Saltar al contenido principal

SDA Gateway

La Consola SDA, accesible en https://app.eu1.sdaconsole.io/, funciona como la plataforma central de gestión para crear y administrar su infraestructura de conectividad industrial. Tras completar el proceso de incorporación de la cuenta de tenant, puede comenzar a configurar su topología de red creando Gateways y vinculando dispositivos industriales.

El proceso de configuración consta de dos pasos principales: primero, declarar un Gateway de conectividad que servirá como puente seguro entre su red industrial y los servicios de SDA Cloud y, después, crear y vincular los dispositivos industriales (como PLC, HMI y robots) a los que el Gateway proporcionará acceso.

Información relacionada sobre los SDA Gateways​

El SDA Gateway desempeña un papel central en cada versión trimestral, sirviendo como puente seguro entre las redes industriales locales y la plataforma en la nube de SDA. Para más detalles sobre cómo se integra el Gateway en el diseño y la configuración general del sistema, consulte la siguiente información

Descripción general​

Servicio de conectividad industrial segura que conecta las redes de fabricación con los servicios en la nube mediante túneles VPN cifrados. El SDA Connectivity Service se basa en SDA Glue, la aplicación para Gateways, disponible para hosts Linux y Windows. El servicio funciona con SoftEther VPN, que admite OpenVPN en clientes Windows, estableciendo un túnel TCP seguro entre una interfaz de red del Gateway y los servicios de SDA Cloud, como IDEaaS, Backup y máquinas virtuales de despliegue.

También combina los firewalls nativos del sistema operativo (iptables de Linux y Windows Filtering Platform (WFP)) con una tabla NAT para conectar software específico de fabricantes, como Siemens TIA Portal y Rockwell Studio 5000, directamente con el dispositivo en la capa de control de fabricación.

Puntos clave​

La gestión de activos industriales con SDA se apoya en una solución de conectividad industrial integral y segura que cierra la brecha entre los entornos de fabricación y los servicios basados en la nube. Al aprovechar tecnologías probadas e implementar medidas de seguridad robustas, el servicio ofrece conectividad de nivel empresarial adaptada específicamente a los sistemas de automatización y control industrial.

Seguridad de nivel industrial​

  • La integración con AWS IoT Core proporciona conexiones TLS seguras con políticas de control de acceso granulares.
  • Sigue las mejores prácticas de seguridad de IoT industrial, permitiendo a los administradores restringir el acceso en función de las propiedades y el contexto de los dispositivos.

Base VPN probada​

  • Utiliza SoftEther VPN, que proporciona cifrado AES de 256 bits y RSA de 4096 bits con un rendimiento de alta velocidad y un bajo consumo de memoria y CPU.
  • Garantiza que los datos en tránsito permanezcan seguros frente a escuchas y accesos no autorizados, ideal para aplicaciones industriales donde la seguridad y el rendimiento son críticos.

Acceso a la red de confianza cero​

  • Elimina la necesidad de VPN estáticas tradicionales al establecer conexiones bajo demanda.
  • Esta arquitectura punto a punto garantiza que los usuarios solo puedan acceder a dispositivos específicamente autorizados, y no a segmentos de red completos, reduciendo significativamente la superficie de ataque.

Diseño adaptado a la fábrica​

  • Todas las conexiones se inician desde el Gateway hacia el exterior, sin necesidad de reglas de firewall entrantes en el entorno de fabricación.
  • Este diseño respeta las arquitecturas de seguridad industrial existentes a la vez que proporciona capacidades de acceso remoto seguro.

Arquitectura​

Los pares de una red virtual se denominan Nodos, los componentes principales del Connectivity Service.
Cada conexión se construye a partir de la interacción de una cadena de Nodos, cada uno con una función específica.

Dispositivos​

Activos industriales normalmente ubicados en la red segura de fabricación a los que se puede acceder mediante su dirección IP (por ejemplo, PLC, HMI, robots).

  • Los dispositivos se declaran en la Consola SDA para cada Tenant y el acceso de los usuarios se gestiona mediante control de acceso basado en roles (RBAC).
  • La conectividad requiere que cada dispositivo esté vinculado con al menos un Gateway de red.

