Siirry pääsisältöön

SEW Gateway

SEW OrchestrationSuite, joka on käytettävissä osoitteessa https://sew.eu1.sdaconsole.io/, toimii keskitettynä hallinta-alustana teollisen liitettävyysinfrastruktuurin luomiseen ja hallintaan. Kun vuokralaistilin käyttöönottoprosessi on suoritettu, voit alkaa määrittää verkkotopologiaasi luomalla Gateway-yhdyskäytäviä ja liittämällä teollisuuslaitteita.

Käyttöönottoprosessi koostuu kahdesta päävaiheesta: ensin määritellään liitettävyys-Gateway, joka toimii turvallisena siltana teollisuusverkkosi ja SEW Cloud -palveluiden välillä, ja sen jälkeen luodaan ja liitetään ne teollisuuslaitteet (kuten PLC-laitteet, HMI:t ja robotit), joihin Gateway tarjoaa pääsyn.

SEW Gateway -laitteisiin liittyvät tiedot​

SEW Gateway on keskeisessä roolissa jokaisessa neljännesvuosittaisessa julkaisussa, sillä se toimii turvallisena siltana paikallisten teollisuusverkkojen ja SEW-pilvialustan välillä. Lisätietoja siitä, miten Gateway sijoittuu järjestelmän kokonaissuunnitteluun ja käyttöönottoon, löydät seuraavista tiedoista

Yleiskatsaus​

Turvallinen teollinen liitettävyyspalvelu, joka yhdistää tuotantoverkot pilvipalveluihin salattujen VPN-tunnelien kautta. SEW Connectivity Service perustuu SDA Glue -sovellukseen, joka on Gateway-laitteille tarkoitettu sovellus ja saatavilla Linux- ja Windows-isännille. Palvelun taustalla on SoftEther VPN, joka tukee OpenVPN-yhteyttä Windows-asiakkailla ja muodostaa turvallisen TCP-tunnelin Gatewayn verkkoliitännän ja SEW-pilvipalveluiden, kuten IDEaaS-, varmuuskopiointi- ja käyttöönottovirtuaalikoneiden, välille.

Lisäksi se yhdistää käyttöjärjestelmän omat palomuurit (Linuxin iptables ja Windows Filtering Platform (WFP)) NAT-tauluun, jolloin valmistajakohtaiset ohjelmistot, kuten Siemens TIA Portal ja Rockwell Studio 5000, voidaan liittää suoraan tuotannon ohjaustason laitteeseen.

Keskeiset kohdat​

Teollisten laitteiden hallinta SEW:n avulla perustuu kattavaan ja turvalliseen teolliseen liitettävyysratkaisuun, joka kurottaa umpeen tuotantoympäristöjen ja pilvipohjaisten palveluiden välisen kuilun. Hyödyntämällä todistetusti toimivia teknologioita ja vahvoja turvatoimia palvelu tarjoaa yritystason liitettävyyden, joka on suunniteltu erityisesti teollisuusautomaatio- ja ohjausjärjestelmille.

Teollisuustason tietoturva​

  • Integrointi AWS IoT Core -palveluun tarjoaa turvalliset TLS-yhteydet ja hienojakoiset käyttöoikeuskäytännöt.
  • Noudattaa teollisen IoT:n tietoturvan parhaita käytäntöjä, jolloin järjestelmänvalvojat voivat rajoittaa käyttöä laitteen ominaisuuksien ja kontekstin perusteella.

Todistetusti toimiva VPN-perusta​

  • Käyttää SoftEther VPN -ratkaisua, joka tarjoaa AES 256-bittisen ja RSA 4096-bittisen salauksen suurella suorituskyvyllä sekä vähäisellä muistin ja prosessorin käytöllä.
  • Varmistaa, että siirrettävä data pysyy suojattuna salakuuntelulta ja luvattomalta käytöltä, mikä on ideaalista teollisuussovelluksissa, joissa turvallisuus ja suorituskyky ovat kriittisiä.

