Ugrás a fő tartalomhoz

SEW Gateway

A SEW OrchestrationSuite, amely a https://sew.eu1.sdaconsole.io/ címen érhető el, központi felügyeleti platformként szolgál az ipari csatlakoztatási infrastruktúra létrehozásához és kezeléséhez. A bérlői fiók bevezetési (onboarding) folyamatának befejezése után megkezdheti a hálózati topológia konfigurálását Gateway-ek létrehozásával és ipari eszközök összekapcsolásával.

A beállítási folyamat két fő lépésből áll: először deklarálni kell egy csatlakoztatási Gateway-t, amely biztonságos hídként szolgál az ipari hálózat és a SEW Cloud szolgáltatások között, majd létre kell hozni és össze kell kapcsolni azokat az ipari eszközöket (például PLC-ket, HMI-ket és robotokat), amelyekhez a Gateway hozzáférést biztosít.

Kapcsolódó információk a SEW Gateway-ekről​

A SEW Gateway központi szerepet játszik minden negyedéves kiadásban, biztonságos hídként szolgálva a helyszíni ipari hálózatok és a SEW felhőplatform között. A Gateway teljes rendszertervbe és beállításba illeszkedéséről az alábbi információkban talál további részleteket

Áttekintés​

Biztonságos ipari csatlakoztatási szolgáltatás, amely titkosított VPN-alagutakon keresztül kapcsolja össze a gyártási hálózatokat a felhőszolgáltatásokkal. A SEW Connectivity Service az SDA Glue alkalmazásra épül, amely a Gateway-ek alkalmazása, és Linux valamint Windows hosztokhoz érhető el. A szolgáltatás alapja a SoftEther VPN, amely Windows klienseken az OpenVPN-t is támogatja, és biztonságos TCP-alagutat hoz létre a Gateway egyik hálózati interfésze és a SEW felhőszolgáltatások – például IDEaaS, Backup és Deployment VM-ek – között.

Emellett kombinálja az operációs rendszer natív tűzfalait (Linux iptables és Windows Filtering Platform (WFP)) egy NAT-táblával, hogy a gyártóspecifikus szoftvereket, mint például a Siemens TIA Portal és a Rockwell Studio 5000, közvetlenül összekapcsolja a gyártásvezérlési réteg eszközeivel.

Fő pontok​

Az ipari eszközök SEW-vel történő kezelését egy átfogó és biztonságos ipari csatlakoztatási megoldás támogatja, amely áthidalja a gyártási környezetek és a felhőalapú szolgáltatások közötti szakadékot. Bevált technológiák alkalmazásával és robusztus biztonsági intézkedések bevezetésével a szolgáltatás vállalati szintű konnektivitást nyújt, kifejezetten ipari automatizálási és vezérlőrendszerekre szabva.

Ipari szintű biztonság​

  • Az AWS IoT Core integrációja biztonságos TLS-kapcsolatokat biztosít finomhangolt hozzáférés-szabályozási szabályzatokkal.
  • Követi az ipari IoT biztonsági bevált gyakorlatait, lehetővé téve az adminisztrátorok számára a hozzáférés korlátozását az eszköz tulajdonságai és kontextusa alapján.

Bevált VPN-alapok​

  • A SoftEther VPN-t használja, amely AES 256 bites és RSA 4096 bites titkosítást nyújt nagy sebességű átvitellel, valamint alacsony memória- és CPU-használattal.
  • Biztosítja, hogy az átvitel alatt lévő adatok védve maradjanak a lehallgatástól és a jogosulatlan hozzáféréstől, ami ideális olyan ipari alkalmazásokhoz, ahol a biztonság és a teljesítmény kritikus.

Zero-Trust hálózati hozzáférés​

  • Kiküszöböli a hagyományos statikus VPN-ek szükségességét azáltal, hogy a kapcsolatokat igény szerint hozza létre.
  • Ez a pont-pont architektúra biztosítja, hogy a felhasználók csak a kifejezetten engedélyezett eszközökhöz férjenek hozzá, ne pedig teljes hálózati szegmensekhez, jelentősen csökkentve a támadási felületet.

