Ağ ve Güvenlik Duvarı

Güvenlik Duvarı Yapılandırması

Appliance kısıtlı bir yerel ağda çalışıyorsa, buluta ulaşabilmesi için aşağıdaki IronFlock uç noktalarına giden erişime izin verin. Tüm bağlantılar Appliance tarafından başlatılır — güvenlik duvarınızda hiçbir gelen portun açılması gerekmez.

instance-registry.ironflock.com:443   # IronFlock yazılımını ve agentlarını indirme ve güncelleme; AI asistanı ve SMS bildirimleri
cbw.ironflock.com:443                 # Appliance'ı buluttan uzaktan yönetme
web.ironflock.com:443                 # lisansı etkinleştirme ve doğrulama
registry.ironflock.com:443            # genel IronFlock Store'dan senkronizasyon sırasında uygulama görüntülerini çekme
regauth.ironflock.com:443             # bu genel Store görüntü çekme işlemlerinin kimliğini doğrulama
app.ironflock.com:443                 # uygulama ve cihaz kullanıcı arayüzlerini buluttan açma (isteğe bağlı)
smtp-proxy.ironflock.com:2525         # hesap ve bildirim e-postaları gönderme (isteğe bağlı)

registry.ironflock.com ve regauth.ironflock.com girdileri, genel IronFlock Store’daki uygulamaları local App Store’a senkronize etmek için gereklidir. registry.ironflock.com uygulama görüntülerini sunar, regauth.ironflock.com ise her çekme işlemini yetkilendiren tokenı verir — ikisine de erişilebilmelidir, aksi takdirde senkronizasyon (ve uygulamalara uzaktan göz atma ve onları kurma) başarısız olur. Appliance’ınız yalnızca yerel olarak derlediğiniz uygulamaları sunuyorsa bunları atlayabilirsiniz. Görüntüleri Docker Hub gibi genel bir kayıt defterinden gelen bir uygulama, senkronizasyon sırasında o kayıt defterinden kopyalanır; bu nedenle Appliance’ın o kayıt defterine de erişebilmesi gerekir.

app.ironflock.com girdisi, örneğiniz üzerinde ironflock.com üzerinden çalışırken uygulamaların ve cihazların kullanıcı arayüzlerini erişilebilir kılan uzaktan erişim tünelini taşır. Diğer her şey gibi, doğrudan veya kurumsal bir proxy üzerinden 443 portu üzerinde çalışır; yalnızca IRONFLOCK_CLOUD_TUNNEL_TCP=1 ile kurulmuş bir Appliance bunun yerine 7000 portunu kullanır. Bu girdi engellenirse hiçbir şey gürültüyle başarısız olmaz — bu arayüzler yalnızca buluttan açılmaz, yerel ağda ise çalışmaya devam eder. Appliance’ı yalnızca yerel olarak kullanıyorsanız bu girdiyi atlayabilirsiniz.

smtp-proxy.ironflock.com girdisi yalnızca yerleşik IronFlock e-posta aktarıcısını kullanıyorsanız gereklidir. Kendi SMTP sunucunuzu yapılandırırsanız bunu atlayabilirsiniz.

İsteğe bağlı hedefler. AI asistanı model ve widget meta verilerini raw.githubusercontent.com ve cdn.jsdelivr.net adreslerinden yeniler; cihaz konumları için adres sorgulama ise nominatim.openstreetmap.org adresini kullanır. Üçü de isteğe bağlıdır: engellenirlerse asistan yerleşik verilerine geri döner ve adres sorgulama kullanılamaz.

Saat senkronizasyonu bu listede yer almaz, çünkü IronFlock’a gitmez: yine de Appliance’ın çalışan bir zaman kaynağına ihtiyacı vardır. Zaman sunucularınıza dışa giden UDP 123 trafiğine izin verin ya da ana makinede kendi iç zaman sunucunuzu yapılandırın — bkz. Saat Senkronizasyonu (NTP).

