Aller au contenu principal

SEW Gateway

La SEW OrchestrationSuite, accessible à l'adresse https://sew.eu1.sdaconsole.io/, constitue la plateforme centrale de gestion permettant de créer et d'administrer votre infrastructure de connectivité industrielle. Après avoir terminé le processus d'intégration du compte tenant, vous pouvez commencer à configurer votre topologie réseau en créant des Gateways et en y associant des équipements industriels.

Le processus de configuration comporte deux étapes principales : déclarer d'abord une Gateway de connectivité qui servira de pont sécurisé entre votre réseau industriel et les services SEW Cloud, puis créer et associer les équipements industriels (tels que des PLC, des IHM et des robots) auxquels la Gateway donnera accès.

Informations connexes sur les SEW Gateways​

La SEW Gateway joue un rôle central dans chaque version trimestrielle, en servant de pont sécurisé entre les réseaux industriels sur site et la plateforme cloud SEW. Pour plus de détails sur la manière dont la Gateway s'intègre dans la conception et la configuration globales du système, veuillez consulter les informations suivantes

Vue d'ensemble​

Service de connectivité industrielle sécurisé reliant les réseaux de production aux services cloud via des tunnels VPN chiffrés. Le SEW Connectivity Service repose sur le SDA Glue, l'application destinée aux Gateways, disponible pour les hôtes Linux et Windows. Le service est propulsé par SoftEther VPN, qui prend en charge OpenVPN sur les clients Windows, établissant un tunnel TCP sécurisé entre une interface réseau de la Gateway et les services SEW Cloud, tels qu'IDEaaS, les VM de sauvegarde et de déploiement.

Il combine également les pare-feux natifs du système d'exploitation (iptables sous Linux et Windows Filtering Platform (WFP)) avec une table NAT afin de relier directement les logiciels spécifiques aux fournisseurs, tels que Siemens TIA Portal et Rockwell Studio 5000, à l'équipement de la couche de contrôle de production.

Points clés​

La gestion des actifs industriels avec SEW s'appuie sur une solution de connectivité industrielle complète et sécurisée qui comble l'écart entre les environnements de production et les services basés sur le cloud. En exploitant des technologies éprouvées et en mettant en œuvre des mesures de sécurité robustes, le service offre une connectivité de niveau entreprise spécialement adaptée aux systèmes d'automatisation et de contrôle industriels.

Sécurité de niveau industriel​

  • L'intégration avec AWS IoT Core fournit des connexions TLS sécurisées avec des politiques de contrôle d'accès à granularité fine.
  • Respecte les meilleures pratiques de sécurité de l'IoT industriel, permettant aux administrateurs de restreindre l'accès en fonction des propriétés et du contexte des équipements.

Base VPN éprouvée​

  • Utilise SoftEther VPN, qui fournit un chiffrement AES 256 bits et RSA 4096 bits avec des performances de débit élevées et une faible consommation de mémoire et de CPU.
  • Garantit que les données en transit restent protégées contre l'écoute clandestine et les accès non autorisés, ce qui est idéal pour les applications industrielles où la sécurité et les performances sont critiques.

Accès réseau Zero-Trust​

  • Élimine le besoin de VPN statiques traditionnels en établissant les connexions à la demande.
  • Cette architecture point à point garantit que les utilisateurs peuvent accéder uniquement aux équipements spécifiquement autorisés, et non à des segments réseau entiers, réduisant considérablement la surface d'attaque.

Conception adaptée à l'usine​

  • Toutes les connexions sont initiées depuis la Gateway vers l'extérieur, ne nécessitant aucune règle de pare-feu entrante dans l'environnement de production.
  • Cette conception respecte les architectures de sécurité industrielles existantes tout en offrant des capacités d'accès à distance sécurisé.

Architecture​

Les pairs d'un réseau virtuel sont appelés Nodes ; ce sont les composants principaux du Connectivity Service.
Chaque connexion résulte de l'interaction d'une chaîne de Nodes, chacun ayant un rôle spécifique.

Devices​

Actifs industriels généralement situés dans le réseau de production sécurisé, accessibles par leur adresse IP (par ex. PLC, IHM, robots).

  • Les Devices sont déclarés dans la SEW OrchestrationSuite pour chaque Tenant et l'accès des utilisateurs est géré par un contrôle d'accès basé sur les rôles (RBAC).
  • La connectivité exige que chaque Device soit associé à au moins une Gateway réseau.

