Passo 2: Installazione e configurazione del Gateway
Dopo aver configurato il Gateway e i dispositivi nella SEW OrchestrationSuite, la fase successiva prevede l'installazione del servizio SDA Glue sull'hardware del gateway scelto. Questo processo di installazione differisce tra i sistemi Linux e Windows, ma entrambi gli approcci seguono lo stesso principio fondamentale: scaricare e configurare un servizio che viene eseguito continuamente in background, pronto a stabilire tunnel sicuri su richiesta.
Installazione
Il processo di installazione si compone di due fasi principali:
- Installare SDA Glue e le relative dipendenze nel sistema di destinazione.
- Configurare il servizio con le credenziali univoche della SEW OrchestrationSuite, che autenticano uno specifico Gateway.
Prima di iniziare l'installazione, assicurarsi di disporre dei privilegi amministrativi sul sistema di destinazione. Il processo di installazione richiede autorizzazioni elevate per installare il servizio di sistema. Per Linux è necessario l'accesso sudo. Per Windows è necessario eseguire PowerShell come amministratore.
Il processo di installazione può funzionare anche in ambienti con proxy, ma richiede ulteriori passaggi di configurazione che verranno illustrati in dettaglio in ciascuna sezione specifica per piattaforma.
Linux
Per installare SDA Glue su un sistema Linux con accesso diretto a internet, eseguire il seguente comando in un terminale:
curl -sSL 'https://api.eu1.sdaconsole.io/glue/v1/install.sh' | bash -
Questo comando utilizza curl per recuperare in modo sicuro lo script di installazione direttamente dall'endpoint API di SEW e lo invia tramite pipe a bash per l'esecuzione immediata. I flag -sSL garantiscono che il trasferimento sia silenzioso, mostri eventuali errori e segua eventuali reindirizzamenti in modo sicuro.
Dettagli sul processo di installazione su Linux
L'installazione su Linux utilizza uno script shell automatizzato che gestisce il complesso processo di compilazione e configurazione del servizio SDA Glue. Questo script esegue diverse attività fondamentali: installa le dipendenze di runtime e gli strumenti di build necessari, scarica e compila il SoftEther VPN Client dal repository sicuro di SEW e installa SDA Glue come servizio systemd che si avvierà automaticamente con il sistema.
L'approccio basato sulla compilazione garantisce la compatibilità tra le diverse distribuzioni Linux, mantenendo al contempo la sicurezza grazie alla build da codice sorgente verificato. L'integrazione con il servizio systemd significa che il gateway si riavvierà automaticamente in caso di problemi e inizierà a funzionare immediatamente all'avvio del sistema.
Se si preferisce esaminare lo script di installazione prima di eseguirlo, è possibile recuperarlo separatamente rimuovendo la parte | bash - dal comando oppure accedendo direttamente a https://api.eu1.sdaconsole.io/glue/v1/install.sh dal browser web. Questa trasparenza consente di comprendere esattamente quali operazioni verranno eseguite dal processo di installazione sul sistema.
Linux con proxy
Quando il sistema Linux richiede l'accesso a internet tramite un server proxy, è necessario configurare le variabili d'ambiente appropriate prima di eseguire lo script di installazione. Impostare le variabili d'ambiente http_proxy e https_proxy nella sessione bash corrente:
export http_proxy=http://username:password@proxy.company.com:8080
export https_proxy=http://username:password@proxy.company.com:8080
curl -sSL 'https://api.eu1.sdaconsole.io/glue/v1/install.sh' | bash -
Sostituire l'URL del proxy con i dettagli effettivi del proprio server proxy, incluse le credenziali di autenticazione se richieste dalla configurazione di rete.
Docker
Docker offre un metodo di distribuzione alternativo che garantisce coerenza tra i diversi sistemi host e una gestione semplificata grazie alla containerizzazione. L'immagine Docker di SDA Glue è basata su Debian e include tutte le dipendenze necessarie preconfigurate, eliminando la necessità di compilazione manuale o di gestione delle dipendenze.