Gateways​

Hosts de red con acceso seguro a Internet y a los dispositivos gestionados en la Consola SDA.

  • Normalmente IPC, máquinas virtuales, contenedores o Raspberry Pi, ubicados en una zona de firewall que requiere reglas específicas para acceder a recursos de SDA Cloud como los Tenant Servers.
  • Cada Gateway ejecuta SDA Glue, que es un servicio del sistema operativo que escucha las solicitudes de conexión y proporciona datos de telemetría.

Tenant Servers​

Hosts bastión que se ejecutan en un entorno seguro de SDA Cloud, dedicados a cada Tenant.

  • Conectan la interfaz de red del Gateway con una máquina virtual de servicio SDA u otro Gateway.
  • Garantizan las políticas de filtrado necesarias para asegurar únicamente conexiones punto a punto (por ejemplo, desde IDEaaS a un PLC específico y no a otros dispositivos de la misma red).
  • Autentican el acceso desde los Gateways basándose en una política de rotación de credenciales para cada conexión.

Máquinas virtuales de servicio​

Ejecutan las aplicaciones necesarias para los servicios SDA, como IDEaaS, Backup y pipelines de despliegue.

  • Estas máquinas virtuales dependen del Connectivity Service para acceder a los dispositivos en la capa de red mediante su dirección IP, lo cual es esencial para las aplicaciones industriales.

Nube​

En lugar de utilizar VPN estáticas tradicionales, el SDA Connectivity Service establece conexiones con los activos industriales a partir de solicitudes que se reenvían a una cadena de Nodos que operan conjuntamente para proporcionar acceso de red punto a punto entre los servicios SDA y los dispositivos.

Para la red de fabricación, todas las conexiones se inician desde el Gateway, sin requerir reglas de conexión entrante en la fábrica. Para lograrlo, los Nodos escuchan constantemente en un broker de mensajes IoT las solicitudes entrantes, con la tecnología de AWS IoT Core.

Esta arquitectura permite a los usuarios interactuar con los activos de la fábrica desde cualquier lugar con Internet, desde cualquier ordenador, dependiendo únicamente de un navegador.

Red​

El Gateway es un dispositivo de borde situado entre una capa de control de fabricación e Internet, que proporciona a los servicios SDA acceso controlado a los activos definidos en la Consola.
Es importante consolidar una arquitectura que conecte de forma segura SDA Cloud con la infraestructura local.

Recomendamos una de las dos configuraciones propuestas para el Gateway, como se indica a continuación:

Gateway en la LAN​

Este es el enfoque más común, en el que el Gateway se coloca junto a los PLC que se incorporan a la plataforma SDA.

  • Un firewall controla estrictamente las conexiones salientes del Gateway a Internet.
  • El Gateway tiene acceso a la subred en la que se encuentra, pero puede aprovisionarse un firewall en el router de la red como capa de control de acceso (ACL).
  • Es habitual utilizar un dispositivo Gateway con dos interfaces de red: una apuntando a la DMZ y otra a la capa de control.
  • Esta arquitectura permite zonas IP repetidas (por ejemplo, ambas con la subred 10.0.0.0/24).

Gateway en la DMZ​

Este enfoque se utiliza a menudo cuando el Gateway se ejecuta en una máquina virtual dedicada dentro de la infraestructura de servidores.

  • El equipo de TI proporciona rutas especiales entre la máquina virtual y los PLC de destino en la capa de control, con firewalls que probablemente existan tanto en las rutas de acceso a Internet como a OT.
  • Puede existir una traducción de direcciones de red (NAT) al descender hacia los PLC.
    • Atención: parte del software específico de fabricantes de PLC puede no ser compatible con el aliasing de IP y debe conectarse utilizando la IP configurada en el proyecto.
  • Cada PLC de la unidad de fabricación debe tener una dirección IP única para evitar colisiones.
  • Dependiendo de la infraestructura de red, el acceso de capa 2 desde los Gateways a los PLC puede no funcionar; se trata de una funcionalidad próxima para la integración de redes industriales en tiempo real en los servicios SDA.

Software​

SDA Glue es una aplicación que se ejecuta como un servicio del sistema operativo, garantizando la alta disponibilidad del Gateway con arranque y reinicio automatizados en caso de errores.

