Saltar al contenido principal

SEW Gateway

La SEW OrchestrationSuite, accesible en https://sew.eu1.sdaconsole.io/, actúa como la plataforma central de gestión para crear y administrar su infraestructura de conectividad industrial. Tras completar el proceso de incorporación de la cuenta de inquilino (tenant), puede comenzar a configurar su topología de red creando Gateways y vinculando dispositivos industriales.

El proceso de configuración consta de dos pasos principales: primero, declarar un Gateway de conectividad que servirá como puente seguro entre su red industrial y los servicios de SEW Cloud y, a continuación, crear y vincular los dispositivos industriales (como PLC, HMI y robots) a los que el Gateway proporcionará acceso.

Información relacionada sobre los SEW Gateways​

El SEW Gateway desempeña un papel central en cada versión trimestral, sirviendo como puente seguro entre las redes industriales locales y la plataforma en la nube de SEW. Para más detalles sobre cómo se integra el Gateway en el diseño y la configuración general del sistema, consulte la siguiente información

Descripción general​

Servicio de conectividad industrial seguro que conecta las redes de fabricación con los servicios en la nube mediante túneles VPN cifrados. El SEW Connectivity Service se basa en SDA Glue, la aplicación para Gateways, disponible para hosts Linux y Windows. El servicio funciona con SoftEther VPN, que admite OpenVPN en clientes Windows, estableciendo un túnel TCP seguro entre una interfaz de red del Gateway y los servicios de SEW Cloud, tales como IDEaaS, Backup y las VM de despliegue.

También combina los firewalls nativos del sistema operativo (iptables de Linux y Windows Filtering Platform (WFP)) con una tabla NAT para conectar software específico de fabricantes, como Siemens TIA Portal y Rockwell Studio 5000, directamente con el dispositivo en la capa de control de fabricación.

Puntos clave​

La gestión de activos industriales con SEW se apoya en una solución de conectividad industrial integral y segura que salva la brecha entre los entornos de fabricación y los servicios basados en la nube. Aprovechando tecnologías consolidadas e implementando medidas de seguridad robustas, el servicio ofrece una conectividad de nivel empresarial adaptada específicamente a los sistemas de automatización y control industrial.

Seguridad de nivel industrial​

  • La integración con AWS IoT Core proporciona conexiones TLS seguras con políticas de control de acceso granulares.
  • Sigue las mejores prácticas de seguridad de IoT industrial, permitiendo a los administradores restringir el acceso en función de las propiedades y el contexto del dispositivo.

Base VPN consolidada​

  • Utiliza SoftEther VPN, que proporciona cifrado AES de 256 bits y RSA de 4096 bits con un alto rendimiento de transferencia y un bajo consumo de memoria y CPU.
  • Garantiza que los datos en tránsito permanezcan protegidos frente a escuchas y accesos no autorizados, ideal para aplicaciones industriales donde la seguridad y el rendimiento son críticos.

Acceso a la red de confianza cero (Zero-Trust)​

  • Elimina la necesidad de VPN estáticas tradicionales al establecer conexiones bajo demanda.
  • Esta arquitectura punto a punto garantiza que los usuarios solo puedan acceder a los dispositivos específicamente autorizados, y no a segmentos de red completos, reduciendo significativamente la superficie de ataque.

Diseño compatible con entornos de fábrica​

  • Todas las conexiones se inician desde el Gateway hacia el exterior, sin requerir reglas de firewall entrantes en el entorno de fabricación.
  • Este diseño respeta las arquitecturas de seguridad industrial existentes al tiempo que proporciona capacidades de acceso remoto seguro.

Arquitectura​

Los pares de una red virtual se denominan Nodos, los componentes principales del Connectivity Service.
Cada conexión se construye a partir de la interacción de una cadena de Nodos, cada uno con un rol específico.

Dispositivos​

Activos industriales normalmente ubicados en la red segura de fabricación a los que se puede acceder mediante su dirección IP (p. ej., PLC, HMI, robots).

  • Los dispositivos se declaran en la SEW OrchestrationSuite para cada inquilino y el acceso de los usuarios se gestiona mediante control de acceso basado en roles (RBAC).
  • La conectividad requiere que cada dispositivo esté vinculado con al menos un Gateway de red.

