Wymagania sieciowe

Wszystkie połączenia z IronFlock są wychodzące: przeglądarki i urządzenia brzegowe łączą się z IronFlock, a IronFlock nigdy nie nawiązuje połączeń do twojej sieci. Nie trzeba otwierać żadnych portów przychodzących. W sieci z zaporą, filtrem WWW lub proxy przepuść adresy docelowe z tej strony.

Podsumowanie

Skąd	Cel	Port	Potrzebne do
Przeglądarka	`*.ironflock.com`	TCP `443` (HTTPS i WebSocket)	IronFlock Studio
Przeglądarka	`cdn.jsdelivr.net`, `unpkg.com`	TCP `443`	Widżety dashboardów i edytor kodu
Przeglądarka	`fonts.googleapis.com`, `fonts.gstatic.com`	TCP `443`	Czcionki i ikony
Urządzenie brzegowe	`*.ironflock.com`	TCP `443` (HTTPS i WebSocket)	Połączenie z platformą, obrazy aplikacji, instalacja, aktualizacje i zdalny dostęp
Urządzenie brzegowe	`app.ironflock.com`	TCP `7000`	Zdalny dostęp, używany zamiast `443` tam, gdzie port jest otwarty (opcjonalnie)

Przepuść *.ironflock.com w całości zamiast pojedynczych nazw hostów: IronFlock używa kilku subdomen, a filtr, który przepuszcza tylko część z nich, uniemożliwia uruchomienie Studio.

Przeglądarki

IronFlock Studio działa w przeglądarce. Poza samą stroną Studio łączy się z kolejnymi subdomenami ironflock.com: przy logowaniu oraz przez połączenie WebSocket, które przenosi wszystkie dane, dopóki Studio jest otwarte.

WebSockety: proxy i filtry WWW muszą zezwalać na połączenia WebSocket (wss://) do *.ironflock.com i nie mogą ich przerywać w trakcie używania. Jeśli twoje proxy inspekcjonuje ruch TLS, musi obsługiwać WebSockety albo wyłączyć *.ironflock.com z inspekcji.
Widżety: widżety dashboardów i edytor kodu ładują się z publicznego CDN npm cdn.jsdelivr.net, z unpkg.com jako zapasowym źródłem. Jeśli oba są zablokowane, dashboardy nie pokazują widżetów.
Czcionki i ikony pochodzą z fonts.googleapis.com i fonts.gstatic.com. Jeśli są zablokowane, Studio nadal działa, ale czcionki i ikony wyglądają inaczej.
Płatności: js.stripe.com ładuje się tylko na stronie płatności w ustawieniach twojego konta.

Laptopy firmowe i VPN

Zarządzane laptopy firmowe często filtrują ruch WWW inaczej w zależności od tego, czy firmowy VPN jest połączony. Z włączonym VPN ruch przechodzi przez firmową bramę i jej reguły; z wyłączonym VPN klient bezpieczeństwa na laptopie stosuje własną, często surowszą politykę. Jeśli IronFlock działa tylko z połączonym VPN, ta polityka poza siecią firmową również musi przepuszczać *.ironflock.com — do tego czasu łącz się z VPN, gdy korzystasz z IronFlock.

Gdy połączenie jest zablokowane

Jeśli przeglądarka nie może dotrzeć do serwerów IronFlock, Studio wyświetla stronę z adresami do przepuszczenia i łączy się automatycznie, gdy tylko staną się osiągalne. W konsoli deweloperskiej przeglądarki zablokowane połączenie zwykle widać jako ERR_CONNECTION_RESET dla auth.ironflock.com lub cbw.ironflock.com, podczas gdy sama strona Studio ładuje się normalnie.

Urządzenia brzegowe

Agent IronFlock na urządzeniu brzegowym sam otwiera połączenia z IronFlock i utrzymuje je otwarte; urządzenie nie potrzebuje otwartych portów przychodzących (zobacz Urządzenia brzegowe i agent). Jeśli twoja zapora nie akceptuje symboli wieloznacznych, oto adresy docelowe kryjące się za *.ironflock.com dla urządzenia połączonego z chmurą IronFlock:

Cel	Port	Przeznaczenie
`cbw.ironflock.com`	TCP `443` (WebSocket)	Stałe połączenie z platformą
`registry.ironflock.com`	TCP `443`	Pobieranie obrazów aplikacji
`regauth.ironflock.com`	TCP `443`	Autoryzacja pobierania obrazów aplikacji
`instance-registry.ironflock.com`	TCP `443`	Instalacja i aktualizacja agenta urządzenia
`app.ironflock.com`	TCP `443` (WebSocket) oraz TCP `7000`, jeśli jest otwarty	Zdalny dostęp do interfejsów użytkownika urządzeń i aplikacji

Zdalny dostęp wymaga tylko portu 443. Agent najpierw próbuje portu 7000 i sam przełącza się na 443, gdy 7000 jest zablokowany, także przez proxy HTTP skonfigurowane na urządzeniu. Jeśli twoje proxy inspekcjonuje ruch TLS, urządzenie musi ufać certyfikatowi głównemu twojej firmy, a proxy musi zezwalać na WebSockety do app.ironflock.com albo wyłączyć ten adres z inspekcji. Starsze agenty używają wyłącznie portu 7000: jeśli zdalny dostęp nie działa w sieci, która blokuje 7000, zaktualizuj agenta urządzenia. Bez zdalnego dostępu urządzenie działa normalnie, ale jego interfejsów użytkownika i portów nie da się otworzyć przez Zdalny dostęp.

Podczas instalacji w systemie Linux narzędzie instalacyjne instaluje też pakiety z serwerów lustrzanych twojego systemu operacyjnego, a jeśli brakuje Dockera, instaluje go z get.docker.com i download.docker.com.

Aplikacje mogą potrzebować własnych adresów docelowych, na przykład zewnętrznego API, do którego wysyłają dane. Budowanie aplikacji na urządzeniu w trybie deweloperskim pobiera obrazy bazowe wskazane w jej Dockerfile z ich rejestru, na przykład z Docker Hub.

Dla urządzenia w firmowej sieci z ograniczeniami zaplanuj też:

Firmowe proxy HTTP: agent i Docker muszą o nim wiedzieć — zobacz Za firmowym proxy → Urządzenia brzegowe.
Zapory świadome tożsamości: wiąż regułę z urządzeniem, nigdy z zalogowanym użytkownikiem — zobacz Zapory i proxy świadome tożsamości.
Synchronizację czasu: urządzenia potrzebują działającego serwera czasu, zwykle przez UDP 123 — zobacz Synchronizacja czasu (NTP).

Appliance on-premises

IronFlock Appliance ma własną listę adresów docelowych — zobacz Konfiguracja zapory sieciowej. Urządzenia brzegowe połączone z appliance łączą się z appliance zamiast z ironflock.com: zobacz Urządzenia łączące się z Appliance.