Para establecer los túneles de red mediante la gestión de recursos de red como interfaces, rutas y reglas de firewall, requiere elevación como usuario del sistema.

Actualizaciones automáticas​

Las actualizaciones automáticas están desactivadas de forma predeterminada y deben habilitarse desde la Consola SDA, en la sección de configuración del Gateway, o desde la CLI del dispositivo con:

sdaglue config set --update.auto true

El servicio Glue leerá la última versión estable desde repository.eu1.sdaconsole.io y aplicará la actualización cuando no haya conexiones activas.

El mecanismo de actualización:

  • Descarga el nuevo binario de la aplicación
  • Lo sustituye por el antiguo
  • Reinicia el servicio

Conexión con AWS IoT Core​

AWS IoT Core se conectará durante el inicio de sesión, utilizando el endpoint iot.eu1.sdaconsole.io.

Una vez conectado, el servicio Glue:

  • Escuchará constantemente las solicitudes procedentes de SDA Cloud
  • Publicará datos de telemetría, como el estado de los dispositivos asociados al Gateway

La autenticación IoT está protegida por:

  • Un short ID y una contraseña de un solo uso (OTP) obtenidos desde la Consola SDA
  • Una clave secreta incrustada en el binario de la aplicación

La conexión con IoT puede configurarse para utilizar:

  • MQTT SSL, o
  • WebSocket Secure, ambos en el puerto 443

Diferencias entre plataformas​

Los mecanismos de red son diferentes para Linux y Windows.
Por tanto, se describen por separado.

Linux​

SDA Glue en Linux se basa en el SoftEther VPN Client, que es de código abierto (Apache License 2.0) y se instala desde el mirror de SDA en repository.eu1.sdaconsole.io durante la instalación de Glue.

Para cada conexión:

  • Glue utiliza el SoftEther Client para crear una interfaz de red NIC y conectarla al Tenant Server.
  • Utiliza las herramientas IP de Linux para asignar una dirección IP a esa interfaz y crear las rutas necesarias entre la máquina virtual de servicio y el dispositivo de destino.

Las reglas internas de firewall y la traducción NAT se crean en iptables, que:

  • No permiten paquetes de red entrantes hacia el Gateway
  • Solo reenvían paquetes al dispositivo de destino

Windows​

SDA Glue en Windows no admite el uso integrado del SoftEther VPN Client.
Por ello, utiliza el OpenVPN Community Open-Source Client (licencia GPL versión 2), instalado desde el mirror de SDA en repository.eu1.sdaconsole.io durante la instalación de Glue.

Para cada conexión:

  • Glue utiliza el controlador TAP de OpenVPN para crear una interfaz de red y conectarla al Tenant Server mediante autenticación basada en certificados.
  • Utiliza la API nativa de Windows para asignar una IP a la interfaz y crear las rutas necesarias entre la máquina virtual de servicio y el dispositivo de destino.

Glue también utiliza Windows Filtering Platform (WFP) para crear capas dedicadas y reglas de firewall.
Sin embargo, depende de WinNAT (o NetNat) para declarar la traducción de direcciones entre la máquina virtual de servicio y el dispositivo, que puede no estar habilitada de forma predeterminada.

Resumen ​

El SDA Connectivity Service ofrece una solución madura, segura y escalable para los retos de la conectividad industrial.

Al combinar tecnologías de código abierto probadas como SoftEther VPN con una infraestructura en la nube de nivel empresarial de AWS IoT Core, el servicio proporciona la fiabilidad y la seguridad que requieren las operaciones industriales, a la vez que ofrece la flexibilidad y la facilidad de uso que esperan los equipos de ingeniería modernos.

La arquitectura del servicio respeta los principios de seguridad industrial al tiempo que habilita iniciativas de transformación digital que impulsan:

  • La eficiencia operativa
  • La colaboración remota
  • La toma de decisiones basada en datos

Para las organizaciones que buscan conectar de forma segura sus activos industriales a servicios en la nube sin comprometer la seguridad de la red ni la fiabilidad operativa, el SDA Connectivity Service proporciona una solución integral y lista para producción.