Gateways​

Hosts de red con acceso seguro a Internet y a los dispositivos gestionados en la SEW OrchestrationSuite.

  • Normalmente IPC, VM, contenedores o Raspberry Pi, ubicados en una zona de firewall que requiere reglas específicas para acceder a los recursos de SEW Cloud, como los Tenant Servers.
  • Cada Gateway ejecuta SDA Glue, un servicio del sistema operativo que escucha las solicitudes de conexión y proporciona datos de telemetría.

Tenant Servers​

Hosts bastión que se ejecutan en un entorno seguro de SEW Cloud, dedicados a cada inquilino.

  • Conectan la interfaz de red del Gateway con una VM de servicio de SEW u otro Gateway.
  • Garantizan las políticas de filtrado necesarias para asegurar únicamente conexiones punto a punto (p. ej., desde IDEaaS a un PLC específico y no a otros dispositivos de la misma red).
  • Autentican el acceso desde los Gateways en función de una política de rotación de credenciales para cada conexión.

VM de servicio​

Ejecutan las aplicaciones necesarias para los servicios de SEW, como IDEaaS, Backup y las canalizaciones de despliegue.

  • Estas VM dependen del Connectivity Service para acceder a los dispositivos en la capa de red mediante su dirección IP, algo esencial para las aplicaciones industriales.

Nube​

En lugar de utilizar VPN estáticas tradicionales, el SEW Connectivity Service establece conexiones con los activos industriales a partir de solicitudes que se reenvían a una cadena de Nodos que operan conjuntamente para proporcionar acceso de red punto a punto entre los servicios de SEW y los dispositivos.

Para la red de fabricación, todas las conexiones se inician desde el Gateway, sin requerir reglas de conexión entrante en la fábrica. Para lograrlo, los Nodos escuchan constantemente en un broker de mensajes IoT las solicitudes entrantes, con la tecnología de AWS IoT Core.

Esta arquitectura permite a los usuarios interactuar con los activos de la fábrica desde cualquier lugar con Internet y desde cualquier ordenador, dependiendo únicamente de un navegador.

Red​

El Gateway es un dispositivo de borde situado entre una capa de control de fabricación e Internet, que proporciona a los servicios de SEW un acceso controlado a los activos definidos en la Console.
Es importante consolidar una arquitectura que conecte de forma segura la SEW Cloud con la infraestructura local.

Recomendamos una de las dos configuraciones propuestas para el Gateway, como se indica a continuación:

Gateway en la LAN​

Este es el enfoque más común, en el que el Gateway se coloca junto a los PLC que se incorporan a la plataforma SEW.

  • Un firewall controla estrictamente las conexiones salientes del Gateway hacia Internet.
  • El Gateway tiene acceso a la subred en la que se encuentra, pero se puede provisionar un firewall en el router de la red como capa de control de acceso (ACL).
  • Es habitual utilizar un dispositivo Gateway con dos interfaces de red: una apuntando a la DMZ y otra a la capa de control.
  • Esta arquitectura permite zonas IP repetidas (p. ej., ambas con la subred 10.0.0.0/24).

Gateway en la DMZ​

Este enfoque se utiliza a menudo cuando el Gateway se ejecuta en una máquina virtual dedicada dentro de la infraestructura de servidores.

  • El equipo de TI proporciona rutas especiales entre la VM y los PLC de destino en la capa de control, con firewalls que probablemente existan tanto en las rutas de acceso a Internet como a OT.
  • Puede existir una traducción de direcciones de red (NAT) al descender hacia los PLC.
    • Atención: algunos programas específicos de fabricantes de PLC pueden no ser compatibles con el uso de alias de IP y deben conectarse utilizando la IP configurada en el proyecto.
  • Cada PLC de la unidad de fabricación debe tener una dirección IP única para evitar colisiones.
  • Según la infraestructura de red, el acceso de capa 2 desde los Gateways a los PLC puede no funcionar: esta es una funcionalidad próxima para la integración de redes industriales en tiempo real en los servicios de SEW.

Software​

SDA Glue es una aplicación que se ejecuta como servicio del sistema operativo, garantizando la alta disponibilidad del Gateway con arranque automático y reinicio en caso de errores.

