Preskočiť na hlavný obsah

SEW Gateway

SEW OrchestrationSuite, dostupný na https://sew.eu1.sdaconsole.io/, slúži ako centrálna platforma na vytváranie a správu vašej infraštruktúry priemyselnej konektivity. Po dokončení procesu onboardingu tenant účtu môžete začať konfigurovať topológiu svojej siete vytváraním Gateways a prepájaním priemyselných zariadení.

Proces nastavenia zahŕňa dva hlavné kroky: najprv deklarovanie konektivitného Gateway, ktorý bude slúžiť ako bezpečný most medzi vašou priemyselnou sieťou a službami SEW Cloud, a následne vytvorenie a prepojenie priemyselných zariadení (ako sú PLC, HMI a roboty), ku ktorým bude Gateway poskytovať prístup.

Súvisiace informácie o SEW Gateways​

SEW Gateway zohráva ústrednú úlohu v každom štvrťročnom vydaní a slúži ako bezpečný most medzi lokálnymi priemyselnými sieťami a cloudovou platformou SEW. Ďalšie podrobnosti o tom, ako Gateway zapadá do celkového návrhu a nastavenia systému, nájdete v nasledujúcich informáciách

Prehľad​

Bezpečná služba priemyselnej konektivity prepájajúca výrobné siete s cloudovými službami prostredníctvom šifrovaných VPN tunelov. Služba SEW Connectivity Service je založená na SDA Glue, aplikácii pre Gateways, dostupnej pre hostiteľov Linux a Windows. Službu poháňa SoftEther VPN, ktorý na klientoch Windows podporuje OpenVPN a vytvára bezpečný TCP tunel medzi sieťovým rozhraním v Gateway a službami SEW cloud, ako sú IDEaaS, Backup a Deployment VMs.

Zároveň kombinuje natívne firewally operačných systémov (Linux iptables a Windows Filtering Platform (WFP)) s NAT tabuľkou, aby prepojila softvér špecifický pre výrobcu, ako je Siemens TIA Portal a Rockwell Studio 5000, priamo so zariadením vo vrstve riadenia výroby.

Kľúčové body​

Správa priemyselných aktív so SEW je poháňaná komplexným a bezpečným riešením priemyselnej konektivity, ktoré prekonáva priepasť medzi výrobným prostredím a cloudovými službami. Vďaka využitiu overených technológií a implementácii robustných bezpečnostných opatrení poskytuje služba konektivitu na podnikovej úrovni, prispôsobenú špecificky pre priemyselnú automatizáciu a riadiace systémy.

Bezpečnosť na priemyselnej úrovni​

  • Integrácia s AWS IoT Core poskytuje bezpečné TLS spojenia s jemne granulovanými politikami riadenia prístupu.
  • Dodržiava osvedčené postupy bezpečnosti priemyselného IoT a umožňuje administrátorom obmedziť prístup na základe vlastností a kontextu zariadenia.

Overený základ VPN​

  • Využíva SoftEther VPN, ktorý poskytuje šifrovanie AES 256-bit a RSA 4096-bit s vysokou priepustnosťou a nízkym využitím pamäte a CPU.
  • Zabezpečuje, že prenášané dáta zostanú chránené pred odpočúvaním a neoprávneným prístupom, čo je ideálne pre priemyselné aplikácie, kde sú bezpečnosť a výkon kritické.

Sieťový prístup s nulovou dôverou (Zero-Trust)​

  • Odstraňuje potrebu tradičných statických VPN tým, že spojenia vytvára na požiadanie.
  • Táto architektúra Point-to-Point zaisťuje, že používatelia majú prístup iba ku konkrétne autorizovaným zariadeniam, nie k celým sieťovým segmentom, čím sa výrazne znižuje plocha útoku.

Návrh vhodný pre výrobné prostredie​

  • Všetky spojenia sú iniciované z Gateway smerom von, takže vo výrobnom prostredí nie sú potrebné žiadne prichádzajúce pravidlá firewallu.
  • Tento návrh rešpektuje existujúce priemyselné bezpečnostné architektúry a zároveň poskytuje možnosti bezpečného vzdialeného prístupu.

Architektúra​

Účastníci vo virtuálnej sieti sa nazývajú Nodes a sú hlavnými komponentmi služby Connectivity Service.
Každé spojenie vzniká interakciou reťazca Nodes, z ktorých každý má špecifickú úlohu.

Zariadenia​

Priemyselné aktíva zvyčajne umiestnené v zabezpečenej výrobnej sieti, ku ktorým je možné pristupovať pomocou ich IP adresy (napr. PLC, HMI, roboty).

