Rede e portas

O appliance é uma instalação on-premise: ele fica dentro da rede da empresa e não deve ser publicado na internet. A regra de firewall é curta — uma porta de entrada na rede local e uma saída para a Nice.

Resumo

Direção	Porta	Para onde	Para quê
Entrada	`443/tcp`	somente rede local	painel do appliance e API do Industry
Saída	`443/tcp`	central Nice	heartbeat assinado do appliance
Saída	`53/udp` e `53/tcp`	DNS da empresa	resolução de nome
Saída	`123/udp`	servidor NTP	hora correta, se não houver NTP local

Entrada: 443 na rede local

O nginx do appliance publica apenas a porta 443. Não há porta 80: não existe redirecionamento de HTTP para HTTPS a ser configurado.

Libere 443/tcp do segmento de gestão para o IP do appliance.
Não é necessário liberar portas dos contêineres internos — banco, serviço local e edge escutam em 127.0.0.1 ou em rede interna do Docker.
O certificado nasce autoassinado; instale o certificado da empresa para o navegador confiar.

Saída: 443 para a Nice

O único processo que sai para a internet é o agente de heartbeat. Ele fala HTTPS com a central para registrar presença e receber o envelope de licença. Nenhum dado industrial é enviado por esse canal.

Permita 443/tcp de saída para o endereço da central (por exemplo apps.nicesec.com.br).
Prefira liberar por destino (nome ou IP), não a internet inteira.
Sem saída, o appliance continua operando localmente e mostra alerta de central inacessível — a falta de internet não autoriza parar a produção.

Licença e continuidadeA expiração comercial não interrompe a operação local: o appliance mantém o último grant e alerta. Bloquear produção por licença exigiria uma política explícita, que não existe hoje.

O que nunca abrir

Não publique o appliance na internetNão crie regra de NAT, port forward ou publicação direta da 443 para a internet. O appliance é destinado à rede da empresa. Para acesso remoto, use VPN corporativa ou um proxy reverso com autenticação — nunca a exposição direta.

Nada de 22/tcp aberto para fora: o acesso administrativo é pelo console ou pela rede de gestão.
Nada de túnel permanente ou acesso remoto sem autorização, escopo e prazo.
Suporte da Nice é pontual: o cliente autoriza, define o escopo e o prazo, e a ação é auditada.

Equipamentos industriais

Nesta versão a coleta de equipamentos está desligada no appliance. Quando for habilitada, a conversa será com as verificadoras e os leitores da rede local, nas portas de cada modelo — por exemplo 80 para a página web da verificadora, 8080 para o integrador e as portas TCP do leitor. Nada disso atravessa a internet.

A topologia de rede do appliance deve alcançar apenas os equipamentos que serão acompanhados. Não é um inventário de toda a rede e não requer acesso amplo.

Checklist de firewall

Uma regra de entrada: 443/tcp para o IP do appliance, origem no segmento de gestão.
Uma regra de saída: 443/tcp para a central Nice.
DNS e NTP conforme a rede local.
Nenhuma regra de entrada vinda da internet.
Depois de mudar o firewall, confirme que o painel abre na rede local e que o alerta de central desaparece.

Para instalar o appliance, veja Instalador offline ou Máquinas virtuais.