Ugrás a fő tartalomhoz

SDA Gateway

Az SDA Console, amely a https://app.eu1.sdaconsole.io/ címen érhető el, központi felügyeleti platformként szolgál az ipari kapcsolati infrastruktúra létrehozásához és kezeléséhez. A bérlői fiók regisztrációs folyamatának befejezése után elkezdheti a hálózati topológia konfigurálását Gateway-ek létrehozásával és ipari eszközök összekapcsolásával.

A beállítási folyamat két fő lépésből áll: először deklarál egy kapcsolati Gateway-t, amely biztonságos hídként szolgál az ipari hálózat és az SDA Cloud szolgáltatások között, majd létrehozza és összekapcsolja azokat az ipari eszközöket (például PLC-ket, HMI-ket és robotokat), amelyekhez a Gateway hozzáférést biztosít.

Kapcsolódó információk az SDA Gateway-ekről​

Az SDA Gateway központi szerepet játszik minden negyedéves kiadásban, biztonságos hídként szolgálva a helyszíni ipari hálózatok és az SDA cloud platform között. A Gateway teljes rendszertervbe és beállításba illeszkedéséről további részleteket az alábbi információkban talál

Áttekintés​

Biztonságos ipari kapcsolati szolgáltatás, amely titkosított VPN-tunneleken keresztül kapcsolja össze a gyártási hálózatokat a cloud szolgáltatásokkal. Az SDA Connectivity Service az SDA Glue-ra épül, amely a Gateway-ek alkalmazása, és Linux valamint Windows hosztokhoz érhető el. A szolgáltatást a SoftEther VPN működteti, amely Windows kliensek esetén OpenVPN-t támogat, biztonságos TCP-tunnelt létesítve a Gateway egyik hálózati interfésze és az SDA cloud szolgáltatások – például IDEaaS, Backup és Deployment VM-ek – között.

Emellett az operációs rendszer natív tűzfalait (Linux iptables és Windows Filtering Platform (WFP)) egy NAT-táblával kombinálja, hogy a gyártói szoftvereket, mint például a Siemens TIA Portal és a Rockwell Studio 5000, közvetlenül a gyártási vezérlési réteg eszközéhez kapcsolja.

Kulcspontok​

Az ipari eszközök SDA-val történő kezelését egy átfogó és biztonságos ipari kapcsolati megoldás támogatja, amely áthidalja a gyártási környezetek és a cloud-alapú szolgáltatások közötti szakadékot. Bevált technológiákat felhasználva és robusztus biztonsági intézkedéseket alkalmazva a szolgáltatás vállalati szintű kapcsolatot nyújt, kifejezetten az ipari automatizálási és vezérlőrendszerekre szabva.

Ipari szintű biztonság​

  • Az AWS IoT Core integrációja biztonságos TLS-kapcsolatokat biztosít finomhangolt hozzáférés-szabályozási szabályzatokkal.
  • Az ipari IoT biztonsági legjobb gyakorlatait követi, lehetővé téve az adminisztrátorok számára, hogy az eszközök tulajdonságai és kontextusa alapján korlátozzák a hozzáférést.

Bevált VPN-alapok​

  • A SoftEther VPN-t használja, amely AES 256 bites és RSA 4096 bites titkosítást nyújt nagy sebességű átviteli teljesítménnyel, alacsony memória- és CPU-használat mellett.
  • Biztosítja, hogy az átvitel alatt lévő adatok védettek maradjanak a lehallgatástól és az illetéktelen hozzáféréstől, ami ideális olyan ipari alkalmazásokhoz, ahol a biztonság és a teljesítmény kritikus.

Zero-Trust hálózati hozzáférés​

  • Kiváltja a hagyományos statikus VPN-ek szükségességét azzal, hogy a kapcsolatokat igény szerint létesíti.
  • Ez a pont-pont architektúra biztosítja, hogy a felhasználók csak a kifejezetten engedélyezett eszközökhöz férjenek hozzá, ne pedig teljes hálózati szegmensekhez, jelentősen csökkentve a támadási felületet.

Gyárbarát kialakítás​

  • Minden kapcsolat a Gateway-ből kifelé indul, így nincs szükség bejövő tűzfalszabályokra a gyártási környezetben.
  • Ez a kialakítás tiszteletben tartja a meglévő ipari biztonsági architektúrákat, miközben biztonságos távoli hozzáférési képességeket nyújt.

Architektúra​

A virtuális hálózat résztvevőit Node-oknak nevezzük, ezek a Connectivity Service fő komponensei.
Minden kapcsolat Node-ok láncának interakciójából épül fel, mindegyik saját, specifikus szereppel.

Eszközök (Devices)​

Ipari eszközök, amelyek jellemzően a gyártási biztonságos hálózatban találhatók, és IP-címükkel elérhetők (pl. PLC-k, HMI-k, robotok).

  • Az eszközöket az SDA Console-ban deklarálják minden bérlő számára, a felhasználói hozzáférést szerepkör-alapú hozzáférés-szabályozás (RBAC) kezeli.
  • A kapcsolathoz szükséges, hogy minden eszköz legalább egy hálózati Gateway-hez legyen kapcsolva.

