Hoppa till huvudinnehåll

SEW Gateway

SEW OrchestrationSuite, som är tillgänglig på https://sew.eu1.sdaconsole.io/, fungerar som den centrala hanteringsplattformen för att skapa och hantera din industriella anslutningsinfrastruktur. När onboardingprocessen för tenant-kontot är slutförd kan du börja konfigurera din nätverkstopologi genom att skapa Gateways och länka industriella enheter.

Installationsprocessen omfattar två huvudsteg: först deklareras en anslutnings-Gateway som fungerar som den säkra bryggan mellan ditt industriella nätverk och SEW Cloud-tjänsterna, och därefter skapas och länkas de industriella enheterna (såsom PLC:er, HMI:er och robotar) som Gatewayen ska ge åtkomst till.

Relaterad information om SEW Gateways​

SEW Gateway spelar en central roll i varje kvartalsrelease och fungerar som den säkra bryggan mellan lokala industriella nätverk och SEW:s molnplattform. För mer information om hur Gatewayen passar in i den övergripande systemdesignen och installationen, se följande information

Översikt​

Säker industriell anslutningstjänst som förbinder produktionsnätverk med molntjänster via krypterade VPN-tunnlar. SEW Connectivity Service bygger på SDA Glue, applikationen för Gateways, som finns för Linux- och Windows-värdar. Tjänsten drivs av SoftEther VPN, som stöder OpenVPN på Windows-klienter, och etablerar en säker TCP-tunnel mellan ett nätverksgränssnitt i Gatewayen och SEW:s molntjänster, såsom IDEaaS, Backup och Deployment VMs.

Den kombinerar även operativsystemets inbyggda brandväggar (Linux iptables och Windows Filtering Platform (WFP)) med en NAT-tabell för att koppla leverantörsspecifik programvara, som Siemens TIA Portal och Rockwell Studio 5000, direkt till enheten i produktionens styrnivå.

Viktiga punkter​

Hantering av industriella tillgångar med SEW drivs av en omfattande och säker industriell anslutningslösning som överbryggar klyftan mellan produktionsmiljöer och molnbaserade tjänster. Genom att utnyttja beprövad teknik och implementera robusta säkerhetsåtgärder levererar tjänsten anslutning av företagsklass som är särskilt anpassad för industriell automation och styrsystem.

Säkerhet av industriell klass​

  • Integration med AWS IoT Core ger säkra TLS-anslutningar med finkorniga policyer för åtkomstkontroll.
  • Följer bästa praxis för säkerhet inom industriell IoT och låter administratörer begränsa åtkomst baserat på enhetsegenskaper och kontext.

Beprövad VPN-grund​

  • Använder SoftEther VPN, som erbjuder AES 256-bitars och RSA 4096-bitars kryptering med hög genomströmningsprestanda och låg minnes- och CPU-användning.
  • Säkerställer att data under överföring förblir skyddade mot avlyssning och obehörig åtkomst, vilket är idealiskt för industriella tillämpningar där säkerhet och prestanda är kritiska.

Zero-Trust-nätverksåtkomst​

  • Eliminerar behovet av traditionella statiska VPN genom att etablera anslutningar vid behov.
  • Denna Point-to-Point-arkitektur säkerställer att användare endast kan komma åt specifikt auktoriserade enheter, inte hela nätverkssegment, vilket avsevärt minskar attackytan.

Fabriksvänlig design​

  • Alla anslutningar initieras från Gatewayen och utåt, vilket innebär att inga inkommande brandväggsregler krävs i produktionsmiljön.
  • Denna design respekterar befintliga industriella säkerhetsarkitekturer samtidigt som den möjliggör säker fjärråtkomst.

Arkitektur​

Noderna i ett virtuellt nätverk kallas Nodes och är huvudkomponenterna i Connectivity Service.
Varje anslutning byggs upp av interaktionen i en kedja av Nodes, där var och en har en specifik roll.

Devices​

Industriella tillgångar som vanligtvis finns i produktionens säkra nätverk och som kan nås via sin IP-adress (t.ex. PLC:er, HMI:er, robotar).

  • Devices deklareras i SEW OrchestrationSuite för varje Tenant och användaråtkomst hanteras med rollbaserad åtkomstkontroll (RBAC).
  • Anslutning kräver att varje Device är länkad till minst en nätverks-Gateway.

