Passa al contenuto principale

SEW Gateway

La SEW OrchestrationSuite, accessibile all'indirizzo https://sew.eu1.sdaconsole.io/, rappresenta la piattaforma di gestione centrale per la creazione e la gestione della vostra infrastruttura di connettività industriale. Dopo aver completato il processo di onboarding dell'account tenant, potete iniziare a configurare la vostra topologia di rete creando Gateway e collegando dispositivi industriali.

Il processo di configurazione prevede due passaggi principali: dichiarare innanzitutto un Gateway di connettività che fungerà da ponte sicuro tra la vostra rete industriale e i servizi SEW Cloud, quindi creare e collegare i dispositivi industriali (come PLC, HMI e robot) ai quali il Gateway fornirà accesso.

Informazioni correlate sui Gateway SEW​

Il SEW Gateway svolge un ruolo centrale in ogni release trimestrale, fungendo da ponte sicuro tra le reti industriali on-premise e la piattaforma cloud SEW. Per maggiori dettagli su come il Gateway si inserisce nella progettazione e configurazione complessiva del sistema, consultate le seguenti informazioni

Panoramica​

Servizio di connettività industriale sicuro che collega le reti di produzione ai servizi cloud tramite tunnel VPN cifrati. Il SEW Connectivity Service si basa su SDA Glue, l'applicazione per i Gateway, disponibile per host Linux e Windows. Il servizio è alimentato da SoftEther VPN, che supporta OpenVPN sui client Windows, stabilendo un tunnel TCP sicuro tra un'interfaccia di rete del Gateway e i servizi SEW Cloud, quali IDEaaS, Backup e VM di deployment.

Combina inoltre i firewall nativi del sistema operativo (iptables di Linux e Windows Filtering Platform (WFP)) con una tabella NAT per collegare software specifici dei vendor, come Siemens TIA Portal e Rockwell Studio 5000, direttamente con il dispositivo nel livello di controllo della produzione.

Punti chiave​

La gestione degli asset industriali con SEW è supportata da una soluzione di connettività industriale completa e sicura che colma il divario tra gli ambienti di produzione e i servizi basati su cloud. Sfruttando tecnologie consolidate e implementando robuste misure di sicurezza, il servizio offre una connettività di livello enterprise pensata specificamente per l'automazione industriale e i sistemi di controllo.

Sicurezza di livello industriale​

  • L'integrazione con AWS IoT Core fornisce connessioni TLS sicure con criteri di controllo degli accessi granulari.
  • Segue le best practice di sicurezza per l'IoT industriale, consentendo agli amministratori di limitare l'accesso in base alle proprietà e al contesto del dispositivo.

Base VPN consolidata​

  • Utilizza SoftEther VPN, che offre cifratura AES a 256 bit e RSA a 4096 bit con prestazioni di throughput elevate e un basso utilizzo di memoria e CPU.
  • Garantisce che i dati in transito rimangano protetti da intercettazioni e accessi non autorizzati, ideale per applicazioni industriali in cui sicurezza e prestazioni sono critiche.

Accesso alla rete Zero-Trust​

  • Elimina la necessità di VPN statiche tradizionali stabilendo connessioni su richiesta.
  • Questa architettura Point-to-Point garantisce che gli utenti possano accedere solo ai dispositivi specificamente autorizzati e non a interi segmenti di rete, riducendo notevolmente la superficie di attacco.

Progettazione compatibile con la fabbrica​

  • Tutte le connessioni vengono avviate dal Gateway verso l'esterno, senza richiedere regole firewall in ingresso nell'ambiente di produzione.
  • Questa progettazione rispetta le architetture di sicurezza industriali esistenti pur fornendo capacità di accesso remoto sicuro.

Architettura​

I peer di una rete virtuale sono chiamati Node, i componenti principali del Connectivity Service.
Ogni connessione è costruita dall'interazione di una catena di Node, ciascuno con un ruolo specifico.

Dispositivi​

Asset industriali generalmente collocati nella rete sicura di produzione, accessibili tramite il loro indirizzo IP (ad es. PLC, HMI, robot).

  • I dispositivi vengono dichiarati nella SEW OrchestrationSuite per ciascun Tenant e l'accesso degli utenti è gestito tramite Role-Based Access Control (RBAC).
  • La connettività richiede che ogni dispositivo sia collegato ad almeno un Gateway di rete.

