Requisitos de Rede
Todas as conexões com o IronFlock são de saída: navegadores e dispositivos de borda se conectam ao IronFlock, e o IronFlock nunca abre conexões para dentro da sua rede. Nenhuma porta de entrada precisa ser aberta. Em uma rede com firewall, filtro web ou proxy, libere os destinos desta página.
Resumo
| Origem | Destino | Porta | Necessário para |
|---|---|---|---|
| Navegador | *.ironflock.com | TCP 443 (HTTPS e WebSocket) | IronFlock Studio |
| Navegador | cdn.jsdelivr.net, unpkg.com | TCP 443 | Widgets dos dashboards e o editor de código |
| Navegador | fonts.googleapis.com, fonts.gstatic.com | TCP 443 | Fontes e ícones |
| Dispositivo de borda | *.ironflock.com | TCP 443 (HTTPS e WebSocket) | Conexão com a plataforma, imagens de apps, instalação, atualizações e acesso remoto |
| Dispositivo de borda | app.ironflock.com | TCP 7000 | Acesso remoto, usado no lugar da 443 onde estiver aberta (opcional) |
Libere *.ironflock.com como um todo, e não nomes de host isolados: o IronFlock usa vários subdomínios, e um filtro que deixa passar só alguns deles impede o Studio de iniciar.
Navegadores
O IronFlock Studio roda no navegador. Além da própria página, o Studio se conecta a outros subdomínios de ironflock.com: para o login e para uma conexão WebSocket que transporta todos os dados enquanto o Studio estiver aberto.
- WebSockets: proxies e filtros web precisam permitir conexões WebSocket (
wss://) para*.ironflock.come não podem interrompê-las enquanto estão em uso. Se o seu proxy inspeciona tráfego TLS, ele precisa suportar WebSockets ou excluir*.ironflock.comda inspeção. - Widgets: os widgets dos dashboards e o editor de código são carregados da CDN pública do npm
cdn.jsdelivr.net, comunpkg.comcomo alternativa. Se ambas estiverem bloqueadas, os dashboards não mostram widgets. - Fontes e ícones vêm de
fonts.googleapis.comefonts.gstatic.com. Se estiverem bloqueados, o Studio continua funcionando, mas fontes e ícones ficam com outra aparência. - Pagamentos:
js.stripe.comsó é carregado na página de pagamento das configurações da sua conta.
Notebooks corporativos e VPNs
Notebooks corporativos gerenciados costumam filtrar o tráfego web de forma diferente dependendo de a VPN da empresa estar conectada ou não. Com a VPN ligada, o tráfego passa pelo gateway da empresa e suas regras; com a VPN desligada, um cliente de segurança no notebook aplica a sua própria política, muitas vezes mais restritiva. Se o IronFlock só funciona com a VPN conectada, essa política fora da rede da empresa também precisa liberar *.ironflock.com — até lá, conecte a VPN quando usar o IronFlock.
Quando a conexão está bloqueada
Se o navegador não consegue alcançar os servidores do IronFlock, o Studio mostra uma página com os endereços a liberar e se conecta automaticamente assim que eles ficam acessíveis. No console de desenvolvedor do navegador, uma conexão bloqueada costuma aparecer como ERR_CONNECTION_RESET para auth.ironflock.com ou cbw.ironflock.com, enquanto a própria página do Studio carrega normalmente.
Dispositivos de Borda
O agente do IronFlock em um dispositivo de borda abre as suas conexões com o IronFlock e as mantém abertas; o dispositivo não precisa de portas de entrada abertas (veja Edge Devices & Agent). Se o seu firewall não aceita curingas, estes são os destinos por trás de *.ironflock.com para um dispositivo conectado à nuvem do IronFlock:
| Destino | Porta | Finalidade |
|---|---|---|
cbw.ironflock.com | TCP 443 (WebSocket) | Conexão permanente com a plataforma |
registry.ironflock.com | TCP 443 | Download de imagens de apps |
regauth.ironflock.com | TCP 443 | Autorização dos downloads de imagens de apps |
instance-registry.ironflock.com | TCP 443 | Instalação e atualização do agente do dispositivo |
app.ironflock.com | TCP 443 (WebSocket) e TCP 7000, se estiver aberta | Acesso remoto às interfaces de usuário de dispositivos e apps |
O acesso remoto só precisa da porta
443. O agente tenta primeiro a porta7000e passa sozinho para a443quando a7000está bloqueada, inclusive por um proxy HTTP configurado no dispositivo. Se o seu proxy inspeciona tráfego TLS, o dispositivo precisa confiar no certificado raiz da sua empresa, e o proxy precisa permitir WebSockets paraapp.ironflock.comou excluí-lo da inspeção. Agentes mais antigos usam apenas a porta7000: se o acesso remoto falhar em uma rede que bloqueia a7000, atualize o agente do dispositivo. Sem acesso remoto, o dispositivo funciona normalmente, mas as suas interfaces de usuário e portas não podem ser abertas pelo Acesso Remoto.
Durante a instalação no Linux, a ferramenta de instalação também instala pacotes dos espelhos de pacotes do seu sistema operacional e, se o Docker não estiver presente, instala-o a partir de
get.docker.comedownload.docker.com.
Apps podem precisar de destinos próprios, por exemplo uma API externa para a qual enviam dados. Ao compilar um app em um dispositivo no modo de desenvolvimento, as imagens base indicadas no Dockerfile são baixadas do registry delas, como o Docker Hub.
Para um dispositivo em uma rede corporativa restrita, planeje também:
- Um proxy HTTP corporativo: o agente e o Docker precisam ser configurados para usá-lo — veja Atrás de um Proxy Corporativo → Dispositivos de Borda.
- Firewalls com reconhecimento de identidade: vincule a regra ao dispositivo, nunca a um usuário conectado — veja Firewalls e Proxies com Reconhecimento de Identidade.
- Sincronização de horário: os dispositivos precisam de um servidor de horário funcionando, geralmente via UDP
123— veja Sincronização de horário (NTP).
Appliance On-Premises
Um IronFlock Appliance tem a sua própria lista de destinos — veja Configuração de firewall. Dispositivos de borda conectados a um appliance se conectam ao appliance em vez de ironflock.com: veja Dispositivos conectando-se ao appliance.