Pular para o conteúdo principal

SEW Gateway

O SEW OrchestrationSuite, acessível em https://sew.eu1.sdaconsole.io/, funciona como a plataforma central de gestão para criar e gerir a sua infraestrutura de conectividade industrial. Após concluir o processo de onboarding da conta de tenant, pode começar a configurar a topologia da sua rede criando Gateways e associando dispositivos industriais.

O processo de configuração envolve dois passos principais: primeiro, declarar um Gateway de conectividade que servirá como ponte segura entre a sua rede industrial e os serviços SEW Cloud e, em seguida, criar e associar os dispositivos industriais (tais como PLCs, HMIs e robôs) aos quais o Gateway dará acesso.

Informação relacionada sobre SEW Gateways​

O SEW Gateway desempenha um papel central em cada release trimestral, servindo como ponte segura entre as redes industriais on-premise e a plataforma cloud SEW. Para mais detalhes sobre como o Gateway se enquadra no design e na configuração global do sistema, consulte a seguinte informação

Visão geral​

Serviço de conectividade industrial seguro que estabelece a ponte entre redes de produção e serviços cloud através de túneis VPN encriptados. O SEW Connectivity Service assenta no SDA Glue, a aplicação para Gateways, disponível para hosts Linux e Windows. O serviço é suportado pelo SoftEther VPN, que suporta OpenVPN em clientes Windows, estabelecendo um túnel TCP seguro entre uma interface de rede no Gateway e os serviços SEW cloud, tais como IDEaaS, Backup e VMs de Deployment.

Combina ainda as firewalls nativas do sistema operativo (iptables no Linux e Windows Filtering Platform (WFP)) com uma tabela NAT para ligar software específico de fabricantes, como o Siemens TIA Portal e o Rockwell Studio 5000, diretamente com o dispositivo na camada de controlo da produção.

Pontos-chave​

A gestão de ativos industriais com a SEW é suportada por uma solução de conectividade industrial abrangente e segura que preenche a lacuna entre os ambientes de produção e os serviços baseados na cloud. Ao tirar partido de tecnologias comprovadas e implementar medidas de segurança robustas, o serviço oferece conectividade de nível empresarial adaptada especificamente a sistemas de automação e controlo industrial.

Segurança de nível industrial​

  • A integração com o AWS IoT Core proporciona ligações TLS seguras com políticas de controlo de acesso granulares.
  • Segue as melhores práticas de segurança de IoT industrial, permitindo aos administradores restringir o acesso com base nas propriedades e no contexto do dispositivo.

Base VPN comprovada​

  • Utiliza o SoftEther VPN, que fornece encriptação AES de 256 bits e RSA de 4096 bits com elevado desempenho de débito e baixa utilização de memória e CPU.
  • Garante que os dados em trânsito permanecem protegidos contra escutas e acessos não autorizados, ideal para aplicações industriais onde a segurança e o desempenho são críticos.

Acesso à rede Zero-Trust​

  • Elimina a necessidade de VPNs estáticas tradicionais ao estabelecer ligações a pedido.
  • Esta arquitetura Ponto-a-Ponto garante que os utilizadores apenas conseguem aceder a dispositivos especificamente autorizados, e não a segmentos de rede completos, reduzindo significativamente a superfície de ataque.

Design adaptado à fábrica​

  • Todas as ligações são iniciadas a partir do Gateway para o exterior, não exigindo regras de firewall de entrada no ambiente de produção.
  • Este design respeita as arquiteturas de segurança industriais existentes, ao mesmo tempo que fornece capacidades de acesso remoto seguro.

Arquitetura​

Os pares numa rede virtual são designados por Nodes, os principais componentes do Connectivity Service.
Cada ligação é construída a partir da interação de uma cadeia de Nodes, cada um com uma função específica.

Dispositivos​

Ativos industriais normalmente localizados na rede segura de produção, acessíveis pelo respetivo endereço IP (por exemplo, PLCs, HMIs, Robôs).

  • Os dispositivos são declarados no SEW OrchestrationSuite para cada Tenant e o acesso dos utilizadores é gerido por Role-Based Access Control (RBAC).
  • A conectividade exige que cada Dispositivo esteja associado a, pelo menos, um Gateway de rede.