Gateway​

Host di rete con accesso sicuro a Internet e ai dispositivi gestiti nella SEW OrchestrationSuite.

  • Tipicamente IPC, VM, container o Raspberry Pi, collocati in una zona firewall che richiede regole specifiche per accedere alle risorse SEW Cloud come i Tenant Server.
  • Ogni Gateway esegue SDA Glue, un servizio del sistema operativo che resta in ascolto delle richieste di connessione e fornisce dati di telemetria.

Tenant Server​

Host bastion in esecuzione in un ambiente SEW Cloud sicuro, dedicati a ciascun Tenant.

  • Collegano l'interfaccia di rete del Gateway con una VM di servizio SEW o un altro Gateway.
  • Garantiscono le politiche di filtraggio necessarie ad assicurare esclusivamente connessioni Point-to-Point (ad es. da IDEaaS a uno specifico PLC e non ad altri dispositivi della stessa rete).
  • Autenticano l'accesso dai Gateway sulla base di una policy di rotazione delle credenziali per ogni connessione.

VM di servizio​

Eseguono le applicazioni necessarie ai servizi SEW, come IDEaaS, Backup e pipeline di deployment.

  • Queste VM si affidano al Connectivity Service per accedere ai dispositivi a livello di rete tramite il loro indirizzo IP, elemento essenziale per le applicazioni industriali.

Cloud​

Anziché utilizzare VPN statiche tradizionali, il SEW Connectivity Service stabilisce connessioni verso gli asset industriali su richiesta; tali richieste vengono inoltrate a una catena di Node che operano congiuntamente per fornire accesso di rete Point-to-Point tra i servizi SEW e i dispositivi.

Per la rete di produzione, tutte le connessioni vengono avviate dal Gateway, senza richiedere regole di connessione in ingresso nella fabbrica. A tal fine, i Node restano costantemente in ascolto su un message broker IoT per le richieste in arrivo, alimentato da AWS IoT Core.

Questa architettura consente agli utenti di interagire con gli asset in fabbrica da qualsiasi luogo con accesso a Internet e da qualsiasi computer, utilizzando esclusivamente un browser.

Rete​

Il Gateway è un dispositivo edge collocato tra un livello di controllo della produzione e Internet, che fornisce ai servizi SEW un accesso controllato agli asset definiti nella Console.
È importante consolidare un'architettura che colleghi in modo sicuro il SEW Cloud con l'infrastruttura locale.

Raccomandiamo una delle due configurazioni proposte per il Gateway, come segue:

Gateway in LAN​

Si tratta dell'approccio più comune, in cui il Gateway viene collocato accanto ai PLC integrati nella piattaforma SEW.

  • Un firewall controlla rigorosamente le connessioni in uscita dal Gateway verso Internet.
  • Il Gateway ha accesso alla subnet in cui si trova, ma è possibile predisporre un firewall nel router della rete come Access Control Layer (ACL).
  • È prassi comune utilizzare un dispositivo Gateway con due interfacce di rete: una rivolta alla DMZ e l'altra al livello di controllo.
  • Questa architettura consente zone IP ripetute (ad es. entrambe con la subnet 10.0.0.0/24).

Gateway in DMZ​

Questo approccio viene spesso utilizzato quando il Gateway è eseguito in una macchina virtuale dedicata all'interno dell'infrastruttura server.

  • Il team IT predispone route specifiche tra la VM e i PLC di destinazione nel livello di controllo, con firewall probabilmente presenti sia sul percorso di accesso a Internet sia su quello OT.
  • Può essere presente un Network Address Translation (NAT) nel percorso a valle verso i PLC.
    • Attenzione: alcuni software specifici dei vendor di PLC potrebbero non essere compatibili con l'IP aliasing e devono connettersi utilizzando l'IP configurato nel progetto.
  • Ogni PLC nell'unità produttiva deve avere un indirizzo IP univoco per evitare collisioni.
  • A seconda dell'infrastruttura di rete, l'accesso di Livello 2 dai Gateway ai PLC potrebbe non funzionare: si tratta di una funzionalità in arrivo per l'integrazione delle reti industriali Real-Time nei servizi SEW.

Software​

SDA Glue è un'applicazione che viene eseguita come servizio del sistema operativo, garantendo l'alta disponibilità del Gateway con avvio automatico e riavvio in caso di errori.

