerto
443. El agente prueba primero el puerto7000y cambia por sí solo a443cuando7000está bloqueado, también a través de un proxy HTTP configurado en el dispositivo. Si tu proxy inspecciona el tráfico TLS, el dispositivo tiene que confiar en el certificado raíz de tu empresa, y el proxy tiene que permitir WebSockets haciaapp.ironflock.como excluirlo de la inspección. Los agentes más antiguos solo usan el puerto7000: si el acceso remoto falla en una red que bloquea7000, actualiza el agente del dispositivo. Sin acceso remoto el dispositivo funciona con normalidad, pero sus interfaces de usuario y puertos no se pueden abrir mediante el Acceso remoto.
Durante la instalación en Linux, la herramienta de instalación también instala paquetes desde los repositorios de tu sistema operativo y, si falta Docker, lo instala desde
get.docker.comydownload.docker.com.
Las apps pueden necesitar destinos propios, por ejemplo una API externa a la que envían datos. Al compilar una app en un dispositivo en modo de desarrollo, se descargan las imágenes base indicadas en su Dockerfile desde su registro, como Docker Hub.
Para un dispositivo en una red corporativa restringida, ten en cuenta también:
- Un proxy HTTP corporativo: el agente y Docker tienen que conocerlo — consulta Detrás de un proxy corporativo → Dispositivos de borde.
- Cortafuegos con reconocimiento de identidad: vincula la regla al dispositivo, nunca a un usuario que haya iniciado sesión — consulta Cortafuegos y proxies con reconocimiento de identidad.
- Sincronización horaria: los dispositivos necesitan un servidor de hora que funcione, normalmente por UDP
123— consulta Sincronización horaria (NTP).
Appliance on-premises
Un IronFlock Appliance tiene su propia lista de destinos — consulta Configuración del cortafuegos. Los dispositivos edge conectados a un appliance se conectan al appliance en lugar de a ironflock.com: consulta Dispositivos que se conectan al appliance.