Gateways​

Hôtes réseau disposant d'un accès sécurisé à Internet et aux Devices gérés dans la SEW OrchestrationSuite.

  • Typiquement des IPC, des VM, des conteneurs ou des Raspberry Pi, situés dans une zone de pare-feu nécessitant des règles spécifiques pour accéder aux ressources SEW Cloud telles que les Tenant Servers.
  • Chaque Gateway exécute le SDA Glue, un service du système d'exploitation qui écoute les demandes de connexion et fournit des données de télémétrie.

Tenant Servers​

Hôtes bastions exécutés dans un environnement SEW Cloud sécurisé, dédiés à chaque Tenant.

  • Relient l'interface réseau de la Gateway à une VM de service SEW ou à une autre Gateway.
  • Garantissent les politiques de filtrage requises pour n'autoriser qu'une connexion point à point (par ex. d'IDEaaS vers un PLC spécifique et non vers d'autres équipements du même réseau).
  • Authentifient l'accès depuis les Gateways selon une politique de rotation des identifiants pour chaque connexion.

Service VMs​

Exécutent les applications requises par les services SEW, tels qu'IDEaaS, les sauvegardes et les pipelines de déploiement.

  • Ces VM s'appuient sur le Connectivity Service pour accéder aux Devices au niveau de la couche réseau via leur adresse IP, ce qui est essentiel pour les applications industrielles.

Cloud​

Au lieu d'utiliser des VPN statiques traditionnels, le SEW Connectivity Service établit des connexions vers les actifs industriels sur la base de demandes transmises à une chaîne de Nodes qui opèrent conjointement pour fournir un accès réseau point à point entre les services SEW et les Devices.

Pour le réseau de production, toutes les connexions sont initiées depuis la Gateway, ne nécessitant aucune règle de connexion entrante dans l'usine. Pour ce faire, les Nodes écoutent en permanence les demandes entrantes sur un broker de messages IoT, propulsé par AWS IoT Core.

Cette architecture permet aux utilisateurs d'interagir avec les actifs de l'usine depuis n'importe quel lieu disposant d'Internet, depuis n'importe quel ordinateur, en ne dépendant que d'un navigateur.

Réseau​

La Gateway est un équipement en périphérie situé entre une couche de contrôle de production et Internet, qui fournit aux services SEW un accès contrôlé aux actifs définis dans la Console.
Il est important de consolider une architecture qui relie de manière sécurisée le SEW Cloud à l'infrastructure locale.

Nous recommandons l'une des deux configurations proposées pour la Gateway, comme suit :

Gateway dans le LAN​

C'est l'approche la plus courante, dans laquelle la Gateway est placée à proximité des PLC intégrés à la plateforme SEW.

  • Un pare-feu contrôle strictement les connexions sortantes de la Gateway vers Internet.
  • La Gateway a accès au sous-réseau où elle se trouve, mais un pare-feu peut être prévu dans le routeur du réseau en tant que couche de contrôle d'accès (ACL).
  • Il est courant d'utiliser un équipement Gateway doté de deux interfaces réseau : l'une pointant vers la DMZ et l'autre vers la couche de contrôle.
  • Cette architecture permet des zones IP répétées (par ex. les deux avec le sous-réseau 10.0.0.0/24).

Gateway dans la DMZ​

Cette approche est souvent utilisée lorsque la Gateway s'exécute sur une machine virtuelle dédiée au sein de l'infrastructure serveur.

  • L'équipe IT fournit des routes spéciales entre la VM et les PLC cibles de la couche de contrôle, des pare-feux étant probablement présents sur les chemins d'accès Internet et OT.
  • Une traduction d'adresses réseau (NAT) peut exister en aval vers les PLC.
    • Attention : certains logiciels spécifiques aux fournisseurs de PLC peuvent ne pas être compatibles avec l'aliasing d'adresses IP et doivent se connecter en utilisant l'adresse IP configurée dans le projet.
  • Chaque PLC de l'unité de production doit disposer d'une adresse IP unique afin d'éviter les collisions.
  • Selon l'infrastructure réseau, l'accès de niveau 2 des Gateways vers les PLC peut ne pas fonctionner — il s'agit d'une fonctionnalité à venir pour l'intégration des réseaux industriels temps réel dans les services SEW.

