SEW Gateway
SEW OrchestrationSuite（https://sew.eu1.sdaconsole.io/ からアクセス可能）は、産業用接続インフラストラクチャを構築・管理するための中央管理プラットフォームです。テナントアカウントのオンボーディングプロセスが完了すると、Gateway を作成し、産業用デバイスをリンクすることで、ネットワークトポロジーの構成を開始できます。
セットアッププロセスは主に 2 つのステップで構成されます。まず、産業用ネットワークと SEW Cloud サービスの間の安全なブリッジとして機能する接続 Gateway を宣言し、次に Gateway がアクセスを提供する産業用デバイス（PLC、HMI、ロボットなど）を作成してリンクします。
- Step 1: Creating a Gateway
- Step 2: Gateway Installation
- Addendum: Configuring Static networks on Linux
SEW Gateway に関する関連情報
SEW Gateway は各四半期リリースにおいて中心的な役割を果たし、オンプレミスの産業用ネットワークと SEW クラウドプラットフォームの間の安全なブリッジとして機能します。Gateway がシステム全体の設計およびセットアップにどのように組み込まれるかの詳細については、以下の情報を参照してください。
- Prerequisites - Firewall Requriements
- Prerequisites - Network/Proxy Settings
- Architecture - SEW Connectify Services
概要
暗号化された VPN トンネルを介して製造ネットワークとクラウドサービスを橋渡しする、セキュアな産業用接続サービスです。SEW Connectivity Service は、Linux および Windows ホスト向けに提供される Gateway 用アプリケーションである SDA Glue に依存しています。本サービスは SoftEther VPN を基盤としており、Windows クライアントでは OpenVPN をサポートし、Gateway 内のネットワークインターフェースと IDEaaS、Backup、Deployment VM などの SEW クラウドサービスとの間にセキュアな TCP トンネルを確立します。
また、OS ネイティブのファイアウォール（Linux の iptables および Windows Filtering Platform (WFP)）と NAT テーブルを組み合わせることで、Siemens TIA Portal や Rockwell Studio 5000 といったベンダー固有のソフトウェアを、製造制御レイヤーのデバイスに直接ブリッジします。
主なポイント
SEW による産業用資産の管理は、製造環境とクラウドベースのサービスの間のギャップを埋める、包括的でセキュアな産業用接続ソリューションによって実現されています。実績のある技術を活用し、堅牢なセキュリティ対策を実装することで、本サービスは産業用オートメーションおよび制御システムに特化したエンタープライズグレードの接続性を提供します。
産業グレードのセキュリティ
- AWS IoT Core との統合により、きめ細かなアクセス制御ポリシーを備えたセキュアな TLS 接続を提供します。
- 産業用 IoT セキュリティのベストプラクティスに従い、管理者がデバイスのプロパティやコンテキストに基づいてアクセスを制限できるようにします。
実績のある VPN 基盤
- SoftEther VPN を利用し、AES 256 ビットおよび RSA 4096 ビットの暗号化を、高速スループット性能かつ低メモリ・低 CPU 使用率で提供します。
- 転送中のデータを盗聴や不正アクセスから保護し、セキュリティとパフォーマンスが重要な産業用途に最適です。
ゼロトラストネットワークアクセス
- オンデマンドで接続を確立することにより、従来型の静的 VPN を不要にします。
- このポイントツーポイントアーキテクチャにより、ユーザーはネットワークセグメント全体ではなく、明示的に許可されたデバイスのみにアクセスでき、攻撃対象領域を大幅に削減します。
工場に適した設計
- すべての接続は Gateway から外向きに開始されるため、製造環境において受信方向のファイアウォールルールは不要です。
- この設計は既存の産業用セキュリティアーキテクチャを尊重しつつ、セキュアなリモートアクセス機能を提供します。
アーキテクチャ
仮想ネットワーク内のピアは Nodes と呼ばれ、Connectivity Service の主要コンポーネントです。
各接続は、それぞれ特定の役割を持つ Node の連鎖の相互作用によって構築されます。
Devices
通常は製造用セキュアネットワーク内に配置され、IP アドレスによってアクセス可能な産業用資産（例：PLC、HMI、ロボット）です。
- Devices は各テナントごとに SEW OrchestrationSuite で宣言され、ユーザーアクセスはロールベースアクセス制御（RBAC）によって管理されます。