Per distribuire SDA Glue tramite Docker, eseguire il seguente comando con le funzionalità di rete richieste:
docker run -d \
--name glue \
--device=/dev/net/tun \
--cap-add=NET_ADMIN \
-v glue-data:/var/lib/sdaglue \
--restart always \
-p 8081:8080 \
public.ecr.aws/t9c5s2d1/sdaglue:latest
Questo comando crea un container persistente denominato "glue" che si riavvierà automaticamente in caso di arresto imprevisto. Il montaggio del volume conserva i dati di configurazione e autenticazione del gateway tra i riavvii o gli aggiornamenti del container.
Inoltre inoltra la porta 8080 del container alla porta 8081 dell'host, che esegue il server web di Glue per la configurazione dell'applicazione. È quindi possibile accedervi tramite http://localhost:8081/.
Quando si eseguono più container SDA Glue sullo stesso host, assicurarsi che ogni container utilizzi nomi e montaggi di volume univoci per evitare conflitti:
docker run -d --name glue-factory -v factory-data:/var/lib/sdaglue [...]
Per una guida completa alla distribuzione con Docker, comprese le configurazioni di rete avanzate, le procedure di risoluzione dei problemi e le best practice per la distribuzione in produzione, consultare la documentazione completa:
Windows
Aprire PowerShell come amministratore cercando "PowerShell" nella barra di ricerca di Windows, facendo clic con il pulsante destro del mouse sul risultato e selezionando "Esegui come amministratore". Una volta ottenuta una sessione PowerShell con privilegi elevati, eseguire il seguente comando:
iwr -Uri 'https://api.eu1.sdaconsole.io/glue/v1/install.ps1' -UseBasicParsing | iex
Questo comando PowerShell utilizza Invoke-WebRequest (abbreviato in iwr) per recuperare lo script di installazione e lo invia tramite pipe a Invoke-Expression (abbreviato in iex) per l'esecuzione immediata. Il parametro -UseBasicParsing garantisce la compatibilità tra diverse versioni e configurazioni di Windows.
Installazione riuscita di SDA Glue con PowerShell
Dettagli sul processo di installazione su Windows
Il processo di installazione su Windows utilizza PowerShell per scaricare ed eseguire uno script di installazione che configura il sistema per la connettività SEW. A differenza dell'approccio Linux che compila il software dal sorgente, il programma di installazione di Windows scarica i binari precompilati di OpenVPN Community Client e del servizio SDA Glue, quindi registra SDA Glue come servizio di Windows.
L'integrazione con i servizi di Windows garantisce che SDA Glue si avvii automaticamente con il sistema e si riavvii automaticamente in caso di problemi. Ciò offre gli stessi vantaggi in termini di affidabilità dell'approccio systemd di Linux, ma utilizza l'infrastruttura nativa di gestione dei servizi di Windows.
Analogamente all'approccio Linux, è possibile esaminare lo script di installazione prima di eseguirlo rimuovendo la parte | iex oppure accedendo direttamente a https://api.eu1.sdaconsole.io/glue/v1/install.ps1 dal browser web.
Windows con proxy
Quando il sistema Windows opera dietro un server proxy, il processo di installazione richiede un approccio in due fasi. Innanzitutto si configurano le impostazioni del proxy e si scarica lo script di installazione. Successivamente si esegue lo script con la configurazione proxy appropriata.
Iniziare impostando le variabili PowerShell per la configurazione del proxy:
# Configure your specific proxy details
$ProxyHost="proxy.company.com:8080"
$ProxyUser="your-username"
# Download the installation script through the proxy
iwr -Uri 'https://api.eu1.sdaconsole.io/glue/v1/install.ps1' -UseBasicParsing -OutFile .\glue-install.ps1 -Proxy http://$ProxyHost -ProxyCredential $ProxyUser
# Execute the script with proxy configuration
.\glue-install.ps1 -Proxy $ProxyHost -ProxyCredential $ProxyUser
Si noti l'importante differenza nella formattazione dell'URL del proxy: il comando Invoke-WebRequest richiede lo schema URL completo (http://proxy.company.com:8080), mentre lo script di installazione richiede solo il nome host e la porta (proxy.company.com:8080).
