Skip to Content
ネットワーク要件

ネットワーク要件

IronFlock への接続はすべて送信方向です。ブラウザーとエッジデバイスが IronFlock に接続し、IronFlock からお使いのネットワークへ接続することはありません。受信用のポートを開く必要はありません。ファイアウォール、Web フィルター、プロキシのあるネットワークでは、このページの接続先を許可してください。

概要

接続元接続先ポート用途
ブラウザー*.ironflock.comTCP 443（HTTPS と WebSocket）IronFlock Studio
ブラウザーcdn.jsdelivr.net、unpkg.comTCP 443ダッシュボードのウィジェットとコードエディター
ブラウザーfonts.googleapis.com、fonts.gstatic.comTCP 443フォントとアイコン
エッジデバイス*.ironflock.comTCP 443（HTTPS と WebSocket）プラットフォーム接続、アプリイメージ、インストール、アップデート、リモートアクセス
エッジデバイスapp.ironflock.comTCP 7000リモートアクセス。開いている場合は 443 の代わりに使用（任意）

個々のホスト名ではなく、*.ironflock.com 全体を許可してください。IronFlock は複数のサブドメインを使用しており、その一部しか通さないフィルターでは Studio が起動しません。

ブラウザー

IronFlock Studio はブラウザーで動作します。Studio はページ自体に加えて、ほかの ironflock.com サブドメインにも接続します。サインインのための接続と、Studio を開いている間すべてのデータを運ぶ WebSocket 接続です。

  • WebSocket：プロキシと Web フィルターは *.ironflock.com への WebSocket 接続（wss://）を許可し、使用中に切断しないようにする必要があります。プロキシが TLS 通信を検査する場合は、WebSocket に対応しているか、*.ironflock.com を検査の対象外にする必要があります。
  • ウィジェット：ダッシュボードのウィジェットとコードエディターは、公開 npm CDN の cdn.jsdelivr.net から読み込まれ、unpkg.com が代替先になります。両方がブロックされると、ダッシュボードにウィジェットが表示されません。
  • フォントとアイコンは fonts.googleapis.com と fonts.gstatic.com から読み込まれます。ブロックされても Studio は動作しますが、フォントとアイコンの見た目が変わります。
  • 支払い：js.stripe.com はアカウント設定の支払いページでのみ読み込まれます。

会社のノート PC と VPN

管理された会社のノート PC は、会社の VPN に接続しているかどうかで Web 通信のフィルタリングが変わることがよくあります。VPN 接続中は通信が会社のゲートウェイとそのルールを通り、VPN 切断中はノート PC 上のセキュリティクライアントが独自の、多くの場合より厳しいポリシーを適用します。VPN 接続中しか IronFlock が動かない場合は、このネットワーク外のポリシーでも *.ironflock.com を許可する必要があります。それまでは、IronFlock を使うときに VPN に接続してください。

接続がブロックされている場合

ブラウザーが IronFlock のサーバーに到達できない場合、Studio は許可すべきアドレスを示すページを表示し、到達できるようになるとすぐに自動で接続します。ブラウザーの開発者コンソールでは、ブロックされた接続は通常 auth.ironflock.com または cbw.ironflock.com に対する ERR_CONNECTION_RESET として表示され、Studio のページ自体は問題なく読み込まれます。

エッジデバイス

エッジデバイス上の IronFlock エージェントは、IronFlock への接続を自ら開いて維持します。デバイスに受信用のポートを開く必要はありません（エッジデバイス＆エージェントを参照）。ファイアウォールがワイルドカードを受け付けない場合、IronFlock クラウドに接続するデバイスについて *.ironflock.com の背後にある接続先は次のとおりです。

接続先ポート目的
cbw.ironflock.comTCP 443（WebSocket）プラットフォームへの常時接続
registry.ironflock.comTCP 443アプリイメージのダウンロード
regauth.ironflock.comTCP 443アプリイメージのダウンロードの認可
instance-registry.ironflock.comTCP 443デバイスエージェントのインストールと更新
app.ironflock.comTCP 443（WebSocket）、開いている場合は TCP 7000 もデバイスとアプリのユーザーインターフェースへのリモートアクセス

リモートアクセスに必要なポートは 443 だけです。エージェントはまずポート 7000 を試し、7000 がブロックされている場合は自動的に 443 に切り替えます。デバイスに HTTP プロキシが設定されている場合は、そのプロキシ経由でも切り替わります。プロキシが TLS 通信を検査する場合は、デバイスが自社のルート証明書を信頼している必要があり、プロキシは app.ironflock.com への WebSocket を許可するか、検査の対象外にする必要があります。古いエージェントはポート 7000 しか使いません。7000 をブロックしているネットワークでリモートアクセスが失敗する場合は、デバイスエージェントを更新してください。リモートアクセスがなくてもデバイスは通常どおり動作しますが、そのユーザーインターフェースとポートをリモートアクセスで開くことはできません。

インストール時には、Linux のセットアップツールが OS のパッケージミラーからパッケージもインストールし、Docker がない場合は get.docker.com と download.docker.com から Docker をインストールします。

アプリは、たとえばデータを送信する外部 API など、独自の接続先を必要とすることがあります。開発モードのデバイスでアプリをビルドすると、Dockerfile に指定されたベースイメージが Docker Hub などのレジストリから取得されます。

制限のある企業ネットワーク内のデバイスについては、次の点も考慮してください。

オンプレミスアプライアンス

IronFlock Appliance には独自の接続先リストがあります。ファイアウォールの設定を参照してください。アプライアンスに接続されたエッジデバイスは、ironflock.com ではなくアプライアンスに接続します。アプライアンスに接続するデバイスを参照してください。

Last updated on
セキュリティアクセス制御