- 接続には、すべての Device が少なくとも 1 つのネットワーク Gateway とリンクされている必要があります。
Gateways
インターネットおよび SEW OrchestrationSuite で管理される Devices への安全なアクセスを持つネットワークホストです。
- 通常は IPC、VM、コンテナ、または Raspberry Pi であり、Tenant Servers などの SEW Cloud リソースへのアクセスに特定のルールを必要とするファイアウォールゾーンに配置されます。
- すべての Gateway は SDA Glue を実行します。これは接続要求をリッスンし、テレメトリデータを提供する OS サービスです。
Tenant Servers
セキュアな SEW Cloud 環境で稼働する踏み台ホストで、テナントごとに専用に用意されます。
- Gateway のネットワークインターフェースを SEW Service VM または別の Gateway とブリッジします。
- ポイントツーポイント接続のみを保証するために必要なフィルタリングポリシーを保証します（例：IDEaaS から特定の PLC へのみ接続し、同一ネットワーク内の他のデバイスには接続しない）。
- 接続ごとの資格情報ローテーションポリシーに基づいて、Gateway からのアクセスを認証します。
Service VMs
IDEaaS、Backup、Deployment Pipelines など、SEW Services に必要なアプリケーションを実行します。
- これらの VM は、産業用途に不可欠な、IP アドレスによるネットワークレイヤーでの Devices へのアクセスを Connectivity Service に依存しています。
クラウド
SEW Connectivity Service は、従来の静的 VPN を使用する代わりに、SEW Services と Devices の間にポイントツーポイントのネットワークアクセスを提供するために連携して動作する Node の連鎖に転送される要求に応じて、産業用資産への接続を確立します。
製造ネットワークにおいては、すべての接続が Gateway から開始されるため、工場内で受信接続ルールを設定する必要はありません。これを実現するために、Node は AWS IoT Core によって提供される IoT メッセージブローカー上で受信要求を常時リッスンしています。
このアーキテクチャにより、ユーザーはインターネットに接続できる任意の場所から、ブラウザさえあれば任意のコンピュータで工場内の資産を操作できます。
ネットワーク
Gateway は製造制御レイヤーとインターネットの間に位置するエッジデバイスであり、Console で定義された資産への制御されたアクセスを SEW サービスに提供します。
SEW Cloud とローカルインフラストラクチャを安全に橋渡しするアーキテクチャを確立することが重要です。
Gateway については、以下の 2 つの推奨構成のいずれかを推奨します。
LAN 内の Gateway
最も一般的なアプローチで、Gateway が SEW プラットフォームにオンボードされた PLC の近くに配置されます。
- ファイアウォールが Gateway からインターネットへの送信接続を厳格に制御します。
- Gateway は配置されているサブネットにアクセスできますが、ネットワークのルーターにアクセス制御レイヤー（ACL）としてファイアウォールを設ける場合があります。
- 2 つのネットワークインターフェースを持つ Gateway デバイスを使用するのが一般的です。1 つは DMZ に、もう 1 つは制御レイヤーに接続します。
- このアーキテクチャでは、IP ゾーンの重複が可能です（例：両方ともサブネット 10.0.0.0/24）。
DMZ 内の Gateway
このアプローチは、サーバーインフラストラクチャ内の専用仮想マシンで Gateway を実行する場合によく使用されます。
- IT チームが VM と制御レイヤーの対象 PLC の間に特別なルートを提供し、インターネットおよび OT へのアクセス経路の両方にファイアウォールが存在する可能性があります。
- PLC へのダウンストリーム方向で ネットワークアドレス変換（NAT） が存在する場合があります。
- 注意が必要です：一部の PLC ベンダー固有のソフトウェアは IP エイリアシングに対応しておらず、設定されたプロジェクト IP を使用して接続する必要があります。
- 衝突を避けるため、製造ユニット内のすべての PLC は一意の IP アドレスを持つ必要があります。
- ネットワークインフラストラクチャによっては、Gateway から PLC へのレイヤー 2 アクセスが機能しない場合があります。これは SEW サービスにおけるリアルタイム産業用ネットワーク統合のための今後の機能です。
ソフトウェア
SDA Glue は OS サービスとして動作するアプリケーションであり、自動起動およびエラー発生時の自動再起動により Gateway の高可用性を確保します。