Zero-Trust-verkkoyhteys​

  • Poistaa tarpeen perinteisille staattisille VPN-yhteyksille muodostamalla yhteydet tarpeen mukaan.
  • Tämä Point-to-Point-arkkitehtuuri varmistaa, että käyttäjät pääsevät vain nimenomaisesti sallittuihin laitteisiin eivätkä kokonaisiin verkkosegmentteihin, mikä pienentää hyökkäyspintaa merkittävästi.

Tuotantoympäristöön sopiva suunnittelu​

  • Kaikki yhteydet muodostetaan Gatewaystä ulospäin, joten tuotantoympäristössä ei tarvita saapuvan liikenteen palomuurisääntöjä.
  • Tämä suunnittelu kunnioittaa olemassa olevia teollisia tietoturva-arkkitehtuureja ja tarjoaa samalla turvallisen etäkäyttömahdollisuuden.

Arkkitehtuuri​

Virtuaaliverkon vertaisia kutsutaan Nodeiksi, ja ne ovat Connectivity Servicen keskeiset komponentit.
Jokainen yhteys muodostuu Node-ketjun vuorovaikutuksesta, jossa kullakin on oma erityinen roolinsa.

Laitteet​

Teolliset laitteet, jotka sijaitsevat tyypillisesti tuotannon suojatussa verkossa ja joihin päästään niiden IP-osoitteen kautta (esim. PLC-laitteet, HMI:t, robotit).

  • Laitteet määritellään SEW OrchestrationSuitessa kullekin vuokralaiselle, ja käyttäjien pääsyä hallitaan roolipohjaisella käyttöoikeuksien hallinnalla (RBAC).
  • Liitettävyys edellyttää, että jokainen laite on liitetty vähintään yhteen verkon Gatewayhin.

Gateways​

Verkkoisännät, joilla on turvallinen pääsy internetiin ja SEW OrchestrationSuitessa hallittuihin laitteisiin.

  • Tyypillisesti IPC-laitteita, virtuaalikoneita, kontteja tai Raspberry Pi -laitteita, jotka sijaitsevat palomuurivyöhykkeellä, joka vaatii erityisiä sääntöjä SEW Cloud -resurssien, kuten Tenant Serverien, käyttöön.
  • Jokainen Gateway ajaa SDA Glue -sovellusta, joka on käyttöjärjestelmäpalvelu, joka kuuntelee yhteyspyyntöjä ja tuottaa telemetriatietoa.

Tenant Servers​

Bastion-isännät, jotka toimivat turvallisessa SEW Cloud -ympäristössä ja jotka on omistettu jokaiselle vuokralaiselle.

  • Yhdistävät Gatewayn verkkoliitännän SEW Service -virtuaalikoneeseen tai toiseen Gatewayhin.
  • Takaavat vaaditut suodatuskäytännöt, jotka varmistavat ainoastaan Point-to-Point-yhteyden (esim. IDEaaS:sta tiettyyn PLC-laitteeseen eikä muihin saman verkon laitteisiin).
  • Todentavat Gatewayiden pääsyn kunkin yhteyden osalta tunnistetietojen kiertokäytännön perusteella.

Service VMs​

Ajavat SEW-palveluiden tarvitsemia sovelluksia, kuten IDEaaS-, varmuuskopiointi- ja käyttöönottoputkia.

  • Nämä virtuaalikoneet käyttävät Connectivity Serviceä päästäkseen verkkotasolla laitteisiin niiden IP-osoitteen kautta, mikä on olennaista teollisuussovelluksissa.

Pilvi​

Perinteisten staattisten VPN-yhteyksien sijaan SEW Connectivity Service muodostaa yhteydet teollisiin laitteisiin pyyntöjen perusteella, jotka välitetään Node-ketjulle, joka toimii yhdessä tarjoten Point-to-Point-verkkoyhteyden SEW-palveluiden ja laitteiden välillä.

Tuotantoverkon osalta kaikki yhteydet muodostetaan Gatewaystä, joten tehtaassa ei tarvita saapuvan liikenteen sääntöjä. Tämän saavuttamiseksi Nodet kuuntelevat jatkuvasti saapuvia pyyntöjä IoT-viestinvälittäjässä, jonka taustalla on AWS IoT Core.

