概述

如果企业网络对外网访问设有限制，请由 IT 或网络管理员在防火墙、出口网关或相关安全设备中配置访问规则，以保障轻松连设备正常联网、上传数据，以及访问控制平台和官网。

本文适用于 轻松连（www.ubibot.cn ），提供常规设备联网与平台访问所需的域名、IP 地址及端口配置参考。私有化部署请以实际部署的服务器地址和端口为准。

一、需要放行的域名与端口

请根据实际使用需求，允许内网设备或电脑访问以下目标地址。表中端口均为 TCP 目标端口，访问方向为出站。

用途 目标域名 参考目标 IP 需放行的 TCP 端口
控制平台访问console.ubibot.cn console.ubibot.cn 123.57.254.53 80、443
设备联网与数据上传 api.ubibot.cn 101.201.30.5 80、443、1883、8083、8084
平台页面默认 API / CDN 接口 api-cdn.ubibot.cn 101.201.30.5 80、443、8083、8084
官网访问（可选） www.ubibot.cn 123.57.254.53 80、443

其中，80、443 分别用于 HTTP、HTTPS 通信；1883、8083、8084 用于 MQTT 相关通信。访问控制平台时，请同时放行平台域名及相关接口域名，不能仅放行 console.ubibot.cn。

上述清单用于覆盖设备联网与平台访问需求，并不表示每台设备都会同时使用全部端口。如企业要求按最小权限配置，请联系轻松连技术支持，根据具体设备型号、固件版本及使用功能确认放行范围。

二、配置要求与建议

1. 允许出站连接及其返回流量

设备上传数据、电脑访问平台等连接均由客户侧主动发起。通常无需开放供公网主动连接内网设备的入站端口，也无需配置端口映射。

使用有状态防火墙时，应允许已建立连接的返回流量；如果网络采用无状态访问控制规则，则还需由网络管理员配置相应的返回流量规则。“无需开放入站端口”不等于可以阻断连接的返回流量。

2. 根据防火墙能力选择域名或 IP 放行

如果防火墙支持基于域名（FQDN）的访问控制，建议按上表配置对应域名和端口，并确认规则能够随 DNS 解析结果更新。还应区分 HTTP/HTTPS 应用规则与普通 TCP 网络规则，避免仅配置网页访问白名单后，其他协议仍被拦截。

如果防火墙仅支持 IP 白名单，请按 轻松连确认的最新 IP 清单配置，并在服务地址调整后及时更新。若网络同时启用了 IP 过滤、域名过滤和应用协议识别，应确保相关策略均允许所需访问，具体配置方式以所用防火墙的规则处理机制为准。

3. 确保 DNS 解析正常

设备和电脑应能够通过企业允许使用的 DNS 服务器，正常解析上表中的域名。使用常规 DNS 服务时，应允许客户端访问所配置 DNS 服务器的 UDP 53 和 TCP 53 端口；该规则的目标是 DNS 服务器，而不是表中的 UbiBot 业务服务器。

**IP 白名单不能替代 DNS 解析。**即使已放行服务器 IP，设备通过域名访问服务时，仍需要获得正确的解析结果。出现 DNS 异常时，应检查 DNS 服务器、解析策略及网络连通性，而不是仅增加 IP 白名单。

4. 检查代理服务器与应用层限制

如果电脑通过代理服务器访问控制平台，应确认代理允许访问相关域名和目标端口。涉及 WebSocket 连接时，还需确保代理支持相应的连接建立和数据传输，不能仅允许普通网页请求。

MQTT 可以通过普通 TCP、WebSocket 或加密 WebSocket 等方式传输。若防火墙启用了应用协议识别，应按实际通信方式配置规则，不能仅依据端口号判断协议。

对于设备联网，建议优先配置所需的直接 TCP 出站访问。如必须通过代理，应先确认具体设备是否支持相应代理方式及认证机制，不能默认设备支持 HTTP 或 SOCKS 代理。轻松连部分型号的联网要求明确排除了代理服务器环境。

三、常见问题

为什么 api.ubibot.cn 的 80 和 443 也需要放行？

设备除 MQTT 通信外，还可能通过 HTTP/HTTPS 与 api.ubibot.cn 进行交互。因此，不能只放行 MQTT 端口而忽略 80、443，否则可能影响设备与平台之间的正常通信。

api-cdn.ubibot.cn 是什么？可以不放行吗？

api-cdn.ubibot.cn 是控制平台页面默认使用的 API / CDN 接口域名。如果未放行，可能出现平台能够打开，但数据加载失败或部分功能不可用的情况。

需要使用控制平台时，建议一并放行该域名及其 80、443、8083、8084 端口。

为什么放行 80 和 443 后，设备或平台仍无法正常通信？

80、443 的放行并不代表所有通信通道均已开放。请核对上表中相关域名对应的 MQTT 端口，尤其是在防火墙同时执行端口控制和应用协议识别的环境中，还应确认实际使用的 MQTT 传输方式未被拦截。

排查时应结合设备连接日志和防火墙拦截日志，检查实际访问的目标域名、IP、端口及协议，避免仅凭“网页可以打开”判断网络配置已完成。

IP 地址后续发生变化怎么办？

如果企业使用固定 IP 白名单，请在服务地址调整后及时更新规则。出现连接异常时，可先确认当前 DNS 解析结果与已配置的白名单是否一致，再联系技术支持核实所需地址。支持动态 FQDN 网络规则的防火墙可根据解析结果维护对应 IP，但具体更新机制取决于防火墙产品及配置。

四、配置完成后的检查

完成配置后，请分别验证设备联网与控制平台访问，请勿仅以官网能否打开作为判断依据。

检查项目 验证内容
设备联网与上传 触发一次数据同步，确认平台收到最新数据
控制平台访问 登录平台，检查设备列表、数据页面及实际使用的功能
控制指令交互 对支持远程控制的设备，验证指令下发与执行结果
异常排查 对照连接失败时间，检查设备日志、DNS 解析结果及防火墙拦截记录

五、技术支持

如按上述要求配置后仍无法正常连接，请联系技术支持，并提供设备型号、联网方式、故障发生时间、错误提示，以及相关连接日志或防火墙拦截记录，以便进一步排查。

提交资料前，请对密码、API 密钥及其他敏感信息进行脱敏处理。