Gateways​

Hosts de rede com acesso seguro à Internet e aos Dispositivos geridos no SEW OrchestrationSuite.

  • Tipicamente IPCs, VMs, Contentores ou Raspberry Pis, localizados numa zona de firewall que requer regras específicas para aceder a recursos SEW Cloud, como os Tenant Servers.
  • Cada Gateway executa o SDA Glue, que é um serviço do sistema operativo que escuta pedidos de ligação e fornece dados de telemetria.

Tenant Servers​

Hosts bastion em execução num ambiente seguro SEW Cloud, dedicados a cada Tenant.

  • Fazem a ponte entre a interface de rede do Gateway e uma VM de Serviço SEW ou outro Gateway.
  • Garantem as políticas de filtragem necessárias para assegurar apenas ligações Ponto-a-Ponto (por exemplo, do IDEaaS para um PLC específico e não para outros dispositivos na mesma rede).
  • Autenticam o acesso a partir dos Gateways com base numa política de rotação de credenciais para cada ligação.

VMs de Serviço​

Executam as aplicações necessárias aos Serviços SEW, como IDEaaS, Backup e Pipelines de Deployment.

  • Estas VMs dependem do Connectivity Service para aceder aos Dispositivos na camada de rede através do respetivo endereço IP, o que é essencial para aplicações industriais.

Cloud​

Em vez de utilizar VPNs estáticas tradicionais, o SEW Connectivity Service estabelece ligações a ativos industriais mediante pedidos que são encaminhados para uma cadeia de Nodes que operam em conjunto para fornecer acesso de rede Ponto-a-Ponto entre os Serviços SEW e os Dispositivos.

Para a rede de produção, todas as ligações são iniciadas a partir do Gateway, não exigindo regras de ligação de entrada na fábrica. Para o conseguir, os Nodes escutam constantemente pedidos recebidos num message broker IoT, suportado pelo AWS IoT Core.

Esta arquitetura permite aos utilizadores interagir com ativos na fábrica a partir de qualquer local com Internet e de qualquer computador, dependendo apenas de um browser.

Rede​

O Gateway é um dispositivo de edge situado entre uma camada de controlo de produção e a Internet, que fornece aos serviços SEW acesso controlado aos ativos definidos na Console.
É importante consolidar uma arquitetura que estabeleça uma ponte segura entre o SEW Cloud e a infraestrutura local.

Recomendamos uma das duas configurações propostas para o Gateway, conforme se segue:

Gateway na LAN​

Esta é a abordagem mais comum, na qual o Gateway é colocado junto dos PLCs que são integrados na plataforma SEW.

  • Uma firewall controla estritamente as ligações de saída do Gateway para a Internet.
  • O Gateway tem acesso à sub-rede onde está localizado, mas pode ser provisionada uma firewall no router da rede como Access Control Layer (ACL).
  • É comum utilizar um dispositivo Gateway com duas interfaces de rede: uma apontada para a DMZ e outra para a camada de controlo.
  • Esta arquitetura permite zonas de IP repetidas (por exemplo, ambas com a sub-rede 10.0.0.0/24).

Gateway na DMZ​

Esta abordagem é frequentemente utilizada quando o Gateway é executado numa Máquina Virtual dedicada dentro da infraestrutura de servidores.

  • A equipa de IT fornece rotas especiais entre a VM e os PLCs de destino na camada de controlo, existindo provavelmente firewalls tanto no caminho de acesso à Internet como ao OT.
  • Pode existir uma Network Address Translation (NAT) no percurso descendente até aos PLCs.
    • Atenção: algum software específico de fabricantes de PLC pode não ser compatível com IP aliasing e deve ligar-se utilizando o IP configurado no projeto.
  • Cada PLC na unidade de produção deve ter um endereço IP único para evitar colisões.
  • Dependendo da infraestrutura de rede, o acesso de camada 2 dos Gateways aos PLCs pode não funcionar — esta é uma funcionalidade futura para a integração de Redes Industriais em Tempo Real nos serviços SEW.

Software​

O SDA Glue é uma aplicação executada como serviço do sistema operativo, assegurando a elevada disponibilidade do Gateway com arranque automático e reinício em caso de erros.

