Autodesk Forge创建webhook后无法接收回调问题咨询

• 已成功创建监听dm.version.added（版本新增）事件的Autodesk Forge Webhook，无法接收到对应回调请求
• 手动向配置的callbackUrl发送POST请求时，服务日志可正常查询到请求记录，回调接口本身可用性正常
• 本次配置的监听范围对应文件夹URN为QU_6r8mIR8yIubm1K_fHmA，归属项目的Project Files目录
• 回调地址替换为公开Webhook测试地址时可正常收到回调，仅当回调地址为acc.metroselskabet.dk域名下地址时，服务端无任何请求日志
• 核心诉求：明确Forge Webhook回调请求的来源IP范围，排查是否存在AWS云服务IP被本地Cisco设备拦截的问题，获取对应排查思路

当前Webhook配置信息如下：

autoReactivateHook  FALSE
callbackUrl https://acc.metroselskabet.dk/webhook/default/call/packed_data.json
callbackWithEventPayloadOnly    FALSE
createdBy   umwNi161Og8dY7j4SFpw7EUWCOJGzMXp
createdDate 2022-06-10T09:23:39.323+00:00
creatorType Application
event   dm.version.added
hookId  dc9998e5-5ce6-40d3-b5c9-e2ea09ed56e0
lastUpdatedDate 2022-06-10T09:23:39.323+00:00
scope   folderurn:adsk.wipemea:fs.folder:co.QU_6r8mIR8yIubm1K_fHmA
status  active
system  data
tenant  urn:adsk.wipemea:fs.folder:co.QU_6r8mIR8yIubm1K_fHmA
urn urn:adsk.webhooksemea:events.hook:dc9998e5-5ce6-40d3-b5c9-e2ea09ed56e0

Forge Webhook 来源IP说明 #

Forge服务全量部署在AWS公有云基础设施上，没有固定的出站IP列表，IP段会随AWS节点扩缩容、故障切换动态变化，官方不支持基于固定IP做防火墙白名单配置。
从你当前Webhook的URN带webhooksemea标识可以判断，回调由Forge EMEA（欧洲）区域节点发出，对应AWS欧洲区域的动态IP段，该范围可查询AWS官方公开发布的对应区域IP段清单，但清单会定期更新，无法作为长期白名单依据。

针对性排查步骤 #

1. TLS配置校验
   Forge Webhook发起回调请求时，强制要求目标地址满足TLS 1.2及以上版本，证书由公共受信任CA签发，不支持自签名证书、过期证书、证书链不完整的站点。优先校验acc.metroselskabet.dk域名443端口的TLS配置，排除证书、协议版本不兼容导致的连接被拒。
2. Cisco设备拦截排查
   • 登录Cisco防火墙、入侵防御系统，在你触发版本新增事件的对应时间窗口，查询设备日志，匹配目标为回调接口路径、源归属AWS欧洲段IP的丢弃/拒绝记录，确认是否存在拦截行为
   • 可临时放开对应区域AWS段443端口的入站规则，重新触发文件版本新增事件，验证是否能正常收到回调，快速定位IP拦截问题
3. 服务端请求规则校验
   检查回调服务的访问规则，不要对请求User-Agent、请求头做非必要拦截：Forge回调默认UA标识为Autodesk-Forge/1.0，若创建Webhook时未配置自定义签名头，不会携带特殊鉴权字段，不要拦截非浏览器UA发起的POST请求。
4. 公网链路校验
   确认acc.metroselskabet.dk的公网DNS解析对全球网段正常，不要配置仅面向特定区域开放的DNS解析或路由规则，避免Forge节点无法正确解析到服务地址。

长期使用建议：不要依赖IP段白名单做请求放行，推荐通过Webhook配置的签名密钥校验请求合法性，避免AWS IP段变动导致回调中断。

内容的提问来源于stack exchange，提问作者Rene Lloyd