Exigences réseau

Toutes les connexions vers IronFlock sont sortantes : les navigateurs et les appareils edge se connectent à IronFlock, et IronFlock n’ouvre jamais de connexion vers votre réseau. Aucun port entrant n’a besoin d’être ouvert. Sur un réseau avec pare-feu, filtre web ou proxy, autorisez les destinations de cette page.

Récapitulatif

Depuis	Destination	Port	Nécessaire pour
Navigateur	`*.ironflock.com`	TCP `443` (HTTPS et WebSocket)	IronFlock Studio
Navigateur	`cdn.jsdelivr.net`, `unpkg.com`	TCP `443`	Widgets des tableaux de bord et éditeur de code
Navigateur	`fonts.googleapis.com`, `fonts.gstatic.com`	TCP `443`	Polices et icônes
Appareil edge	`*.ironflock.com`	TCP `443` (HTTPS et WebSocket)	Connexion à la plateforme, images d’apps, installation, mises à jour et accès à distance
Appareil edge	`app.ironflock.com`	TCP `7000`	Accès à distance, utilisé à la place de `443` là où il est ouvert (facultatif)

Autorisez *.ironflock.com dans son ensemble plutôt que des noms d’hôte isolés : IronFlock utilise plusieurs sous-domaines, et un filtre qui n’en laisse passer qu’une partie empêche Studio de démarrer.

Navigateurs

IronFlock Studio s’exécute dans le navigateur. En plus de la page elle-même, Studio se connecte à d’autres sous-domaines de ironflock.com : pour la connexion au compte, et pour une connexion WebSocket qui transporte toutes les données tant que Studio est ouvert.

WebSockets : les proxys et filtres web doivent autoriser les connexions WebSocket (wss://) vers *.ironflock.com et ne doivent pas les couper pendant leur utilisation. Si votre proxy inspecte le trafic TLS, il doit prendre en charge les WebSockets, ou exclure *.ironflock.com de l’inspection.
Widgets : les widgets des tableaux de bord et l’éditeur de code se chargent depuis le CDN npm public cdn.jsdelivr.net, avec unpkg.com en solution de repli. Si les deux sont bloqués, les tableaux de bord n’affichent aucun widget.
Les polices et les icônes proviennent de fonts.googleapis.com et fonts.gstatic.com. S’ils sont bloqués, Studio fonctionne toujours, mais les polices et les icônes ont un autre aspect.
Paiements : js.stripe.com n’est chargé que sur la page de paiement des paramètres de votre compte.

Ordinateurs portables d’entreprise et VPN

Les ordinateurs portables d’entreprise gérés filtrent souvent le trafic web différemment selon que le VPN de l’entreprise est connecté ou non. VPN activé, le trafic passe par la passerelle de l’entreprise et ses règles ; VPN désactivé, un client de sécurité sur l’ordinateur applique sa propre politique, souvent plus stricte. Si IronFlock ne fonctionne qu’avec le VPN connecté, cette politique hors réseau doit elle aussi autoriser *.ironflock.com — en attendant, connectez le VPN lorsque vous utilisez IronFlock.

Lorsque la connexion est bloquée

Si le navigateur ne peut pas joindre les serveurs IronFlock, Studio affiche une page qui indique les adresses à autoriser, et se connecte automatiquement dès qu’elles sont joignables. Dans la console de développement du navigateur, une connexion bloquée apparaît généralement sous la forme ERR_CONNECTION_RESET pour auth.ironflock.com ou cbw.ironflock.com, alors que la page de Studio elle-même se charge normalement.

Appareils edge

L’agent IronFlock d’un appareil edge ouvre lui-même ses connexions vers IronFlock et les maintient ouvertes ; l’appareil n’a besoin d’aucun port entrant ouvert (voir Appareils edge et agent). Si votre pare-feu n’accepte pas les caractères génériques, voici les destinations derrière *.ironflock.com pour un appareil connecté au cloud IronFlock :

Destination	Port	Rôle
`cbw.ironflock.com`	TCP `443` (WebSocket)	Connexion permanente à la plateforme
`registry.ironflock.com`	TCP `443`	Téléchargement des images d’apps
`regauth.ironflock.com`	TCP `443`	Autorisation des téléchargements d’images d’apps
`instance-registry.ironflock.com`	TCP `443`	Installation et mise à jour de l’agent de l’appareil
`app.ironflock.com`	TCP `443` (WebSocket), et TCP `7000` s’il est ouvert	Accès à distance aux interfaces utilisateur des appareils et des apps

L’accès à distance n’a besoin que du port 443. L’agent essaie d’abord le port 7000 et passe de lui-même à 443 lorsque 7000 est bloqué, y compris à travers un proxy HTTP configuré sur l’appareil. Si votre proxy inspecte le trafic TLS, l’appareil doit faire confiance au certificat racine de votre entreprise, et le proxy doit autoriser les WebSockets vers app.ironflock.com ou l’exclure de l’inspection. Les agents plus anciens n’utilisent que le port 7000 : si l’accès à distance échoue sur un réseau qui bloque 7000, mettez à jour l’agent de l’appareil. Sans accès à distance, l’appareil fonctionne normalement, mais ses interfaces utilisateur et ses ports ne peuvent pas être ouverts via l’Accès à distance.

Pendant l’installation sous Linux, l’outil d’installation installe aussi des paquets depuis les miroirs de paquets de votre système d’exploitation et, si Docker est absent, l’installe depuis get.docker.com et download.docker.com.

Les apps peuvent avoir besoin de leurs propres destinations, par exemple une API externe à laquelle elles envoient des données. La construction d’une app sur un appareil en mode développement télécharge les images de base indiquées dans son Dockerfile depuis leur registre, par exemple Docker Hub.

Pour un appareil sur un réseau d’entreprise restreint, prévoyez aussi :

Un proxy HTTP d’entreprise : l’agent et Docker doivent le connaître — voir Derrière un proxy d’entreprise → Appareils Edge.
Les pare-feu sensibles à l’identité : liez la règle à l’appareil, jamais à un utilisateur connecté — voir Pare-feu et proxys sensibles à l’identité.
La synchronisation horaire : les appareils ont besoin d’un serveur de temps fonctionnel, généralement via UDP 123 — voir Synchronisation horaire (NTP).

Appliance sur site

Une IronFlock Appliance a sa propre liste de destinations — voir Configuration du pare-feu. Les appareils edge connectés à une appliance se connectent à l’appliance au lieu de ironflock.com : voir Appareils se connectant à l’appliance.