Rete e firewall

Configurazione del Firewall

Se l’Appliance opera in una rete locale con restrizioni, abilita l’accesso in uscita verso i seguenti endpoint IronFlock affinché possa raggiungere il cloud. Tutte le connessioni sono avviate dall’Appliance — non è necessario aprire alcuna porta in ingresso sul tuo firewall.

instance-registry.ironflock.com:443   # download e aggiornamento del software IronFlock e degli agenti; assistente AI e notifiche SMS
cbw.ironflock.com:443                 # gestione remota dell'Appliance dal cloud
web.ironflock.com:443                 # attivazione e convalida della licenza
registry.ironflock.com:443            # download delle immagini delle app durante la sincronizzazione dall'IronFlock Store pubblico
regauth.ironflock.com:443             # autenticazione di tali download di immagini dallo Store pubblico
app.ironflock.com:443                 # apertura delle UI di app e dispositivi dal cloud (opzionale)
smtp-proxy.ironflock.com:2525         # invio di e-mail di account e notifica (opzionale)

Le voci registry.ironflock.com e regauth.ironflock.com sono necessarie per sincronizzare le app dall’IronFlock Store pubblico nel Local App Store. registry.ironflock.com serve le immagini delle app e regauth.ironflock.com emette il token che autorizza ogni download — entrambi devono essere raggiungibili, altrimenti la sincronizzazione (e la navigazione/installazione remota delle app) fallisce. Se il tuo Appliance serve esclusivamente app create localmente, puoi ometterli. Un’app le cui immagini provengono da un registro pubblico come Docker Hub viene copiata da quel registro durante la sincronizzazione, quindi l’Appliance deve poter raggiungere anche quello.

La voce app.ironflock.com trasporta il tunnel di accesso remoto che rende raggiungibili le interfacce utente di app e dispositivi mentre lavori sull’istanza da ironflock.com. Passa per la porta 443 come tutto il resto, direttamente o attraverso un proxy aziendale; solo un’Appliance installata con IRONFLOCK_CLOUD_TUNNEL_TCP=1 usa invece la porta 7000. Se la voce è bloccata, nulla fallisce in modo evidente — quelle interfacce semplicemente non si aprono dal cloud, mentre continuano a funzionare sulla rete locale. Se usi l’Appliance solo localmente, puoi ometterla.

La voce smtp-proxy.ironflock.com è necessaria solo se utilizzi il relay e-mail integrato di IronFlock. Se configuri il tuo server SMTP, puoi ometterla.

Destinazioni opzionali. L’assistente AI aggiorna i metadati dei modelli e dei widget da raw.githubusercontent.com e cdn.jsdelivr.net, e la ricerca degli indirizzi per le posizioni dei dispositivi usa nominatim.openstreetmap.org. Tutte e tre sono opzionali: se sono bloccate, l’assistente ricorre ai propri dati integrati e la ricerca degli indirizzi non è disponibile.

La sincronizzazione oraria non compare in questo elenco perché non è diretta a IronFlock: l’appliance ha comunque bisogno di una sorgente oraria funzionante. Consenti l’UDP 123 in uscita verso i tuoi server orari, oppure configura il tuo server orario interno sull’host — vedi Sincronizzazione oraria (NTP).

Se la tua rete raggiunge internet solo attraverso un proxy HTTP aziendale, consulta Dietro un Proxy Aziendale — l’installer può indirizzare automaticamente il daemon Docker verso il tuo proxy.

Dispositivi che si Connettono all’Appliance

I dispositivi edge si connettono all’Appliance, non al cloud. Se i dispositivi si trovano su un segmento di rete diverso da quello dell’Appliance, consenti alle reti dei dispositivi di raggiungere l’host dell’Appliance su queste porte:

<APPLIANCE_HOST>:18080   # collegamento del dispositivo (WebSocket) — richiesto
<APPLIANCE_HOST>:15001   # registro del Local App Store (download delle immagini delle app) — richiesto
<APPLIANCE_HOST>:15002   # autenticazione del registro (token per il download delle immagini), aggiornamenti dell'agent del dispositivo e installer del dispositivo — richiesto
<APPLIANCE_HOST>:7000    # accesso remoto alle UI dei dispositivi (funzionalità tunnel opzionale)

Queste sono connessioni dirette — non devono essere instradate attraverso un proxy HTTP aziendale. Se la rete di un dispositivo forza tutto il traffico attraverso un proxy, escludi l’host dell’Appliance dal proxy sul dispositivo, oppure passa l’Appliance a HTTPS con il tuo certificato aziendale: in quella modalità tutto il traffico dei dispositivi — il collegamento del dispositivo, i download delle immagini, gli aggiornamenti dell’agent e il tunnel di accesso remoto — si sposta su una singola porta compatibile con i proxy: 443 sul tuo dominio, e funziona attraverso proxy aziendali e firewall restrittivi senza eccezioni per singola porta.