Come indicano i log in basso, è necessario configurare il server proxy in SDA Glue tramite la CLI
Autenticazione e accesso
Dopo aver installato correttamente il software SDA Glue, è necessario autenticare il gateway fisico con i servizi SEW Cloud. Questo processo di autenticazione utilizza credenziali univoche generate dalla SEW OrchestrationSuite per il gateway specifico. Tali credenziali sono costituite da un breve identificativo del gateway e da una password monouso che viene rinnovata periodicamente per una maggiore sicurezza.
Comandi di configurazione del gateway dalla SEW OrchestrationSuite
Tornare alla SEW OrchestrationSuite e individuare il secondo comando nella finestra di dialogo di configurazione del gateway. Questo comando sarà simile ai seguenti esempi:
Linux
sudo sdaglue login -e eu1 G1ABCD 123456
Docker
docker exec glue sdaglue login -e eu1 G1ABCD 123456
Windows
sdaglue.exe login -e eu1 G1ABCD 123456
La struttura del comando include il flag -e eu1 che specifica l'endpoint della regione europea, seguito dall'identificativo univoco del gateway (ad esempio G1ABCD) e dalla password monouso (ad esempio 123456). Questi valori sono specifici del proprio gateway e differiranno dagli esempi mostrati.
La password monouso viene aggiornata periodicamente per motivi di sicurezza. In caso di errori di autenticazione, tornare alla SEW OrchestrationSuite per recuperare la password corrente dalla finestra di dialogo di configurazione del gateway.
Stato del servizio
Dopo aver completato il processo di installazione e autenticazione, verificare che il servizio SDA Glue sia in esecuzione correttamente sul sistema.
Linux
Controllare lo stato del servizio utilizzando i comandi systemd:
sudo systemctl status sdaglue
Per monitorare l'output dei log in tempo reale e risolvere eventuali problemi:
sudo journalctl -efu sdaglue -n 100
Docker
I log del servizio possono essere recuperati dai container Docker con:
docker logs -n 100 --follow glue # tracks the latest 100 logs from the service
Windows
È possibile verificare il servizio tramite l'applicazione Servizi di Windows. Cercare "Servizi" nella barra di ricerca di Windows e individuare "SDA Glue" nell'elenco dei servizi. Il servizio dovrebbe risultare "In esecuzione" con tipo di avvio "Automatico".
Visualizzazione dei servizi attivi su Windows
I servizi di Windows generano registri eventi, accessibili nel Visualizzatore eventi, in Registri di Windows → Applicazione. Utilizzare la barra di ricerca per aprire il Visualizzatore eventi.
Accesso ai log di SDA Glue nel Visualizzatore eventi
Configurazione
SDA Glue consente di modificarne il comportamento per funzionare in modo ottimale all'interno del proprio specifico ambiente di rete. Queste regolazioni della configurazione garantiscono una connettività affidabile indipendentemente dalle caratteristiche peculiari della rete industriale, sia in presenza di server proxy, restrizioni firewall o protocolli di comunicazione differenti.
Utilizziamo variabili d'ambiente per controllare il servizio. Le modifiche alla configurazione richiedono il riavvio del servizio per avere effetto. Le variabili d'ambiente mantengono la stessa convenzione di denominazione dei parametri di configurazione, ma utilizzano il prefisso GLUE e sono separate da trattini bassi:
log.level -> GLUE_LOG_LEVEL
webui.enabled -> GLUE_WEBUI_ENABLED
Visualizzare i parametri di configurazione correnti:
# Linux & Windows
sdaglue config describe
# Docker
docker exec glue sdaglue config describe
Impostazione dei parametri:
# Linux & Windows
sdaglue config set --log.level debug --webui.enabled true --webui.port 8080
# Docker
docker exec sdaglue config set --log.level debug --webui.enabled true --webui.port 8080
Recupero dei parametri:
# Linux & Windows
sdaglue config list
# Docker
docker exec sdaglue config list
Riavviare il servizio dopo le modifiche:
# Linux & Windows
sdaglue service restart
# Docker
docker exec glue sdaglue service restart # or
docker restart glue
Protocollo di trasporto MQTT
Una delle decisioni di configurazione più importanti riguarda la scelta della modalità di comunicazione del gateway con i servizi SEW Cloud. SDA Glue supporta due protocolli di trasporto, ciascuno progettato per ambienti di rete differenti:
| Trasporto | Protocollo | Porta | Caso d'uso |
|---|---|---|---|
| MQTT | SSL / TCP | 443 | Reti standard con accesso diretto a internet |
| MQTT over WebSocket | WebSocket Secure (TCP) | 443 | Reti con proxy trasparenti o ispezione SSL |
Per il trasporto WebSocket:
# Linux & Windows
sdaglue config set --iot.transport websocket
# Docker
docker exec glue sdaglue config set --iot.transport websocket
Per il trasporto MQTT standard:
# Linux & Windows
sdaglue config set --iot.transport mqtt
# Docker
docker exec glue sdaglue config set --iot.transport mqtt
Se il servizio è già connesso e autenticato, il nuovo protocollo di trasporto avrà effetto solo dopo il successivo riavvio del servizio.