Gateway-ek​

Hálózati hosztok, amelyek biztonságos hozzáféréssel rendelkeznek az internethez és az SDA Console-ban kezelt eszközökhöz.

  • Jellemzően IPC-k, VM-ek, konténerek vagy Raspberry Pi-k, amelyek olyan tűzfalzónában találhatók, amely specifikus szabályokat igényel az SDA Cloud erőforrások, például a bérlői szerverek eléréséhez.
  • Minden Gateway az SDA Glue-t futtatja, amely egy operációs rendszer szolgáltatás, amely a kapcsolati kéréseket figyeli és telemetriai adatokat szolgáltat.

Bérlői szerverek (Tenant Servers)​

Bastion hosztok, amelyek biztonságos SDA Cloud környezetben futnak, minden bérlő számára dedikáltan.

  • Összekapcsolják a Gateway hálózati interfészét egy SDA Service VM-mel vagy egy másik Gateway-jel.
  • Garantálják a szükséges szűrési szabályzatokat, hogy kizárólag pont-pont kapcsolat jöjjön létre (pl. az IDEaaS-től egy adott PLC-hez, és nem az ugyanazon hálózat többi eszközéhez).
  • Hitelesítik a Gateway-ekről érkező hozzáférést egy hitelesítő adat rotációs szabályzat alapján, minden kapcsolat esetén.

Service VM-ek​

Az SDA szolgáltatások által igényelt alkalmazásokat futtatják, mint az IDEaaS, Backup és Deployment pipeline-ok.

  • Ezek a VM-ek a Connectivity Service-re támaszkodnak, hogy a hálózati rétegen IP-cím alapján érjék el az eszközöket, ami ipari alkalmazások esetén elengedhetetlen.

Cloud​

A hagyományos statikus VPN-ek helyett az SDA Connectivity Service kérések alapján létesít kapcsolatokat az ipari eszközökhöz; ezeket a kéréseket egy Node-láncnak továbbítja, amelynek elemei együtt működve pont-pont hálózati hozzáférést biztosítanak az SDA szolgáltatások és az eszközök között.

A gyártási hálózat szempontjából minden kapcsolat a Gateway-ből indul, így a gyárban nincs szükség bejövő kapcsolati szabályokra. Ennek eléréséhez a Node-ok folyamatosan figyelnek egy IoT üzenetközvetítőn a beérkező kérésekre, amelyet az AWS IoT Core működtet.

Ez az architektúra lehetővé teszi, hogy a felhasználók bárhonnan, internetkapcsolat mellett, bármely számítógépről, kizárólag egy böngészőre támaszkodva interakcióba lépjenek a gyárban lévő eszközökkel.

Hálózat​

A Gateway egy peremeszköz, amely a gyártási vezérlési réteg és az internet között helyezkedik el, és az SDA szolgáltatások számára szabályozott hozzáférést biztosít a Console-ban definiált eszközökhöz.
Fontos olyan architektúra kialakítása, amely biztonságosan kapcsolja össze az SDA Cloudot a helyi infrastruktúrával.

A Gateway esetében a két javasolt beállítás egyikét ajánljuk, az alábbiak szerint:

Gateway a LAN-ban​

Ez a leggyakoribb megközelítés, amelyben a Gateway az SDA platformra felvett PLC-k mellé kerül.

  • Egy tűzfal szigorúan szabályozza a Gateway-ből az internet felé irányuló kimenő kapcsolatokat.
  • A Gateway hozzáféréssel rendelkezik ahhoz az alhálózathoz, amelyben található, de a hálózat routerében hozzáférés-szabályozási rétegként (ACL) tűzfal is beállítható.
  • Gyakori két hálózati interfésszel rendelkező Gateway eszköz használata: egyik a DMZ felé, a másik a vezérlési réteg felé néz.
  • Ez az architektúra ismétlődő IP-zónákat is megenged (pl. mindkettő a 10.0.0.0/24 alhálózattal).

Gateway a DMZ-ben​

Ezt a megközelítést gyakran akkor használják, amikor a Gateway a szerverinfrastruktúrán belül dedikált virtuális gépen fut.

  • Az IT-csapat speciális útvonalakat biztosít a VM és a vezérlési rétegben lévő cél PLC-k között, miközben valószínűleg mind az internetes, mind az OT hozzáférési útvonalakon tűzfalak találhatók.
  • A PLC-k felé lefelé haladva hálózati címfordítás (NAT) is előfordulhat.
    • Figyelem: néhány PLC-gyártói szoftver nem kompatibilis az IP-aliasozással, és a konfigurált projekt IP-jével kell kapcsolódni.
  • A gyártóegységben minden PLC-nek egyedi IP-címmel kell rendelkeznie az ütközések elkerülése érdekében.
  • A hálózati infrastruktúrától függően a Gateway-ekről a PLC-k felé történő 2. rétegű (Layer 2) hozzáférés esetleg nem működik – ez egy közelgő funkció a valós idejű ipari hálózatok SDA szolgáltatásokba történő integrálásához.

