Ga naar hoofdinhoud

SEW Gateway

De SEW OrchestrationSuite, bereikbaar via https://sew.eu1.sdaconsole.io/, fungeert als het centrale beheerplatform voor het opzetten en beheren van uw industriële connectiviteitsinfrastructuur. Nadat u het onboardingproces voor het tenantaccount hebt doorlopen, kunt u beginnen met het configureren van uw netwerktopologie door Gateways aan te maken en industriële apparaten te koppelen.

Het installatieproces bestaat uit twee hoofdstappen: eerst declareert u een connectiviteits-Gateway die dient als de beveiligde brug tussen uw industriële netwerk en de SEW Cloud-services, en vervolgens maakt en koppelt u de industriële apparaten (zoals PLC's, HMI's en robots) waartoe de Gateway toegang biedt.

Gerelateerde informatie over SEW Gateways​

De SEW Gateway speelt een centrale rol in elke kwartaalrelease en fungeert als de beveiligde brug tussen on-premise industriële netwerken en het SEW-cloudplatform. Raadpleeg de volgende informatie voor meer details over hoe de Gateway past binnen het algehele systeemontwerp en de installatie

Overzicht​

Beveiligde industriële connectiviteitsservice die productienetwerken via versleutelde VPN-tunnels verbindt met cloudservices. De SEW Connectivity Service maakt gebruik van de SDA Glue, de applicatie voor Gateways, beschikbaar voor Linux- en Windows-hosts. De service wordt aangedreven door SoftEther VPN, dat OpenVPN ondersteunt op Windows-clients, en brengt een beveiligde TCP-tunnel tot stand tussen een netwerkinterface in de Gateway en de SEW-cloudservices, zoals IDEaaS, Backup- en Deployment-VM's.

Daarnaast combineert de service native OS-firewalls (Linux iptables en Windows Filtering Platform (WFP)) met een NAT-tabel om leveranciersspecifieke software, zoals Siemens TIA Portal en Rockwell Studio 5000, rechtstreeks te verbinden met het apparaat in de besturingslaag van de productieomgeving.

Kernpunten​

Het beheer van industriële assets met SEW wordt mogelijk gemaakt door een uitgebreide en veilige industriële connectiviteitsoplossing die de kloof overbrugt tussen productieomgevingen en cloudgebaseerde services. Door gebruik te maken van bewezen technologieën en robuuste beveiligingsmaatregelen levert de service connectiviteit op enterprise-niveau, specifiek afgestemd op industriële automatiserings- en besturingssystemen.

Beveiliging op industrieel niveau​

  • Integratie met AWS IoT Core biedt beveiligde TLS-verbindingen met fijnmazig beleid voor toegangsbeheer.
  • Volgt best practices voor industriële IoT-beveiliging, waarmee beheerders de toegang kunnen beperken op basis van apparaateigenschappen en context.

Bewezen VPN-fundament​

  • Maakt gebruik van SoftEther VPN, dat AES 256-bit- en RSA 4096-bit-versleuteling biedt met een hoge doorvoersnelheid en een laag geheugen- en CPU-gebruik.
  • Zorgt ervoor dat gegevens tijdens transport beveiligd blijven tegen afluisteren en ongeoorloofde toegang — ideaal voor industriële toepassingen waar beveiliging en prestaties cruciaal zijn.

Zero-trust-netwerktoegang​

  • Maakt traditionele statische VPN's overbodig door verbindingen on-demand tot stand te brengen.
  • Deze Point-to-Point-architectuur zorgt ervoor dat gebruikers uitsluitend toegang hebben tot specifiek geautoriseerde apparaten en niet tot volledige netwerksegmenten, waardoor het aanvalsoppervlak aanzienlijk wordt verkleind.

Fabrieksvriendelijk ontwerp​

  • Alle verbindingen worden vanuit de Gateway naar buiten geïnitieerd, waardoor er geen inkomende firewallregels nodig zijn in de productieomgeving.
  • Dit ontwerp respecteert bestaande industriële beveiligingsarchitecturen en biedt tegelijkertijd veilige mogelijkheden voor externe toegang.

Architectuur​

De peers in een virtueel netwerk worden Nodes genoemd; zij vormen de belangrijkste componenten van de Connectivity Service.
Elke verbinding wordt opgebouwd uit de interactie van een keten van Nodes, elk met een specifieke rol.

Devices​

Industriële assets die zich doorgaans in het beveiligde productienetwerk bevinden en toegankelijk zijn via hun IP-adres (bijv. PLC's, HMI's, robots).

