במסמך הזה מפורטות הגדרות הרשת שנדרשות כדי ש-FCM יפעל בצורה תקינה בסביבת הרשת שלכם.
הגדרת הרשת לשליחת הודעות אל FCM
לפני שמתחילים, צריך לוודא שהמערכת מתקשרת עם השרתים של FCM כדי לשלוח הודעות ולנהל מינויים.
כדי לשלוח הודעות FCM או לנהל מינויים, הרשת שלכם צריכה לתקשר עם השרתים הבאים באמצעות HTTPS:
- fcm.googleapis.com (שליחת הודעות)
- accounts.google.com (אימות לשליחת הודעות)
- iid.googleapis.com (מינוי לנושא וניהול של קבוצות מכשירים)
הרשימה הזו עשויה להשתנות עם הזמן. אנחנו לא יכולים לספק רשימת היתרים שמבוססת על כתובות IP לנקודות הקצה האלה.
הגדרת הרשת למכשירי Android באמצעות FCM
בקטע הזה מוסבר איך להגדיר את הרשת כך שתתמוך בתעבורת FCM למכשירי Android.
יציאות FCM וחומת האש
ברוב הרשתות אין הגבלה על חיבור מכשירים לשאר האינטרנט. באופן כללי, זו ההמלצה שלנו. עם זאת, בארגונים מסוימים נדרשות חומות אש כחלק מתוכנית האבטחה ההיקפית.
אפשרויות חומת האש
| אפשרות | מה אנחנו עושים | כללים ספציפיים | הערות |
|---|---|---|---|
| ללא (מועדף) | - | - | - |
| סינון לפי יציאה (אפשרות שנייה) | הגבלת התנועה ליציאות ספציפיות | יציאות TCP שצריך לפתוח:
|
זהו הכלל הפשוט ביותר, והוא מונע תלות בדברים שסביר יותר שישתנו עם הזמן. |
| סינון לפי שם מארח | שימוש בהגדרה מיוחדת של חומת אש כדי להוסיף לרשימת ההיתרים רשומות מסוימות של TLS SNI שיעברו דרך חומת האש. אפשר לשלב את זה עם סינון לפי יציאה. | שמות המארחים שייפתחו:
|
לא כל תוכנות חומת האש תומכות בכך, אבל רבות מהן כן. הרשימה הזו די יציבה, אבל לא נודיע לכם באופן יזום אם היא תשתנה. |
| סינון מבוסס-IP (לא מומלץ בכלל) | שימוש ברשימה סטטית גדולה מאוד של כתובות IP. | מוסיפים לרשימת ההיתרים את כל כתובות ה-IP שמופיעות בקובץ goog.json. הרשימה הזו מתעדכנת באופן קבוע, ולכן מומלץ לעדכן את הכללים שלכם מדי חודש. בעיות שנגרמות בגלל הגבלות IP של חומת אש הן בדרך כלל בעיות שמתרחשות לסירוגין וקשה לאבחן אותן. | אנחנו משנים את רשימת כתובות ה-IP שלנו לעיתים קרובות מאוד וללא אזהרה, כך שתצטרכו להזין את הרשימה הגדולה הזו ולעדכן אותה לעיתים קרובות. בנוסף, אנחנו רואים שגיאות הקלדה תכופות כשאנשים מנסים להזין רשימות היתרים של כתובות IP בכללי חומת האש שלהם. אנחנו לא ממליצים על כך כי המידע מתיישן ואינו מתוחזק. בנוסף, גודל הרשימה יכול להיות מסורבל עבור נתבים מסוימים. |
חומות אש מסוג תרגום כתובות רשת (NAT) או בדיקת חבילות עם שמירת מצב (SPI)
אם ברשת שלכם מיושם תרגום כתובות רשת (NAT) או בדיקת חבילות עם שמירת מצב (SPI), צריך להגדיר זמן קצוב לתפוגה של 30 דקות או יותר לחיבורים שלנו דרך יציאות 5228-5230. כך אנחנו יכולים לספק קישוריות אמינה תוך צמצום צריכת הסוללה של המכשירים הניידים של המשתמשים.
FCM ושרתי proxy
אי אפשר להעביר את הפרוטוקול של FCM לשליחת הודעות דחיפה למכשירים דרך שרתי proxy ברשת. לכן, צריך לוודא שהחיבור של FCM מהמכשירים ברשת יכול להתחבר ישירות לשרתים שלנו.
אינטראקציות עם VPN ואפשרות לעקוף אותו
ב-Firebase Cloud Messaging יש כמה שלבים שנועדו לוודא שהחיבור של הודעות ה-Push מהטלפון לשרת אמין וזמין כמה שיותר. השימוש ב-VPN מקשה על המאמץ הזה.
רשתות VPN מסתירות את המידע הבסיסי ש-FCM צריך כדי להתאים את החיבור שלו ולשפר את האמינות ואת חיי הסוללה. במקרים מסוימים, רשתות VPN מנתקות באופן פעיל חיבורים ארוכי טווח, וכתוצאה מכך חוויית המשתמש נפגעת בגלל הודעות שהתפספסו או התעכבו, או בגלל צריכת סוללה גבוהה. כשה-VPN מוגדר לאפשר לנו לעשות זאת, אנחנו עוקפים את ה-VPN באמצעות חיבור מוצפן (דרך רשת ה-Wi-Fi או ה-LTE הבסיסית) כדי להבטיח חוויה אמינה וחסכונית בסוללה. FCM משתמש ברשתות VPN שניתן לעקוף רק בערוץ ההתראות של FCM. תנועה אחרת של FCM, כמו תנועת רישום, משתמשת ב-VPN אם הוא פעיל. כשהחיבור של FCM עוקף את ה-VPN, הוא מאבד את היתרונות הנוספים שה-VPN יכול לספק, כמו הסתרת כתובת ה-IP.
לרשתות VPN שונות יש שיטות שונות לקבוע אם אפשר לעקוף אותן או לא. הוראות מפורטות מופיעות במאמרי העזרה של ה-VPN הספציפי שלכם.
אם ה-VPN לא מוגדר כך שניתן לעקוף אותו, Firebase Cloud Messaging ישתמש ברשת ה-VPN כדי להתחבר לשרת. כתוצאה מכך, יכול להיות שיהיו עיכובים בקבלת הודעות וצריכת הסוללה תהיה גבוהה יותר, כי Cloud Messaging ינסה לשמור על החיבור דרך VPN.