במאמר הזה מפורטות הגדרות הרשת שנדרשות כדי ש-FCM יפעל כמו שצריך בסביבת הרשת שלכם.
הגדרת הרשת לשליחת הודעות אל FCM
לפני שמתחילים, צריך לוודא שהמערכת מתקשרת עם השרתים של FCM כדי לשלוח הודעות ולנהל מינויים.
כדי לשלוח הודעות ב-FCM או לנהל מינויים, הרשת צריכה לתקשר עם השרתים הבאים באמצעות HTTPS:
- fcm.googleapis.com (שליחת הודעות)
- accounts.google.com (אימות לשליחת הודעות)
- iid.googleapis.com (מינוי לנושא וניהול קבוצת מכשירים)
הרשימה הזו עשויה להשתנות עם הזמן. אנחנו לא יכולים לספק רשימת היתרים שמבוססת על כתובות IP לנקודות הקצה האלה.
הגדרת הרשת למכשירי Android באמצעות FCM
בקטע הזה מוסבר איך להגדיר את הרשת כך שתתמוך בתנועה של FCM במכשירי Android.
יציאות FCM וחומת האש
ברוב הרשתות אין הגבלה על חיבור מכשירים לאינטרנט. באופן כללי, זו ההמלצה שלנו. עם זאת, בארגונים מסוימים נדרשות חומות אש כחלק מתוכנית האבטחה ההיקפית.
אפשרויות של חומת אש
| אפשרות | מה אנחנו עושים | כללים ספציפיים | הערות |
|---|---|---|---|
| ללא (מועדף) | - | - | - |
| סינון לפי יציאות (אפשרות שנייה) | הגבלת התנועה ליציאות ספציפיות | יציאות TCP שצריך לפתוח:
|
זהו הכלל הפשוט ביותר, והוא מונע תלות בדברים שסביר יותר שישתנו עם הזמן. |
| סינון לפי שם מארח | שימוש בהגדרה מיוחדת של חומת אש כדי להוסיף לרשימת ההיתרים רשומות מסוימות של TLS SNI שיעברו דרך חומת האש. אפשר לשלב את זה עם סינון מבוסס-יציאות. | שמות המארחים שייפתחו:
|
לא כל תוכנות חומת האש תומכות בכך, אבל רבות מהן כן. הרשימה הזו די יציבה, אבל לא נודיע לכם באופן יזום אם היא תשתנה. |
| סינון מבוסס-IP (לא מומלץ בכלל) | להשתמש ברשימה סטטית גדולה מאוד של כתובות IP. | מוסיפים לרשימת ההיתרים את כל כתובות ה-IP שרשומות בקובץ goog.json. הרשימה הזו מתעדכנת באופן קבוע, ומומלץ לעדכן את הכללים מדי חודש. בעיות שנגרמות בגלל הגבלות IP של חומת אש הן בדרך כלל בעיות שמתרחשות לסירוגין וקשה לאבחן אותן. | אנחנו משנים את רשימת כתובות ה-IP שלנו לעיתים קרובות מאוד וללא אזהרה, כך שתצטרכו להזין את הרשימה הגדולה הזו ולעדכן אותה לעיתים קרובות. בנוסף, אנחנו רואים שגיאות הקלדה תכופות כשאנשים מנסים להזין רשימות היתרים של כתובות IP בכללי חומת האש שלהם. אנחנו לא ממליצים על כך כי המידע מתיישן ואינו מתוחזק. בנוסף, גודל הרשימה יכול להיות מסורבל עבור נתבים מסוימים. |
חומות אש מסוג תרגום כתובות רשת (NAT) או בדיקת חבילות עם שמירת מצב (SPI)
אם הרשת שלכם מיישמת תרגום כתובות רשת (NAT) או בדיקת חבילות עם שמירת מצב (SPI), צריך להגדיר זמן קצוב לתפוגה של 30 דקות או יותר לחיבורים שלנו דרך יציאות 5228-5230. כך אנחנו יכולים לספק קישוריות אמינה תוך צמצום צריכת הסוללה של המכשירים הניידים של המשתמשים.
FCM ושרתי proxy
אי אפשר להעביר את הפרוטוקול של FCM לשליחת הודעות דחיפה למכשירים דרך שרתי proxy ברשת. לכן, צריך לוודא שהחיבור של FCM מהמכשירים ברשת יכול להתחבר ישירות לשרתים שלנו.
אינטראקציות עם VPN ואפשרות לעקוף אותו
ב-Firebase Cloud Messaging יש כמה אמצעים שנועדו לוודא שהחיבור של הודעות ה-Push מהטלפון לשרת אמין וזמין כמה שיותר. השימוש ב-VPN מקשה על המאמץ הזה.
רשתות VPN מסתירות את המידע הבסיסי שנדרש ל-FCM כדי לכוונן את החיבור שלו, לשפר את האמינות ולהאריך את חיי הסוללה. במקרים מסוימים, רשתות VPN מנתקות באופן פעיל חיבורים ארוכי טווח, וכתוצאה מכך חוויית המשתמש נפגעת בגלל הודעות שהתפספסו או התעכבו, או בגלל צריכת סוללה גבוהה. כשה-VPN מוגדר לאפשר לנו לעשות זאת, אנחנו עוקפים את ה-VPN באמצעות חיבור מוצפן (דרך רשת ה-Wi-Fi או ה-LTE הבסיסית) כדי להבטיח חוויה אמינה וחסכונית בסוללה. FCM משתמש ברשתות VPN שניתן לעקוף רק בערוץ ההתראות של FCM. תנועה אחרת של FCM, כמו תנועת רישום, משתמשת ב-VPN אם הוא פעיל. כשהחיבור של FCM עוקף את ה-VPN, הוא מאבד את היתרונות הנוספים שה-VPN יכול לספק, כמו הסתרת כתובת ה-IP.
לרשתות VPN שונות יש שיטות שונות לקבוע אם אפשר לעקוף אותן או לא. כדי לקבל הוראות, עיינו במסמכי התיעוד של ה-VPN הספציפי שלכם.
אם ה-VPN לא מוגדר כך שניתן לעקוף אותו, Firebase Cloud Messaging ישתמש ברשת ה-VPN כדי להתחבר לשרת. כתוצאה מכך, יכול להיות שיהיו עיכובים בקבלת הודעות וצריכת הסוללה תהיה גבוהה יותר, כי Cloud Messaging ינסה לשמור על החיבור דרך VPN.