  • Devices worden voor elke Tenant gedeclareerd in de SEW OrchestrationSuite en gebruikerstoegang wordt beheerd via Role-Based Access Control (RBAC).
  • Voor connectiviteit is vereist dat elk Device is gekoppeld aan ten minste één netwerk-Gateway.

Gateways​

Netwerkhosts met beveiligde toegang tot internet en tot de Devices die in de SEW OrchestrationSuite worden beheerd.

  • Doorgaans IPC's, VM's, containers of Raspberry Pi's, geplaatst in een firewallzone die specifieke regels vereist voor toegang tot SEW Cloud-resources zoals Tenant Servers.
  • Op elke Gateway draait de SDA Glue, een OS-service die luistert naar verbindingsaanvragen en telemetriegegevens levert.

Tenant Servers​

Bastion-hosts die draaien in een beveiligde SEW Cloud-omgeving, toegewezen aan elke Tenant.

  • Verbinden de netwerkinterface van de Gateway met een SEW Service-VM of een andere Gateway.
  • Garanderen het vereiste filterbeleid om uitsluitend Point-to-Point-verbindingen te waarborgen (bijv. van IDEaaS naar een specifieke PLC en niet naar andere apparaten in hetzelfde netwerk).
  • Authenticeren de toegang vanaf Gateways op basis van een rotatiebeleid voor inloggegevens bij elke verbinding.

Service-VM's​

Draaien de applicaties die nodig zijn voor SEW Services, zoals IDEaaS, Backup en Deployment Pipelines.

  • Deze VM's zijn afhankelijk van de Connectivity Service om Devices op de netwerklaag via hun IP-adres te bereiken, wat essentieel is voor industriële toepassingen.

Cloud​

In plaats van traditionele statische VPN's te gebruiken, brengt de SEW Connectivity Service verbindingen met industriële assets tot stand op basis van aanvragen die worden doorgestuurd naar een keten van Nodes die samenwerken om Point-to-Point-netwerktoegang te bieden tussen SEW Services en Devices.

Voor het productienetwerk worden alle verbindingen vanuit de Gateway geïnitieerd, waardoor er geen regels voor inkomende verbindingen in de fabriek nodig zijn. Om dit te realiseren luisteren Nodes voortdurend op een IoT-message broker naar binnenkomende aanvragen, aangedreven door AWS IoT Core.

Deze architectuur stelt gebruikers in staat om vanaf elke locatie met internet en vanaf elke computer met assets in de fabriek te werken — met uitsluitend een browser.

Netwerk​

De Gateway is een edge-apparaat dat zich bevindt tussen een productiebesturingslaag en het internet, en dat SEW-services gecontroleerde toegang biedt tot assets die in de Console zijn gedefinieerd.
Het is belangrijk om een architectuur te consolideren die de SEW Cloud veilig verbindt met de lokale infrastructuur.

Wij adviseren een van de twee voorgestelde opstellingen voor de Gateway:

Gateway in LAN​

Dit is de meest gangbare aanpak, waarbij de Gateway wordt geplaatst naast de PLC's die op het SEW-platform worden onboarded.

  • Een firewall controleert strikt de uitgaande verbindingen van de Gateway naar internet.
  • De Gateway heeft toegang tot het subnet waarin deze zich bevindt, maar in de router van het netwerk kan een firewall worden ingericht als Access Control Layer (ACL).
  • Het is gebruikelijk om een Gateway-apparaat met twee netwerkinterfaces te gebruiken: één gericht op de DMZ en één op de besturingslaag.
  • Deze architectuur maakt herhaalde IP-zones mogelijk (bijv. beide met het subnet 10.0.0.0/24).

Gateway in DMZ​

Deze aanpak wordt vaak gebruikt wanneer de Gateway draait op een specifieke virtuele machine binnen de serverinfrastructuur.

  • Het IT-team voorziet in speciale routes tussen de VM en de doel-PLC's in de besturingslaag, waarbij zowel op het internet- als op het OT-toegangspad waarschijnlijk firewalls aanwezig zijn.
  • Er kan Network Address Translation (NAT) plaatsvinden bij verkeer stroomafwaarts naar de PLC's.
    • Let op: sommige leveranciersspecifieke PLC-software is mogelijk niet compatibel met IP-aliasing en moet verbinding maken via het geconfigureerde project-IP.
  • Elke PLC in de productie-eenheid moet een uniek IP-adres hebben om conflicten te voorkomen.
  • Afhankelijk van de netwerkinfrastructuur werkt Layer 2-toegang van Gateways naar PLC's mogelijk niet — dit is een aankomende functie voor de integratie van real-time industriële netwerken in SEW-services.

