Какие домены нужны ArcGIS Online в списке разрешений межсетевого экрана?
Карта обращается к конечным точкам портала, базовой карты, данных и хранилища. Стройте список разрешений из актуальных требований Esri к доменам, а не из одного ответа DNS.
Ответ DNS сообщает, в какой адрес имя хоста разрешилось в момент запроса. Он не говорит, что адрес постоянный, и не перечисляет всё, к чему обращается карта. Это различие особенно важно, когда исходящий трафик ограничен коротким списком разрешений, который кто-то набрал по одному запросу. Начните с рабочего процесса, затем выведите список из актуальных требований поставщика. Повторяющийся пример — корпоративный клиент GIS, который обращается к ArcGIS Online через ограниченный выход VPN.
Перечислите все компоненты, к которым обращается операция с картой
Разделите операцию на части: портал организации и доступ к элементам, тайлы базовой карты, размещённые сервисы объектов или анализа и любые загрузки элементов. Каждая может находиться за разной конечной точкой. Карта, ссылающаяся на внешний сервис ArcGIS Enterprise или конечную точку OGC, добавляет зависимость, о которой команда сети никогда не слышала. Запишите всё это до того, как кто-либо подаст заявку на список разрешений. Компонент, отсутствующий в этой описи, позже отказывает так, что это выглядит как проблема с учётными данными.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
Успешный вход в портал — слабое доказательство. Он подтверждает, что конечная точка портала доступна с одобренного маршрута, и ничего не говорит о тайлах, анализе или загрузках.
Выберите wildcard или FQDN из актуального документа
Esri публикует Domain and FQDN Requirements, и редакция важна, потому что записи регионального хранилища меняются между версиями. Актуальный документ предлагает и подход с wildcard на уровне домена, и более строгую опись на уровне имён хостов. Он также выделяет хосты регионального хранилища и предупреждает, что внешние системы и собственные домены добавляют записи, специфичные для организации. Скопируйте в журнал изменений ту редакцию, которую вы действительно читали, вместе с датой.
Более строгий список стоит времени на сопровождение; более широкое разрешение стоит охвата безопасности. Этот компромисс принадлежит владельцу сети, и решать его следует по документу, а не по набору адресов, который кто-то однажды зафиксировал во время рабочей сессии.
Держите вариант со статической базовой картой узким
В вопросах и ответах Esri по межсетевому экрану сказано, что ускоренная доставка базовых карт может возвращать динамические адреса. Там же документируется схема со статическим IP специально для базовых карт, которая покидает путь ускорения и может снизить производительность. Ни одно из утверждений не превращает портал, размещённые данные и хосты хранилища в один статический адрес. Если политика, разрешающая только IP-адреса, обязательна, получите поддерживаемую схему у Esri вместо расширения диапазона, который вы угадали.
Старый ответ DNS не является поддерживаемой схемой, и он сгниёт.
Отделите маршрут от разрешения
Маршрут VPN выбирает путь; правила выхода решают, может ли этот путь достичь назначения. Это разные средства контроля, и здоровый туннель ничего не говорит о втором. Поэтому карта может не работать у одного пользователя в одной сети и работать у другого пользователя в той же учётной записи. Проверяйте правило и маршрут отдельно, прежде чем винить сервис.
Оба могут быть верными, а рабочий процесс по-прежнему не работает, если опись неполна.
Проверяйте компонент за компонентом, затем назначьте списку владельца
Воспроизведите сбойную операцию и зафиксируйте, какой компонент отказал: портал, тайл, сервис объектов, загрузка или внешний сервис. Затем измените один элемент политики и повторите. Изменение, исправляющее тайлы, ничего не говорит о сервисах анализа. Эта запись по компонентам также превращает следующее региональное обновление в изменение зависимостей, а не в очередной круг догадок. Просматривайте диагностические URL перед тем, как где-либо их вставлять, потому что строка запроса может нести токены и идентификаторы элементов.
Назначьте списку требований владельца и дату пересмотра, привязанную к редакции документа. Когда Esri добавляет регион хранилища или хост сервиса, этот владелец заново прогоняет опись, а не обнаруживает пробел во время инцидента.