Siirry pääsisältöön

SDA Gateway

SDA Console, joka on käytettävissä osoitteessa https://app.eu1.sdaconsole.io/, toimii keskitettynä hallinta-alustana teollisen liitettävyysinfrastruktuurin luomiseen ja hallintaan. Kun vuokralaistilin käyttöönottoprosessi on suoritettu, voitte aloittaa verkkotopologian konfiguroinnin luomalla Gatewayta ja liittämällä teollisia laitteita.

Käyttöönottoprosessi koostuu kahdesta päävaiheesta: ensin määritellään liitettävyys-Gateway, joka toimii turvallisena siltana teollisuusverkkonne ja SDA Cloud -palveluiden välillä, ja sen jälkeen luodaan ja liitetään teolliset laitteet (kuten PLC:t, HMI:t ja robotit), joihin Gateway tarjoaa pääsyn.

SDA Gatewayhin liittyviä tietoja​

SDA Gateway on keskeisessä roolissa jokaisessa neljännesvuosittaisessa julkaisussa, sillä se toimii turvallisena siltana paikallisten teollisuusverkkojen ja SDA-pilvialustan välillä. Lisätietoja siitä, miten Gateway sijoittuu järjestelmän kokonaissuunnitteluun ja käyttöönottoon, löytyy seuraavista tiedoista

Yleiskatsaus​

Turvallinen teollinen liitettävyyspalvelu, joka yhdistää tuotantoverkot pilvipalveluihin salattujen VPN-tunneleiden kautta. SDA Connectivity Service perustuu SDA Glue -sovellukseen, joka on Gatewayeille tarkoitettu sovellus ja saatavilla Linux- ja Windows-isännille. Palvelun taustalla on SoftEther VPN, joka tukee OpenVPN-yhteyttä Windows-asiakkailla ja muodostaa turvallisen TCP-tunnelin Gatewayn verkkoliitännän ja SDA-pilvipalveluiden, kuten IDEaaS:n, varmuuskopioinnin ja käyttöönoton virtuaalikoneiden, välille.

Lisäksi se yhdistää käyttöjärjestelmän natiivit palomuurit (Linux iptables ja Windows Filtering Platform (WFP)) NAT-tauluun, jotta valmistajakohtaiset ohjelmistot, kuten Siemens TIA Portal ja Rockwell Studio 5000, voidaan yhdistää suoraan tuotannon ohjaustason laitteeseen.

Keskeiset kohdat​

Teollisten resurssien hallinta SDA:lla perustuu kattavaan ja turvalliseen teolliseen liitettävyysratkaisuun, joka kuroo umpeen tuotantoympäristöjen ja pilvipohjaisten palveluiden välisen kuilun. Hyödyntämällä testattuja teknologioita ja toteuttamalla vahvoja turvatoimia palvelu tarjoaa yritystason liitettävyyden, joka on räätälöity erityisesti teollisuusautomaatio- ja ohjausjärjestelmiin.

Teollisuustason tietoturva​

  • Integrointi AWS IoT Core -palveluun tarjoaa turvalliset TLS-yhteydet ja hienojakoiset käyttöoikeuskäytännöt.
  • Noudattaa teollisen IoT:n tietoturvan parhaita käytäntöjä ja antaa ylläpitäjien rajoittaa pääsyä laitteen ominaisuuksien ja kontekstin perusteella.

Testattu VPN-perusta​

  • Hyödyntää SoftEther VPN -ratkaisua, joka tarjoaa AES 256-bit- ja RSA 4096-bit-salauksen suurella läpäisykyvyllä sekä vähäisellä muistin ja suorittimen käytöllä.
  • Varmistaa, että siirrettävä data pysyy suojattuna salakuuntelulta ja luvattomalta käytöltä – ihanteellinen teollisiin sovelluksiin, joissa tietoturva ja suorituskyky ovat kriittisiä.