Software​

De SDA Glue is een applicatie die als OS-service draait en zo een hoge beschikbaarheid van de Gateway waarborgt met automatische start en herstart bij fouten.

Om netwerktunnels tot stand te brengen door het beheren van netwerkresources zoals interfaces, routes en firewallregels, is verhoging van rechten als systeemgebruiker vereist.

Automatische updates​

Automatische updates zijn standaard uitgeschakeld en kunnen worden ingeschakeld vanuit de SEW OrchestrationSuite in het gedeelte met Gateway-configuraties, of via de CLI van het apparaat met:

sdaglue config set --update.auto true

De Glue-service leest de laatste stabiele versie van repository.eu1.sdaconsole.io en past de update toe zodra er geen actieve verbindingen zijn.

Het updatemechanisme:

  • Downloadt de nieuwe applicatiebinary
  • Vervangt de oude binary
  • Start de service opnieuw

AWS IoT Core-verbinding​

AWS IoT Core wordt tijdens het inloggen verbonden via het endpoint iot.eu1.sdaconsole.io.

Eenmaal verbonden zal de Glue-service:

  • Voortdurend luisteren naar aanvragen vanuit de SEW Cloud
  • Telemetriegegevens publiceren, zoals de status van de Devices die aan de Gateway zijn gekoppeld

IoT-authenticatie wordt beschermd door:

  • Een short ID en een eenmalig wachtwoord (OTP) dat uit de SEW OrchestrationSuite wordt opgehaald
  • Een secret key die in de applicatiebinary is ingebed

De verbinding met IoT kan worden geconfigureerd voor gebruik van:

  • MQTT SSL, of
  • WebSocket Secure, beide op poort 443

Verschillen tussen platformen​

De netwerkmechanismen verschillen voor Linux en Windows.
Daarom worden ze afzonderlijk beschreven.

Linux​

SDA Glue op Linux maakt gebruik van de SoftEther VPN Client, die open source is (Apache License 2.0) en tijdens de installatie van Glue wordt geïnstalleerd vanaf de mirror van SEW op repository.eu1.sdaconsole.io.

Voor elke verbinding geldt:

  • Glue gebruikt de SoftEther Client om een NIC-netwerkinterface aan te maken en deze te verbinden met de Tenant Server.
  • Glue gebruikt Linux IP-tools om een IP-adres aan die interface toe te wijzen en de benodigde routes tussen de Service-VM en het doel-Device aan te maken.

Interne firewallregels en NAT-vertaling worden aangemaakt in iptables, die:

  • Geen inkomende netwerkpakketten naar de Gateway toestaan
  • Uitsluitend pakketten doorsturen naar het doel-Device

Windows​

SDA Glue op Windows ondersteunt geen ingebed gebruik van de SoftEther VPN Client.
Daarom wordt de OpenVPN Community Open-Source Client gebruikt (GPL-licentie versie 2), die tijdens de installatie van Glue wordt geïnstalleerd vanaf de mirror van SEW op repository.eu1.sdaconsole.io.

Voor elke verbinding geldt:

  • Glue gebruikt de OpenVPN TAP-driver om een netwerkinterface aan te maken en deze via certificaatgebaseerde authenticatie te verbinden met de Tenant Server.
  • Glue gebruikt de native Windows API om een IP aan de interface toe te wijzen en de benodigde routes tussen de Service-VM en het doel-Device aan te maken.

Glue gebruikt daarnaast Windows Filtering Platform (WFP) om specifieke lagen en firewallregels aan te maken.
Het is echter afhankelijk van WinNAT (of NetNat) om de adresvertaling tussen de Service-VM en het Device te declareren, wat mogelijk niet standaard is ingeschakeld.

Samenvatting ​

De SEW Connectivity Service biedt een volwassen, veilige en schaalbare oplossing voor industriële connectiviteitsuitdagingen.

Door bewezen open-sourcetechnologieën zoals SoftEther VPN te combineren met cloudinfrastructuur op enterprise-niveau van AWS IoT Core, levert de service de betrouwbaarheid en beveiliging die industriële activiteiten vereisen, met de flexibiliteit en het gebruiksgemak die moderne engineeringteams verwachten.

De architectuur van de service respecteert industriële beveiligingsprincipes en maakt tegelijkertijd digitale transformatie-initiatieven mogelijk die het volgende stimuleren:

  • Operationele efficiëntie
  • Samenwerking op afstand
  • Datagestuurde besluitvorming

Voor organisaties die hun industriële assets veilig willen verbinden met cloudservices zonder concessies te doen aan netwerkbeveiliging of operationele betrouwbaarheid, biedt de SEW Connectivity Service een complete, productieklare oplossing.