SEW Gateway
https://sew.eu1.sdaconsole.io/에서 접속할 수 있는 SEW OrchestrationSuite는 산업용 연결 인프라를 생성하고 관리하기 위한 중앙 관리 플랫폼입니다. 테넌트 계정 온보딩 절차를 완료한 후에는 Gateway를 생성하고 산업용 장치를 연결하여 네트워크 토폴로지 구성을 시작할 수 있습니다.
설정 과정은 두 가지 주요 단계로 이루어집니다. 먼저 산업용 네트워크와 SEW 클라우드 서비스 간의 보안 브리지 역할을 수행할 연결 Gateway를 선언하고, 그다음 Gateway가 접근을 제공할 산업용 장치(PLC, HMI, 로봇 등)를 생성하고 연결합니다.
SEW Gateway 관련 정보
SEW Gateway는 각 분기별 릴리스에서 중심적인 역할을 담당하며, 온프레미스 산업용 네트워크와 SEW 클라우드 플랫폼 간의 보안 브리지 역할을 수행합니다. Gateway가 전체 시스템 설계 및 설정에 어떻게 부합하는지에 대한 자세한 내용은 다음 정보를 참조하십시오.
개요
암호화된 VPN 터널을 통해 제조 네트워크와 클라우드 서비스를 연결하는 안전한 산업용 연결 서비스입니다. SEW Connectivity Service는 Linux 및 Windows 호스트에서 사용할 수 있는 Gateway용 애플리케이션인 SDA Glue를 기반으로 합니다. 이 서비스는 Windows 클라이언트에서 OpenVPN을 지원하는 SoftEther VPN으로 구동되며, Gateway의 네트워크 인터페이스와 IDEaaS, Backup, Deployment VM 같은 SEW 클라우드 서비스 사이에 안전한 TCP 터널을 구축합니다.
또한 OS 기본 방화벽(Linux iptables 및 Windows Filtering Platform(WFP))과 NAT 테이블을 결합하여 Siemens TIA Portal 및 Rockwell Studio 5000과 같은 벤더별 소프트웨어를 제조 제어 계층의 장치와 직접 연결합니다.
핵심 사항
SEW로 산업용 자산을 관리하는 기능은 제조 환경과 클라우드 기반 서비스 사이의 간극을 메우는 포괄적이고 안전한 산업용 연결 솔루션으로 구동됩니다. 검증된 기술을 활용하고 견고한 보안 조치를 구현함으로써, 이 서비스는 산업 자동화 및 제어 시스템에 특화된 엔터프라이즈급 연결성을 제공합니다.
산업용 등급 보안
- AWS IoT Core와의 통합을 통해 세분화된 접근 제어 정책과 함께 안전한 TLS 연결을 제공합니다.
- 산업용 IoT 보안 모범 사례를 따르며, 관리자가 장치 속성과 컨텍스트를 기반으로 접근을 제한할 수 있도록 합니다.
검증된 VPN 기반
- AES 256비트 및 RSA 4096비트 암호화를 제공하면서도 고속 처리 성능과 낮은 메모리 및 CPU 사용량을 갖춘 SoftEther VPN을 활용합니다.
- 전송 중인 데이터가 도청 및 무단 접근으로부터 안전하게 유지되도록 보장하여, 보안과 성능이 중요한 산업용 애플리케이션에 이상적입니다.
제로 트러스트 네트워크 액세스
- 온디맨드 방식으로 연결을 설정하여 기존의 정적 VPN이 필요 없도록 합니다.
- 이러한 Point-to-Point 아키텍처는 사용자가 전체 네트워크 세그먼트가 아닌 명시적으로 승인된 장치에만 접근할 수 있도록 보장하여 공격 표면을 크게 줄입니다.
공장 친화적 설계
- 모든 연결은 Gateway에서 외부로 시작되므로 제조 환경에서 인바운드 방화벽 규칙이 필요하지 않습니다.
- 이 설계는 기존 산업용 보안 아키텍처를 존중하면서 안전한 원격 접근 기능을 제공합니다.
아키텍처
가상 네트워크의 피어는 Node라고 하며, Connectivity Service의 주요 구성 요소입니다.
각 연결은 특정 역할을 가진 Node 체인의 상호 작용을 통해 구축됩니다.
Devices
일반적으로 제조 보안 네트워크에 위치하며 IP 주소로 접근할 수 있는 산업용 자산(예: PLC, HMI, 로봇).
- Device는 각 테넌트별로 SEW OrchestrationSuite에서 선언되며, 사용자 접근은 역할 기반 접근 제어(RBAC)로 관리됩니다.
- 연결을 위해서는 모든 Device가 최소 하나의 네트워크 Gateway와 연결되어야 합니다.
