Voraussetung für Ihre IT Infrastruktur
💻 Systemanforderungen (Clientseitig)
Die Ambivio Anwendung ist vollständig webbasiert und erfordert keine lokale Installation. Sie ist mit allen gängigen
Betriebssystemxen kompatibel, darunter:
- Windows
- macOS
- Linux / Ubuntu
- iOS
- Android
Für die bestmögliche Nutzererfahrung empfehlen wir die Nutzung der neuesten Versionen von Google Chrome oder Microsoft
Edge. Auch Mozilla Firefox und Safari werden unterstützt.
🎙️ Audio-Hardware & Spracheingabe
Um die Spracheingabe optimal nutzen zu können, benötigt das verwendete Gerät ein funktionierendes Mikrofon. Dies kann
entweder:
- intern verbaut (z. B. bei Laptops oder Tablets) oder
- extern angeschlossen sein – über USB oder Bluetooth (z. B. Headsets oder Tischmikrofone).
Für größere Einrichtungen besteht die Möglichkeit, dass Ambivio passende Mikrofonhardware zur Verfügung stellt. Bei
Einzelpraxen oder kleinen Teams beraten wir Sie gerne individuell zur optimalen Einrichtung.
🌐 Netzwerk-Voraussetzungen
Damit die Ambivio-Anwendung in Ihrem Haus genutzt werden kann, müssen folgende Ziele per HTTPS (TCP 443) erreichbar
sein.
✅ Schnelltest vorab
Öffnen Sie von einem Client im betroffenen Netz die Seite:
https://app.ambivio.ai/network-check
Diese Seite prüft automatisch, ob alle relevanten Ambivio-Dienste erreichbar sind.
- Alle Prüfungen grün: Es ist keine weitere Konfiguration nötig — die folgenden Abschnitte können Sie überspringen.
- Einzelne Prüfungen schlagen fehl: Richten Sie die Freigaben wie unten beschrieben ein und wiederholen Sie den Test
anschließend zur Abnahme.
Freizugebende Domains
- ambivio.ai und *.ambivio.ai
- ae8c3502c21dc5236fc76c44276c91c1.eu.r2.cloudflarestorage.com
- www.gstatic.com
- fonts.gstatic.com
- www.google.com
Falls eine Wildcard-Freigabe (*.ambivio.ai) nicht möglich ist, müssen stattdessen folgende Subdomains einzeln
freigegeben werden:
- app.ambivio.ai
- api.ambivio.ai
- pfiles.ambivio.ai
- download.ambivio.ai
- utility.ambivio.ai
- open.ambivio.ai
- sentry.ambivio.ai
- help.ambivio.ai
- learn.ambivio.ai
⚠️ Eine IP-basierte Freigabe wird nicht unterstützt
Unsere Dienste laufen teils über die Cloudflare-Infrastruktur (Anycast, geteilte und regelmäßig wechselnde IP-Adressen),
teils auf eigenen Servern, deren IP-Adressen sich ebenfalls ohne Ankündigung ändern können. Es existiert daher kein
stabiler IP-Bereich, der freigegeben werden könnte. Freigaben einzelner IP-Adressen funktionieren zunächst, führen aber
zwangsläufig zu späteren Ausfällen.
Die Freigabe muss daher auf Hostnamen-Basis erfolgen. Hierfür gibt es je nach Firewall-Funktionsumfang und Schutzbedarf
drei Varianten.
Variante 1 — SNI-basierte Domain-Freigabe (Standard-Empfehlung)
Die Firewall erlaubt ausgehende TLS-Verbindungen anhand des Hostnamens im TLS-ClientHello (SNI). Die Ziel-IP spielt
dabei keine Rolle.
- Keine SSL-Inspektion und keine IP-Pflege nötig.
- Unempfindlich gegen alle IP-Wechsel (Cloudflare wie eigene Server).
- Wildcard-Regeln (*.ambivio.ai) werden unterstützt.
Schutzniveau: Verhindert zuverlässig unbeabsichtigte Zugriffe durch Nutzer und Standard-Schadsoftware. Das SNI ist eine
Angabe des Clients und durch gezielt entwickelte Schadsoftware fälschbar; für höheren Schutzbedarf siehe Variante 2.
Variante 2 — TLS-Inspektion mit Zertifikatsprüfung (höchster Schutzbedarf)
Die Firewall entschlüsselt die Verbindungen zu den o. g. Domains (SSL Forward Proxy) und validiert das Server-Zertifikat
gegen den freigegebenen Hostnamen. Damit wird die Domain-Freigabe kryptografisch durchgesetzt; gefälschte SNI-Angaben zu
Fremdzielen werden erkannt und blockiert. Auch diese Variante ist vollständig IP-unabhängig.
Voraussetzungen:
- Firewall-eigene CA im Trust Store aller Clients (z. B. per Gruppenrichtlinie).
- Strikte Zertifikatsvalidierung (Kette + Hostname-Match, keine Ausnahmen für ungültige Zertifikate).
- QUIC/HTTP3 ausgehend blockieren, damit Browser auf inspizierbares HTTPS zurückfallen.
Variante 3 — DNS-basierte FQDN-Freigabe (Fallback, falls SNI-Filterung nicht verfügbar)
Die Firewall löst die freigegebenen Hostnamen selbst per DNS auf und erlaubt die resultierenden IPs. Dies funktioniert
nur zuverlässig unter folgenden Bedingungen:
- Firewall und Clients nutzen denselben internen DNS-Resolver (z. B. AD-DNS). Unterschiedliche Resolver führen zu
Blockaden, da unsere Infrastruktur je nach Resolver unterschiedliche IPs ausliefert.
- DNS-over-HTTPS in Browsern ist per Richtlinie deaktiviert, damit Clients den internen Resolver nicht umgehen.
- Die FQDN-Objekte werden TTL-basiert aktualisiert (bei modernen Firewalls Standard).
- Da FQDN-Objekte meist keine Wildcards unterstützen, müssen alle Subdomains einzeln gepflegt werden (Liste oben); bei
neuen Subdomains ist eine Anpassung in Ihrer Firewall erforderlich.
Hinweis: Diese Variante ist wartungsintensiver und fehleranfälliger als Variante 1. Kurze Störungsfenster bei
IP-Wechseln unserer Infrastruktur sind möglich.
📬 Benachrichtigung bei Änderungen (wichtig)
Wenn Sie Ihre Firewall anhand dieser Anleitung konfigurieren, senden Sie bitte eine kurze E-Mail an [email protected] mit
dem Hinweis, dass Sie über firewall-relevante Änderungen informiert werden möchten (z. B. neue Subdomains oder
Änderungen an unserer Infrastruktur).
Wir informieren Sie dann rechtzeitig vor solchen Änderungen, sodass Sie Ihre Freigaben anpassen können, bevor es zu
Störungen kommt. Dies gilt für alle Einrichtungen, die ausgehenden Datenverkehr filtern — unabhängig davon, welche der
oben beschriebenen Varianten Sie einsetzen.