Mínimo Firewall Configurações para usar a V10 GoTo Webinar Aplicativos para desktop

Status verificado

Este documento e os cenários de exemplo são recomendações feitas pela equipe de engenharia da GoTo. Há outras considerações e configurações em que o tráfego passa por um proxy ou diretamente por um firewall.

Nota: Essa configuração foi testada para funcionar na GoTo laboratório de rede, mas pode não cobrir todos os ambientes e cenários.

GoTo Faixas de IP

Todos os serviços críticos de mídia estão vinculados a esses intervalos. Idealmente, eles devem passar diretamente por qualquer perímetro de rede e não por meio de um proxy.

A hipótese é que todo o tráfego do GoTo Meeting que não passe por esses intervalos usem HTTPS ou WebSocket simples e possam ser facilmente redirecionados por um proxy HTTPS de inspeção.

Porta TCP 443 (conexão)

Configuração de conexão para todas as mídias, download de vários componentes do aplicativo e telemetria — Usamos TLS sobre TCP puro, HTTPS, bem como WebSocket.

Intervalo	Uso
23.239.228.0/22 23.239.232.0/23 23.239.234.0/23 23.239.236.0/23	VCS (servidores de vídeo)
67.217.64.0/19	VGW (servidores de áudio)
68.64.0.0/19	VCS (servidores de vídeo), VGW e Edge (servidores de áudio)
78.108.112.0/20	VCS (servidores de vídeo)
173.199.0.0/18	VCS (servidores de vídeo), VGW e Edge (servidores de áudio), attendee.gotowebinar.com, global.gotowebinar.com, global.gototraining.com
202.173.24.0/21	MCS (servidores de compartilhamento de tela)
216.115.208.0/20	VGW (servidores de áudio), egwglobal.gotomeeting.com, egw.gotomeeting.com (detecção de conexão)

Porta UDP 1853, 8200 (áudio/vídeo)

Se estas portas UDP não estiverem abertas, o GoTo Meeting voltará a usar o TCP (o que pode afetar a qualidade de mídia e conexão). Executamos tráfego criptografado e não padrão nessas conexões, para que qualquer firewall que esteja tentando detectar algo inteligente falhar.

Intervalo	Uso
23.239.228.0/22 23.239.232.0/23 23.239.234.0/23 23.239.236.0/23	VCS (servidores de vídeo)
67.217.64.0/19	VGW (servidores de áudio)
68.64.0.0/19	VCS (servidores de vídeo), VGW (servidores de áudio), consulte TCP
78.108.112.0/20	VCS (servidores de vídeo)
173.199.0.0/18	VCS (servidores de vídeo), VGW (servidores de áudio), consulte TCP
216.115.208.0/20	VGW (servidores de áudio)

Domínios

A lista de domínios usados pelo aplicativo GoTo Webinar aplicativos de desktop atualmente inclui (mas não se limita a) o seguinte:

	Domínio	Uso	Aponta para endereços no
1	*.goto.com	Domínio central de início de sessões	AWS
2	*.getgo.com	Diversos serviços	AWS
3	*.gotomeeting.com	Diversos serviços	GoTo/AWS
4	*.expertcity.com	Servidores de compartilhamento de áudio e tela	GoTo
5	*.goto-rtc.com	Servidores de áudio e vídeo	GoTo
6	*.logmeininc.com	Autenticação (crítico)	AWS
7	*.gotowebinar.com	Domínio central (obrigatório somente para GoTo Webinar)	GoTo/AWS
8	*.gototraining.com	Domínio central (necessário somente para o GoTo Training)	GoTo
9	*.launchdarkly.com	Provedor de serviços externo para ativação de recursos (não funciona por proxy, não crítico)	Google Cloud
10	api-pub.mltree.net	GoTo Marketing (não crítico)	AWS

GoTo Opener

Este é um programa separado usado para baixar e iniciar o GoTo Meeting nativo. Ele usa os seguintes domínios (HTTPS, porta TCP 443).

Domínio	Uso	Aponta para endereços no
launch.getgo.com	Serviço de início de conferência	GoTo
join.servers.getgo.com	Serviço de início de conferência	AWS
builds.cdn.getgo.com	CDN de downloads para compilações do GoTo Meeting	AWS
builds.getgocdn.com	CDN de downloads para compilações do GoTo Meeting	GoTo

Modos gerais de configuração de rede

Em uma rede sem restrição, o GoTo Meeting abrirá um determinado número de conexões TCP e UDP em uma variedade de portas, algumas delas essenciais, por exemplo, para transmitir dados de áudio e outros dados não essenciais, como para pop-ups de marketing. Os primeiros oito (8) domínios da lista acima precisam ser excluídos da inspeção profunda de pacotes se houver alguma no caminho da rede.

Além disso, as conexões iniciadas pelo GoTo Meeting podem ser divididas em três (3) categorias:

TCP no caminho para intervalos de IP da GoTo
UDP no caminho para intervalos de IP da GoTo
TCP no caminho para outros intervalos de IP (atualmente, os espaços de endereço do AWS e do Google Cloud)

Com base nessa distinção, há quatro (4) maneiras diferentes de configurar sua rede.