インターフェース、ルート、ファイアウォールルールなどのネットワークリソースを管理してネットワークトンネルを確立するため、システムユーザーとしての権限昇格が必要です。
自動更新
自動更新はデフォルトで無効になっており、SEW OrchestrationSuite の Gateway 構成セクションから、またはデバイスの CLI から以下のコマンドで有効化できます。
sdaglue config set --update.auto true
Glue サービスは repository.eu1.sdaconsole.io から最新の安定版バージョンを読み取り、アクティブな接続がなくなった時点で更新を適用します。
更新の仕組み：
- 新しいアプリケーションバイナリをダウンロードする
- 古いものと置き換える
- サービスを再起動する
AWS IoT Core 接続
AWS IoT Core は、エンドポイント iot.eu1.sdaconsole.io を使用して、ログイン時に接続されます。
接続後、Glue サービスは以下を行います。
- SEW Cloud からの要求を常時リッスンする
- Gateway に関連付けられた Devices のステータスなどのテレメトリデータを発行する
IoT 認証は以下によって保護されています。
- SEW OrchestrationSuite から取得した 短い ID と ワンタイムパスワード（OTP）
- アプリケーションバイナリに組み込まれたシークレットキー
IoT への接続は以下を使用するよう構成できます。
- MQTT SSL、または
- WebSocket Secure（いずれもポート 443）
プラットフォームの差異
ネットワークの仕組みは Linux と Windows で異なります。
そのため、それぞれ個別に説明します。
Linux
Linux 上の SDA Glue は、オープンソース（Apache License 2.0）の SoftEther VPN Client に依存しており、Glue のインストール時に SEW のミラー repository.eu1.sdaconsole.io からインストールされます。
各接続について：
- Glue は SoftEther Client を使用して NIC ネットワークインターフェースを作成し、Tenant Server に接続します。
- Linux IP ツールを使用して、そのインターフェースに IP アドレスを割り当て、Service VM と対象 Device の間に必要なルートを作成します。
内部ファイアウォールルールと NAT 変換は iptables に作成され、以下のように動作します。
- Gateway への受信ネットワークパケットを許可しない
- パケットを対象 Device に転送するのみ
Windows
Windows 上の SDA Glue は、SoftEther VPN Client の組み込み利用をサポートしていません。
そのため、OpenVPN Community Open-Source Client（GPL ライセンスバージョン 2）を使用し、Glue のインストール時に SEW のミラー repository.eu1.sdaconsole.io からインストールされます。
各接続について：
- Glue は OpenVPN TAP ドライバーを使用してネットワークインターフェースを作成し、証明書ベースの認証を用いて Tenant Server に接続します。
- Windows ネイティブ API を使用して、インターフェースに IP を割り当て、Service VM と対象 Device の間に必要なルートを作成します。
Glue はまた、Windows Filtering Platform (WFP) を使用して専用のレイヤーとファイアウォールルールを作成します。
ただし、Service VM と Device の間のアドレス変換を宣言するために WinNAT（または NetNat）に依存しており、これらはデフォルトでは有効になっていない場合があります。
まとめ
SEW Connectivity Service は、産業用接続の課題に対して成熟した、セキュアかつスケーラブルなソリューションを提供します。
SoftEther VPN などの実績あるオープンソース技術と、AWS IoT Core によるエンタープライズグレードのクラウドインフラストラクチャを組み合わせることで、本サービスは産業運用が求める信頼性とセキュリティを提供しつつ、現代のエンジニアリングチームが期待する柔軟性と使いやすさを実現します。
本サービスのアーキテクチャは産業セキュリティの原則を尊重しながら、以下を推進するデジタルトランスフォーメーションの取り組みを可能にします。
- 運用効率
- リモートコラボレーション
- データ駆動型の意思決定
ネットワークセキュリティや運用の信頼性を損なうことなく、産業用資産をクラウドサービスに安全に接続することを目指す組織に対して、SEW Connectivity Service は包括的で本番環境対応のソリューションを提供します。