Jakich domen potrzebuje ArcGIS Online na liście dozwolonych firewalla?
Mapa dotyka punktów końcowych portalu, mapy bazowej, danych i magazynu. Zbuduj listę dozwolonych na podstawie aktualnych wymagań Esri dotyczących domen, a nie jednej odpowiedzi DNS.
Odpowiedź DNS mówi, na jaki adres nazwa hosta została rozwiązana w chwili pytania. Nie mówi, że adres jest stały, i nie wylicza wszystkiego, czego dotyka mapa. Ta różnica ma największe znaczenie, gdy ruch wychodzący jest ograniczony do krótkiej listy dozwolonych, którą ktoś wpisał z jednego zapytania. Zacznij od przepływu pracy, a następnie wyprowadź listę z aktualnych wymagań dostawcy. Powtarzającym się przykładem jest klient GIS w przedsiębiorstwie, który dociera do ArcGIS Online przez ograniczone wyjście VPN.
Wymień każdy komponent, którego dotyka operacja mapy
Podziel operację na części: portal organizacji i dostęp do elementów, kafle mapy bazowej, hostowane usługi obiektów lub analizy oraz wszelkie pobierania elementów. Każda z nich może znajdować się za innym punktem końcowym. Mapa odwołująca się do zewnętrznej usługi ArcGIS Enterprise lub punktu końcowego OGC dodaje zależność, o której zespół sieciowy nigdy nie słyszał. Zapisz to wszystko, zanim ktokolwiek złoży wniosek o listę dozwolonych. Komponent, którego brakuje w tym wykazie, zawodzi później w sposób, który wygląda jak problem z poświadczeniami.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
Udane logowanie do portalu to słaby dowód. Dowodzi, że punkt końcowy portalu jest osiągalny z zatwierdzonej ścieżki, i niczego o kaflach, analizie czy pobieraniach.
Wybierz wildcard albo FQDN z bieżącego dokumentu
Esri publikuje Domain and FQDN Requirements, a wersja ma znaczenie, ponieważ wpisy magazynu regionalnego zmieniają się między wersjami. Bieżący dokument oferuje zarówno podejście wildcard na poziomie domeny, jak i bardziej rygorystyczny wykaz na poziomie nazw hostów. Wskazuje też hosty magazynu regionalnego i ostrzega, że systemy zewnętrzne oraz domeny niestandardowe dodają wpisy specyficzne dla organizacji. Skopiuj do rejestru zmian tę wersję, którą naprawdę przeczytałeś, wraz z datą.
Bardziej rygorystyczna lista kosztuje czas utrzymania; szersze zezwolenie kosztuje zakres bezpieczeństwa. Ten kompromis należy do właściciela sieci i powinien być rozstrzygany wobec dokumentu, a nie wobec zestawu adresów, które ktoś raz zapisał podczas sesji roboczej.
Utrzymuj wąską opcję statycznej mapy bazowej
FAQ firewalla Esri podaje, że przyspieszona dostawa map bazowych może zwracać adresy dynamiczne. Ten sam wpis dokumentuje układ ze statycznym adresem IP specjalnie dla map bazowych, który opuszcza ścieżkę przyspieszania i może obniżyć wydajność. Żadne z tych stwierdzeń nie zamienia portalu, hostowanych danych i hostów magazynu w jeden statyczny adres. Jeśli polityka zezwalająca tylko na adresy IP jest obowiązkowa, uzyskaj obsługiwany układ od Esri, zamiast poszerzać zakres, który zgadłeś.
Stara odpowiedź DNS nie jest obsługiwanym układem i zgnije.
Oddziel trasę od zezwolenia
Trasa VPN wybiera ścieżkę; reguły wyjścia decydują, czy ta ścieżka może dotrzeć do celu. To różne mechanizmy kontroli, a zdrowy tunel nie mówi nic o drugim. Dlatego mapa może zawieść u jednego użytkownika w jednej sieci, a działać u innego użytkownika na tym samym koncie. Sprawdź regułę i trasę osobno, zanim obwinisz usługę.
Oba mogą być poprawne, a przepływ pracy nadal zawodzi, jeśli wykaz jest niekompletny.
Weryfikuj komponent po komponencie, a potem przypisz liście właściciela
Odtwórz zawodzącą operację i zapisz, który komponent zawiódł: portal, kafel, usługa obiektów, pobieranie czy usługa zewnętrzna. Następnie zmień jeden element polityki i powtórz. Zmiana, która naprawia kafle, nie mówi nic o usługach analizy. Ten zapis według komponentów jest też tym, co zamienia następną aktualizację regionalną w zmianę zależności, a nie w kolejną rundę zgadywania. Przejrzyj diagnostyczne adresy URL, zanim gdziekolwiek je wkleisz, ponieważ ciąg zapytania może przenosić tokeny i identyfikatory elementów.
Przypisz liście wymagań właściciela i datę przeglądu powiązaną z wersją dokumentu. Gdy Esri doda region magazynu lub host usługi, ten właściciel ponownie uruchamia wykaz, zamiast odkrywać lukę podczas incydentu.