Logiciel​

Le SDA Glue est une application qui s'exécute en tant que service du système d'exploitation, garantissant une haute disponibilité de la Gateway avec démarrage et redémarrage automatiques en cas d'erreur.

Afin d'établir les tunnels réseau en gérant les ressources réseau telles que les interfaces, les routes et les règles de pare-feu, elle nécessite une élévation de privilèges en tant qu'utilisateur système.

Mises à jour automatiques​

Les mises à jour automatiques sont désactivées par défaut et doivent être activées soit depuis la SEW OrchestrationSuite dans la section des configurations de la Gateway, soit depuis la CLI de l'équipement avec :

sdaglue config set --update.auto true

Le service Glue lira la dernière version stable depuis repository.eu1.sdaconsole.io et appliquera la mise à jour dès qu'aucune connexion n'est active.

Le mécanisme de mise à jour :

  • Télécharge le nouveau binaire de l'application
  • Remplace l'ancien par le nouveau
  • Redémarre le service

Connexion à AWS IoT Core​

AWS IoT Core sera connecté lors de la connexion, en utilisant le point de terminaison iot.eu1.sdaconsole.io.

Une fois connecté, le service Glue :

  • Écoute en permanence les demandes provenant du SEW Cloud
  • Publie des données de télémétrie telles que l'état des Devices associés à la Gateway

L'authentification IoT est protégée par :

  • Un identifiant court et un mot de passe à usage unique (OTP) récupérés depuis la SEW OrchestrationSuite
  • Une clé secrète intégrée dans le binaire de l'application

La connexion à IoT peut être configurée pour utiliser :

  • MQTT SSL, ou
  • WebSocket Secure, tous deux sur le port 443

Différences entre plateformes​

Les mécanismes réseau sont différents pour Linux et Windows.
Ils sont donc décrits séparément.

Linux​

SDA Glue sous Linux s'appuie sur le client SoftEther VPN, qui est open source (licence Apache 2.0) et installé depuis le miroir SEW sur repository.eu1.sdaconsole.io lors de l'installation de Glue.

Pour chaque connexion :

  • Glue utilise le client SoftEther pour créer une interface réseau NIC et la connecter au Tenant Server.
  • Il utilise les outils IP Linux pour attribuer une adresse IP à cette interface et créer les routes nécessaires entre la Service VM et le Device cible.

Les règles de pare-feu internes et la traduction NAT sont créées dans iptables, qui :

  • N'autorisent aucun paquet réseau entrant vers la Gateway
  • Se contentent de transférer les paquets vers le Device cible

Windows​

SDA Glue sous Windows ne prend pas en charge l'utilisation intégrée du client SoftEther VPN.
Il utilise donc le client open source communautaire OpenVPN (licence GPL version 2), installé depuis le miroir SEW sur repository.eu1.sdaconsole.io lors de l'installation de Glue.

Pour chaque connexion :

  • Glue utilise le pilote TAP OpenVPN pour créer une interface réseau et la connecter au Tenant Server à l'aide d'une authentification par certificat.
  • Il utilise l'API native Windows pour attribuer une adresse IP à l'interface et créer les routes nécessaires entre la Service VM et le Device cible.

Glue utilise également Windows Filtering Platform (WFP) pour créer des couches et des règles de pare-feu dédiées.
Il dépend toutefois de WinNAT (ou NetNat) pour déclarer la traduction d'adresses entre la Service VM et le Device, ce qui peut ne pas être activé par défaut.

Résumé ​

Le SEW Connectivity Service offre une solution mature, sécurisée et évolutive aux défis de la connectivité industrielle.

En combinant des technologies open source éprouvées comme SoftEther VPN avec une infrastructure cloud de niveau entreprise fournie par AWS IoT Core, le service apporte la fiabilité et la sécurité exigées par les opérations industrielles, tout en offrant la flexibilité et la facilité d'utilisation attendues par les équipes d'ingénierie modernes.

L'architecture du service respecte les principes de sécurité industriels tout en permettant des initiatives de transformation numérique qui favorisent :

  • L'efficacité opérationnelle
  • La collaboration à distance
  • La prise de décision fondée sur les données

Pour les organisations souhaitant connecter en toute sécurité leurs actifs industriels à des services cloud sans compromettre la sécurité du réseau ni la fiabilité opérationnelle, le SEW Connectivity Service fournit une solution complète et prête pour la production.