Passa al contenuto principale

SDA Gateway

La SDA Console, accessibile all'indirizzo https://app.eu1.sdaconsole.io/, funge da piattaforma di gestione centrale per la creazione e la gestione dell'infrastruttura di connettività industriale. Al termine del processo di onboarding dell'account tenant, è possibile iniziare a configurare la topologia di rete creando Gateway e collegando i dispositivi industriali.

Il processo di configurazione prevede due passaggi principali: in primo luogo, la dichiarazione di un Gateway di connettività che funga da ponte sicuro tra la rete industriale e i servizi SDA Cloud e, successivamente, la creazione e il collegamento dei dispositivi industriali (come PLC, HMI e robot) a cui il Gateway fornirà l'accesso.

Informazioni correlate sugli SDA Gateway​

L'SDA Gateway svolge un ruolo centrale in ogni release trimestrale, funzionando da ponte sicuro tra le reti industriali on-premise e la piattaforma cloud SDA. Per maggiori dettagli su come il Gateway si inserisce nella progettazione e configurazione complessiva del sistema, si prega di consultare le seguenti informazioni

Panoramica​

Servizio di connettività industriale sicuro che collega le reti di produzione con i servizi cloud tramite tunnel VPN crittografati. L'SDA Connectivity Service si basa su SDA Glue, l'applicazione per i Gateway, disponibile per host Linux e Windows. Il servizio è basato su SoftEther VPN, che supporta OpenVPN sui client Windows, stabilendo un tunnel TCP sicuro tra un'interfaccia di rete nel Gateway e i servizi SDA Cloud, come IDEaaS, Backup e VM di Deployment.

Combina inoltre i firewall nativi del sistema operativo (iptables di Linux e Windows Filtering Platform (WFP)) con una tabella NAT per collegare il software specifico dei fornitori, come Siemens TIA Portal e Rockwell Studio 5000, direttamente con il dispositivo nel livello di controllo della produzione.

Punti chiave​

La gestione degli asset industriali con SDA è supportata da una soluzione di connettività industriale completa e sicura che colma il divario tra gli ambienti di produzione e i servizi basati su cloud. Sfruttando tecnologie collaudate e implementando solide misure di sicurezza, il servizio offre una connettività di livello enterprise sviluppata specificamente per i sistemi di automazione e controllo industriale.

Sicurezza di livello industriale​

  • L'integrazione con AWS IoT Core fornisce connessioni TLS sicure con politiche di controllo degli accessi granulari.
  • Segue le best practice di sicurezza dell'IoT industriale, consentendo agli amministratori di limitare l'accesso in base alle proprietà e al contesto del dispositivo.

Base VPN collaudata​

  • Utilizza SoftEther VPN, che fornisce crittografia AES 256 bit e RSA 4096 bit con prestazioni di throughput elevate e un basso utilizzo di memoria e CPU.
  • Garantisce che i dati in transito rimangano protetti da intercettazioni e accessi non autorizzati, ideale per le applicazioni industriali in cui sicurezza e prestazioni sono fondamentali.

Accesso alla rete Zero-Trust​

  • Elimina la necessità delle tradizionali VPN statiche stabilendo le connessioni on-demand.
  • Questa architettura Point-to-Point garantisce che gli utenti possano accedere solo a dispositivi specificamente autorizzati, non a interi segmenti di rete, riducendo significativamente la superficie di attacco.

Progettazione compatibile con la fabbrica​

  • Tutte le connessioni vengono avviate dal Gateway verso l'esterno, senza richiedere regole firewall in ingresso nell'ambiente di produzione.
  • Questa progettazione rispetta le architetture di sicurezza industriali esistenti fornendo al contempo funzionalità di accesso remoto sicuro.

Architettura​

I peer di una rete virtuale sono denominati Nodi, i componenti principali del Connectivity Service.
Ogni connessione è costruita dall'interazione di una catena di Nodi, ciascuno con un ruolo specifico.

Dispositivi​

Asset industriali normalmente collocati nella rete sicura di produzione, accessibili tramite il loro indirizzo IP (ad es. PLC, HMI, robot).

  • I dispositivi vengono dichiarati nella SDA Console per ciascun Tenant e l'accesso degli utenti è gestito tramite Role-Based Access Control (RBAC).
  • La connettività richiede che ogni dispositivo sia collegato ad almeno un Gateway di rete.

Gateway​

Host di rete con accesso sicuro a Internet e ai dispositivi gestiti nella SDA Console.

  • Tipicamente IPC, VM, container o Raspberry Pi, situati in una zona firewall che richiede regole specifiche per accedere alle risorse SDA Cloud come i Tenant Server.
  • Ogni Gateway esegue SDA Glue, un servizio del sistema operativo che resta in ascolto delle richieste di connessione e fornisce dati di telemetria.

Tenant Server​

Host bastion in esecuzione in un ambiente SDA Cloud sicuro, dedicati a ciascun Tenant.

  • Collegano l'interfaccia di rete del Gateway con una VM di servizio SDA o un altro Gateway.
  • Garantiscono le politiche di filtraggio necessarie per assicurare esclusivamente connessioni Point-to-Point (ad es. da IDEaaS a un PLC specifico e non ad altri dispositivi nella stessa rete).
  • Autenticano l'accesso dai Gateway in base a una politica di rotazione delle credenziali per ogni connessione.