Gyárbarát kialakítás​

  • Minden kapcsolat a Gateway felől kifelé indul, így nincs szükség bejövő tűzfalszabályokra a gyártási környezetben.
  • Ez a kialakítás tiszteletben tartja a meglévő ipari biztonsági architektúrákat, miközben biztonságos távoli hozzáférési lehetőségeket nyújt.

Architektúra​

A virtuális hálózat résztvevőit Node-oknak nevezzük, ezek a Connectivity Service fő komponensei.
Minden kapcsolat egy Node-lánc interakciójából épül fel, amelyben mindegyiknek meghatározott szerepe van.

Eszközök (Devices)​

Ipari eszközök, amelyek jellemzően a gyártási biztonságos hálózatban találhatók, és IP-címükön keresztül érhetők el (pl. PLC-k, HMI-k, robotok).

  • Az eszközöket a SEW OrchestrationSuite-ban minden bérlő számára deklarálni kell, a felhasználói hozzáférést pedig szerepköralapú hozzáférés-vezérlés (RBAC) szabályozza.
  • A konnektivitás megköveteli, hogy minden eszköz legalább egy hálózati Gateway-hez legyen kapcsolva.

Gateway-ek​

Olyan hálózati hosztok, amelyek biztonságos hozzáféréssel rendelkeznek az internethez és a SEW OrchestrationSuite-ban kezelt eszközökhöz.

  • Jellemzően IPC-k, VM-ek, konténerek vagy Raspberry Pi-k, olyan tűzfalzónában elhelyezve, amely speciális szabályokat igényel a SEW Cloud erőforrások, például a Tenant Serverek eléréséhez.
  • Minden Gateway futtatja az SDA Glue-t, amely egy operációsrendszer-szolgáltatás, amely figyeli a kapcsolódási kéréseket és telemetriai adatokat szolgáltat.

Tenant Serverek​

Bastion hosztok, amelyek biztonságos SEW Cloud környezetben futnak, minden bérlő számára dedikáltan.

  • Összekapcsolják a Gateway hálózati interfészét egy SEW Service VM-mel vagy egy másik Gateway-jel.
  • Garantálják a szükséges szűrési szabályzatokat, hogy kizárólag pont-pont kapcsolat jöjjön létre (pl. az IDEaaS-től egy adott PLC-ig, és nem az ugyanazon hálózatban lévő más eszközökig).
  • Hitelesítik a Gateway-ek hozzáférését minden kapcsolat esetén hitelesítőadat-rotációs szabályzat alapján.

Service VM-ek​

Futtatják a SEW szolgáltatásokhoz szükséges alkalmazásokat, mint az IDEaaS, a Backup és a Deployment Pipeline-ok.

  • Ezek a VM-ek a Connectivity Service-re támaszkodnak, hogy hálózati rétegen, IP-cím alapján érjék el az eszközöket, ami ipari alkalmazásoknál elengedhetetlen.

Felhő​

A hagyományos statikus VPN-ek helyett a SEW Connectivity Service kérésre hoz létre kapcsolatokat az ipari eszközökhöz; ezeket a kéréseket olyan Node-láncnak továbbítja, amelynek tagjai együttműködve pont-pont hálózati hozzáférést biztosítanak a SEW szolgáltatások és az eszközök között.

A gyártási hálózat szempontjából minden kapcsolat a Gateway felől indul, így a gyárban nincs szükség bejövő kapcsolati szabályokra. Ennek érdekében a Node-ok folyamatosan figyelik a bejövő kéréseket egy IoT üzenetközvetítőn, amelyet az AWS IoT Core működtet.