Tämä arkkitehtuuri antaa käyttäjille mahdollisuuden olla vuorovaikutuksessa tehtaan laitteiden kanssa mistä tahansa internetyhteyden päästä, miltä tahansa tietokoneelta, pelkän selaimen avulla.

Verkko​

Gateway on reunalaite, joka sijaitsee tuotannon ohjaustason ja internetin välissä ja tarjoaa SEW-palveluille hallitun pääsyn Consolessa määriteltyihin laitteisiin.
On tärkeää vakiinnuttaa arkkitehtuuri, joka yhdistää SEW Cloudin turvallisesti paikalliseen infrastruktuuriin.

Suosittelemme Gatewaylle jompaakumpaa seuraavista kahdesta ehdotetusta kokoonpanosta:

Gateway LAN-verkossa​

Tämä on yleisin lähestymistapa, jossa Gateway sijoitetaan niiden PLC-laitteiden viereen, jotka on otettu käyttöön SEW-alustalla.

  • Palomuuri valvoo tiukasti Gatewaystä internetiin lähtevää liikennettä.
  • Gatewaylla on pääsy siihen aliverkkoon, jossa se sijaitsee, mutta verkon reitittimeen voidaan määrittää palomuuri pääsynvalvontakerroksena (ACL).
  • On tavallista käyttää Gateway-laitetta, jossa on kaksi verkkoliitäntää: yksi DMZ-alueelle ja toinen ohjaustasolle.
  • Tämä arkkitehtuuri sallii toistuvat IP-vyöhykkeet (esim. molemmissa aliverkko 10.0.0.0/24).

Gateway DMZ-alueella​

Tätä lähestymistapaa käytetään usein, kun Gateway toimii omassa virtuaalikoneessa palvelininfrastruktuurissa.

  • IT-tiimi määrittää erityiset reitit virtuaalikoneen ja ohjaustason kohde-PLC-laitteiden välille, ja palomuureja on todennäköisesti sekä internet- että OT-pääsyreiteillä.
  • Verkko-osoitteenmuunnos (NAT) voi olla käytössä liikuttaessa alavirtaan PLC-laitteille.
    • Huomioitava: jotkin PLC-valmistajien ohjelmistot eivät välttämättä ole yhteensopivia IP-aliasoinnin kanssa, ja niiden on muodostettava yhteys määritetyllä projektin IP-osoitteella.
  • Jokaisella tuotantoyksikön PLC-laitteella on oltava yksilöllinen IP-osoite törmäysten välttämiseksi.
  • Verkkoinfrastruktuurista riippuen Layer 2 -pääsy Gatewayiltä PLC-laitteille ei välttämättä toimi – tämä on tuleva ominaisuus reaaliaikaisten teollisuusverkkojen integroimiseksi SEW-palveluihin.

Ohjelmisto​

SDA Glue on sovellus, joka toimii käyttöjärjestelmäpalveluna ja varmistaa Gatewayn korkean käytettävyyden automaattisella käynnistyksellä ja uudelleenkäynnistyksellä virhetilanteissa.

Voidakseen muodostaa verkkotunnelit hallitsemalla verkkoresursseja, kuten liitäntöjä, reittejä ja palomuurisääntöjä, se tarvitsee korotetut oikeudet järjestelmäkäyttäjänä.

Automaattiset päivitykset​

Automaattiset päivitykset ovat oletusarvoisesti pois käytöstä ja ne tulisi ottaa käyttöön joko SEW OrchestrationSuitessa Gatewayn asetusosiossa tai laitteen komentoriviltä komennolla:

sdaglue config set --update.auto true

Glue-palvelu lukee uusimman vakaan version osoitteesta repository.eu1.sdaconsole.io ja soveltaa päivityksen, kun aktiivisia yhteyksiä ei ole.

Päivitysmekanismi:

  • Lataa uuden sovellusbinäärin
  • Korvaa sillä vanhan
  • Käynnistää palvelun uudelleen

AWS IoT Core -yhteys​

AWS IoT Core -yhteys muodostetaan kirjautumisen aikana käyttäen päätepistettä iot.eu1.sdaconsole.io.