Zero Trust -verkkopääsy​

  • Poistaa perinteisten staattisten VPN-yhteyksien tarpeen muodostamalla yhteydet tarvittaessa.
  • Tämä Point-to-Point-arkkitehtuuri varmistaa, että käyttäjät pääsevät käsiksi vain erikseen valtuutettuihin laitteisiin eivätkä kokonaisiin verkkosegmentteihin, mikä pienentää hyökkäyspintaa merkittävästi.

Tehdasystävällinen suunnittelu​

  • Kaikki yhteydet muodostetaan Gatewaystä ulospäin, joten tuotantoympäristöön ei tarvita saapuvan liikenteen palomuurisääntöjä.
  • Tämä suunnittelu kunnioittaa olemassa olevia teollisia tietoturva-arkkitehtuureja ja tarjoaa samalla turvallisen etäkäytön.

Arkkitehtuuri​

Virtuaaliverkon vertaisia kutsutaan Nodeiksi, ja ne ovat Connectivity Servicen pääkomponentteja.
Jokainen yhteys rakentuu Node-ketjun vuorovaikutuksesta, jossa kullakin on oma roolinsa.

Laitteet​

Teolliset resurssit, jotka sijaitsevat yleensä tuotannon suojatussa verkossa ja joihin päästään niiden IP-osoitteen avulla (esim. PLC:t, HMI:t, robotit).

  • Laitteet määritellään SDA Consolessa kullekin vuokralaiselle, ja käyttäjien pääsyä hallitaan roolipohjaisella käyttöoikeuksien hallinnalla (RBAC).
  • Liitettävyys edellyttää, että jokainen laite on liitetty vähintään yhteen verkon Gatewayhin.

Gatewayt​

Verkkoisännät, joilla on turvallinen pääsy internetiin ja SDA Consolessa hallittuihin laitteisiin.

  • Tyypillisesti IPC:itä, virtuaalikoneita, kontteja tai Raspberry Pi -laitteita, jotka sijaitsevat palomuurivyöhykkeellä, joka edellyttää erityisiä sääntöjä SDA Cloud -resurssien, kuten Tenant Servereiden, käyttöön.
  • Jokaisessa Gatewayssä toimii SDA Glue, joka on käyttöjärjestelmäpalvelu ja kuuntelee yhteyspyyntöjä sekä tuottaa telemetriatietoa.

Tenant Serverit​

Bastion-isäntiä, jotka toimivat turvallisessa SDA Cloud -ympäristössä ja on omistettu kullekin vuokralaiselle.

  • Yhdistävät Gatewayn verkkoliitännän SDA Service -virtuaalikoneeseen tai toiseen Gatewayhin.
  • Takaavat vaaditut suodatuskäytännöt varmistaakseen ainoastaan Point-to-Point-yhteyden (esim. IDEaaS:stä tiettyyn PLC:hen eikä muihin saman verkon laitteisiin).
  • Todentavat Gatewayeiden pääsyn tunnistetietojen kierrätyskäytännön perusteella jokaisella yhteydellä.

Service-virtuaalikoneet​

Suorittavat SDA-palveluiden tarvitsemia sovelluksia, kuten IDEaaS:ää, varmuuskopiointia ja käyttöönottoputkia.

  • Nämä virtuaalikoneet käyttävät Connectivity Serviceä päästäkseen verkkokerroksella laitteisiin niiden IP-osoitteen perusteella, mikä on olennaista teollisissa sovelluksissa.

Pilvi​

Perinteisten staattisten VPN-yhteyksien sijaan SDA Connectivity Service muodostaa yhteydet teollisiin resursseihin pyyntöjen perusteella, jotka välitetään Node-ketjulle. Nodet toimivat yhdessä tarjotakseen Point-to-Point-verkkoyhteyden SDA-palveluiden ja laitteiden välillä.

Tuotantoverkon osalta kaikki yhteydet muodostetaan Gatewaystä, joten tehtaassa ei tarvita saapuvan liikenteen sääntöjä. Tämän saavuttamiseksi Nodet kuuntelevat jatkuvasti saapuvia pyyntöjä IoT-viestivälittäjässä, jonka taustalla on AWS IoT Core.