Modo	Vantagens e desvantagens	Etapas de configuração
Só TCP usando a porta 443 sobre proxy HTTPS, não usa UDP	Vantagens Este é o modo de configuração mais simples. Desvantagens O uso exclusivo de TCP para mídia pode acarretar qualidade ruim de áudio e vídeo e interrupções (se houver alguma perda de pacotes na conexão IP subjacente da máquina cliente para os servidores da GoTo). Como a maioria dos servidores fica nos EUA, isso afetará os clientes fora dos Estados Unidos. O estabelecimento de conexão demora mais em redes sem restrição devido ao aumento da investigação.	Em seu firewall, bloqueie o seguinte: Todo o tráfego TCP de saída nas portas 443, 80 e 8200. Todo o tráfego UDP de saída nas portas 1853 e 8200. Em computadores clientes, configure um proxy HTTPS para a porta 443.
Só TCP usando a porta 443 sobre proxy HTTPS, o UDP passa diretamente pelo firewall	Vantagens Mídias podem usar UDP, o que melhora a percepção de qualidade de áudio e vídeo. É muito mais fácil configurar e depurar, pois o tráfego TCP e UDP está claramente separado. Desvantagens O estabelecimento de conexão demora mais do que em redes sem restrição devido ao aumento da investigação.	Em seu firewall, configure o seguinte: Bloqueie todo o tráfego TCP de saída nas portas 443, 80 e 8200. Permita tráfego UDP de saída para as portas 1853 e 8200 (você também pode restringir os intervalos de endereço IP da GoTo para UDP indicados acima). Em computadores clientes, configure um proxy HTTPS.
TCP e UDP no caminho para intervalos de IP da GoTo passam diretamente pelo firewall, TCP no caminho para outros intervalos de IP passa por proxy HTTPS	Vantagens Melhor desempenho de compartilhamento de mídia e tela, estabelecimento de conexão rápida. Desvantagens A configuração é mais complexa e mais difícil de depurar.	Em seu firewall, configure o seguinte: Permita tráfego TCP de saída na porta 443 somente para os intervalos de endereço designados em Intervalos de IP da GoTo para TCP acima. Bloqueie qualquer outro tráfego TCP de saída nas portas 443, 80 e 8200. Permitir tráfego UDP de saída na porta 1853 e 8200 – Você também pode restringir as faixas de endereço ao GoTo Faixas de IP para a lista UDP acima. Nota: Verifique se o tráfego de retorno de entrada também foi passado (com estado). Em computadores clientes, configure um proxy HTTPS.
Execute um firewall com estado e permita todo o tráfego TCP e UDP de saída e de retorno com base no estado	Vantagens Nenhuma configuração é necessária, pois todo o tráfego é iniciado pelo cliente. O firewall abrirá as conexões de entrada necessárias automaticamente. Desvantagens Esta é a configuração padrão de muitos firewalls, mas raramente é usada em redes mais complexas devido a requisitos de segurança adicionais.	Não precisa de configuração adicional.

Configuração da VPN

Se você usa uma VPN, há várias maneiras de encaminhar os diferentes fluxos. As opções refletem os modos indicados no quadro acima. No entanto, você terá que usar o encaminhamento para decidir qual tráfego vai para onde (o que dificulta separar tráfego UDP de tráfego TCP).

Por isso, recomendamos uma das seguintes opções:

Encaminhar tudo pelo túnel de VPN.
Permita que todos os intervalos de IP da GoTo acessem a Internet diretamente (TCP e UDP), envie qualquer outro tráfego pela VPN.
Envie apenas tráfego interno (por exemplo, 10.X.X.X e 192.168.X.X) pelo túnel de VPN e envie o restante diretamente para a Internet.

O tráfego TCP enviado pelo túnel de VPN pode ou não passar por um proxy após atravessar o túnel. Há outras configurações que podem ser discutidas com a equipe de engenharia da GoTo caso a caso.

Notas de configuração do proxy

Se o seu proxy estiver com inspeção profunda de pacotes, verifique se todos os domínios indicados acima foram permitidos. A inspeção profunda de pacotes pode impactar a conexão inicial de TLS e desacelerar os fluxos de mídia devido a atrasos de processamento.

Embora o GoTo Meeting consiga ler muitas fontes de configuração de proxy (por exemplo, proxy do sistema, proxy do Firefox, arquivos PAC, WPAD), a detecção de proxy pode gerar resultados inesperados. Um aspecto é que a lógica usada para analisar arquivos PAC não é compatível com todas as variações de regras possíveis. O outro aspecto é que os proxies armazenados no registro do GoTo Meeting às vezes são usados na detecção de conexão. Assim que GoTo Meeting descobrir que pode estabelecer uma conexão por meio de um proxy armazenado, ele também pode usá-lo, embora outras configurações possam indicar outro proxy.

A maneira mais fácil de verificar o uso do proxy é por meio do arquivo de log do GoTo Meeting.

macOS e Mac OS X

Os arquivos de log ficam armazenados aqui: /Usuários/nomedeusuário/Biblioteca/Logs/com.logmein.GoToMeeting.

Para apagar as entradas de proxy existentes, exclua estas chaves: defaults -currentHost read com.logmein.GoToMeeting |grep ConnectionInfo.

Windows

Os arquivos de log ficam armazenados aqui: %Temp%\LogMeInLogs\GoToMeeting. Procure a pasta com a data mais recente.

Para apagar as entradas de proxy existentes, exclua estas chaves: HKEY_CURRENT_USER\SOFTWARE\LogMeInInc\GoToMeeting\ConnectionInfo.