Requisiti di Rete
Tutte le connessioni verso IronFlock sono in uscita: browser e dispositivi edge si connettono a IronFlock, e IronFlock non apre mai connessioni verso la tua rete. Non serve aprire porte in ingresso. In una rete con firewall, filtro web o proxy, consenti le destinazioni elencate in questa pagina.
Riepilogo
| Da | Destinazione | Porta | Necessaria per |
|---|---|---|---|
| Browser | *.ironflock.com | TCP 443 (HTTPS e WebSocket) | IronFlock Studio |
| Browser | cdn.jsdelivr.net, unpkg.com | TCP 443 | Widget delle dashboard ed editor di codice |
| Browser | fonts.googleapis.com, fonts.gstatic.com | TCP 443 | Font e icone |
| Dispositivo edge | *.ironflock.com | TCP 443 (HTTPS e WebSocket) | Connessione alla piattaforma, immagini delle app, installazione, aggiornamenti e accesso remoto |
| Dispositivo edge | app.ironflock.com | TCP 7000 | Accesso remoto, usata al posto della 443 dove è aperta (opzionale) |
Consenti *.ironflock.com nel suo insieme invece dei singoli nomi host: IronFlock usa diversi sottodomini, e un filtro che ne lascia passare solo alcuni impedisce l’avvio di Studio.
Browser
IronFlock Studio funziona nel browser. Oltre alla pagina stessa, Studio si connette ad altri sottodomini di ironflock.com: per l’accesso e per una connessione WebSocket che trasporta tutti i dati finché Studio è aperto.
- WebSocket: proxy e filtri web devono consentire le connessioni WebSocket (
wss://) verso*.ironflock.come non devono interromperle mentre sono in uso. Se il tuo proxy ispeziona il traffico TLS, deve supportare i WebSocket oppure escludere*.ironflock.comdall’ispezione. - Widget: i widget delle dashboard e l’editor di codice vengono caricati dalla CDN pubblica di npm
cdn.jsdelivr.net, conunpkg.comcome alternativa. Se entrambe sono bloccate, le dashboard non mostrano widget. - Font e icone provengono da
fonts.googleapis.comefonts.gstatic.com. Se sono bloccati, Studio funziona comunque, ma font e icone hanno un aspetto diverso. - Pagamenti:
js.stripe.comviene caricato solo nella pagina di pagamento delle impostazioni del tuo account.
Laptop aziendali e VPN
I laptop aziendali gestiti spesso filtrano il traffico web in modo diverso a seconda che la VPN aziendale sia connessa o meno. Con la VPN attiva, il traffico passa dal gateway aziendale e dalle sue regole; con la VPN spenta, un client di sicurezza sul laptop applica una propria policy, spesso più restrittiva. Se IronFlock funziona solo con la VPN connessa, anche quella policy fuori dalla rete aziendale deve consentire *.ironflock.com — fino ad allora, connetti la VPN quando usi IronFlock.
Quando la connessione è bloccata
Se il browser non riesce a raggiungere i server di IronFlock, Studio mostra una pagina con gli indirizzi da consentire e si connette automaticamente non appena sono raggiungibili. Nella console per sviluppatori del browser, una connessione bloccata compare di solito come ERR_CONNECTION_RESET per auth.ironflock.com o cbw.ironflock.com, mentre la pagina di Studio in sé si carica normalmente.
Dispositivi Edge
L’agent IronFlock su un dispositivo edge apre le proprie connessioni verso IronFlock e le mantiene aperte; il dispositivo non ha bisogno di porte in ingresso aperte (vedi Dispositivi Edge & Agent). Se il tuo firewall non accetta caratteri jolly, queste sono le destinazioni dietro *.ironflock.com per un dispositivo connesso al cloud IronFlock:
| Destinazione | Porta | Scopo |
|---|---|---|
cbw.ironflock.com | TCP 443 (WebSocket) | Connessione permanente alla piattaforma |
registry.ironflock.com | TCP 443 | Download delle immagini delle app |
regauth.ironflock.com | TCP 443 | Autorizzazione dei download delle immagini delle app |
instance-registry.ironflock.com | TCP 443 | Installazione e aggiornamento dell’agent del dispositivo |
app.ironflock.com | TCP 443 (WebSocket) e TCP 7000, se aperta | Accesso remoto alle interfacce utente di dispositivi e app |
L’accesso remoto richiede solo la porta
443. L’agent prova prima la porta7000e passa da solo alla443quando la7000è bloccata, anche attraverso un proxy HTTP configurato sul dispositivo. Se il tuo proxy ispeziona il traffico TLS, il dispositivo deve considerare attendibile il certificato radice della tua azienda, e il proxy deve consentire i WebSocket versoapp.ironflock.comoppure escluderlo dall’ispezione. Gli agent meno recenti usano solo la porta7000: se l’accesso remoto non funziona in una rete che blocca la7000, aggiorna l’agent del dispositivo. Senza accesso remoto il dispositivo funziona normalmente, ma le sue interfacce utente e porte non si possono aprire tramite l’Accesso Remoto.
Durante l’installazione su Linux, lo strumento di installazione installa anche pacchetti dai mirror del tuo sistema operativo e, se Docker manca, lo installa da
get.docker.comedownload.docker.com.
Le app possono richiedere destinazioni proprie, ad esempio un’API esterna a cui inviano dati. La build di un’app su un dispositivo in modalità di sviluppo scarica dal rispettivo registry le immagini di base indicate nel Dockerfile, ad esempio da Docker Hub.
Per un dispositivo in una rete aziendale con restrizioni, tieni conto anche di:
- Un proxy HTTP aziendale: l’agent e Docker devono saperlo — vedi Dietro un Proxy Aziendale → Dispositivi Edge.
- Firewall basati sull’identità: lega la regola al dispositivo, mai a un utente connesso — vedi Firewall e Proxy Basati sull’Identità.
- Sincronizzazione oraria: i dispositivi hanno bisogno di un time server funzionante, di solito via UDP
123— vedi Sincronizzazione oraria (NTP).
Appliance On-Premises
Un’IronFlock Appliance ha un proprio elenco di destinazioni — vedi Configurazione del Firewall. I dispositivi edge connessi a un’appliance si connettono all’appliance invece che a ironflock.com: vedi Dispositivi che si Connettono all’Appliance.