Netzwerk, Ports und Firewall: Welche Verbindungen nutzt FMWeb?
Dieser Artikel listet alle Netzwerkverbindungen auf, die ein FMWeb-Server nutzt – eingehend wie ausgehend – und liefert die Grundlage für Ihre Firewall-Freigaben. Überblick über die Architektur: Artikel 142.
<!-- Portal-Redaktion: Abbildung kb/bilder/143-netzwerk-ports-firewall.svg an dieser Stelle einfügen. -->
Eingehende Verbindungen (zum FMWeb-Server)
| Port | Protokoll | Quelle | Zweck |
|---|---|---|---|
| 9998/TCP | HTTP + WebSocket | Browser der Anwender und Fahrer (LAN/VPN bzw. Reverse Proxy) | Die Webanwendung selbst – Standard-Port, konfigurierbar |
| frei wählbar | HTTPS | Browser | Nur wenn Sie selbst einen HTTPS-Endpunkt mit Zertifikat konfigurieren oder einen Reverse Proxy vorschalten |
- Der Port wird in der
appsettings.jsonunterKestrel:Endpoints:Http:Urlfestgelegt (Standardhttp://*:9998). - Unter
http://<server>:9998/healthantwortet ein einfacher Health-Check (HTTP 200), geeignet für Ihr Monitoring. - FMWeb legt keine Firewall-Regeln selbst an. Für den Zugriff aus dem Netzwerk geben Sie den Port in der Windows-Firewall frei:
New-NetFirewallRule -DisplayName "FMWeb" -Direction Inbound -Protocol TCP -LocalPort 9998 -Action Allow
Anforderungen an Reverse Proxy und Firewall
Blazor Server hält pro Browser-Sitzung eine dauerhafte WebSocket-Verbindung (Artikel 124). Ein vorgeschalteter Proxy (IIS ARR, nginx, …) muss daher:
- WebSockets durchleiten (Upgrade-Header),
- langlebige Verbindungen zulassen (Leerlauf-Timeout ≥ 5 Minuten; FMWeb sendet alle 15 Sekunden Keep-Alives),
X-Forwarded-ForundX-Forwarded-Protosetzen – FMWeb wertet diese Header aus, u. a. für die Begrenzung von Anmeldeversuchen pro Absender-IP,- bei HTTPS-Terminierung die Anfragen unverändert an
http://<server>:9998weiterreichen.
Ausgehende Verbindungen (vom FMWeb-Server)
| Ziel | Port | Protokoll | Wann |
|---|---|---|---|
| Ihr SQL Server | 1433/TCP (benannte Instanzen zusätzlich UDP 1434) | TDS (TLS-verschlüsselt) | immer – Systemdatenbank und Mandanten-Datenbanken |
| Dokumentenablage / UNC-Freigaben | 445/TCP | SMB | wenn DMS-Pfade oder Import-Ordner auf Freigaben zeigen |
| Ihr Mail-Server | 587/TCP (empfohlen) oder 25/TCP | SMTP, STARTTLS | wenn der E-Mail-Versand eingerichtet ist (Artikel 01); implizites TLS auf Port 465 wird nicht unterstützt |
| Ihr Mail-Server (Postfach) | 993/TCP | IMAP über SSL/TLS | wenn der DKV-Postfach-Import aktiv ist (Artikel 09) |
api-fmweb-prod.cloudkasten.net | 443/TCP | HTTPS | immer – Lizenzprüfung (alle 20 Minuten) und Updates-Seite (Artikel 146) |
my.fleet-id.de, api.fleet-id.de | 443/TCP | HTTPS | nur bei aktiver FleetSync-/Führerscheinkontroll-Kopplung (Artikel 116) |
map.yellowfox.de | 443/TCP | HTTPS | nur bei aktiver YellowFox-Telematik (Artikel 117) |
| Ihr SSO-Identity-Provider | 443/TCP | HTTPS | nur wenn Single Sign-On (OpenID Connect) aktiviert ist (Artikel 115) |
go.microsoft.com, download.microsoft.com | 443/TCP | HTTPS | nur einmalig, falls der Einrichtungsassistent SQL Server Express installieren soll |
UTA-FTP-Server (exgate.uta.com) | 21/TCP + Passiv-Ports | FTP/FTPS | UTA-FTP-Automatik – derzeit nicht aktiv; die Freigabe wird erst mit einer künftigen Version benötigt |
Hinweise:
- Die SQL-Verbindung ist mit aktuellen Treibern standardmäßig TLS-verschlüsselt; im Auslieferungszustand mit
TrustServerCertificate=True(Zertifikat wird nicht geprüft). Für eine verifizierte Verbindung hinterlegen Sie ein vertrauenswürdiges Zertifikat am SQL Server und entfernen den Schalter aus den Verbindungszeichenfolgen. - Liegen
FPSystemund die Mandanten-Datenbanken auf derselben SQL-Instanz (Normalfall), ist kein MSDTC nötig. Nur bei getrennten Instanzen wäre für den Tankkarten-Import verteilte Transaktionskoordination (RPC 135 + dynamische Ports) erforderlich. - Alle Integrations-Verbindungen (fleet-id, YellowFox, DKV, UTA) entstehen ausschließlich, wenn Sie die jeweilige Funktion lizenziert und konfiguriert haben.
Verbindungen der Browser (nicht des Servers)
Diese Ziele ruft der Browser des Anwenders auf, nicht der FMWeb-Server – relevant für Proxy-Freigaben an den Arbeitsplätzen:
| Ziel | Zweck |
|---|---|
support.cloudkasten.net | Support-Portal, über den Menüpunkt „Support" (Artikel 17) |
flottenmanager.net, www.ksoft.at | Produkt-/Herstellerseiten (Verlinkungen) |
| fleet-id-Login-Links | Nur in Erinnerungs-E-Mails der Führerscheinkontrolle per fleet-id |
Die Weboberfläche selbst lädt alle Skripte, Stylesheets und Schriftarten vom FMWeb-Server – es gibt keine CDN- oder Drittanbieter-Einbindungen.
Keine Telemetrie
FMWeb sendet keine Nutzungsstatistiken, Diagnosedaten oder Fehlerberichte an den Hersteller. Die einzige wiederkehrende Internet-Verbindung ist die Lizenz-/Update-Kommunikation mit api-fmweb-prod.cloudkasten.net; welche Daten dabei übertragen werden, beschreibt Artikel 146.
Häufige Fragen
Braucht der FMWeb-Server zwingend Internet-Zugang? Für den laufenden Betrieb wird nur api-fmweb-prod.cloudkasten.net (Port 443) benötigt. Ist der Dienst vorübergehend nicht erreichbar, bleiben die zuletzt registrierten Lizenzen unverändert bestehen; die Prüfung holt der Server bei der nächsten erreichbaren Gelegenheit nach.
Können wir FMWeb aus dem Internet erreichbar machen? Ja – über Ihre eigene Infrastruktur (Reverse Proxy mit TLS, VPN oder Ihr bevorzugtes Publishing). Beachten Sie die WebSocket-Anforderungen oben. FMWeb bringt bewusst keinen eigenen Fernzugriffs-Tunnel mit.
Welche Ports muss ich mindestens freigeben? Eingehend 9998/TCP aus dem Anwender-Netz; ausgehend 1433/TCP zum SQL Server und 443/TCP zu api-fmweb-prod.cloudkasten.net. Alles Weitere hängt von den aktivierten Funktionen ab (Tabelle oben).
Verwandte Artikel