Gateways
인터넷 및 SEW OrchestrationSuite에서 관리되는 Device에 안전하게 접근할 수 있는 네트워크 호스트입니다.
- 일반적으로 IPC, VM, 컨테이너 또는 Raspberry Pi이며, Tenant Server와 같은 SEW 클라우드 리소스에 접근하기 위해 특정 규칙이 필요한 방화벽 존에 위치합니다.
- 모든 Gateway는 연결 요청을 수신하고 텔레메트리 데이터를 제공하는 OS 서비스인 SDA Glue를 실행합니다.
Tenant Servers
안전한 SEW 클라우드 환경에서 실행되며 각 테넌트 전용으로 제공되는 배스천 호스트입니다.
- Gateway의 네트워크 인터페이스를 SEW Service VM 또는 다른 Gateway와 연결합니다.
- Point-to-Point 연결만 보장하기 위한 필수 필터링 정책을 보장합니다(예: IDEaaS에서 특정 PLC로만 연결하고 동일 네트워크의 다른 장치로는 연결하지 않음).
- 연결마다 자격 증명 교체 정책을 기반으로 Gateway의 접근을 인증합니다.
Service VMs
IDEaaS, Backup, Deployment Pipeline 등 SEW 서비스에 필요한 애플리케이션을 실행합니다.
- 이러한 VM은 Connectivity Service에 의존하여 네트워크 계층에서 IP 주소로 Device에 접근하며, 이는 산업용 애플리케이션에 필수적입니다.
Cloud
SEW Connectivity Service는 기존의 정적 VPN을 사용하는 대신, 요청에 따라 산업용 자산에 대한 연결을 설정하며, 이러한 요청은 SEW 서비스와 Device 간의 Point-to-Point 네트워크 접근을 제공하기 위해 함께 동작하는 Node 체인으로 전달됩니다.
제조 네트워크의 경우 모든 연결이 Gateway에서 시작되므로 공장 내 인바운드 연결 규칙이 필요하지 않습니다. 이를 위해 Node는 AWS IoT Core로 구동되는 IoT 메시지 브로커에서 들어오는 요청을 지속적으로 수신합니다.
이 아키텍처를 통해 사용자는 인터넷이 있는 어디에서든, 어떤 컴퓨터에서든 브라우저만으로 공장의 자산과 상호 작용할 수 있습니다.
Network
Gateway는 제조 제어 계층과 인터넷 사이에 위치한 엣지 장치로서, Console에 정의된 자산에 대한 제어된 접근을 SEW 서비스에 제공합니다.
SEW 클라우드와 로컬 인프라를 안전하게 연결하는 아키텍처를 확립하는 것이 중요합니다.
Gateway에 대해 다음 두 가지 제안된 설정 중 하나를 권장합니다.
Gateway in LAN
가장 일반적인 접근 방식으로, Gateway를 SEW 플랫폼에 온보딩된 PLC 옆에 배치합니다.
- 방화벽이 Gateway에서 인터넷으로 나가는 아웃바운드 연결을 엄격하게 제어합니다.
- Gateway는 자신이 위치한 서브넷에 접근할 수 있지만, 네트워크 라우터에 접근 제어 계층(ACL)으로서 방화벽이 프로비저닝될 수 있습니다.
- 두 개의 네트워크 인터페이스를 가진 Gateway 장치를 사용하는 것이 일반적입니다. 하나는 DMZ를 향하고 다른 하나는 제어 계층을 향합니다.
- 이 아키텍처는 중복된 IP 존(예: 둘 다 서브넷 10.0.0.0/24)을 허용합니다.
Gateway in DMZ
이 접근 방식은 Gateway가 서버 인프라 내 전용 가상 머신에서 실행될 때 자주 사용됩니다.
- IT 팀이 VM과 제어 계층의 대상 PLC 사이에 특별한 경로를 제공하며, 인터넷 및 OT 접근 경로 양쪽에 방화벽이 존재할 가능성이 높습니다.
- PLC로 다운스트림 이동 시 **네트워크 주소 변환(NAT)**이 존재할 수 있습니다.
- 주의 필요: 일부 PLC 벤더별 소프트웨어는 IP 별칭과 호환되지 않을 수 있으며 구성된 프로젝트 IP를 사용하여 연결해야 합니다.
- 제조 유닛의 모든 PLC는 충돌을 피하기 위해 고유한 IP 주소를 가져야 합니다.
- 네트워크 인프라에 따라 Gateway에서 PLC로의 Layer 2 접근이 동작하지 않을 수 있습니다. 이는 SEW 서비스에서 실시간 산업용 네트워크 통합을 위해 예정된 기능입니다.
Software
SDA Glue는 OS 서비스로 실행되는 애플리케이션으로, 자동 시작 및 오류 발생 시 자동 재시작을 통해 Gateway의 고가용성을 보장합니다.