Tämä arkkitehtuuri mahdollistaa sen, että käyttäjät voivat olla vuorovaikutuksessa tehtaan resurssien kanssa mistä tahansa internetyhteyden päästä, miltä tahansa tietokoneelta, pelkän selaimen avulla.

Verkko​

Gateway on reunalaite, joka sijaitsee tuotannon ohjaustason ja internetin välissä ja tarjoaa SDA-palveluille hallitun pääsyn Consolessa määriteltyihin resursseihin.
On tärkeää vakiinnuttaa arkkitehtuuri, joka yhdistää SDA Cloudin ja paikallisen infrastruktuurin turvallisesti.

Suosittelemme Gatewaylle jompaakumpaa seuraavista kahdesta ehdotetusta kokoonpanosta:

Gateway lähiverkossa (LAN)​

Tämä on yleisin lähestymistapa, jossa Gateway sijoitetaan niiden PLC:iden viereen, jotka otetaan käyttöön SDA-alustalla.

  • Palomuuri valvoo tiukasti Gatewaystä internetiin lähteviä yhteyksiä.
  • Gatewaylla on pääsy siihen aliverkkoon, jossa se sijaitsee, mutta verkon reitittimeen voidaan määrittää palomuuri pääsynvalvontakerrokseksi (ACL).
  • On yleistä käyttää Gateway-laitetta, jossa on kaksi verkkoliitäntää: toinen DMZ-vyöhykkeelle ja toinen ohjaustasolle.
  • Tämä arkkitehtuuri sallii toistuvat IP-vyöhykkeet (esim. molemmilla aliverkko 10.0.0.0/24).

Gateway DMZ-vyöhykkeellä​

Tätä lähestymistapaa käytetään usein silloin, kun Gateway toimii omistetussa virtuaalikoneessa palvelininfrastruktuurissa.

  • IT-tiimi määrittää erityiset reitit virtuaalikoneen ja ohjaustason kohde-PLC:iden välille, ja palomuurit ovat todennäköisesti käytössä sekä internet- että OT-yhteyspoluilla.
  • PLC:ille alavirtaan siirryttäessä voi olla käytössä osoitteenmuunnos (NAT).
    • Huomioitavaa: jotkin PLC-valmistajien ohjelmistot eivät välttämättä ole yhteensopivia IP-aliasoinnin kanssa, ja niiden on yhdistettävä käyttäen projektissa määriteltyä IP-osoitetta.
  • Jokaisella tuotantoyksikön PLC:llä on oltava yksilöllinen IP-osoite törmäysten välttämiseksi.
  • Verkkoinfrastruktuurista riippuen Layer 2 -pääsy Gatewayeiltä PLC:ille ei välttämättä toimi – tämä on tuleva ominaisuus reaaliaikaisten teollisuusverkkojen integroimiseksi SDA-palveluihin.

Ohjelmisto​

SDA Glue on sovellus, joka toimii käyttöjärjestelmäpalveluna varmistaen Gatewayn korkean käytettävyyden automaattisella käynnistyksellä ja uudelleenkäynnistyksellä virhetilanteissa.

Verkkotunneleiden muodostamiseksi verkkoresursseja, kuten liitäntöjä, reittejä ja palomuurisääntöjä, hallitsemalla se vaatii korotetut oikeudet järjestelmäkäyttäjänä.

Automaattiset päivitykset​

Automaattiset päivitykset ovat oletuksena pois käytöstä, ja ne tulisi ottaa käyttöön joko SDA Consolessa Gatewayn asetusosiossa tai laitteen komentoriviltä komennolla:

sdaglue config set --update.auto true

Glue-palvelu lukee uusimman vakaan version osoitteesta repository.eu1.sdaconsole.io ja soveltaa päivityksen, kun aktiivisia yhteyksiä ei ole.

Päivitysmekanismi:

  • Lataa uuden sovellusbinäärin
  • Korvaa sillä vanhan
  • Käynnistää palvelun uudelleen

AWS IoT Core -yhteys​

AWS IoT Core yhdistetään kirjautumisen yhteydessä käyttäen päätepistettä iot.eu1.sdaconsole.io.

