Vilka domäner behöver ArcGIS Online i en brandväggs tillåtelselista?
En karta berör portal-, baskarta-, data- och lagringsslutpunkter. Bygg listan utifrån Esris aktuella domänkrav, inte utifrån ett enda DNS-svar.
Ett DNS-svar talar om vilken adress ett värdnamn löstes till i det ögonblick du frågade. Det säger inte att adressen är permanent, och det räknar inte upp allt kartan berör. Skillnaden är viktigast när utgående trafik är begränsad till en kort tillåtelselista som någon skrivit av från en enda sökning. Börja med arbetsflödet och härled sedan listan från leverantörens aktuella krav. Det återkommande exemplet är en företags-GIS-klient som når ArcGIS Online via en begränsad VPN-utgång.
Lista varje komponent som kartoperationen berör
Dela upp operationen i delar: organisationens portal och åtkomst till objekt, baskartans rutor, värdbaserade funktions- eller analystjänster och eventuella nedladdningar av objekt. Varje del kan ligga bakom en annan slutpunkt. En karta som refererar till en extern ArcGIS Enterprise-tjänst eller en OGC-slutpunkt lägger till ett beroende som nätverksteamet aldrig hört talas om. Skriv ner allt detta innan någon skickar in en ansökan om tillåtelselista. En komponent som saknas i inventeringen misslyckas senare på ett sätt som ser ut som ett autentiseringsproblem.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
En lyckad inloggning i portalen är svagt bevis. Det visar att portalslutpunkten nås från den godkända vägen, och ingenting om rutor, analys eller nedladdningar.
Välj wildcard eller FQDN från det aktuella dokumentet
Esri publicerar Domain and FQDN Requirements, och revisionen spelar roll eftersom posterna för regional lagring ändras mellan versioner. Det aktuella dokumentet erbjuder både en wildcard-metod på domännivå och en strängare inventering på värdnamnsnivå. Det lyfter också fram regionala lagringsvärdar och varnar för att externa system och anpassade domäner lägger till organisationsspecifika poster. Kopiera den revision du faktiskt läste, med datum, till ändringsloggen.
En strängare lista kostar underhållstid; ett bredare tillstånd kostar säkerhetsyta. Den avvägningen tillhör nätverksägaren och bör avgöras mot dokumentet i stället för mot en uppsättning adresser som någon fångade en gång under ett arbetspass.
Håll alternativet för statisk baskarta snävt
Esris brandväggs-FAQ anger att accelererad leverans av baskartor kan returnera dynamiska adresser. Samma post dokumenterar ett static-IP-arrangemang särskilt för baskartor, vilket lämnar accelerationsvägen och kan sänka prestandan. Ingen av de båda utsagorna gör portalen, de värdbaserade data och lagringsvärdarna till en enda statisk adress. Om en policy som bara tillåter IP-adresser är obligatorisk, skaffa det stödda arrangemanget från Esri i stället för att vidga ett intervall du gissat.
Ett gammalt DNS-svar är inte ett stött arrangemang, och det kommer att ruttna.
Skilj rutten från tillståndet
En VPN-rutt väljer en väg; utgångsreglerna avgör om den vägen får nå destinationen. Det är olika kontroller, och en frisk tunnel säger ingenting om den andra. Därför kan en karta misslyckas för en användare i ett nätverk och fungera för en annan användare på samma konto. Kontrollera regeln och rutten var för sig innan du skyller på tjänsten.
Båda kan vara korrekta medan arbetsflödet fortfarande misslyckas, om inventeringen är ofullständig.
Verifiera komponent för komponent och ge sedan listan en ägare
Reproducera den misslyckade operationen och registrera vilken komponent som misslyckades: portal, ruta, funktionstjänst, nedladdning eller en extern tjänst. Ändra sedan ett policyelement och upprepa. En ändring som lagar rutor säger ingenting om analystjänster. Den komponentvisa registreringen är också det som gör nästa regionala uppdatering till en beroendeändring i stället för ännu en gissningsrunda. Granska diagnostiska URL:er innan du klistrar in dem någonstans, eftersom frågesträngen kan bära tokens och objektidentifierare.
Ge kravlistan en ägare och ett granskningsdatum knutet till dokumentrevisionen. När Esri lägger till en lagringsregion eller en tjänstevärd kör den ägaren inventeringen igen i stället för att upptäcka luckan under en incident.