  • Zariadenia sa deklarujú v SEW OrchestrationSuite pre každého tenanta a používateľský prístup sa spravuje pomocou Role-Based Access Control (RBAC).
  • Konektivita vyžaduje, aby bolo každé zariadenie prepojené aspoň s jedným sieťovým Gateway.

Gateways​

Sieťoví hostitelia s bezpečným prístupom na Internet a k zariadeniam spravovaným v SEW OrchestrationSuite.

  • Typicky IPC, VM, kontajnery alebo Raspberry Pi, umiestnené vo firewallovej zóne, ktorá vyžaduje špecifické pravidlá na prístup k zdrojom SEW Cloud, ako sú Tenant Servers.
  • Každý Gateway prevádzkuje SDA Glue, čo je služba operačného systému, ktorá načúva požiadavkám na spojenie a poskytuje telemetrické údaje.

Tenant Servers​

Bastion hostitelia bežiaci v zabezpečenom prostredí SEW Cloud, vyhradení pre každého tenanta.

  • Prepájajú sieťové rozhranie Gateway so SEW Service VM alebo s iným Gateway.
  • Garantujú požadované filtrovacie politiky na zabezpečenie výlučne spojenia Point-to-Point (napr. z IDEaaS ku konkrétnemu PLC a nie k iným zariadeniam v tej istej sieti).
  • Autentifikujú prístup z Gateways na základe politiky rotácie prihlasovacích údajov pre každé spojenie.

Service VMs​

Prevádzkujú aplikácie potrebné pre služby SEW, ako sú IDEaaS, Backup a Deployment Pipelines.

  • Tieto VM sa spoliehajú na službu Connectivity Service pri prístupe k zariadeniam na sieťovej vrstve podľa ich IP adresy, čo je pre priemyselné aplikácie nevyhnutné.

Cloud​

Namiesto použitia tradičných statických VPN vytvára SEW Connectivity Service spojenia k priemyselným aktívam na základe požiadaviek, ktoré sú preposielané reťazcu Nodes spolupracujúcich na poskytnutí sieťového prístupu Point-to-Point medzi službami SEW a zariadeniami.

Pre výrobnú sieť sú všetky spojenia iniciované z Gateway, takže v továrni nie sú potrebné žiadne pravidlá pre prichádzajúce spojenia. Aby to bolo možné, Nodes neustále načúvajú prichádzajúcim požiadavkám na IoT message brokeri, ktorý poháňa AWS IoT Core.

Táto architektúra umožňuje používateľom interagovať s aktívami v továrni z akéhokoľvek miesta s prístupom na Internet, z ľubovoľného počítača, pričom stačí iba prehliadač.

Sieť​

Gateway je hraničné zariadenie umiestnené medzi vrstvou riadenia výroby a Internetom, ktoré poskytuje službám SEW kontrolovaný prístup k aktívam definovaným v Console.
Je dôležité skonsolidovať architektúru, ktorá bezpečne prepája SEW Cloud s lokálnou infraštruktúrou.

Pre Gateway odporúčame jedno z dvoch navrhovaných nastavení:

Gateway v LAN​

Ide o najbežnejší prístup, pri ktorom je Gateway umiestnený vedľa PLC, ktoré sú onboardované na platformu SEW.

  • Firewall prísne kontroluje odchádzajúce spojenia z Gateway na Internet.
  • Gateway má prístup k podsieti, v ktorej sa nachádza, no v smerovači siete môže byť zriadený firewall ako Access Control Layer (ACL).
  • Bežne sa používa zariadenie Gateway s dvoma sieťovými rozhraniami: jedno smerujúce do DMZ a druhé do riadiacej vrstvy.
  • Táto architektúra umožňuje opakované IP zóny (napr. obe s podsieťou 10.0.0.0/24).

Gateway v DMZ​

Tento prístup sa často používa, keď Gateway beží vo vyhradenom virtuálnom stroji v rámci serverovej infraštruktúry.

  • IT tím poskytuje špeciálne trasy medzi VM a cieľovými PLC v riadiacej vrstve, pričom firewally pravdepodobne existujú na prístupových cestách k Internetu aj k OT.
  • Pri smerovaní nadol k PLC môže existovať Network Address Translation (NAT).
    • Vyžaduje pozornosť: niektorý softvér špecifický pre výrobcu PLC nemusí byť kompatibilný s IP aliasingom a musí sa pripájať pomocou nakonfigurovanej projektovej IP adresy.
  • Každé PLC vo výrobnej jednotke musí mať jedinečnú IP adresu, aby sa predišlo kolíziám.
  • V závislosti od sieťovej infraštruktúry nemusí fungovať prístup na vrstve 2 (Layer 2) z Gateways k PLC – ide o pripravovanú funkciu pre integráciu priemyselných sietí reálneho času do služieb SEW.