Gateways​

Nätverksvärdar med säker åtkomst till Internet och till de Devices som hanteras i SEW OrchestrationSuite.

  • Vanligtvis IPC:er, VM:ar, containrar eller Raspberry Pi:er, placerade i en brandväggszon som kräver specifika regler för åtkomst till SEW Cloud-resurser som Tenant Servers.
  • Varje Gateway kör SDA Glue, som är en OS-tjänst som lyssnar på anslutningsförfrågningar och tillhandahåller telemetridata.

Tenant Servers​

Bastionvärdar som körs i en säker SEW Cloud-miljö, dedikerade för varje Tenant.

  • Kopplar Gatewayens nätverksgränssnitt till en SEW Service VM eller en annan Gateway.
  • Garanterar nödvändiga filtreringspolicyer för att säkerställa endast Point-to-Point-anslutning (t.ex. från IDEaaS till en specifik PLC och inte till andra enheter i samma nätverk).
  • Autentiserar åtkomst från Gateways baserat på en policy för rotation av inloggningsuppgifter för varje anslutning.

Service VMs​

Kör de applikationer som behövs av SEW Services, såsom IDEaaS, Backup och Deployment Pipelines.

  • Dessa VM:ar förlitar sig på Connectivity Service för att komma åt Devices på nätverksnivå via deras IP-adress, vilket är avgörande för industriella tillämpningar.

Cloud​

Istället för att använda traditionella statiska VPN etablerar SEW Connectivity Service anslutningar till industriella tillgångar vid förfrågningar som vidarebefordras till en kedja av Nodes som samverkar för att tillhandahålla Point-to-Point-nätverksåtkomst mellan SEW Services och Devices.

För produktionsnätverket initieras alla anslutningar från Gatewayen, vilket innebär att inga regler för inkommande anslutningar krävs i fabriken. För att uppnå detta lyssnar Nodes kontinuerligt på en IoT-meddelandeförmedlare efter inkommande förfrågningar, drivet av AWS IoT Core.

Denna arkitektur gör det möjligt för användare att interagera med tillgångar i fabriken från vilken plats som helst med Internet, från vilken dator som helst, med endast en webbläsare.

Nätverk​

Gatewayen är en edge-enhet som placeras mellan produktionens styrnivå och Internet, vilket ger SEW-tjänsterna kontrollerad åtkomst till tillgångar som definierats i konsolen.
Det är viktigt att konsolidera en arkitektur som säkert överbryggar SEW Cloud med den lokala infrastrukturen.

Vi rekommenderar en av de två föreslagna konfigurationerna för Gatewayen, enligt följande:

Gateway i LAN​

Detta är den vanligaste metoden, där Gatewayen placeras intill de PLC:er som onboardas till SEW-plattformen.

  • En brandvägg kontrollerar strikt utgående anslutningar från Gatewayen till Internet.
  • Gatewayen har åtkomst till det subnät där den är placerad, men en brandvägg kan tillhandahållas i nätverkets router som ett Access Control Layer (ACL).
  • Det är vanligt att använda en Gateway-enhet med två nätverksgränssnitt: ett riktat mot DMZ och ett mot styrnivån.
  • Denna arkitektur tillåter upprepade IP-zoner (t.ex. båda med subnätet 10.0.0.0/24).

Gateway i DMZ​

Denna metod används ofta när Gatewayen körs i en dedikerad virtuell maskin inom serverinfrastrukturen.

  • IT-teamet tillhandahåller särskilda rutter mellan VM:en och mål-PLC:erna i styrnivån, och brandväggar finns sannolikt på både Internet- och OT-åtkomstvägar.
  • En Network Address Translation (NAT) kan finnas nedströms mot PLC:erna.
    • Observera: viss leverantörsspecifik PLC-programvara kan vara inkompatibel med IP-aliasing och måste ansluta med den konfigurerade projekt-IP:n.
  • Varje PLC i produktionsenheten måste ha en unik IP-adress för att undvika kollisioner.
  • Beroende på nätverksinfrastrukturen kan Layer 2-åtkomst från Gateways till PLC:er inte fungera – detta är en kommande funktion för integration av realtidsindustriella nätverk i SEW-tjänsterna.

