네트워크 및 방화벽

방화벽 구성

어플라이언스가 제한된 로컬 네트워크에서 실행되는 경우, 클라우드에 도달할 수 있도록 다음 IronFlock 엔드포인트에 대한 아웃바운드 접근을 허용하십시오. 모든 연결은 어플라이언스가 시작하므로, 방화벽에서 인바운드 포트를 열 필요가 없습니다.


instance-registry.ironflock.com:443   # IronFlock 소프트웨어 및 에이전트 다운로드 및 업데이트, AI 어시스턴트 및 SMS 알림
cbw.ironflock.com:443                 # 클라우드에서 어플라이언스 원격 관리
web.ironflock.com:443                 # 라이선스 활성화 및 검증
registry.ironflock.com:443            # 공개 IronFlock Store에서 동기화 시 앱 이미지 가져오기
regauth.ironflock.com:443             # 해당 공개 Store 이미지 가져오기 인증
app.ironflock.com:443                 # 클라우드에서 앱 및 디바이스 사용자 인터페이스 열기 (선택 사항)
smtp-proxy.ironflock.com:2525         # 계정 및 알림 이메일 전송 (선택 사항)

registry.ironflock.com 및 regauth.ironflock.com 항목은 공개 IronFlock Store에서 local App Store로 앱을 동기화하는 데 필요합니다. registry.ironflock.com은 앱 이미지를 제공하고 regauth.ironflock.com은 각 가져오기를 인가하는 토큰을 발급하므로 — 둘 다 도달 가능해야 하며, 그렇지 않으면 동기화(및 원격 앱 탐색/설치)가 실패합니다. 어플라이언스가 로컬에서 빌드한 앱만 제공한다면 이 항목들은 생략해도 됩니다. Docker Hub 같은 공개 레지스트리에서 이미지를 가져오는 앱은 동기화 중에 해당 레지스트리에서 복사되므로, 어플라이언스가 그 레지스트리에도 도달할 수 있어야 합니다.

app.ironflock.com 항목은 원격 접근 터널에 사용됩니다. 이 터널을 통해 ironflock.com에서 인스턴스로 작업하는 동안 앱과 디바이스의 사용자 인터페이스에 접근할 수 있습니다. 이 터널은 다른 모든 트래픽과 마찬가지로 포트 443을 사용하며, 직접 연결이든 회사 프록시를 통해서든 동작합니다. IRONFLOCK_CLOUD_TUNNEL_TCP=1로 설치한 어플라이언스만 대신 포트 7000을 사용합니다. 이 항목이 차단되어도 눈에 띄는 오류는 발생하지 않습니다 — 해당 인터페이스가 클라우드에서 열리지 않을 뿐이며, 로컬 네트워크에서는 계속 동작합니다. 어플라이언스를 로컬에서만 사용한다면 이 항목은 생략해도 됩니다.

smtp-proxy.ironflock.com 항목은 내장된 IronFlock 이메일 릴레이를 사용하는 경우에만 필요합니다. 자체 SMTP 서버를 구성하면 생략할 수 있습니다.

선택적 접속 대상. AI 어시스턴트는 raw.githubusercontent.com과 cdn.jsdelivr.net에서 모델 및 위젯 메타데이터를 갱신하며, 디바이스 위치의 주소 조회에는 nominatim.openstreetmap.org를 사용합니다. 세 곳 모두 선택 사항입니다. 차단되면 어시스턴트는 내장 데이터를 대신 사용하며, 주소 조회는 사용할 수 없게 됩니다.

시간 동기화는 IronFlock으로 향하는 트래픽이 아니므로 이 목록에 없습니다. 그래도 어플라이언스에는 동작하는 시간 소스가 필요합니다. 시간 서버로 향하는 아웃바운드 **UDP 123**을 허용하거나, 호스트에 내부 시간 서버를 설정하십시오 — 시간 동기화 (NTP)를 참조하세요.

네트워크가 회사 HTTP 프록시를 통해서만 인터넷에 도달하는 경우 회사 프록시 환경 사용을 참조하십시오 — 설치 프로그램이 Docker 데몬을 자동으로 프록시로 향하게 설정할 수 있습니다.