Softvér​

SDA Glue je aplikácia, ktorá beží ako služba operačného systému a zabezpečuje vysokú dostupnosť Gateway s automatickým spustením a reštartom v prípade chýb.

Na vytvorenie sieťových tunelov prostredníctvom správy sieťových zdrojov, ako sú rozhrania, trasy a pravidlá firewallu, vyžaduje zvýšené oprávnenia systémového používateľa.

Automatické aktualizácie​

Automatické aktualizácie sú predvolene vypnuté a mali by sa povoliť buď v SEW OrchestrationSuite v sekcii konfigurácií Gateway, alebo z CLI zariadenia pomocou:

sdaglue config set --update.auto true

Služba Glue načíta najnovšiu stabilnú verziu z repository.eu1.sdaconsole.io a aplikuje aktualizáciu, keď nie sú aktívne žiadne spojenia.

Mechanizmus aktualizácie:

  • Stiahne nový binárny súbor aplikácie
  • Nahradí ním starý
  • Reštartuje službu

Spojenie s AWS IoT Core​

AWS IoT Core sa pripojí počas prihlásenia pomocou koncového bodu iot.eu1.sdaconsole.io.

Po pripojení bude služba Glue:

  • Neustále načúvať požiadavkám zo SEW Cloud
  • Publikovať telemetrické údaje, ako je stav zariadení priradených ku Gateway

Autentifikácia IoT je chránená:

  • Krátkym ID a jednorazovým heslom (OTP) získaným zo SEW OrchestrationSuite
  • Tajným kľúčom vloženým v binárnom súbore aplikácie

Spojenie s IoT je možné nakonfigurovať tak, aby používalo:

  • MQTT SSL, alebo
  • WebSocket Secure, oboje na porte 443

Rozdiely medzi platformami​

Sieťové mechanizmy sa pre Linux a Windows líšia.
Preto sú popísané samostatne.

Linux​

SDA Glue v systéme Linux využíva SoftEther VPN Client, ktorý je open-source (Apache License 2.0) a inštaluje sa zo zrkadla SEW na repository.eu1.sdaconsole.io počas inštalácie Glue.

Pre každé spojenie:

  • Glue používa SoftEther Client na vytvorenie sieťového rozhrania NIC a jeho pripojenie k Tenant Server.
  • Používa Linux IP tools na priradenie IP adresy tomuto rozhraniu a vytvorenie potrebných trás medzi Service VM a cieľovým zariadením.

Interné pravidlá firewallu a preklad NAT sa vytvárajú v iptables, ktoré:

  • Neumožňujú prichádzajúce sieťové pakety do Gateway
  • Iba preposielajú pakety cieľovému zariadeniu

Windows​

SDA Glue v systéme Windows nepodporuje vstavané použitie SoftEther VPN Client.
Preto používa OpenVPN Community Open-Source Client (GPL licencia verzia 2), inštalovaný zo zrkadla SEW na repository.eu1.sdaconsole.io počas inštalácie Glue.

Pre každé spojenie:

  • Glue používa OpenVPN TAP driver na vytvorenie sieťového rozhrania a jeho pripojenie k Tenant Server pomocou autentifikácie založenej na certifikáte.
  • Používa natívne Windows API na priradenie IP adresy rozhraniu a vytvorenie potrebných trás medzi Service VM a cieľovým zariadením.

Glue tiež používa Windows Filtering Platform (WFP) na vytvorenie vyhradených vrstiev a pravidiel firewallu.
Závisí však od WinNAT (alebo NetNat) pri deklarovaní prekladu adries medzi Service VM a zariadením, čo nemusí byť predvolene povolené.

Zhrnutie ​

SEW Connectivity Service prináša vyspelé, bezpečné a škálovateľné riešenie výziev priemyselnej konektivity.

Kombináciou overených open-source technológií, ako je SoftEther VPN, s cloudovou infraštruktúrou podnikovej úrovne od AWS IoT Core poskytuje služba spoľahlivosť a bezpečnosť, ktorú priemyselné prevádzky vyžadujú, a zároveň ponúka flexibilitu a jednoduchosť použitia, ktorú očakávajú moderné inžinierske tímy.

Architektúra služby rešpektuje princípy priemyselnej bezpečnosti a zároveň umožňuje iniciatívy digitálnej transformácie, ktoré podporujú:

  • Prevádzkovú efektívnosť
  • Vzdialenú spoluprácu
  • Rozhodovanie založené na dátach

Pre organizácie, ktoré chcú bezpečne prepojiť svoje priemyselné aktíva s cloudovými službami bez kompromisov v oblasti sieťovej bezpečnosti alebo prevádzkovej spoľahlivosti, poskytuje SEW Connectivity Service komplexné riešenie pripravené na produkčné nasadenie.