Ağınız internete yalnızca kurumsal bir HTTP proxy üzerinden ulaşıyorsa bkz. Kurumsal Proxy Arkasında — yükleyici, Docker daemon’ını otomatik olarak proxy’nize yönlendirebilir.

Cihazların Appliance’a Bağlanması

Uç cihazlar buluta değil, Appliance’a bağlanır. Cihazlar Appliance’tan farklı bir ağ segmentinde bulunuyorsa, cihaz ağlarının bu portlar üzerinden Appliance ana makinesine ulaşmasına izin verin:

<APPLIANCE_HOST>:18080   # cihaz bağlantısı (WebSocket) — gerekli
<APPLIANCE_HOST>:15001   # local App Store kayıt defteri (uygulama görüntülerini çekme) — gerekli
<APPLIANCE_HOST>:15002   # kayıt defteri kimlik doğrulaması (görüntü çekme tokenları), cihaz aracısı güncellemeleri ve cihaz yükleyicisi — gerekli
<APPLIANCE_HOST>:7000    # cihaz arayüzlerine uzaktan erişim (isteğe bağlı tünel özelliği)

Bunlar doğrudan bağlantılardır — kurumsal bir HTTP proxy üzerinden yönlendirilmemelidir. Bir cihazın ağı tüm trafiği bir proxy üzerinden geçmeye zorluyorsa, ya cihazda Appliance ana makinesini proxy’den muaf tutun ya da Appliance’ı kurumsal sertifikanızla HTTPS moduna geçirin: bu modda tüm cihaz trafiği — cihaz bağlantısı, görüntü çekme işlemleri, aracı güncellemeleri ve uzaktan erişim tüneli — tek, proxy dostu bir porta: alan adınızda 443 taşınır ve kurumsal proxy’ler ile katı güvenlik duvarları üzerinden port başına istisna olmadan çalışır.

15002 portu cihaz aracısı güncellemelerine ve cihaz yükleyicisine de hizmet eder: Appliance’a bağlı cihazlar aracı güncellemelerini — yeni cihazlar ise yükleyiciyi — internetten değil, Appliance’ın kendisinden indirir; alan adı modunda ise bunun yerine https://registry.<APPLIANCE_DOMAIN>/dl adresinden 443 portu üzerinden alır. Bkz. Cihaz Aracısı Güncellemeleri ve Yalnızca Appliance’a Erişebilen Cihazları Kaydetme.

Cihazların normal çalışma için internet erişimine ihtiyacı yoktur. Bağlı bir cihazın yaptığı her şey — cihaz bağlantısı, uygulama görüntüleri, aracı güncellemeleri, uzaktan erişim — Appliance’a gider. Bir cihaz internete yalnızca şu durumlarda ulaşır: temel görüntüsü genel bir kayıt defterinde bulunan bir Dockerfile’dan uygulama derlediğinde, genel görüntüler kullanan bir uygulamayı yayımladığınızda, Docker’ın henüz kurulması gerektiğinde ve — FlockOS çalıştıran cihazlarda — instance-registry.ironflock.com adresinden işletim sistemi güncellemelerini denetlemek için. Dağıttığınız uygulamaların kendilerine ait ağ gereksinimleri olabilir.

IronFlock Ana Makineleri için Ağ Kimliği

Appliance ve her uç cihaz, IronFlock’u gözetimsiz bir sistem hizmeti olarak çalıştırır: açılışta başlar ve birinin oturum açmış olup olmamasından bağımsız olarak günün her saatinde bağlı kalır. Bu nedenle bu ana makinelere yönelik güvenlik duvarı ve proxy kuralları makineye bağlanmalıdır — o sırada makinede oturum açmış olan kişiye asla bağlanmamalıdır. Uç cihazlar için bu, hangi platforma bağlandıklarından bağımsız olarak geçerlidir; cihaz kılavuzu konuyu Kimlik Farkındalıklı Güvenlik Duvarları ve Proxy’ler bölümünde ele alır.