어플라이언스에 연결하는 디바이스

엣지 디바이스는 클라우드가 아니라 어플라이언스에 연결됩니다. 디바이스가 어플라이언스와 다른 네트워크 세그먼트에 있는 경우, 디바이스 네트워크가 다음 포트에서 어플라이언스 호스트에 도달할 수 있도록 허용하십시오:


<APPLIANCE_HOST>:18080   # 디바이스 연결(WebSocket) — 필수
<APPLIANCE_HOST>:15001   # local App Store 레지스트리(앱 이미지 가져오기) — 필수
<APPLIANCE_HOST>:15002   # 레지스트리 인증(이미지 가져오기 토큰), 디바이스 에이전트 업데이트 및 디바이스 설치 프로그램 — 필수
<APPLIANCE_HOST>:7000    # 디바이스 UI 원격 접근(선택적 터널 기능)

이 연결들은 직접 연결입니다 — 회사 HTTP 프록시를 통해 라우팅되어서는 안 됩니다. 디바이스의 네트워크가 모든 트래픽을 프록시를 통해 강제로 보내는 경우, 디바이스에서 어플라이언스 호스트를 프록시 예외로 지정하거나, 어플라이언스를 회사 인증서를 사용하는 HTTPS로 전환하십시오: 이 모드에서는 모든 디바이스 트래픽 — 디바이스 연결, 이미지 가져오기, 에이전트 업데이트, 그리고 원격 접근 터널 — 이 **도메인의 단일 프록시 친화적 포트인 443**으로 이동하며, 포트별 예외 없이 회사 프록시와 엄격한 방화벽을 통과하여 작동합니다.

포트 15002는 디바이스 에이전트 업데이트와 디바이스 설치 프로그램에도 사용됩니다. 어플라이언스에 연결된 디바이스는 에이전트 업데이트를, 새 디바이스는 설치 프로그램을 인터넷이 아니라 어플라이언스 자체에서 다운로드합니다 — 도메인 모드에서는 대신 https://registry.<APPLIANCE_DOMAIN>/dl에서 포트 443을 통해 받습니다. 디바이스 에이전트 업데이트와 인터넷에 접근할 수 없는 디바이스 등록을 참조하세요.

디바이스는 일반 운영에 인터넷 접근이 필요하지 않습니다. 연결된 디바이스의 모든 트래픽 — 디바이스 링크, 앱 이미지, 에이전트 업데이트, 원격 접근 — 은 어플라이언스로 향합니다. 디바이스가 인터넷에 접근하는 경우는 다음뿐입니다: 베이스 이미지가 공개 레지스트리에 있는 Dockerfile로 앱을 빌드할 때, 공개 이미지를 사용하는 앱을 게시할 때, Docker 자체를 아직 설치해야 할 때, 그리고 FlockOS를 실행하는 디바이스가 instance-registry.ironflock.com에서 운영체제 업데이트를 확인할 때입니다. 배포하는 앱에는 별도의 네트워크 요구 사항이 있을 수 있습니다.

IronFlock 호스트의 네트워크 ID

어플라이언스와 모든 엣지 디바이스는 IronFlock을 무인 시스템 서비스로 실행합니다. 부팅 시 시작되어 누가 로그인해 있든 없든 항상 연결을 유지합니다. 따라서 이러한 호스트에 대한 방화벽 및 프록시 규칙은 머신을 기준으로 설정해야 하며, 그 머신에 마침 로그인해 있는 사람을 기준으로 해서는 절대 안 됩니다. 엣지 디바이스의 경우 어떤 플랫폼에 연결하든 마찬가지이며, 디바이스 가이드의 ID 인식 방화벽 및 프록시에서 자세히 다룹니다.

이는 주소 대신 디렉터리 ID를 기준으로 접근을 허용하는 ID 인식 방화벽 또는 프록시가 있는 네트워크에서 특히 중요합니다. IronFlock 호스트를 허용하는 규칙이 사용자에 연결되어 있으면, 해당 사용자의 세션이 만료될 때마다 호스트가 접근 권한을 잃습니다. 이미 열린 연결은 계속 동작하지만 새 연결은 모두 조용히 폐기되므로, 호스트는 다음에 연결해야 할 때까지 정상으로 보입니다. 그때 앱 설치, 에이전트 업데이트 또는 재연결이 실패하고, 다음 재시작 이후에는 디바이스가 오프라인 상태로 남습니다.