Quando utilizzare il trasporto WebSocket
Proxy trasparenti: alcune reti aziendali utilizzano proxy trasparenti che intercettano e analizzano il traffico di rete. Questi proxy possono interferire con le connessioni MQTT SSL standard, ma in genere consentono il passaggio delle connessioni WebSocket senza problemi.
Firewall restrittivi: le reti con deep packet inspection o con un filtraggio rigoroso dei protocolli possono bloccare il traffico MQTT consentendo invece le connessioni WebSocket, che appaiono simili al normale traffico web.
Policy di rete aziendali: alcune organizzazioni adottano policy che limitano i protocolli non HTTP, rendendo il trasporto WebSocket la scelta preferibile per la conformità.
Server proxy
Quando la rete richiede che tutto il traffico internet passi attraverso uno specifico server proxy, SDA Glue deve essere configurato con i dettagli del proxy per stabilire le connessioni con i servizi SEW Cloud. Ciò è particolarmente comune negli ambienti aziendali in cui l'accesso diretto a internet è limitato per motivi di sicurezza.
Gli indirizzi proxy seguono il formato standard: scheme://username:password@hostname:port
- Schema: solitamente
http://ohttps:// - Nome utente/Password: credenziali di autenticazione (se richieste dal proxy)
- Nome host: l'indirizzo del server proxy
- Porta: il numero di porta del server proxy
È necessario configurare sia le impostazioni proxy HTTP sia quelle HTTPS per garantire una copertura completa delle esigenze di comunicazione di SDA Glue.
Se il server proxy non richiede autenticazione, è sufficiente omettere nome utente e password:
proxy_server="http://proxy.company.com:8080"
Linux
proxy_server="http://username:password@proxy.company.com:8080"
sdaglue config set --proxy.http=$proxy_server --proxy.https=$proxy_server
# Restart the service to apply changes
sdaglue service restart
Docker
proxy_server="http://username:password@proxy.company.com:8080"
docker exec glue sdaglue config set --proxy.http=$proxy_server --proxy.https=$proxy_server
# Restart the container to apply changes
docker restart glue
Windows
$ProxyServer="http://username:password@proxy.company.com:8080"
sdaglue.exe config set --proxy.http=$ProxyServer --proxy.https=$ProxyServer
# Restart the service to apply changes
sdaglue.exe service restart
Problemi comuni
Rete aziendale con proxy trasparente
Problema: il gateway si connette inizialmente ma si disconnette frequentemente o mostra una connettività instabile.
Soluzione: passare al protocollo di trasporto WebSocket.
Ambiente con firewall restrittivo
Problema: il gateway non riesce a stabilire la connessione iniziale con i servizi SEW Cloud.
Soluzione: configurare il trasporto WebSocket e verificare che le connessioni HTTPS in uscita siano consentite sulla porta 443.
Server proxy con autenticazione
Problema: il gateway non riesce a connettersi tramite il proxy aziendale che richiede l'autenticazione.
Soluzione: configurare entrambe le impostazioni proxy con le credenziali di autenticazione corrette e riavviare il servizio.
Con queste opzioni di configurazione impostate correttamente, il servizio SDA Glue si adatterà al proprio ambiente di rete e manterrà una connettività affidabile ai servizi SEW Cloud, consentendo un accesso sicuro ai dispositivi industriali.