Aller au contenu principal

SDA Gateway

La SDA Console, accessible à l'adresse https://app.eu1.sdaconsole.io/, constitue la plateforme de gestion centrale permettant de créer et de gérer votre infrastructure de connectivité industrielle. Une fois le processus d'intégration du compte tenant terminé, vous pouvez commencer à configurer votre topologie réseau en créant des Gateways et en y associant des équipements industriels.

Le processus de configuration comprend deux étapes principales : d'abord déclarer une Gateway de connectivité qui servira de pont sécurisé entre votre réseau industriel et les services SDA Cloud, puis créer et associer les équipements industriels (tels que les PLC, les IHM et les robots) auxquels la Gateway donnera accès.

Informations connexes sur les SDA Gateways​

La SDA Gateway joue un rôle central dans chaque version trimestrielle, en servant de pont sécurisé entre les réseaux industriels sur site et la plateforme cloud SDA. Pour plus de détails sur la manière dont la Gateway s'intègre dans la conception et la configuration globales du système, veuillez vous reporter aux informations suivantes

Vue d'ensemble​

Service de connectivité industrielle sécurisé reliant les réseaux de production aux services cloud via des tunnels VPN chiffrés. Le SDA Connectivity Service s'appuie sur le SDA Glue, l'application dédiée aux Gateways, disponible pour les hôtes Linux et Windows. Le service est propulsé par SoftEther VPN, qui prend en charge OpenVPN sur les clients Windows, établissant un tunnel TCP sécurisé entre une interface réseau de la Gateway et les services SDA Cloud, tels que IDEaaS, Backup et les VM de déploiement.

Il combine également les pare-feux natifs du système d'exploitation (iptables sous Linux et Windows Filtering Platform (WFP)) avec une table NAT afin de relier directement les logiciels spécifiques aux fournisseurs, comme Siemens TIA Portal et Rockwell Studio 5000, à l'équipement situé dans la couche de contrôle de production.

Points clés​

La gestion des actifs industriels avec SDA repose sur une solution de connectivité industrielle complète et sécurisée qui comble l'écart entre les environnements de production et les services cloud. En s'appuyant sur des technologies éprouvées et en mettant en œuvre des mesures de sécurité robustes, le service offre une connectivité de niveau entreprise spécifiquement adaptée aux systèmes d'automatisation et de contrôle industriels.

Sécurité de niveau industriel​

  • L'intégration avec AWS IoT Core fournit des connexions TLS sécurisées assorties de politiques de contrôle d'accès à granularité fine.
  • Respecte les bonnes pratiques de sécurité de l'IoT industriel, permettant aux administrateurs de restreindre l'accès en fonction des propriétés et du contexte des équipements.

Une base VPN éprouvée​

  • Utilise SoftEther VPN, qui fournit un chiffrement AES 256 bits et RSA 4096 bits avec un débit élevé et une faible consommation de mémoire et de CPU.
  • Garantit que les données en transit restent protégées contre l'écoute et les accès non autorisés, ce qui est idéal pour les applications industrielles où sécurité et performance sont critiques.

Accès réseau Zero-Trust​

  • Élimine le besoin de VPN statiques traditionnels en établissant les connexions à la demande.
  • Cette architecture point à point garantit que les utilisateurs ne peuvent accéder qu'aux équipements spécifiquement autorisés, et non à des segments réseau entiers, réduisant considérablement la surface d'attaque.

Conception adaptée à l'usine​

  • Toutes les connexions sont initiées depuis la Gateway vers l'extérieur, ce qui n'exige aucune règle de pare-feu entrante dans l'environnement de production.
  • Cette conception respecte les architectures de sécurité industrielles existantes tout en offrant des capacités d'accès distant sécurisé.

Architecture​

Les pairs d'un réseau virtuel sont appelés Nodes, les principaux composants du Connectivity Service.
Chaque connexion est construite à partir de l'interaction d'une chaîne de Nodes, chacun ayant un rôle spécifique.

Devices​

Actifs industriels généralement situés dans le réseau de production sécurisé et accessibles par leur adresse IP (par ex. PLC, IHM, robots).

  • Les Devices sont déclarés dans la SDA Console pour chaque Tenant et l'accès des utilisateurs est géré par un contrôle d'accès basé sur les rôles (RBAC).
  • La connectivité exige que chaque Device soit associé à au moins une Gateway réseau.

