Hostname e porte

Hostname

Tutti gli hostname puntano allo stesso indirizzo — il VIP dell’appliance — e tutti rispondono sulla porta 443. Il traffico viene smistato per hostname, non per percorso.

Sostituite <dominio> con il base domain scelto nel setup wizard (predefinito corellix.loc) e <slug> con l’identificativo cliente della licenza.

Hostname	Servizio	Obbligatorio	Chi lo usa
<slug>.services.<dominio>	Portale (Lumina)	Sì	Gli utenti, dal browser
api.<dominio>	API Gateway (Meridian-North)	No	Integrazioni e client esterni al cluster
agents.<dominio>	Ingest agent (Beacon) e comandi remoti (Vanguard)	No	User Agent e Infra Agent
docs.<dominio>	Portale documentazione	No	Gli utenti, dal browser
beaconstudio.<dominio>	Beacon Studio	No	Chi costruisce i flussi di raccolta
*.console.<dominio>	Console web incorporate	No	Gli utenti, dal browser

Su Corellix Cloud gli stessi ruoli sono coperti da <slug>.services.corellix.io, api.corellix.io, agents.corellix.io e docs.corellix.io.

Perché per hostname e non per percorso

Tre ragioni, tutte concrete:

• Le rotte non collidono. Le rotte di ingest degli agent sono volutamente identiche a quelle storiche, e sotto un host condiviso collidono con le rotte applicative. Un hostname dedicato elimina il problema alla radice.
• Le SPA degli appliance non tollerano un prefisso di percorso. Le console web si aspettano di stare sulla radice del sito.
• L’autenticazione ha bisogno di origini stabili. Il login Entra ID di Beacon Studio richiede un’origine registrata: un indirizzo IP o un percorso non possono esserlo.

”Non obbligatorio” che cosa significa

Che la piattaforma parte lo stesso. Significa anche che la funzionalità corrispondente non è raggiungibile:

Se manca	Non funziona
api.<dominio>	Le integrazioni esterne al cluster
agents.<dominio>	Gli agent — non riportano affatto
docs.<dominio>	La documentazione interna
beaconstudio.<dominio>	Il login Microsoft su Studio (resta l’accesso da Citadel)
*.console.<dominio>	Le console dentro il portale (si aprono in una scheda)

Sono sei record A verso lo stesso indirizzo. Se avete il controllo del DNS interno, createli tutti al setup.

Porte verso l’appliance

Porta	Protocollo	Da chi	Per cosa
443	TCP	Browser, agent, integrazioni	Tutto il traffico applicativo
8443	TCP	Amministratori	Citadel
22	TCP	Amministratori	Solo break-glass

Porte fra i nodi

Richieste fra i nodi dello stesso cluster. Non vanno esposte oltre.

Porta	Protocollo	Uso
9345	TCP	Registrazione dei nodi RKE2
6443	TCP	API server Kubernetes
2379–2380	TCP	etcd
8472	UDP	Rete overlay del cluster
10250	TCP	Kubelet
51820–51821	UDP	Rete cifrata del cluster, se attiva

Il VIP usa ARP gratuito nella subnet dei nodi: nodi e VIP devono stare nello stesso segmento di livello 2.

Porte in uscita dall’appliance

Verso le piattaforme sorgente

Porta	Piattaforma
443	vCenter, Horizon, NetScaler, array, sistemi di backup, API cloud
9440	Nutanix Prism
8006	Proxmox VE
20443	Parallels RAS
5985 / 5986	WinRM (Hyper-V, host Windows)
22	SSH (host Linux, apparati)
161	SNMP (apparati di rete)
389 / 636	LDAP / LDAPS (Active Directory)
25 / 465 / 587	SMTP (notifiche)

Verso Internet

Solo in modalità Connected o Proxy-only:

Destinazione	Uso
ghcr.io	Immagini dei container
github.com	Metadati delle versioni

In modalità air-gapped: nessuna. Vedi Ambienti air-gapped.

Dagli agent

Gli agent aprono solo connessioni in uscita, su HTTPS/443, verso agents.<dominio>. Nessuna porta in ingresso sulle macchine con agent.

Certificato

Il certificato dell’ingress deve coprire tutti gli hostname pubblicati. Un nome mancante non degrada l’esperienza, la interrompe: un client .NET o Java rifiuta l’handshake senza chiedere. Vedi Certificati e TLS.