Zum Hauptinhalt springen

SDA Gateway

Die SDA Console, erreichbar unter https://app.eu1.sdaconsole.io/, ist die zentrale Verwaltungsplattform zum Aufbau und Betrieb Ihrer industriellen Konnektivitätsinfrastruktur. Nach Abschluss des Onboardings für das Mandantenkonto können Sie mit der Konfiguration Ihrer Netzwerktopologie beginnen, indem Sie Gateways erstellen und industrielle Geräte verknüpfen.

Die Einrichtung umfasst zwei wesentliche Schritte: Zunächst legen Sie ein Konnektivitäts-Gateway an, das als sichere Brücke zwischen Ihrem Industrienetzwerk und den SDA Cloud-Diensten dient. Anschließend erstellen und verknüpfen Sie die industriellen Geräte (etwa SPSen, HMIs und Roboter), auf die das Gateway den Zugriff ermöglicht.

Weiterführende Informationen zu SDA Gateways​

Das SDA Gateway spielt in jedem Quartals-Release eine zentrale Rolle und dient als sichere Brücke zwischen den industriellen Netzwerken vor Ort und der SDA Cloud-Plattform. Weitere Details dazu, wie sich das Gateway in das Gesamtsystem und dessen Einrichtung einfügt, finden Sie in den folgenden Informationen

Überblick​

Sicherer industrieller Konnektivitätsdienst, der Fertigungsnetzwerke über verschlüsselte VPN-Tunnel mit Cloud-Diensten verbindet. Der SDA Connectivity Service basiert auf SDA Glue, der Anwendung für Gateways, die für Linux- und Windows-Hosts verfügbar ist. Der Dienst nutzt SoftEther VPN, das auf Windows-Clients OpenVPN unterstützt, und baut einen sicheren TCP-Tunnel zwischen einer Netzwerkschnittstelle im Gateway und den SDA Cloud-Diensten wie IDEaaS, Backup- und Deployment-VMs auf.

Zusätzlich kombiniert er die betriebssystemeigenen Firewalls (Linux-iptables und Windows Filtering Platform (WFP)) mit einer NAT-Tabelle, um herstellerspezifische Software wie Siemens TIA Portal und Rockwell Studio 5000 direkt mit dem Gerät in der Steuerungsebene der Fertigung zu verbinden.

Wesentliche Punkte​

Die Verwaltung industrieller Assets mit SDA stützt sich auf eine umfassende, sichere Konnektivitätslösung für die Industrie, die die Lücke zwischen Fertigungsumgebungen und cloudbasierten Diensten schließt. Durch den Einsatz bewährter Technologien und robuster Sicherheitsmaßnahmen bietet der Dienst Konnektivität auf Unternehmensniveau, die speziell auf industrielle Automatisierungs- und Steuerungssysteme zugeschnitten ist.

Sicherheit auf Industrieniveau​

  • Die Integration mit AWS IoT Core stellt sichere TLS-Verbindungen mit feingranularen Zugriffsrichtlinien bereit.
  • Sie folgt den Best Practices für industrielle IoT-Sicherheit und erlaubt es Administratoren, den Zugriff anhand von Geräteeigenschaften und Kontext einzuschränken.

Bewährte VPN-Grundlage​

  • Nutzt SoftEther VPN mit AES-256-Bit- und RSA-4096-Bit-Verschlüsselung, hohem Durchsatz sowie geringem Speicher- und CPU-Bedarf.
  • Stellt sicher, dass übertragene Daten vor Mitlesen und unbefugtem Zugriff geschützt bleiben – ideal für industrielle Anwendungen, bei denen Sicherheit und Performance entscheidend sind.

Zero-Trust-Netzwerkzugriff​

  • Macht klassische statische VPNs überflüssig, indem Verbindungen bedarfsgesteuert aufgebaut werden.
  • Diese Punkt-zu-Punkt-Architektur stellt sicher, dass Benutzer ausschließlich auf ausdrücklich freigegebene Geräte zugreifen können und nicht auf ganze Netzwerksegmente – die Angriffsfläche wird dadurch erheblich reduziert.

Fabriktaugliches Design​

  • Alle Verbindungen werden vom Gateway nach außen initiiert, sodass in der Fertigungsumgebung keine eingehenden Firewall-Regeln erforderlich sind.
  • Dieses Design respektiert bestehende industrielle Sicherheitsarchitekturen und ermöglicht zugleich sicheren Fernzugriff.

Architektur​

Die Teilnehmer eines virtuellen Netzwerks werden als Nodes bezeichnet und bilden die Hauptkomponenten des Connectivity Service.
Jede Verbindung entsteht aus dem Zusammenspiel einer Kette von Nodes, von denen jeder eine bestimmte Rolle übernimmt.

Devices​

Industrielle Assets, die sich in der Regel im gesicherten Fertigungsnetz befinden und über ihre IP-Adresse erreichbar sind (z. B. SPSen, HMIs, Roboter).

