Przejdź do głównej zawartości

SEW Gateway

SEW OrchestrationSuite, dostępny pod adresem https://sew.eu1.sdaconsole.io/, pełni funkcję centralnej platformy zarządzania służącej do tworzenia infrastruktury łączności przemysłowej i zarządzania nią. Po zakończeniu procesu onboardingu konta dzierżawcy (tenant) można rozpocząć konfigurowanie topologii sieci poprzez tworzenie bram (Gateway) i łączenie urządzeń przemysłowych.

Proces konfiguracji obejmuje dwa główne kroki: najpierw zadeklarowanie bramy łączności, która będzie stanowić bezpieczny most między siecią przemysłową a usługami SEW Cloud, a następnie utworzenie i powiązanie urządzeń przemysłowych (takich jak PLC, HMI i roboty), do których brama będzie zapewniać dostęp.

Powiązane informacje o bramach SEW​

SEW Gateway odgrywa kluczową rolę w każdym kwartalnym wydaniu, stanowiąc bezpieczny most między lokalnymi sieciami przemysłowymi a platformą chmurową SEW. Więcej informacji na temat tego, jak brama wpisuje się w ogólny projekt i konfigurację systemu, znajduje się w poniższych materiałach

Przegląd​

Bezpieczna usługa łączności przemysłowej łącząca sieci produkcyjne z usługami chmurowymi za pośrednictwem szyfrowanych tuneli VPN. Usługa SEW Connectivity Service opiera się na SDA Glue, aplikacji dla bram, dostępnej dla hostów Linux i Windows. Usługa jest zasilana przez SoftEther VPN, który obsługuje OpenVPN na klientach Windows, ustanawiając bezpieczny tunel TCP między interfejsem sieciowym w bramie a usługami chmurowymi SEW, takimi jak IDEaaS, Backup i maszyny wirtualne wdrożeniowe.

Łączy również natywne zapory systemu operacyjnego (Linux iptables oraz Windows Filtering Platform (WFP)) z tabelą NAT, aby połączyć oprogramowanie specyficzne dla producenta, takie jak Siemens TIA Portal i Rockwell Studio 5000, bezpośrednio z urządzeniem w warstwie sterowania produkcją.

Kluczowe punkty​

Zarządzanie zasobami przemysłowymi za pomocą SEW opiera się na kompleksowym i bezpiecznym rozwiązaniu łączności przemysłowej, które wypełnia lukę między środowiskami produkcyjnymi a usługami chmurowymi. Wykorzystując sprawdzone technologie i wdrażając solidne mechanizmy bezpieczeństwa, usługa zapewnia łączność klasy korporacyjnej dostosowaną specjalnie do systemów automatyki i sterowania przemysłowego.

Bezpieczeństwo klasy przemysłowej​

  • Integracja z AWS IoT Core zapewnia bezpieczne połączenia TLS z precyzyjnymi politykami kontroli dostępu.
  • Zgodność z najlepszymi praktykami bezpieczeństwa przemysłowego IoT, umożliwiająca administratorom ograniczanie dostępu na podstawie właściwości urządzenia i kontekstu.

Sprawdzona podstawa VPN​

  • Wykorzystuje SoftEther VPN, który zapewnia szyfrowanie AES 256-bit i RSA 4096-bit przy wysokiej przepustowości oraz niskim zużyciu pamięci i CPU.
  • Zapewnia bezpieczeństwo danych w tranzycie przed podsłuchem i nieautoryzowanym dostępem, co jest idealne dla zastosowań przemysłowych, gdzie bezpieczeństwo i wydajność mają kluczowe znaczenie.

Dostęp sieciowy Zero-Trust​

  • Eliminuje potrzebę stosowania tradycyjnych statycznych sieci VPN dzięki ustanawianiu połączeń na żądanie.
  • Ta architektura Point-to-Point gwarantuje, że użytkownicy mają dostęp wyłącznie do konkretnie autoryzowanych urządzeń, a nie do całych segmentów sieci, co znacząco zmniejsza powierzchnię ataku.

Projekt przyjazny fabryce​

  • Wszystkie połączenia są inicjowane z bramy na zewnątrz, co nie wymaga żadnych reguł przychodzących zapory w środowisku produkcyjnym.
  • Takie rozwiązanie respektuje istniejące architektury bezpieczeństwa przemysłowego, zapewniając jednocześnie bezpieczny dostęp zdalny.

Architektura​

Uczestnicy sieci wirtualnej nazywani są węzłami (Nodes) — są to główne komponenty usługi Connectivity Service.
Każde połączenie powstaje w wyniku interakcji łańcucha węzłów, z których każdy pełni określoną rolę.

Urządzenia (Devices)​

Zasoby przemysłowe zazwyczaj znajdujące się w bezpiecznej sieci produkcyjnej, do których można uzyskać dostęp poprzez ich adres IP (np. PLC, HMI, roboty).