Per stabilire i tunnel di rete gestendo risorse di rete quali interfacce, route e regole firewall, richiede l'elevazione dei privilegi come utente di sistema.

Aggiornamenti automatici​

Gli aggiornamenti automatici sono disabilitati per impostazione predefinita e devono essere abilitati dalla SEW OrchestrationSuite, nella sezione delle configurazioni del Gateway, oppure dalla CLI del dispositivo con:

sdaglue config set --update.auto true

Il servizio Glue leggerà l'ultima versione stabile da repository.eu1.sdaconsole.io e applicherà l'aggiornamento quando non sono presenti connessioni attive.

Il meccanismo di aggiornamento:

  • Scarica il nuovo binario dell'applicazione
  • Lo sostituisce a quello precedente
  • Riavvia il servizio

Connessione ad AWS IoT Core​

AWS IoT Core viene connesso durante il login, utilizzando l'endpoint iot.eu1.sdaconsole.io.

Una volta connesso, il servizio Glue:

  • Resta costantemente in ascolto delle richieste dal SEW Cloud
  • Pubblica dati di telemetria come lo stato dei dispositivi associati al Gateway

L'autenticazione IoT è protetta da:

  • Uno short ID e una one-time password (OTP) ottenuti dalla SEW OrchestrationSuite
  • Una chiave segreta incorporata nel binario dell'applicazione

La connessione a IoT può essere configurata per utilizzare:

  • MQTT SSL, oppure
  • WebSocket Secure, entrambi sulla porta 443

Differenze tra piattaforme​

I meccanismi di rete sono diversi per Linux e Windows.
Pertanto vengono descritti separatamente.

Linux​

SDA Glue su Linux si basa sul SoftEther VPN Client, che è open-source (Apache License 2.0) e viene installato dal mirror SEW su repository.eu1.sdaconsole.io durante l'installazione di Glue.

Per ogni connessione:

  • Glue utilizza il client SoftEther per creare un'interfaccia di rete NIC e connetterla al Tenant Server.
  • Utilizza gli strumenti IP di Linux per assegnare un indirizzo IP a tale interfaccia e creare le route necessarie tra la VM di servizio e il dispositivo di destinazione.

Le regole firewall interne e la traduzione NAT vengono create in iptables, che:

  • Non consentono pacchetti di rete in ingresso verso il Gateway
  • Inoltrano i pacchetti esclusivamente al dispositivo di destinazione

Windows​

SDA Glue su Windows non supporta l'utilizzo integrato del SoftEther VPN Client.
Pertanto utilizza il client open-source OpenVPN Community (licenza GPL versione 2), installato dal mirror SEW su repository.eu1.sdaconsole.io durante l'installazione di Glue.

Per ogni connessione:

  • Glue utilizza il driver TAP di OpenVPN per creare un'interfaccia di rete e connetterla al Tenant Server mediante autenticazione basata su certificati.
  • Utilizza le API native di Windows per assegnare un IP all'interfaccia e creare le route necessarie tra la VM di servizio e il dispositivo di destinazione.

Glue utilizza inoltre Windows Filtering Platform (WFP) per creare layer e regole firewall dedicati.
Tuttavia dipende da WinNAT (o NetNat) per dichiarare la traduzione degli indirizzi tra la VM di servizio e il dispositivo, funzionalità che potrebbe non essere abilitata per impostazione predefinita.

Riepilogo ​

Il SEW Connectivity Service offre una soluzione matura, sicura e scalabile per le sfide della connettività industriale.

Combinando tecnologie open-source consolidate come SoftEther VPN con un'infrastruttura cloud di livello enterprise fornita da AWS IoT Core, il servizio garantisce l'affidabilità e la sicurezza richieste dalle operazioni industriali, offrendo al contempo la flessibilità e la facilità d'uso che i team di ingegneria moderni si aspettano.

L'architettura del servizio rispetta i principi di sicurezza industriale abilitando al contempo iniziative di trasformazione digitale che favoriscono:

  • Efficienza operativa
  • Collaborazione da remoto
  • Processi decisionali basati sui dati

Per le organizzazioni che desiderano connettere in modo sicuro i propri asset industriali ai servizi cloud senza compromettere la sicurezza di rete o l'affidabilità operativa, il SEW Connectivity Service offre una soluzione completa e pronta per la produzione.