Ez az architektúra lehetővé teszi, hogy a felhasználók bárhonnan, internetkapcsolat mellett, bármely számítógépről – kizárólag böngésző segítségével – interakcióba lépjenek a gyári eszközökkel.

Hálózat​

A Gateway egy peremeszköz (edge device), amely a gyártásvezérlési réteg és az internet között helyezkedik el, és a SEW szolgáltatások számára szabályozott hozzáférést biztosít a Console-ban definiált eszközökhöz.
Fontos olyan architektúra kialakítása, amely biztonságosan köti össze a SEW Cloudot a helyi infrastruktúrával.

A Gateway esetében az alábbi két javasolt elrendezés egyikét ajánljuk:

Gateway a LAN-ban​

Ez a legelterjedtebb megközelítés, amelyben a Gateway a SEW platformra onboardolt PLC-k mellett helyezkedik el.

  • Egy tűzfal szigorúan szabályozza a Gateway kimenő internetkapcsolatait.
  • A Gateway hozzáfér ahhoz az alhálózathoz, amelyben található, de a hálózat routerén hozzáférés-vezérlési rétegként (ACL) tűzfal is beállítható.
  • Gyakori két hálózati interfésszel rendelkező Gateway-eszköz használata: az egyik a DMZ felé, a másik a vezérlési réteg felé mutat.
  • Ez az architektúra lehetővé teszi ismétlődő IP-zónák használatát (pl. mindkettő a 10.0.0.0/24 alhálózattal).

Gateway a DMZ-ben​

Ezt a megközelítést gyakran akkor alkalmazzák, amikor a Gateway a szerverinfrastruktúrán belül dedikált virtuális gépen fut.

  • Az IT-csapat speciális útvonalakat biztosít a VM és a vezérlési rétegben lévő cél-PLC-k között, miközben valószínűleg tűzfalak találhatók mind az internetes, mind az OT hozzáférési útvonalon.
  • A PLC-k felé haladva hálózati címfordítás (NAT) is előfordulhat.
    • Figyelem: egyes PLC-gyártók szoftverei nem kompatibilisek az IP-aliasokkal, és a konfigurált projekt-IP-vel kell csatlakozniuk.
  • A gyártóegységben minden PLC-nek egyedi IP-címmel kell rendelkeznie az ütközések elkerülése érdekében.
  • A hálózati infrastruktúrától függően a Gateway-ektől a PLC-k felé irányuló 2. rétegbeli (Layer 2) hozzáférés nem feltétlenül működik – ez egy közelgő funkció a valós idejű ipari hálózatok SEW szolgáltatásokba történő integrálásához.

Szoftver​

Az SDA Glue olyan alkalmazás, amely operációsrendszer-szolgáltatásként fut, biztosítva a Gateway magas rendelkezésre állását automatikus indítással és hiba esetén újraindítással.

A hálózati alagutak létrehozásához – hálózati erőforrások, például interfészek, útvonalak és tűzfalszabályok kezelésével – rendszerfelhasználói jogosultságszintre van szüksége.

Automatikus frissítések​

Az automatikus frissítések alapértelmezés szerint le vannak tiltva, és vagy a SEW OrchestrationSuite Gateway-konfigurációs szakaszában, vagy az eszköz parancssorából (CLI) engedélyezhetők a következő paranccsal:

sdaglue config set --update.auto true

A Glue szolgáltatás beolvassa a legfrissebb stabil verziót a repository.eu1.sdaconsole.io címről, és akkor alkalmazza a frissítést, amikor nincsenek aktív kapcsolatok.

A frissítési mechanizmus:

  • Letölti az új alkalmazás bináris fájlját
  • Lecseréli vele a régit
  • Újraindítja a szolgáltatást

AWS IoT Core kapcsolat​

Az AWS IoT Core a bejelentkezés során csatlakozik az iot.eu1.sdaconsole.io végpont használatával.

