네트워크 요구 사항
IronFlock으로의 모든 연결은 아웃바운드 연결입니다. 브라우저와 엣지 디바이스가 IronFlock에 연결하며, IronFlock이 귀사의 네트워크 안으로 연결하는 일은 없습니다. 인바운드 포트를 열 필요가 없습니다. 방화벽, 웹 필터 또는 프록시가 있는 네트워크에서는 이 페이지의 대상을 허용하십시오.
요약
| 출발지 | 대상 | 포트 | 용도 |
|---|---|---|---|
| 브라우저 | *.ironflock.com | TCP 443 (HTTPS 및 WebSocket) | IronFlock Studio |
| 브라우저 | cdn.jsdelivr.net, unpkg.com | TCP 443 | 대시보드 위젯과 코드 편집기 |
| 브라우저 | fonts.googleapis.com, fonts.gstatic.com | TCP 443 | 글꼴과 아이콘 |
| 엣지 디바이스 | *.ironflock.com | TCP 443 (HTTPS 및 WebSocket) | 플랫폼 연결, 앱 이미지, 설치, 업데이트 및 원격 접근 |
| 엣지 디바이스 | app.ironflock.com | TCP 7000 | 원격 접근. 열려 있으면 443 대신 사용(선택 사항) |
개별 호스트 이름이 아니라 *.ironflock.com 전체를 허용하십시오. IronFlock은 여러 하위 도메인을 사용하며, 그중 일부만 통과시키는 필터에서는 Studio가 시작되지 않습니다.
브라우저
IronFlock Studio는 브라우저에서 실행됩니다. Studio는 페이지 자체 외에도 다른 ironflock.com 하위 도메인에 연결합니다. 하나는 로그인을 위한 연결이고, 다른 하나는 Studio가 열려 있는 동안 모든 데이터를 전달하는 WebSocket 연결입니다.
- WebSocket: 프록시와 웹 필터는
*.ironflock.com으로의 WebSocket 연결(wss://)을 허용해야 하며, 사용 중에 연결을 끊어서는 안 됩니다. 프록시가 TLS 트래픽을 검사하는 경우 WebSocket을 지원하거나*.ironflock.com을 검사 대상에서 제외해야 합니다. - 위젯: 대시보드 위젯과 코드 편집기는 공개 npm CDN인
cdn.jsdelivr.net에서 로드되며,unpkg.com이 대체 경로입니다. 둘 다 차단되면 대시보드에 위젯이 표시되지 않습니다. - 글꼴과 아이콘은
fonts.googleapis.com과fonts.gstatic.com에서 제공됩니다. 차단되어도 Studio는 작동하지만 글꼴과 아이콘의 모양이 달라집니다. - 결제:
js.stripe.com은 계정 설정의 결제 페이지에서만 로드됩니다.
회사 노트북과 VPN
관리되는 회사 노트북은 회사 VPN 연결 여부에 따라 웹 트래픽을 다르게 필터링하는 경우가 많습니다. VPN이 켜져 있으면 트래픽이 회사 게이트웨이와 그 규칙을 거치고, VPN이 꺼져 있으면 노트북의 보안 클라이언트가 자체적인, 흔히 더 엄격한 정책을 적용합니다. VPN에 연결했을 때만 IronFlock이 작동한다면 이 네트워크 외부 정책에서도 *.ironflock.com을 허용해야 합니다. 그때까지는 IronFlock을 사용할 때 VPN에 연결하십시오.
연결이 차단된 경우
브라우저가 IronFlock 서버에 도달할 수 없으면 Studio는 허용해야 할 주소를 알려 주는 페이지를 표시하고, 주소에 도달할 수 있게 되는 즉시 자동으로 연결합니다. 브라우저의 개발자 콘솔에서는 차단된 연결이 보통 auth.ironflock.com 또는 cbw.ironflock.com에 대한 ERR_CONNECTION_RESET으로 나타나며, Studio 페이지 자체는 정상적으로 로드됩니다.
엣지 디바이스
엣지 디바이스의 IronFlock 에이전트는 IronFlock으로의 연결을 스스로 열고 유지합니다. 디바이스에 열린 인바운드 포트는 필요하지 않습니다(엣지 디바이스 및 에이전트 참조). 방화벽이 와일드카드를 허용하지 않는 경우, IronFlock 클라우드에 연결된 디바이스가 사용하는 *.ironflock.com 뒤의 대상은 다음과 같습니다.
| 대상 | 포트 | 목적 |
|---|---|---|
cbw.ironflock.com | TCP 443 (WebSocket) | 플랫폼과의 상시 연결 |
registry.ironflock.com | TCP 443 | 앱 이미지 다운로드 |
regauth.ironflock.com | TCP 443 | 앱 이미지 다운로드 승인 |
instance-registry.ironflock.com | TCP 443 | 디바이스 에이전트 설치 및 업데이트 |
app.ironflock.com | TCP 443 (WebSocket), 열려 있으면 TCP 7000도 | 디바이스와 앱의 사용자 인터페이스에 대한 원격 접근 |
원격 접근에는
443포트만 있으면 됩니다. 에이전트는 먼저7000포트를 시도하고,7000이 차단되어 있으면 디바이스에 구성된 HTTP 프록시를 통해서도 자동으로443으로 전환합니다. 프록시가 TLS 트래픽을 검사하는 경우 디바이스가 회사의 루트 인증서를 신뢰해야 하며, 프록시는app.ironflock.com으로의 WebSocket을 허용하거나 검사 대상에서 제외해야 합니다. 이전 버전의 에이전트는7000포트만 사용합니다.7000을 차단하는 네트워크에서 원격 접근이 실패하면 디바이스 에이전트를 업데이트하십시오. 원격 접근이 없어도 디바이스는 정상적으로 작동하지만, 사용자 인터페이스와 포트를 원격 접근으로 열 수는 없습니다.
설치 중에는 Linux의 설치 도구가 운영 체제의 패키지 미러에서 패키지도 설치하며, Docker가 없으면
get.docker.com과download.docker.com에서 Docker를 설치합니다.
앱은 데이터를 보내는 외부 API처럼 자체 대상이 필요할 수 있습니다. 개발 모드의 디바이스에서 앱을 빌드하면 Dockerfile에 지정된 베이스 이미지를 Docker Hub 같은 레지스트리에서 가져옵니다.
제한된 회사 네트워크의 디바이스에 대해서는 다음 사항도 고려하십시오.
- 회사 HTTP 프록시: 에이전트와 Docker에 프록시를 알려 주어야 합니다. 회사 프록시 환경 사용 → 엣지 디바이스를 참조하십시오.
- ID 인식 방화벽: 규칙은 로그인한 사용자가 아니라 반드시 디바이스에 연결하십시오. ID 인식 방화벽 및 프록시를 참조하십시오.
- 시간 동기화: 디바이스에는 작동하는 시간 서버가 필요하며, 보통 UDP
123을 사용합니다. 시간 동기화 (NTP)를 참조하십시오.
온프레미스 어플라이언스
IronFlock Appliance에는 자체 대상 목록이 있습니다. 방화벽 구성을 참조하십시오. 어플라이언스에 연결된 엣지 디바이스는 ironflock.com이 아니라 어플라이언스에 연결합니다. 어플라이언스에 연결하는 디바이스를 참조하십시오.