  • Urządzenia są deklarowane w SEW OrchestrationSuite dla każdego dzierżawcy, a dostęp użytkowników jest zarządzany przez kontrolę dostępu opartą na rolach (RBAC).
  • Łączność wymaga, aby każde urządzenie było powiązane z co najmniej jedną bramą sieciową.

Bramy (Gateways)​

Hosty sieciowe z bezpiecznym dostępem do Internetu oraz do urządzeń zarządzanych w SEW OrchestrationSuite.

  • Zazwyczaj są to komputery przemysłowe (IPC), maszyny wirtualne, kontenery lub Raspberry Pi, umieszczone w strefie zapory wymagającej określonych reguł dostępu do zasobów SEW Cloud, takich jak serwery dzierżawcy.
  • Każda brama uruchamia SDA Glue — usługę systemu operacyjnego nasłuchującą żądań połączeń i dostarczającą dane telemetryczne.

Serwery dzierżawcy (Tenant Servers)​

Hosty bastionowe działające w bezpiecznym środowisku SEW Cloud, dedykowane dla każdego dzierżawcy.

  • Łączą interfejs sieciowy bramy z maszyną wirtualną usługi SEW lub inną bramą.
  • Gwarantują wymagane polityki filtrowania, aby zapewnić wyłącznie połączenie Point-to-Point (np. z IDEaaS do konkretnego PLC, a nie do innych urządzeń w tej samej sieci).
  • Uwierzytelniają dostęp z bram na podstawie polityki rotacji poświadczeń dla każdego połączenia.

Maszyny wirtualne usług (Service VMs)​

Uruchamiają aplikacje potrzebne usługom SEW, takie jak IDEaaS, Backup i potoki wdrożeniowe.

  • Te maszyny wirtualne korzystają z usługi Connectivity Service, aby uzyskać dostęp do urządzeń w warstwie sieciowej poprzez ich adres IP, co jest niezbędne w zastosowaniach przemysłowych.

Chmura​

Zamiast korzystać z tradycyjnych statycznych sieci VPN, SEW Connectivity Service ustanawia połączenia z zasobami przemysłowymi na żądanie, które jest przekazywane do łańcucha węzłów współpracujących ze sobą w celu zapewnienia dostępu sieciowego Point-to-Point między usługami SEW a urządzeniami.

Z perspektywy sieci produkcyjnej wszystkie połączenia są inicjowane z bramy, co nie wymaga żadnych reguł połączeń przychodzących w fabryce. Aby to osiągnąć, węzły stale nasłuchują przychodzących żądań na brokerze wiadomości IoT, zasilanym przez AWS IoT Core.

Ta architektura umożliwia użytkownikom interakcję z zasobami w fabryce z dowolnego miejsca z dostępem do Internetu i z dowolnego komputera, wyłącznie za pośrednictwem przeglądarki.

Sieć​

Brama to urządzenie brzegowe umieszczone pomiędzy warstwą sterowania produkcją a Internetem, które zapewnia usługom SEW kontrolowany dostęp do zasobów zdefiniowanych w Konsoli.
Istotne jest skonsolidowanie architektury, która bezpiecznie łączy SEW Cloud z lokalną infrastrukturą.

Zalecamy jedną z dwóch proponowanych konfiguracji bramy:

Brama w sieci LAN​

Jest to najczęstsze podejście, w którym brama jest umieszczana obok sterowników PLC włączanych do platformy SEW.

  • Zapora ściśle kontroluje połączenia wychodzące z bramy do Internetu.
  • Brama ma dostęp do podsieci, w której się znajduje, ale w routerze sieciowym można udostępnić zaporę jako warstwę kontroli dostępu (ACL).
  • Powszechnie stosuje się urządzenie bramy z dwoma interfejsami sieciowymi: jednym skierowanym do DMZ, a drugim do warstwy sterowania.
  • Ta architektura pozwala na powtarzające się strefy IP (np. obie z podsiecią 10.0.0.0/24).

Brama w DMZ​

To podejście jest często stosowane, gdy brama działa na dedykowanej maszynie wirtualnej w infrastrukturze serwerowej.

  • Zespół IT zapewnia specjalne trasy między maszyną wirtualną a docelowymi sterownikami PLC w warstwie sterowania, przy czym zapory prawdopodobnie istnieją zarówno na ścieżkach dostępu do Internetu, jak i do OT.
  • Przy przejściu w dół do sterowników PLC może występować translacja adresów sieciowych (NAT).
    • Wymagana uwaga: niektóre oprogramowanie specyficzne dla producentów PLC może nie być zgodne z aliasowaniem IP i musi łączyć się przy użyciu skonfigurowanego adresu IP projektu.
  • Każdy PLC w jednostce produkcyjnej musi mieć unikalny adres IP, aby uniknąć kolizji.
  • W zależności od infrastruktury sieciowej dostęp na warstwie 2 z bram do sterowników PLC może nie działać — jest to nadchodząca funkcja integracji przemysłowych sieci czasu rzeczywistego z usługami SEW.

