Question 1

Welche NAT- und Firewall-Regeln sind erforderlich, damit sync.blue® On-Premises-CRM-Systeme, TK-Anlagen (PBX) oder Verzeichnisse über HTTPS (TCP 443) erreichen kann?

Accepted Answer

Portweiterleitung (1:1‑NAT) so einrichten, dass eine öffentliche Adresse auf TCP‑Port 443 auf den TCP‑Port 443 des internen CRM/PBX/Verzeichnisses abgebildet wird, und Firewall‑Regeln hinzufügen, die eingehenden TCP‑443‑Verkehr ausschließlich von den sync.blue®‑Quell‑IP‑Adressen 94.130.104.164 und 193.142.157.229 zulassen; alle anderen Quellen blockieren.

Question 2

Wie beeinflusst NAT Webhooks und Callback-URLs in sync.blue®, und welche Alternativen bestehen, wenn eingehende Verbindungen nicht möglich sind?

Accepted Answer

NAT macht On‑Premises‑Webhook‑ oder Callback‑URLs in der Regel aus dem Internet nicht erreichbar, sodass Rückrufe an solche URLs fehlschlagen, sofern kein öffentlicher Endpunkt bereitgestellt wird; wenn eingehende Verbindungen nicht möglich sind, unterstützt sync.blue® eine zeitplanbasierte Synchronisierung ohne Webhooks, die Bereitstellung von Kontakten zum Abruf über sync.blue® Directory oder LDAP sowie das Pushen von Aktualisierungen aus dem internen Netzwerk in das sync.blue®‑Adressbuch (die frühere Access‑Server‑Reverse‑Tunnel‑Option wurde zugunsten des Adressbuch‑Push eingestellt).

Question 3

Welche IP-Bereiche (IP-Ranges) und FQDNs von sync.blue® müssen für ausgehenden (Egress) und eingehenden (Ingress) Datenverkehr in Unternehmensfirewalls auf die Allowlist gesetzt werden?

Accepted Answer

Eingehend (von sync.blue® zu On‑Premises): Quell‑IP‑Adressen 94.130.104.164 und 193.142.157.229 zulassen; Ausgehend (von On‑Premises zu den Diensten von sync.blue®): ausgehenden TCP 443 zu app.sync.blue, carddav.sync.blue, directory.sync.blue und addressbook.sync.blue zulassen, zusätzlich TCP 389 zu ldap.sync.blue, wenn LDAP verwendet wird, und TCP 22 zu access.sync.blue, wenn der Access Server verwendet wird; weitere IP‑Bereiche für das Allowlisting werden von sync.blue® nicht veröffentlicht.

Question 4

Benötigt sync.blue® eine statische öffentliche IP-Adresse und Portweiterleitungen für Systeme hinter NAT, oder wird ausschließlich ausgehendes HTTPS mit zustandsbehaftetem NAT unterstützt?

Accepted Answer

Nur ausgehendes HTTPS mit zustandsbehaftetem NAT wird unterstützt; sync.blue® erfordert für Systeme hinter NAT in der Regel keine statische öffentliche IP-Adresse und keine Portweiterleitungen, da On-Premises-Anwendungen Kontakte per HTTPS bei sync.blue® abrufen oder dorthin übertragen können (z. B. über directory.sync.blue oder carddav.sync.blue). Muss ein internes System aus der Cloud erreicht werden, ermöglicht der sync.blue® Access Server eine vom internen Netzwerk aus initiierte Verbindung.

Question 5

Können ein Reverse-Proxy oder ein Site-to-Site-VPN für NAT-Traversal mit sync.blue® eingesetzt werden, und welche Sicherheits-Best Practices werden empfohlen?

Accepted Answer

Ja – ein Site-to-Site-VPN kann verwendet werden, sofern es lediglich die Netzwerk-Erreichbarkeit der On-Prem-API bereitstellt; es ist jedoch nicht erforderlich. NAT-Traversal wird von sync.blue® primär über den Adressbuch-Push (ohne eingehende Exponierung) oder über eng begrenztes Port-Forwarding dokumentiert, mit empfohlenen Best Practices, nur die offiziellen Quell-IP-Adressen von sync.blue® zuzulassen, die Berechtigungen von Servicekonten minimal zu halten und Synchronisationsprotokolle sowie Alarme zu überwachen. Reverse Proxies sind nicht erforderlich, und die Einrichtungsanleitung konzentriert sich auf diese dokumentierten Optionen.

NAT

Teste sync.blue® kostenlos