Kun yhteys on muodostettu, Glue-palvelu:

  • Kuuntelee jatkuvasti SDA Cloudin pyyntöjä
  • Julkaisee telemetriatietoa, kuten Gatewayhin liitettyjen laitteiden tilan

IoT-todennusta suojaavat:

  • Lyhyt tunnus (short ID) ja kertakäyttösalasana (OTP), jotka noudetaan SDA Consolesta
  • Salainen avain, joka on upotettu sovellusbinääriin

IoT-yhteys voidaan konfiguroida käyttämään:

  • MQTT SSL -yhteyttä tai
  • WebSocket Secure -yhteyttä, molemmat portissa 443

Alustakohtaiset erot​

Verkkomekanismit poikkeavat toisistaan Linuxissa ja Windowsissa.
Siksi ne kuvataan erikseen.

Linux​

SDA Glue Linuxissa perustuu SoftEther VPN Client -ohjelmistoon, joka on avointa lähdekoodia (Apache License 2.0) ja asennetaan SDA:n peilipalvelimelta repository.eu1.sdaconsole.io Gluen asennuksen yhteydessä.

Jokaisella yhteydellä:

  • Glue käyttää SoftEther Clientiä luodakseen NIC-verkkoliitännän ja yhdistääkseen sen Tenant Serveriin.
  • Se käyttää Linuxin IP-työkaluja IP-osoitteen määrittämiseen kyseiselle liitännälle ja tarvittavien reittien luomiseen Service-virtuaalikoneen ja kohdelaitteen välille.

Sisäiset palomuurisäännöt ja NAT-muunnos luodaan iptables-työkalulla, joka:

  • Ei salli saapuvia verkkopaketteja Gatewaylle
  • Ainoastaan välittää paketit kohdelaitteelle

Windows​

SDA Glue Windowsissa ei tue SoftEther VPN Clientin upotettua käyttöä.
Siksi se käyttää OpenVPN Community Open-Source Client -ohjelmistoa (GPL-lisenssi versio 2), joka asennetaan SDA:n peilipalvelimelta repository.eu1.sdaconsole.io Gluen asennuksen yhteydessä.

Jokaisella yhteydellä:

  • Glue käyttää OpenVPN TAP -ajuria luodakseen verkkoliitännän ja yhdistääkseen sen Tenant Serveriin varmennepohjaisella todennuksella.
  • Se käyttää Windowsin natiivia APIa IP-osoitteen määrittämiseen liitännälle ja tarvittavien reittien luomiseen Service-virtuaalikoneen ja kohdelaitteen välille.

Glue käyttää myös Windows Filtering Platform (WFP) -alustaa omistettujen kerrosten ja palomuurisääntöjen luomiseen.
Se on kuitenkin riippuvainen WinNAT-toiminnosta (tai NetNat-toiminnosta) osoitteenmuunnoksen määrittämiseksi Service-virtuaalikoneen ja laitteen välille, eikä tämä välttämättä ole oletuksena käytössä.

Yhteenveto ​

SDA Connectivity Service tarjoaa kypsän, turvallisen ja skaalautuvan ratkaisun teollisen liitettävyyden haasteisiin.

Yhdistämällä testattuja avoimen lähdekoodin teknologioita, kuten SoftEther VPN, yritystason pilvi-infrastruktuuriin AWS IoT Core -palvelusta, palvelu tarjoaa teollisten toimintojen edellyttämän luotettavuuden ja tietoturvan sekä samalla joustavuuden ja käytön helppouden, jota nykyaikaiset suunnittelutiimit odottavat.

Palvelun arkkitehtuuri kunnioittaa teollisen tietoturvan periaatteita ja mahdollistaa samalla digitaalisen muutoksen hankkeet, jotka edistävät:

  • Toiminnan tehokkuutta
  • Etäyhteistyötä
  • Dataan perustuvaa päätöksentekoa

Organisaatioille, jotka haluavat yhdistää teolliset resurssinsa turvallisesti pilvipalveluihin verkkoturvallisuudesta tai toiminnan luotettavuudesta tinkimättä, SDA Connectivity Service tarjoaa kattavan, tuotantovalmiin ratkaisun.