Szoftver​

Az SDA Glue egy alkalmazás, amely operációs rendszer szolgáltatásként fut, biztosítva a Gateway magas rendelkezésre állását automatizált indítással és hiba esetén újraindítással.

Ahhoz, hogy hálózati erőforrások – például interfészek, útvonalak és tűzfalszabályok – kezelésével hálózati tunneleket létesítsen, rendszerfelhasználói szintű jogosultságra van szüksége.

Automatikus frissítések​

Az automatikus frissítések alapértelmezés szerint le vannak tiltva, és vagy az SDA Console Gateway konfigurációs szekciójában, vagy az eszköz CLI-jén keresztül engedélyezhetők a következővel:

sdaglue config set --update.auto true

A Glue szolgáltatás beolvassa a legújabb stabil verziót a repository.eu1.sdaconsole.io címről, és akkor alkalmazza a frissítést, amikor nincs aktív kapcsolat.

A frissítési mechanizmus:

  • Letölti az új alkalmazásbinárist
  • Lecseréli vele a régit
  • Újraindítja a szolgáltatást

AWS IoT Core kapcsolat​

Az AWS IoT Core a bejelentkezés során kapcsolódik, az iot.eu1.sdaconsole.io végpont használatával.

A kapcsolódás után a Glue szolgáltatás:

  • Folyamatosan figyeli az SDA Cloudból érkező kéréseket
  • Telemetriai adatokat publikál, például a Gateway-hez társított eszközök állapotát

Az IoT hitelesítést az alábbiak védik:

  • Egy rövid azonosító (short ID) és egy egyszer használatos jelszó (OTP), amelyet az SDA Console-ból kap
  • Egy titkos kulcs, amely az alkalmazás binárisába van beépítve

Az IoT-hoz való kapcsolat beállítható a következők használatára:

  • MQTT SSL, vagy
  • WebSocket Secure, mindkettő a 443-as porton

Platformok közötti különbségek​

A hálózati mechanizmusok Linux és Windows esetén különbözőek.
Ezért ezeket külön ismertetjük.

Linux​

Az SDA Glue Linuxon a SoftEther VPN Client-re támaszkodik, amely nyílt forráskódú (Apache License 2.0), és a Glue telepítése során az SDA repository.eu1.sdaconsole.io tükréről kerül telepítésre.

Minden kapcsolat esetén:

  • A Glue a SoftEther Client-et használja egy NIC hálózati interfész létrehozásához és annak a bérlői szerverhez való kapcsolásához.
  • A Linux IP eszközöket használja, hogy IP-címet rendeljen ehhez az interfészhez, és létrehozza a szükséges útvonalakat a Service VM és a cél eszköz között.

A belső tűzfalszabályok és a NAT-fordítás az iptables-ben jönnek létre, amelyek:

  • Nem engedélyeznek bejövő hálózati csomagokat a Gateway-hez
  • Csak továbbítják a csomagokat a cél eszközhöz

Windows​

Az SDA Glue Windowson nem támogatja a SoftEther VPN Client beépített használatát.
Ezért az OpenVPN Community Open-Source Client-et használja (GPL licenc 2-es verzió), amely a Glue telepítése során az SDA repository.eu1.sdaconsole.io tükréről kerül telepítésre.

Minden kapcsolat esetén:

  • A Glue az OpenVPN TAP illesztőprogramot használja egy hálózati interfész létrehozásához és annak a bérlői szerverhez való kapcsolásához tanúsítvány-alapú hitelesítéssel.
  • A Windows natív API-t használja, hogy IP-t rendeljen az interfészhez, és létrehozza a szükséges útvonalakat a Service VM és a cél eszköz között.

A Glue a Windows Filtering Platform (WFP)-ot is használja dedikált rétegek és tűzfalszabályok létrehozásához.
Ugyanakkor a WinNAT (vagy NetNat) szükséges a Service VM és az eszköz közötti címfordítás deklarálásához, amely esetleg nincs alapértelmezés szerint engedélyezve.

Összefoglalás ​

Az SDA Connectivity Service kiforrott, biztonságos és skálázható megoldást nyújt az ipari kapcsolati kihívásokra.

Olyan bevált nyílt forráskódú technológiák, mint a SoftEther VPN, és az AWS IoT Core vállalati szintű cloud infrastruktúrájának kombinálásával a szolgáltatás biztosítja azt a megbízhatóságot és biztonságot, amelyet az ipari üzemeltetés megkövetel, miközben azt a rugalmasságot és egyszerű használhatóságot nyújtja, amelyet a modern mérnöki csapatok elvárnak.

A szolgáltatás architektúrája tiszteletben tartja az ipari biztonsági alapelveket, miközben lehetővé teszi azokat a digitális transzformációs kezdeményezéseket, amelyek elősegítik:

  • A működési hatékonyságot
  • A távoli együttműködést
  • Az adatalapú döntéshozatalt

Azon szervezetek számára, amelyek biztonságosan szeretnék ipari eszközeiket cloud szolgáltatásokhoz kapcsolni a hálózati biztonság vagy az üzemeltetési megbízhatóság veszélyeztetése nélkül, az SDA Connectivity Service átfogó, éles üzemre kész megoldást nyújt.