Para estabelecer os túneis de rede através da gestão de recursos de rede como interfaces, rotas e regras de firewall, requer elevação como utilizador do sistema.

Atualizações automáticas​

As atualizações automáticas estão desativadas por predefinição e devem ser ativadas a partir do SEW OrchestrationSuite, na secção de configurações do Gateway, ou a partir da CLI do dispositivo com:

sdaglue config set --update.auto true

O serviço Glue irá ler a versão estável mais recente a partir de repository.eu1.sdaconsole.io e aplicar a atualização assim que não existirem ligações ativas.

O mecanismo de atualização:

  • Descarrega o novo binário da aplicação
  • Substitui o binário antigo
  • Reinicia o serviço

Ligação ao AWS IoT Core​

O AWS IoT Core será ligado durante o login, utilizando o endpoint iot.eu1.sdaconsole.io.

Uma vez ligado, o serviço Glue irá:

  • Escutar constantemente os pedidos provenientes do SEW Cloud
  • Publicar dados de telemetria, tais como o estado dos Dispositivos associados ao Gateway

A autenticação IoT é protegida por:

  • Um short ID e uma one-time password (OTP) obtidos a partir do SEW OrchestrationSuite
  • Uma chave secreta embebida no binário da aplicação

A ligação ao IoT pode ser configurada para utilizar:

  • MQTT SSL, ou
  • WebSocket Secure, ambos na porta 443

Diferenças entre plataformas​

Os mecanismos de rede são diferentes para Linux e Windows.
Por isso, são descritos separadamente.

Linux​

O SDA Glue em Linux assenta no SoftEther VPN Client, que é open-source (Apache License 2.0) e instalado a partir do mirror da SEW em repository.eu1.sdaconsole.io durante a instalação do Glue.

Para cada ligação:

  • O Glue utiliza o SoftEther Client para criar uma interface de rede NIC e ligá-la ao Tenant Server.
  • Utiliza as ferramentas IP do Linux para atribuir um endereço IP a essa interface e criar as rotas necessárias entre a VM de Serviço e o Dispositivo de destino.

As regras internas de firewall e a tradução NAT são criadas no iptables, que:

  • Não permite pacotes de rede de entrada no Gateway
  • Apenas encaminha pacotes para o Dispositivo de destino

Windows​

O SDA Glue em Windows não suporta a utilização embebida do SoftEther VPN Client.
Por isso, utiliza o OpenVPN Community Open-Source Client (licença GPL versão 2), instalado a partir do mirror da SEW em repository.eu1.sdaconsole.io durante a instalação do Glue.

Para cada ligação:

  • O Glue utiliza o driver TAP do OpenVPN para criar uma interface de rede e ligá-la ao Tenant Server utilizando autenticação baseada em certificados.
  • Utiliza a API nativa do Windows para atribuir um IP à interface e criar as rotas necessárias entre a VM de Serviço e o Dispositivo de destino.

O Glue utiliza também o Windows Filtering Platform (WFP) para criar camadas dedicadas e regras de firewall.
No entanto, depende do WinNAT (ou NetNat) para declarar a tradução de endereços entre a VM de Serviço e o Dispositivo, que pode não estar ativado por predefinição.

Resumo ​

O SEW Connectivity Service proporciona uma solução madura, segura e escalável para os desafios de conectividade industrial.

Ao combinar tecnologias open-source comprovadas como o SoftEther VPN com infraestrutura cloud de nível empresarial do AWS IoT Core, o serviço oferece a fiabilidade e a segurança exigidas pelas operações industriais, ao mesmo tempo que proporciona a flexibilidade e a facilidade de utilização esperadas pelas equipas de engenharia modernas.

A arquitetura do serviço respeita os princípios de segurança industrial, ao mesmo tempo que viabiliza iniciativas de transformação digital que impulsionam:

  • Eficiência operacional
  • Colaboração remota
  • Tomada de decisões baseada em dados

Para organizações que procuram ligar de forma segura os seus ativos industriais a serviços cloud sem comprometer a segurança da rede ou a fiabilidade operacional, o SEW Connectivity Service proporciona uma solução abrangente e pronta para produção.