Oprogramowanie​

SDA Glue to aplikacja działająca jako usługa systemu operacyjnego, zapewniająca wysoką dostępność bramy dzięki automatycznemu uruchamianiu i ponownemu uruchamianiu w przypadku błędów.

Aby ustanawiać tunele sieciowe poprzez zarządzanie zasobami sieciowymi, takimi jak interfejsy, trasy i reguły zapory, aplikacja wymaga podniesionych uprawnień jako użytkownik systemowy.

Aktualizacje automatyczne​

Aktualizacje automatyczne są domyślnie wyłączone i powinny być włączone albo z poziomu SEW OrchestrationSuite w sekcji konfiguracji bramy, albo z poziomu CLI urządzenia poleceniem:

sdaglue config set --update.auto true

Usługa Glue odczyta najnowszą stabilną wersję z repository.eu1.sdaconsole.io i zastosuje aktualizację, gdy nie będzie aktywnych połączeń.

Mechanizm aktualizacji:

  • Pobiera nowy plik binarny aplikacji
  • Zastępuje nim stary
  • Restartuje usługę

Połączenie z AWS IoT Core​

AWS IoT Core zostanie połączony podczas logowania, przy użyciu punktu końcowego iot.eu1.sdaconsole.io.

Po nawiązaniu połączenia usługa Glue będzie:

  • Stale nasłuchiwać żądań z SEW Cloud
  • Publikować dane telemetryczne, takie jak status urządzeń powiązanych z bramą

Uwierzytelnianie IoT jest chronione przez:

  • Krótki identyfikator (short ID) oraz hasło jednorazowe (OTP) pobrane z SEW OrchestrationSuite
  • Tajny klucz osadzony w pliku binarnym aplikacji

Połączenie z IoT można skonfigurować do korzystania z:

  • MQTT SSL lub
  • WebSocket Secure, oba na porcie 443

Różnice między platformami​

Mechanizmy sieciowe różnią się dla systemów Linux i Windows.
Dlatego zostały opisane oddzielnie.

Linux​

SDA Glue w systemie Linux korzysta z klienta SoftEther VPN, który jest oprogramowaniem open source (Apache License 2.0) i jest instalowany z serwera lustrzanego SEW pod adresem repository.eu1.sdaconsole.io podczas instalacji Glue.

Dla każdego połączenia:

  • Glue używa klienta SoftEther do utworzenia interfejsu sieciowego NIC i połączenia go z serwerem dzierżawcy.
  • Wykorzystuje narzędzia IP systemu Linux do przypisania adresu IP temu interfejsowi i utworzenia niezbędnych tras między maszyną wirtualną usługi a urządzeniem docelowym.

Wewnętrzne reguły zapory i translacja NAT są tworzone w iptables, które:

  • Nie zezwalają na przychodzące pakiety sieciowe do bramy
  • Jedynie przekazują pakiety do urządzenia docelowego

Windows​

SDA Glue w systemie Windows nie obsługuje wbudowanego użycia klienta SoftEther VPN.
Dlatego korzysta z OpenVPN Community Open-Source Client (licencja GPL wersja 2), instalowanego z serwera lustrzanego SEW pod adresem repository.eu1.sdaconsole.io podczas instalacji Glue.

Dla każdego połączenia:

  • Glue używa sterownika OpenVPN TAP do utworzenia interfejsu sieciowego i połączenia go z serwerem dzierżawcy przy użyciu uwierzytelniania opartego na certyfikatach.
  • Wykorzystuje natywne API systemu Windows do przypisania adresu IP interfejsowi i utworzenia niezbędnych tras między maszyną wirtualną usługi a urządzeniem docelowym.

Glue używa również Windows Filtering Platform (WFP) do tworzenia dedykowanych warstw i reguł zapory.
Zależy jednak od WinNAT (lub NetNat) przy deklarowaniu translacji adresów między maszyną wirtualną usługi a urządzeniem, co może nie być domyślnie włączone.

Podsumowanie ​

SEW Connectivity Service dostarcza dojrzałe, bezpieczne i skalowalne rozwiązanie wyzwań związanych z łącznością przemysłową.

Łącząc sprawdzone technologie open source, takie jak SoftEther VPN, z infrastrukturą chmurową klasy korporacyjnej AWS IoT Core, usługa zapewnia niezawodność i bezpieczeństwo wymagane przez operacje przemysłowe, oferując jednocześnie elastyczność i łatwość użytkowania, jakiej oczekują nowoczesne zespoły inżynierskie.

Architektura usługi respektuje zasady bezpieczeństwa przemysłowego, jednocześnie umożliwiając inicjatywy transformacji cyfrowej, które napędzają:

  • Efektywność operacyjną
  • Zdalną współpracę
  • Podejmowanie decyzji w oparciu o dane

Dla organizacji dążących do bezpiecznego połączenia swoich zasobów przemysłowych z usługami chmurowymi bez kompromisów w zakresie bezpieczeństwa sieci lub niezawodności operacyjnej, SEW Connectivity Service stanowi kompleksowe, gotowe do produkcji rozwiązanie.