La porta 15002 serve anche gli aggiornamenti dell’agent del dispositivo e l’installer del dispositivo: i dispositivi collegati all’Appliance scaricano gli aggiornamenti dell’agent — e i nuovi dispositivi l’installer — dall’Appliance stessa, mai da internet; in modalità dominio, invece, da https://registry.<APPLIANCE_DOMAIN>/dl sulla porta 443. Vedi Aggiornamenti dell’Agent del Dispositivo e Registrare Dispositivi senza Accesso a Internet.

I dispositivi non hanno bisogno di accesso a internet per il normale funzionamento. Tutto ciò che fa un dispositivo collegato — il collegamento del dispositivo, le immagini delle app, gli aggiornamenti dell’agent, l’accesso remoto — passa per l’Appliance. Un dispositivo raggiunge internet solo quando costruisce un’app da un Dockerfile la cui immagine di base si trova su un registro pubblico, quando pubblichi un’app che usa immagini pubbliche, quando Docker stesso deve ancora essere installato e — sui dispositivi con FlockOS — per verificare la disponibilità di aggiornamenti del sistema operativo su instance-registry.ironflock.com. Le app che distribuisci possono avere esigenze di rete proprie.

Identità di Rete per gli Host IronFlock

L’Appliance e ogni dispositivo edge eseguono IronFlock come servizio di sistema non presidiato: si avvia al boot e resta connesso giorno e notte, che qualcuno abbia effettuato l’accesso oppure no. Le regole del firewall e del proxy per questi host devono quindi essere legate alla macchina — mai alla persona che in quel momento ha effettuato l’accesso. Per i dispositivi edge questo vale qualunque sia la piattaforma a cui si connettono; la guida ai dispositivi lo tratta nella sezione Firewall e Proxy Basati sull’Identità.

Questo conta soprattutto nelle reti con un firewall o proxy basato sull’identità (identity-aware), che concede l’accesso in base all’identità della directory anziché all’indirizzo. Se la regola che autorizza un host IronFlock è legata a un utente, l’host perde l’accesso ogni volta che la sessione di quell’utente scade. Le connessioni già aperte continuano a funzionare mentre ogni nuova connessione viene scartata in silenzio, quindi l’host sembra in salute finché non deve connettersi di nuovo — a quel punto falliscono l’installazione di un’app, un aggiornamento dell’agent o una riconnessione, e dopo il successivo riavvio il dispositivo resta offline.

Non serve alcuna esenzione dall’applicazione delle policy per identità. Chiedi al tuo team di rete di identificare ogni host tramite l’identità che possiede effettivamente:

Come si applica ai prodotti più diffusi:

• Check Point Identity Awareness: nell’Access Role seleziona la macchina (oggetto computer o gruppo) anziché gli utenti. Le identità delle macchine vengono rinnovate dall’attività di dominio del computer stesso; se sul tuo gateway possono scadere, usa invece un oggetto di rete.
• Palo Alto Networks User-ID: gli account computer non producono mappature IP-utente, quindi usa un oggetto indirizzo, un tag o Device-ID.
• Fortinet FSSO e firewall analoghi basati sulla directory: usa un oggetto indirizzo per l’host, oppure l’indirizzo dinamico assegnato dal tuo controllo degli accessi alla rete.
• Zscaler, Prisma Access e altri gateway di sicurezza cloud: registra l’indirizzo dell’Appliance come location di tipo server o IoT (una sorgente attendibile), così il suo traffico viene identificato in base alla location anziché all’utente.

Come riconoscere il problema. Un dispositivo che resta online ma fallisce ogni nuova connessione — download delle immagini, login al registro, riconnessioni — mentre i ping e la sua sessione esistente continuano a funzionare indica una regola di identità scaduta, non un guasto del dispositivo. Non riavviare l’agent finché una nuova connessione dal dispositivo non torna ad andare a buon fine: la sessione ancora aperta è l’unica che funziona.

Accedi alla tua Istanza da ironflock.com

Anche se l’Appliance è una piattaforma totalmente locale, non devi essere sulla rete della fabbrica per utilizzarlo. Finché l’Appliance ha una connessione internet e il tuo account Appliance è connesso al tuo account su ironflock.com (vedi Collegamento degli Account), puoi passare alla tua istanza direttamente dall’interfaccia cloud IronFlock — niente VPN, niente port forwarding, nessuno strumento aggiuntivo.

Questo significa:

• Un’interfaccia unificata — gestisci i tuoi progetti cloud e le tue istanze Appliance fianco a fianco da un’unica scheda del browser.
• Lavora da qualsiasi luogo — operatori, sviluppatori e personale di supporto possono raggiungere l’Appliance via internet, mentre tutti i dati di produzione e i workload restano locali sull’Appliance.
• Visione multi-sito semplificata — se gestisci più Appliance in fabbriche diverse, ognuna compare nel tuo account ironflock.com ed è a un clic di distanza.

Quando l’Appliance perde la connessione a internet, continua a funzionare localmente e resta raggiungibile dall’interno della rete della fabbrica all’indirizzo http://<appliance-host> — solo l’accesso remoto si mette in pausa finché la connettività non torna.