Programvara​

SDA Glue är en applikation som körs som en OS-tjänst och säkerställer hög tillgänglighet för Gatewayen med automatisk start och omstart vid fel.

För att kunna etablera nätverkstunnlar genom att hantera nätverksresurser som gränssnitt, rutter och brandväggsregler krävs förhöjda rättigheter som systemanvändare.

Automatiska uppdateringar​

Automatiska uppdateringar är inaktiverade som standard och bör aktiveras antingen från SEW OrchestrationSuite i avsnittet för Gateway-konfigurationer, eller från enhetens CLI med:

sdaglue config set --update.auto true

Glue-tjänsten läser den senaste stabila versionen från repository.eu1.sdaconsole.io och tillämpar uppdateringen när det inte finns några aktiva anslutningar.

Uppdateringsmekanismen:

  • Laddar ner den nya applikationsbinären
  • Ersätter den gamla med den nya
  • Startar om tjänsten

AWS IoT Core-anslutning​

AWS IoT Core ansluts vid inloggning, med endpointen iot.eu1.sdaconsole.io.

När anslutningen är etablerad kommer Glue-tjänsten att:

  • Kontinuerligt lyssna på förfrågningar från SEW Cloud
  • Publicera telemetridata såsom status för de Devices som är associerade med Gatewayen

IoT-autentiseringen skyddas av:

  • Ett short ID och ett engångslösenord (OTP) som hämtas från SEW OrchestrationSuite
  • En hemlig nyckel som är inbäddad i applikationsbinären

Anslutningen till IoT kan konfigureras att använda:

  • MQTT SSL, eller
  • WebSocket Secure, båda på port 443

Plattformsskillnader​

Nätverksmekanismerna skiljer sig mellan Linux och Windows.
Därför beskrivs de separat.

Linux​

SDA Glue på Linux förlitar sig på SoftEther VPN Client, som är öppen källkod (Apache License 2.0) och installeras från SEW:s spegel på repository.eu1.sdaconsole.io under Glue-installationen.

För varje anslutning:

  • Glue använder SoftEther Client för att skapa ett NIC-nätverksgränssnitt och ansluta det till Tenant Server.
  • Den använder Linux IP-verktyg för att tilldela en IP-adress till gränssnittet och skapa de nödvändiga rutterna mellan Service VM och mål-Device.

Interna brandväggsregler och NAT-översättning skapas i iptables, som:

  • Inte tillåter inkommande nätverkspaket till Gatewayen
  • Endast vidarebefordrar paket till mål-Device

Windows​

SDA Glue på Windows stöder inte inbäddad användning av SoftEther VPN Client.
Därför används OpenVPN Community Open-Source Client (GPL-licens version 2), som installeras från SEW:s spegel på repository.eu1.sdaconsole.io under Glue-installationen.

För varje anslutning:

  • Glue använder OpenVPN TAP-drivrutinen för att skapa ett nätverksgränssnitt och ansluta det till Tenant Server med certifikatbaserad autentisering.
  • Den använder Windows inbyggda API för att tilldela en IP till gränssnittet och skapa de nödvändiga rutterna mellan Service VM och mål-Device.

Glue använder även Windows Filtering Platform (WFP) för att skapa dedikerade lager och brandväggsregler.
Den är dock beroende av WinNAT (eller NetNat) för att deklarera adressöversättningen mellan Service VM och Device, vilket kanske inte är aktiverat som standard.

Sammanfattning ​

SEW Connectivity Service levererar en mogen, säker och skalbar lösning för utmaningar inom industriell anslutning.

Genom att kombinera beprövad teknik med öppen källkod som SoftEther VPN med molninfrastruktur av företagsklass från AWS IoT Core ger tjänsten den tillförlitlighet och säkerhet som industriell drift kräver, samtidigt som den erbjuder den flexibilitet och användarvänlighet som moderna ingenjörsteam förväntar sig.

Tjänstens arkitektur respekterar industriella säkerhetsprinciper samtidigt som den möjliggör digitala transformationsinitiativ som driver:

  • Operativ effektivitet
  • Fjärrsamarbete
  • Datadrivet beslutsfattande

För organisationer som vill ansluta sina industriella tillgångar säkert till molntjänster utan att kompromissa med nätverkssäkerhet eller driftsäkerhet erbjuder SEW Connectivity Service en heltäckande, produktionsklar lösning.