Para establecer los túneles de red mediante la gestión de recursos de red como interfaces, rutas y reglas de firewall, requiere elevación como usuario del sistema.

Actualizaciones automáticas​

Las actualizaciones automáticas están deshabilitadas de forma predeterminada y deben habilitarse, ya sea desde la SEW OrchestrationSuite en la sección de configuraciones del Gateway, o desde la CLI del dispositivo con:

sdaglue config set --update.auto true

El servicio Glue leerá la última versión estable desde repository.eu1.sdaconsole.io y aplicará la actualización cuando no haya conexiones activas.

El mecanismo de actualización:

  • Descarga el nuevo binario de la aplicación
  • Lo sustituye por el antiguo
  • Reinicia el servicio

Conexión con AWS IoT Core​

AWS IoT Core se conectará durante el inicio de sesión, utilizando el endpoint iot.eu1.sdaconsole.io.

Una vez conectado, el servicio Glue:

  • Escuchará constantemente las solicitudes de la SEW Cloud
  • Publicará datos de telemetría, como el estado de los dispositivos asociados al Gateway

La autenticación de IoT está protegida por:

  • Un ID corto y una contraseña de un solo uso (OTP) obtenidos desde la SEW OrchestrationSuite
  • Una clave secreta incorporada en el binario de la aplicación

La conexión con IoT puede configurarse para utilizar:

  • MQTT SSL, o
  • WebSocket Secure, ambos en el puerto 443

Diferencias entre plataformas​

Los mecanismos de red son diferentes para Linux y Windows.
Por lo tanto, se describen por separado.

Linux​

SDA Glue en Linux se basa en el SoftEther VPN Client, que es de código abierto (Apache License 2.0) y se instala desde el mirror de SEW en repository.eu1.sdaconsole.io durante la instalación de Glue.

Para cada conexión:

  • Glue utiliza el SoftEther Client para crear una interfaz de red NIC y conectarla al Tenant Server.
  • Utiliza las herramientas IP de Linux para asignar una dirección IP a esa interfaz y crear las rutas necesarias entre la VM de servicio y el dispositivo de destino.

Las reglas de firewall internas y la traducción NAT se crean en iptables, que:

  • No permiten paquetes de red entrantes al Gateway
  • Solo reenvían paquetes al dispositivo de destino

Windows​

SDA Glue en Windows no admite el uso integrado del SoftEther VPN Client.
Por lo tanto, utiliza el OpenVPN Community Open-Source Client (licencia GPL versión 2), instalado desde el mirror de SEW en repository.eu1.sdaconsole.io durante la instalación de Glue.

Para cada conexión:

  • Glue utiliza el controlador TAP de OpenVPN para crear una interfaz de red y conectarla al Tenant Server mediante autenticación basada en certificados.
  • Utiliza la API nativa de Windows para asignar una IP a la interfaz y crear las rutas necesarias entre la VM de servicio y el dispositivo de destino.

Glue también utiliza Windows Filtering Platform (WFP) para crear capas y reglas de firewall dedicadas.
No obstante, depende de WinNAT (o NetNat) para declarar la traducción de direcciones entre la VM de servicio y el dispositivo, que puede no estar habilitada de forma predeterminada.

Resumen ​

El SEW Connectivity Service ofrece una solución madura, segura y escalable para los retos de la conectividad industrial.

Al combinar tecnologías de código abierto consolidadas como SoftEther VPN con una infraestructura en la nube de nivel empresarial de AWS IoT Core, el servicio proporciona la fiabilidad y la seguridad que requieren las operaciones industriales, ofreciendo al mismo tiempo la flexibilidad y la facilidad de uso que esperan los equipos de ingeniería modernos.

La arquitectura del servicio respeta los principios de seguridad industrial al tiempo que habilita iniciativas de transformación digital que impulsan:

  • La eficiencia operativa
  • La colaboración remota
  • La toma de decisiones basada en datos

Para las organizaciones que buscan conectar de forma segura sus activos industriales a servicios en la nube sin comprometer la seguridad de la red ni la fiabilidad operativa, el SEW Connectivity Service proporciona una solución integral y lista para producción.