Gateways​

Hôtes réseau disposant d'un accès sécurisé à Internet et aux Devices gérés dans la SDA Console.

  • Généralement des IPC, VM, conteneurs ou Raspberry Pi, situés dans une zone de pare-feu nécessitant des règles spécifiques pour accéder aux ressources SDA Cloud telles que les Tenant Servers.
  • Chaque Gateway exécute le SDA Glue, un service du système d'exploitation qui écoute les demandes de connexion et fournit des données de télémétrie.

Tenant Servers​

Hôtes bastions s'exécutant dans un environnement SDA Cloud sécurisé, dédiés à chaque Tenant.

  • Relient l'interface réseau de la Gateway à une VM de service SDA ou à une autre Gateway.
  • Garantissent les politiques de filtrage requises afin d'assurer uniquement une connexion point à point (par ex. depuis IDEaaS vers un PLC spécifique et non vers d'autres équipements du même réseau).
  • Authentifient l'accès depuis les Gateways selon une politique de rotation des identifiants pour chaque connexion.

Service VMs​

Exécutent les applications nécessaires aux services SDA, tels que IDEaaS, Backup et les pipelines de déploiement.

  • Ces VM s'appuient sur le Connectivity Service pour accéder aux Devices au niveau de la couche réseau par leur adresse IP, ce qui est essentiel pour les applications industrielles.

Cloud​

Au lieu d'utiliser des VPN statiques traditionnels, le SDA Connectivity Service établit des connexions vers les actifs industriels sur la base de demandes transmises à une chaîne de Nodes qui opèrent conjointement pour fournir un accès réseau point à point entre les services SDA et les Devices.

Pour le réseau de production, toutes les connexions sont initiées depuis la Gateway, ce qui n'exige aucune règle de connexion entrante dans l'usine. Pour cela, les Nodes écoutent en permanence les demandes entrantes sur un broker de messages IoT, propulsé par AWS IoT Core.

Cette architecture permet aux utilisateurs d'interagir avec les actifs de l'usine depuis n'importe quel endroit disposant d'Internet, depuis n'importe quel ordinateur, en ne dépendant que d'un navigateur.

Réseau​

La Gateway est un équipement de périphérie situé entre une couche de contrôle de production et Internet, qui fournit aux services SDA un accès contrôlé aux actifs définis dans la Console.
Il est important de consolider une architecture qui relie de manière sécurisée le SDA Cloud à l'infrastructure locale.

Nous recommandons l'une des deux configurations proposées pour la Gateway, comme suit :

Gateway dans le LAN​

Il s'agit de l'approche la plus courante, dans laquelle la Gateway est placée à proximité des PLC intégrés à la plateforme SDA.

  • Un pare-feu contrôle strictement les connexions sortantes de la Gateway vers Internet.
  • La Gateway a accès au sous-réseau dans lequel elle se trouve, mais un pare-feu peut être mis en place dans le routeur du réseau en tant que couche de contrôle d'accès (ACL).
  • Il est courant d'utiliser une Gateway dotée de deux interfaces réseau : l'une pointant vers la DMZ et l'autre vers la couche de contrôle.
  • Cette architecture autorise des plages IP répétées (par ex. les deux avec le sous-réseau 10.0.0.0/24).

Gateway en DMZ​

Cette approche est souvent utilisée lorsque la Gateway s'exécute dans une machine virtuelle dédiée au sein de l'infrastructure serveur.

  • L'équipe IT fournit des routes spécifiques entre la VM et les PLC cibles dans la couche de contrôle, avec des pare-feux susceptibles d'exister à la fois sur les chemins d'accès Internet et OT.
  • Une traduction d'adresses réseau (NAT) peut exister en aval vers les PLC.
    • Attention : certains logiciels spécifiques aux fournisseurs de PLC peuvent ne pas être compatibles avec l'aliasing IP et doivent se connecter en utilisant l'IP configurée dans le projet.
  • Chaque PLC de l'unité de production doit disposer d'une adresse IP unique afin d'éviter les collisions.
  • Selon l'infrastructure réseau, l'accès de niveau 2 depuis les Gateways vers les PLC peut ne pas fonctionner — il s'agit d'une fonctionnalité à venir pour l'intégration des réseaux industriels temps réel dans les services SDA.