Bu durum en çok, erişimi adrese göre değil dizin kimliğine göre veren kimlik farkındalıklı (identity-aware) bir güvenlik duvarı veya proxy bulunan ağlarda önem taşır. Bir IronFlock ana makinesine izin veren kural bir kullanıcıya bağlıysa, o kullanıcının oturumu sona erdiği anda ana makine erişimini kaybeder. Zaten açık olan bağlantılar çalışmaya devam ederken her yeni bağlantı sessizce düşürülür; bu yüzden ana makine, bir sonraki bağlantı ihtiyacına kadar sağlıklı görünür — o anda uygulama kurulumu, aracı güncellemesi ya da yeniden bağlanma başarısız olur ve cihaz bir sonraki yeniden başlatmasından sonra çevrimdışı kalır.

Kimlik denetiminden muafiyet gerekmez. Ağ ekibinizden her ana makineyi gerçekte sahip olduğu kimlikle tanımlamasını isteyin:

Yaygın ürünlerde bunun karşılığı:

• Check Point Identity Awareness: Access Role içinde kullanıcılar yerine makineyi (bilgisayar nesnesi veya grup) seçin. Makine kimlikleri, bilgisayarın kendi etki alanı etkinliğiyle yenilenir; ağ geçidinizde bu kimliklerin süresi dolabiliyorsa bunun yerine bir ağ nesnesi kullanın.
• Palo Alto Networks User-ID: bilgisayar hesapları IP–kullanıcı eşlemesi üretmez; bu nedenle bir adres nesnesi, bir etiket (tag) ya da Device-ID kullanın.
• Fortinet FSSO ve benzeri dizin tabanlı güvenlik duvarları: ana makine için bir adres nesnesi ya da ağ erişim denetiminizin atadığı dinamik adresi kullanın.
• Zscaler, Prisma Access ve diğer bulut güvenlik ağ geçitleri: Appliance’ın adresini bir sunucu veya IoT konumu (güvenilir bir kaynak) olarak kaydedin; böylece trafiği kullanıcıya göre değil konuma göre tanımlanır.

Hatayı tanıma. Çevrimiçi kalan ama her yeni bağlantıda — görüntü çekme işlemleri, kayıt defterine oturum açma, yeniden bağlanma — başarısız olan, buna karşın ping yanıtları ve mevcut oturumu çalışmaya devam eden bir cihaz, cihazın kendisine değil, süresi dolmuş bir kimlik kuralına işaret eder. Cihazdan yeni bir bağlantı yeniden başarılı olana kadar aracıyı yeniden başlatmayın: hâlâ açık olan oturum, çalışan tek oturumdur.

Örneğinize ironflock.com Üzerinden Erişin

Appliance tamamen yerel bir platform olsa da, kullanmak için fabrika ağında olmanız gerekmez. Appliance’ın internet bağlantısı olduğu ve Appliance hesabınızın ironflock.com hesabınıza bağlı olduğu sürece (bkz. Hesapları Bağlama), IronFlock bulut arayüzünden doğrudan örneğinize geçebilirsiniz — VPN, port yönlendirmesi veya ek araç gerekmez.

Bu şu anlama gelir:

• Tek birleşik arayüz — bulut projelerinizi ve Appliance örneklerinizi tek bir tarayıcı sekmesinde yan yana yönetin.
• Her yerden çalışın — operatörler, geliştiriciler ve destek personeli Appliance’a internet üzerinden erişebilirken tüm üretim verileri ve iş yükleri Appliance üzerinde yerel olarak kalır.
• Çoklu site denetimi kolaylığı — farklı fabrikalarda birden fazla Appliance işletiyorsanız her biri ironflock.com hesabınızda görünür ve tek tıkla ulaşılabilir.

Appliance internet erişimini kaybettiğinde yerel olarak çalışmaya devam eder ve fabrika ağı içinden http://<appliance-host> adresinden erişilebilir kalır — yalnızca uzaktan erişim yolu, bağlantı geri gelene kadar duraklar.