A kapcsolat létrejötte után a Glue szolgáltatás:

  • Folyamatosan figyeli a SEW Cloudból érkező kéréseket
  • Telemetriai adatokat publikál, például a Gateway-hez társított eszközök állapotát

Az IoT-hitelesítést a következők védik:

  • A SEW OrchestrationSuite-ból lekért rövid azonosító (short ID) és egyszer használatos jelszó (OTP)
  • Az alkalmazás bináris fájljába ágyazott titkos kulcs

Az IoT-kapcsolat a következőkre konfigurálható:

  • MQTT SSL, vagy
  • WebSocket Secure, mindkettő a 443-as porton

Platformbeli különbségek​

A hálózati mechanizmusok eltérőek Linux és Windows esetén.
Ezért ezeket külön ismertetjük.

Linux​

Az SDA Glue Linux rendszeren a SoftEther VPN Client-re támaszkodik, amely nyílt forráskódú (Apache License 2.0), és a Glue telepítése során a SEW repository.eu1.sdaconsole.io címen elérhető tükréről kerül telepítésre.

Minden kapcsolat esetén:

  • A Glue a SoftEther Client-tel létrehoz egy NIC hálózati interfészt, és csatlakoztatja azt a Tenant Serverhez.
  • A Linux IP eszközöket használja az interfész IP-címének hozzárendeléséhez, valamint a Service VM és a céleszköz közötti szükséges útvonalak létrehozásához.

A belső tűzfalszabályok és a NAT-fordítás az iptables-ben jönnek létre, amelyek:

  • Nem engedélyeznek bejövő hálózati csomagokat a Gateway felé
  • Csak továbbítják a csomagokat a céleszköz felé

Windows​

Az SDA Glue Windows rendszeren nem támogatja a SoftEther VPN Client beágyazott használatát.
Ezért az OpenVPN Community Open-Source Client-et (GPL licenc 2-es verzió) használja, amely a Glue telepítése során a SEW repository.eu1.sdaconsole.io címen elérhető tükréről kerül telepítésre.

Minden kapcsolat esetén:

  • A Glue az OpenVPN TAP illesztőprogramot használja egy hálózati interfész létrehozásához, és tanúsítványalapú hitelesítéssel csatlakoztatja azt a Tenant Serverhez.
  • A Windows natív API-t használja az interfész IP-címének hozzárendeléséhez, valamint a Service VM és a céleszköz közötti szükséges útvonalak létrehozásához.

A Glue emellett a Windows Filtering Platform (WFP) segítségével hoz létre dedikált rétegeket és tűzfalszabályokat.
A Service VM és az eszköz közötti címfordítás deklarálásához azonban a WinNAT (vagy NetNat) szolgáltatásra támaszkodik, amely alapértelmezés szerint nem feltétlenül engedélyezett.

Összefoglalás ​

A SEW Connectivity Service kiforrott, biztonságos és skálázható megoldást kínál az ipari csatlakoztatási kihívásokra.

Azzal, hogy bevált nyílt forráskódú technológiákat, például a SoftEther VPN-t ötvözi az AWS IoT Core vállalati szintű felhőinfrastruktúrájával, a szolgáltatás biztosítja az ipari üzemeltetés által megkövetelt megbízhatóságot és biztonságot, miközben a modern mérnöki csapatok által elvárt rugalmasságot és egyszerű használhatóságot kínálja.

A szolgáltatás architektúrája tiszteletben tartja az ipari biztonsági elveket, miközben lehetővé teszi azokat a digitális transzformációs kezdeményezéseket, amelyek az alábbiakat mozdítják elő:

  • Működési hatékonyság
  • Távoli együttműködés
  • Adatvezérelt döntéshozatal

Azon szervezetek számára, amelyek ipari eszközeiket biztonságosan szeretnék felhőszolgáltatásokhoz csatlakoztatni a hálózati biztonság vagy az üzemeltetési megbízhatóság veszélyeztetése nélkül, a SEW Connectivity Service átfogó, éles üzemre kész megoldást nyújt.