Yhteyden muodostuttua Glue-palvelu:

  • Kuuntelee jatkuvasti SEW Cloudin pyyntöjä
  • Julkaisee telemetriatietoja, kuten Gatewayhin liitettyjen laitteiden tilan

IoT-todennusta suojaavat:

  • SEW OrchestrationSuitesta haettu lyhyt tunnus (short ID) ja kertakäyttöinen salasana (OTP)
  • Sovellusbinääriin sisällytetty salainen avain

IoT-yhteys voidaan määrittää käyttämään:

  • MQTT SSL -yhteyttä tai
  • WebSocket Secure -yhteyttä, molemmat portissa 443

Alustakohtaiset erot​

Verkkomekanismit ovat erilaiset Linuxissa ja Windowsissa.
Siksi ne kuvataan erikseen.

Linux​

SDA Glue Linuxissa perustuu SoftEther VPN Client -ohjelmaan, joka on avointa lähdekoodia (Apache License 2.0) ja asennetaan SEW:n peilipalvelimelta osoitteesta repository.eu1.sdaconsole.io Gluen asennuksen aikana.

Jokaisen yhteyden osalta:

  • Glue käyttää SoftEther Clientiä luodakseen NIC-verkkoliitännän ja yhdistääkseen sen Tenant Serveriin.
  • Se käyttää Linuxin IP-työkaluja IP-osoitteen määrittämiseen kyseiselle liitännälle ja tarvittavien reittien luomiseen Service VM:n ja kohdelaitteen välille.

Sisäiset palomuurisäännöt ja NAT-muunnos luodaan iptables-taulukkoon, joka:

  • Ei salli saapuvia verkkopaketteja Gatewayhin
  • Välittää paketit ainoastaan kohdelaitteelle

Windows​

SDA Glue Windowsissa ei tue SoftEther VPN Clientin sisäänrakennettua käyttöä.
Siksi se käyttää OpenVPN Community Open-Source Client -ohjelmaa (GPL-lisenssi versio 2), joka asennetaan SEW:n peilipalvelimelta osoitteesta repository.eu1.sdaconsole.io Gluen asennuksen aikana.

Jokaisen yhteyden osalta:

  • Glue käyttää OpenVPN TAP -ajuria verkkoliitännän luomiseen ja sen yhdistämiseen Tenant Serveriin sertifikaattipohjaisella todennuksella.
  • Se käyttää Windowsin natiivia API:a IP-osoitteen määrittämiseen liitännälle ja tarvittavien reittien luomiseen Service VM:n ja kohdelaitteen välille.

Glue käyttää myös Windows Filtering Platformia (WFP) omien kerrosten ja palomuurisääntöjen luomiseen.
Se on kuitenkin riippuvainen WinNAT-ratkaisusta (tai NetNat-ratkaisusta) Service VM:n ja laitteen välisen osoitteenmuunnoksen määrittelemiseksi, eikä tämä välttämättä ole oletusarvoisesti käytössä.

Yhteenveto ​

SEW Connectivity Service tarjoaa kypsän, turvallisen ja skaalautuvan ratkaisun teollisen liitettävyyden haasteisiin.

Yhdistämällä todistetusti toimivat avoimen lähdekoodin teknologiat, kuten SoftEther VPN, yritystason pilvi-infrastruktuuriin AWS IoT Core -palvelusta, palvelu tarjoaa teollisten toimintojen vaatiman luotettavuuden ja turvallisuuden sekä samalla sen joustavuuden ja käytön helppouden, jota nykyaikaiset suunnittelutiimit odottavat.

Palvelun arkkitehtuuri kunnioittaa teollisen tietoturvan periaatteita ja mahdollistaa samalla digitaalisen transformaation hankkeet, jotka edistävät:

  • Toiminnan tehokkuutta
  • Etäyhteistyötä
  • Dataan perustuvaa päätöksentekoa

Organisaatioille, jotka haluavat liittää teolliset laitteensa turvallisesti pilvipalveluihin verkon tietoturvasta tai toiminnan luotettavuudesta tinkimättä, SEW Connectivity Service tarjoaa kattavan, tuotantovalmiin ratkaisun.