Logiciel​

Le SDA Glue est une application qui s'exécute en tant que service du système d'exploitation, garantissant une haute disponibilité de la Gateway avec démarrage et redémarrage automatiques en cas d'erreur.

Afin d'établir les tunnels réseau en gérant des ressources réseau telles que les interfaces, les routes et les règles de pare-feu, il nécessite une élévation en tant qu'utilisateur système.

Mises à jour automatiques​

Les mises à jour automatiques sont désactivées par défaut et doivent être activées soit depuis la SDA Console dans la section de configuration de la Gateway, soit depuis la CLI de l'équipement avec :

sdaglue config set --update.auto true

Le service Glue lira la dernière version stable depuis repository.eu1.sdaconsole.io et appliquera la mise à jour dès qu'il n'y aura plus de connexions actives.

Le mécanisme de mise à jour :

  • Télécharge le nouveau binaire de l'application
  • Le remplace par l'ancien
  • Redémarre le service

Connexion à AWS IoT Core​

AWS IoT Core sera connecté lors de la connexion, en utilisant le point de terminaison iot.eu1.sdaconsole.io.

Une fois connecté, le service Glue va :

  • Écouter en permanence les demandes provenant du SDA Cloud
  • Publier des données de télémétrie telles que l'état des Devices associés à la Gateway

L'authentification IoT est protégée par :

  • Un identifiant court (short ID) et un mot de passe à usage unique (OTP) récupérés depuis la SDA Console
  • Une clé secrète intégrée au binaire de l'application

La connexion à IoT peut être configurée pour utiliser :

  • MQTT SSL, ou
  • WebSocket Secure, tous deux sur le port 443

Différences entre plateformes​

Les mécanismes réseau sont différents pour Linux et Windows.
Ils sont donc décrits séparément.

Linux​

Le SDA Glue sous Linux s'appuie sur le client VPN SoftEther, qui est open-source (licence Apache 2.0) et installé depuis le miroir SDA sur repository.eu1.sdaconsole.io lors de l'installation de Glue.

Pour chaque connexion :

  • Glue utilise le client SoftEther pour créer une interface réseau NIC et la connecter au Tenant Server.
  • Il utilise les outils IP de Linux pour attribuer une adresse IP à cette interface et créer les routes nécessaires entre la Service VM et le Device cible.

Les règles de pare-feu internes et la traduction NAT sont créées dans iptables, qui :

  • N'autorisent aucun paquet réseau entrant vers la Gateway
  • Transfèrent uniquement les paquets vers le Device cible

Windows​

Le SDA Glue sous Windows ne prend pas en charge l'utilisation intégrée du client VPN SoftEther.
Il utilise donc le client open-source OpenVPN Community (licence GPL version 2), installé depuis le miroir SDA sur repository.eu1.sdaconsole.io lors de l'installation de Glue.

Pour chaque connexion :

  • Glue utilise le pilote TAP d'OpenVPN pour créer une interface réseau et la connecter au Tenant Server en utilisant une authentification par certificat.
  • Il utilise l'API native de Windows pour attribuer une IP à l'interface et créer les routes nécessaires entre la Service VM et le Device cible.

Glue utilise également la Windows Filtering Platform (WFP) pour créer des couches et des règles de pare-feu dédiées.
Cependant, il dépend de WinNAT (ou NetNat) pour déclarer la traduction d'adresses entre la Service VM et le Device, qui peut ne pas être activée par défaut.

Synthèse ​

Le SDA Connectivity Service offre une solution mature, sécurisée et évolutive aux défis de la connectivité industrielle.

En combinant des technologies open-source éprouvées comme SoftEther VPN avec une infrastructure cloud de niveau entreprise fournie par AWS IoT Core, le service apporte la fiabilité et la sécurité qu'exigent les opérations industrielles, tout en offrant la flexibilité et la simplicité d'utilisation attendues par les équipes d'ingénierie modernes.

L'architecture du service respecte les principes de sécurité industrielle tout en permettant des initiatives de transformation numérique qui favorisent :

  • L'efficacité opérationnelle
  • La collaboration à distance
  • La prise de décision fondée sur les données

Pour les organisations souhaitant connecter en toute sécurité leurs actifs industriels à des services cloud sans compromettre la sécurité du réseau ni la fiabilité opérationnelle, le SDA Connectivity Service fournit une solution complète et prête pour la production.