ID 기반 적용에서 예외를 둘 필요는 없습니다. 네트워크 팀에 각 호스트를 실제로 가진 ID로 식별하도록 요청하십시오:

호스트	규칙에 사용할 ID
도메인에 가입된 Windows 엣지 디바이스	해당 디바이스의 컴퓨터 계정 — 컴퓨터 개체 또는 IronFlock Edge Devices 같은 그룹
그 밖의 모든 엣지 디바이스(Linux, FlockOS, 도메인에 가입되지 않은 Windows)와 어플라이언스	예약된 IP 주소를 가진 이름이 지정된 호스트 객체, 또는 네트워크 접근 제어(802.1X 또는 MAC 인증)가 할당하는 ID
인증 프록시를 통한 어플라이언스의 인터넷 접근	어플라이언스 전용 서비스 계정 — 프록시 인증 참조

주요 제품별 적용 방법:

Check Point Identity Awareness: Access Role에서 사용자 대신 머신(컴퓨터 개체 또는 그룹)을 선택하십시오. 머신 ID는 컴퓨터 자체의 도메인 활동으로 갱신됩니다. 게이트웨이에서 머신 ID가 만료될 수 있다면 대신 네트워크 객체를 사용하십시오.
Palo Alto Networks User-ID: 컴퓨터 계정은 IP-사용자 매핑을 생성하지 않으므로, 주소 객체, 태그 또는 Device-ID를 사용하십시오.
Fortinet FSSO 및 유사한 디렉터리 기반 방화벽: 호스트에 대한 주소 객체, 또는 네트워크 접근 제어가 할당하는 동적 주소를 사용하십시오.
Zscaler, Prisma Access 및 기타 클라우드 보안 게이트웨이: 어플라이언스의 주소를 서버 또는 IoT 위치(신뢰할 수 있는 소스)로 등록하여, 트래픽이 사용자가 아닌 위치로 식별되도록 하십시오.

장애 식별하기. 디바이스가 온라인 상태를 유지하고 ping과 기존 세션은 계속 동작하는데 새 연결 — 이미지 가져오기, 레지스트리 로그인, 재연결 — 이 모두 실패한다면, 원인은 디바이스가 아니라 만료된 ID 규칙에 있습니다. 디바이스에서 새 연결이 다시 성공할 때까지 에이전트를 재시작하지 마십시오. 아직 열려 있는 세션이 유일하게 동작하는 연결입니다.

ironflock.com에서 인스턴스 접근하기

어플라이언스는 완전한 로컬 플랫폼이지만, 이를 사용하기 위해 반드시 공장 네트워크 내에 있어야 하는 것은 아닙니다. 어플라이언스가 인터넷에 연결되어 있고 어플라이언스 계정이 ironflock.com 계정과 연결되어 있는 한(계정 연결 참조), IronFlock 클라우드 UI에서 인스턴스로 직접 전환할 수 있습니다. VPN, 포트 포워딩, 추가 도구가 필요 없습니다.

이는 다음을 의미합니다:

하나의 통합된 UI — 클라우드 프로젝트와 어플라이언스 인스턴스를 단일 브라우저 탭에서 나란히 관리할 수 있습니다.
어디서나 작업 가능 — 운영자, 개발자, 지원 인력이 인터넷을 통해 어플라이언스에 접근할 수 있으며, 모든 프로덕션 데이터와 워크로드는 어플라이언스에 로컬로 유지됩니다.
간편한 다중 사이트 관리 — 여러 공장에 걸쳐 여러 어플라이언스를 운영하는 경우 각각이 ironflock.com 계정에 표시되며 클릭 한 번으로 접근할 수 있습니다.

어플라이언스가 인터넷 연결을 잃으면 로컬에서 계속 실행되며, 공장 네트워크 내부에서는 http://<appliance-host>를 통해 여전히 접근할 수 있습니다. 연결이 복구될 때까지 원격 접근 경로만 일시 중지됩니다.