  • Devices werden in der SDA Console je Tenant angelegt; der Benutzerzugriff wird über die rollenbasierte Zugriffskontrolle (RBAC) gesteuert.
  • Für die Konnektivität muss jedes Device mit mindestens einem Netzwerk-Gateway verknüpft sein.

Gateways​

Netzwerk-Hosts mit gesichertem Zugang zum Internet und zu den in der SDA Console verwalteten Devices.

  • Typischerweise IPCs, VMs, Container oder Raspberry Pis, die in einer Firewall-Zone liegen, welche spezifische Regeln für den Zugriff auf SDA Cloud-Ressourcen wie Tenant Server erfordert.
  • Auf jedem Gateway läuft SDA Glue – ein Betriebssystemdienst, der auf Verbindungsanfragen lauscht und Telemetriedaten bereitstellt.

Tenant Server​

Bastion-Hosts, die in einer gesicherten SDA Cloud-Umgebung betrieben werden und für jeden Tenant dediziert sind.

  • Sie verbinden die Netzwerkschnittstelle des Gateway mit einer SDA Service VM oder einem weiteren Gateway.
  • Sie gewährleisten die erforderlichen Filterrichtlinien, sodass ausschließlich Punkt-zu-Punkt-Verbindungen möglich sind (z. B. von IDEaaS zu einer bestimmten SPS und nicht zu anderen Geräten im selben Netzwerk).
  • Sie authentifizieren den Zugriff der Gateways auf Grundlage einer Richtlinie zur Rotation der Zugangsdaten für jede Verbindung.

Service VMs​

Führen die Anwendungen aus, die von SDA-Diensten benötigt werden, etwa IDEaaS, Backup- und Deployment-Pipelines.

  • Diese VMs greifen über den Connectivity Service auf der Netzwerkebene per IP-Adresse auf Devices zu – was für industrielle Anwendungen unerlässlich ist.

Cloud​

Statt klassischer statischer VPNs baut der SDA Connectivity Service Verbindungen zu industriellen Assets bedarfsgesteuert auf. Die Anfragen werden an eine Kette von Nodes weitergeleitet, die gemeinsam den Punkt-zu-Punkt-Netzwerkzugriff zwischen SDA-Diensten und Devices herstellen.

Für das Fertigungsnetz gilt: Alle Verbindungen werden vom Gateway aus initiiert, sodass in der Fabrik keine Regeln für eingehende Verbindungen erforderlich sind. Dazu lauschen die Nodes fortlaufend an einem IoT-Message-Broker auf eingehende Anfragen, betrieben mit AWS IoT Core.

Diese Architektur ermöglicht es Benutzern, von jedem Ort mit Internetzugang und von jedem Computer aus – allein über einen Browser – mit Assets in der Fabrik zu arbeiten.

Netzwerk​

Das Gateway ist ein Edge-Gerät zwischen der Steuerungsebene der Fertigung und dem Internet, das den SDA-Diensten kontrollierten Zugriff auf die in der Console definierten Assets ermöglicht.
Es ist wichtig, eine Architektur zu etablieren, die die SDA Cloud sicher mit der lokalen Infrastruktur verbindet.

Wir empfehlen eine der beiden folgenden Varianten für das Gateway:

Gateway im LAN​

Dies ist der gängigste Ansatz: Das Gateway wird direkt neben den SPSen platziert, die in die SDA-Plattform eingebunden sind.

  • Eine Firewall kontrolliert streng die ausgehenden Verbindungen vom Gateway ins Internet.
  • Das Gateway hat Zugriff auf das Subnetz, in dem es sich befindet; im Router des Netzwerks kann jedoch eine Firewall als Access Control Layer (ACL) eingerichtet sein.
  • Üblich ist der Einsatz eines Gateway-Geräts mit zwei Netzwerkschnittstellen: eine zur DMZ und eine zur Steuerungsebene.
  • Diese Architektur erlaubt sich wiederholende IP-Bereiche (z. B. beidseitig das Subnetz 10.0.0.0/24).

Gateway in der DMZ​

Dieser Ansatz kommt häufig zum Einsatz, wenn das Gateway auf einer dedizierten virtuellen Maschine innerhalb der Serverinfrastruktur betrieben wird.

  • Das IT-Team richtet spezielle Routen zwischen der VM und den Ziel-SPSen in der Steuerungsebene ein; sowohl zum Internet als auch zur OT hin existieren vermutlich Firewalls.
  • In Richtung der SPSen kann eine Network Address Translation (NAT) vorhanden sein.
    • Achtung: Manche herstellerspezifische SPS-Software kommt mit IP-Aliasing nicht zurecht und muss sich über die im Projekt konfigurierte IP-Adresse verbinden.
  • Jede SPS in der Fertigungseinheit muss eine eindeutige IP-Adresse besitzen, um Kollisionen zu vermeiden.
  • Je nach Netzwerkinfrastruktur funktioniert der Layer-2-Zugriff von Gateways auf SPSen möglicherweise nicht – hierfür ist die Integration echtzeitfähiger Industrienetzwerke in die SDA-Dienste als künftige Funktion vorgesehen.