인터페이스, 라우트, 방화벽 규칙과 같은 네트워크 리소스를 관리하여 네트워크 터널을 구축하기 위해서는 시스템 사용자 권한 상승이 필요합니다.
Auto-Updates
Auto-Updates는 기본적으로 비활성화되어 있으며, SEW OrchestrationSuite의 Gateway 구성 섹션에서 또는 장치의 CLI에서 다음 명령으로 활성화해야 합니다.
sdaglue config set --update.auto true
Glue 서비스는 repository.eu1.sdaconsole.io에서 최신 안정 버전을 읽어오며, 활성 연결이 없을 때 업데이트를 적용합니다.
업데이트 메커니즘:
- 새 애플리케이션 바이너리를 다운로드합니다
- 기존 바이너리를 새 바이너리로 교체합니다
- 서비스를 재시작합니다
AWS IoT Core Connection
AWS IoT Core는 로그인 시 iot.eu1.sdaconsole.io 엔드포인트를 사용하여 연결됩니다.
연결되면 Glue 서비스는 다음을 수행합니다.
- SEW 클라우드로부터의 요청을 지속적으로 수신
- Gateway와 연결된 Device의 상태와 같은 텔레메트리 데이터를 게시
IoT 인증은 다음으로 보호됩니다.
- SEW OrchestrationSuite에서 가져온 short ID와 일회용 비밀번호(OTP)
- 애플리케이션 바이너리에 내장된 비밀 키
IoT 연결은 다음을 사용하도록 구성할 수 있습니다.
- MQTT SSL 또는
- WebSocket Secure, 둘 다 포트 443 사용
플랫폼 차이점
네트워크 메커니즘은 Linux와 Windows에서 서로 다릅니다.
따라서 별도로 설명합니다.
Linux
Linux의 SDA Glue는 오픈 소스(Apache License 2.0)인 SoftEther VPN Client를 기반으로 하며, Glue 설치 중 repository.eu1.sdaconsole.io의 SEW 미러에서 설치됩니다.
각 연결마다:
- Glue는 SoftEther Client를 사용하여 NIC 네트워크 인터페이스를 생성하고 이를 Tenant Server에 연결합니다.
- Linux IP 도구를 사용하여 해당 인터페이스에 IP 주소를 할당하고 Service VM과 대상 Device 사이에 필요한 라우트를 생성합니다.
내부 방화벽 규칙과 NAT 변환은 iptables에 생성되며, 다음과 같이 동작합니다.
- Gateway로 들어오는 네트워크 패킷을 허용하지 않음
- 대상 Device로 패킷을 전달하기만 함
Windows
Windows의 SDA Glue는 SoftEther VPN Client의 내장 사용을 지원하지 않습니다.
따라서 Glue 설치 중 repository.eu1.sdaconsole.io의 SEW 미러에서 설치되는 OpenVPN Community Open-Source Client(GPL 라이선스 버전 2)를 사용합니다.
각 연결마다:
- Glue는 OpenVPN TAP 드라이버를 사용하여 네트워크 인터페이스를 생성하고 인증서 기반 인증을 통해 이를 Tenant Server에 연결합니다.
- Windows 네이티브 API를 사용하여 인터페이스에 IP를 할당하고 Service VM과 대상 Device 사이에 필요한 라우트를 생성합니다.
Glue는 또한 **Windows Filtering Platform(WFP)**을 사용하여 전용 계층과 방화벽 규칙을 생성합니다.
다만 Service VM과 Device 간의 주소 변환을 선언하기 위해 WinNAT(또는 NetNat)에 의존하며, 이는 기본적으로 활성화되어 있지 않을 수 있습니다.
요약
SEW Connectivity Service는 산업용 연결 과제에 대해 성숙하고 안전하며 확장 가능한 솔루션을 제공합니다.
SoftEther VPN과 같은 검증된 오픈 소스 기술과 AWS IoT Core의 엔터프라이즈급 클라우드 인프라를 결합함으로써, 이 서비스는 산업 운영에 필요한 신뢰성과 보안을 제공하는 동시에 현대적인 엔지니어링 팀이 기대하는 유연성과 사용 편의성을 제공합니다.
이 서비스의 아키텍처는 산업용 보안 원칙을 준수하면서 다음을 촉진하는 디지털 전환 이니셔티브를 가능하게 합니다.
- 운영 효율성
- 원격 협업
- 데이터 기반 의사 결정
네트워크 보안이나 운영 신뢰성을 저해하지 않으면서 산업용 자산을 클라우드 서비스에 안전하게 연결하고자 하는 조직에게 SEW Connectivity Service는 포괄적이고 프로덕션에 바로 적용 가능한 솔루션을 제공합니다.