Software​

SDA Glue ist eine Anwendung, die als Betriebssystemdienst läuft und durch automatischen Start sowie Neustart im Fehlerfall die hohe Verfügbarkeit des Gateway sicherstellt.

Um Netzwerktunnel aufzubauen und dabei Netzwerkressourcen wie Schnittstellen, Routen und Firewall-Regeln zu verwalten, benötigt der Dienst erhöhte Rechte als Systembenutzer.

Automatische Updates​

Automatische Updates sind standardmäßig deaktiviert und sollten entweder in der SDA Console im Bereich der Gateway-Konfiguration oder über die CLI des Geräts aktiviert werden mit:

sdaglue config set --update.auto true

Der Glue-Dienst liest die neueste stabile Version von repository.eu1.sdaconsole.io und wendet das Update an, sobald keine aktiven Verbindungen mehr bestehen.

Der Aktualisierungsmechanismus:

  • Lädt die neue Anwendungsbinärdatei herunter
  • Ersetzt damit die alte
  • Startet den Dienst neu

Verbindung zu AWS IoT Core​

AWS IoT Core wird beim Login über den Endpunkt iot.eu1.sdaconsole.io verbunden.

Nach dem Verbindungsaufbau wird der Glue-Dienst:

  • Fortlaufend auf Anfragen aus der SDA Cloud lauschen
  • Telemetriedaten veröffentlichen, etwa den Status der dem Gateway zugeordneten Devices

Die IoT-Authentifizierung ist geschützt durch:

  • Eine kurze ID und ein Einmalpasswort (OTP), die aus der SDA Console abgerufen werden
  • Einen geheimen Schlüssel, der in der Anwendungsbinärdatei hinterlegt ist

Die Verbindung zu IoT kann konfiguriert werden für:

  • MQTT SSL oder
  • WebSocket Secure, jeweils über Port 443

Unterschiede zwischen den Plattformen​

Die Netzwerkmechanismen unterscheiden sich zwischen Linux und Windows.
Sie werden daher getrennt beschrieben.

Linux​

SDA Glue unter Linux nutzt den SoftEther VPN Client, der quelloffen ist (Apache License 2.0) und während der Glue-Installation aus dem SDA-Mirror unter repository.eu1.sdaconsole.io installiert wird.

Für jede Verbindung:

  • Erstellt Glue über den SoftEther-Client eine NIC-Netzwerkschnittstelle und verbindet diese mit dem Tenant Server.
  • Weist Glue der Schnittstelle mithilfe der Linux-IP-Werkzeuge eine IP-Adresse zu und legt die erforderlichen Routen zwischen der Service VM und dem Ziel-Device an.

Interne Firewall-Regeln und die NAT-Übersetzung werden in iptables angelegt. Diese:

  • Lassen keine eingehenden Netzwerkpakete zum Gateway zu
  • Leiten Pakete ausschließlich an das Ziel-Device weiter

Windows​

SDA Glue unter Windows unterstützt die eingebettete Nutzung des SoftEther VPN Client nicht.
Daher verwendet es den OpenVPN Community Open-Source Client (GPL-Lizenz Version 2), der während der Glue-Installation aus dem SDA-Mirror unter repository.eu1.sdaconsole.io installiert wird.

Für jede Verbindung:

  • Erstellt Glue über den OpenVPN-TAP-Treiber eine Netzwerkschnittstelle und verbindet diese mittels zertifikatsbasierter Authentifizierung mit dem Tenant Server.
  • Weist Glue der Schnittstelle über die native Windows-API eine IP-Adresse zu und legt die erforderlichen Routen zwischen der Service VM und dem Ziel-Device an.

Darüber hinaus nutzt Glue die Windows Filtering Platform (WFP), um dedizierte Layer und Firewall-Regeln zu erstellen.
Für die Adressübersetzung zwischen der Service VM und dem Device ist Glue jedoch auf WinNAT (bzw. NetNat) angewiesen, was möglicherweise nicht standardmäßig aktiviert ist.

Zusammenfassung ​

Der SDA Connectivity Service bietet eine ausgereifte, sichere und skalierbare Lösung für die Herausforderungen industrieller Konnektivität.

Durch die Kombination bewährter Open-Source-Technologien wie SoftEther VPN mit Cloud-Infrastruktur auf Unternehmensniveau aus AWS IoT Core liefert der Dienst die Zuverlässigkeit und Sicherheit, die industrielle Abläufe erfordern, und bietet zugleich die Flexibilität und Benutzerfreundlichkeit, die moderne Engineering-Teams erwarten.

Die Architektur des Dienstes respektiert industrielle Sicherheitsprinzipien und ermöglicht zugleich Initiativen der digitalen Transformation, die Folgendes vorantreiben:

  • Betriebliche Effizienz
  • Ortsunabhängige Zusammenarbeit
  • Datengestützte Entscheidungen

Für Organisationen, die ihre industriellen Assets sicher mit Cloud-Diensten verbinden möchten, ohne Abstriche bei Netzwerksicherheit oder Betriebszuverlässigkeit zu machen, bietet der SDA Connectivity Service eine umfassende, produktionsreife Lösung.