VM di servizio​

Eseguono le applicazioni necessarie ai servizi SDA, come IDEaaS, Backup e Deployment Pipeline.

  • Queste VM si affidano al Connectivity Service per accedere ai dispositivi a livello di rete tramite il loro indirizzo IP, aspetto essenziale per le applicazioni industriali.

Cloud​

Invece di utilizzare le tradizionali VPN statiche, l'SDA Connectivity Service stabilisce connessioni verso gli asset industriali su richiesta; le richieste vengono inoltrate a una catena di Nodi che operano congiuntamente per fornire l'accesso di rete Point-to-Point tra i servizi SDA e i dispositivi.

Per la rete di produzione, tutte le connessioni vengono avviate dal Gateway, senza richiedere regole di connessione in ingresso nella fabbrica. A tale scopo, i Nodi restano costantemente in ascolto su un broker di messaggi IoT per le richieste in arrivo, basato su AWS IoT Core.

Questa architettura consente agli utenti di interagire con gli asset in fabbrica da qualsiasi luogo con accesso a Internet, da qualsiasi computer, utilizzando solo un browser.

Rete​

Il Gateway è un dispositivo edge collocato tra un livello di controllo della produzione e Internet, che fornisce ai servizi SDA un accesso controllato agli asset definiti nella Console.
È importante consolidare un'architettura che colleghi in modo sicuro l'SDA Cloud con l'infrastruttura locale.

Consigliamo una delle due configurazioni proposte per il Gateway, come indicato di seguito:

Gateway in LAN​

Questo è l'approccio più comune, in cui il Gateway è collocato accanto ai PLC integrati nella piattaforma SDA.

  • Un firewall controlla rigorosamente le connessioni in uscita dal Gateway verso Internet.
  • Il Gateway ha accesso alla subnet in cui si trova, ma è possibile predisporre un firewall nel router della rete come Access Control Layer (ACL).
  • È comune utilizzare un dispositivo Gateway con due interfacce di rete: una rivolta verso la DMZ e l'altra verso il livello di controllo.
  • Questa architettura consente zone IP ripetute (ad es. entrambe con la subnet 10.0.0.0/24).

Gateway in DMZ​

Questo approccio viene spesso utilizzato quando il Gateway è in esecuzione in una macchina virtuale dedicata all'interno dell'infrastruttura server.

  • Il team IT predispone route speciali tra la VM e i PLC di destinazione nel livello di controllo, con firewall probabilmente presenti sia sui percorsi di accesso a Internet sia su quelli OT.
  • Può essere presente una Network Address Translation (NAT) nel percorso a valle verso i PLC.
    • Attenzione: alcuni software specifici dei fornitori di PLC potrebbero non essere compatibili con l'IP aliasing e devono connettersi utilizzando l'IP configurato nel progetto.
  • Ogni PLC nell'unità produttiva deve avere un indirizzo IP univoco per evitare collisioni.
  • A seconda dell'infrastruttura di rete, l'accesso di livello 2 dai Gateway ai PLC potrebbe non funzionare: si tratta di una funzionalità in arrivo per l'integrazione delle reti industriali real-time nei servizi SDA.

Software​

SDA Glue è un'applicazione che viene eseguita come servizio del sistema operativo, garantendo l'alta disponibilità del Gateway con avvio e riavvio automatici in caso di errori.

Per stabilire i tunnel di rete gestendo risorse di rete come interfacce, route e regole firewall, richiede l'elevazione come utente di sistema.

Aggiornamenti automatici​

Gli aggiornamenti automatici sono disabilitati per impostazione predefinita e devono essere abilitati dalla SDA Console nella sezione delle configurazioni del Gateway, oppure dalla CLI del dispositivo con:

sdaglue config set --update.auto true

Il servizio Glue leggerà la versione stabile più recente da repository.eu1.sdaconsole.io e applicherà l'aggiornamento quando non vi sono connessioni attive.

Il meccanismo di aggiornamento:

  • Scarica il nuovo binario dell'applicazione
  • Lo sostituisce a quello precedente
  • Riavvia il servizio

Connessione ad AWS IoT Core​

AWS IoT Core viene connesso durante il login, utilizzando l'endpoint iot.eu1.sdaconsole.io.

Una volta connesso, il servizio Glue:

  • Resta costantemente in ascolto delle richieste dall'SDA Cloud
  • Pubblica dati di telemetria come lo stato dei dispositivi associati al Gateway

L'autenticazione IoT è protetta da:

  • Uno short ID e una one-time password (OTP) recuperati dalla SDA Console
  • Una chiave segreta incorporata nel binario dell'applicazione

La connessione a IoT può essere configurata per utilizzare:

  • MQTT SSL, oppure
  • WebSocket Secure, entrambi sulla porta 443

Differenze tra piattaforme​

I meccanismi di rete sono differenti per Linux e Windows.
Pertanto vengono descritti separatamente.

Linux​

SDA Glue su Linux si basa sul SoftEther VPN Client, che è open-source (Apache License 2.0) e viene installato dal mirror SDA su repository.eu1.sdaconsole.io durante l'installazione di Glue.

Per ogni connessione:

  • Glue utilizza il SoftEther Client per creare un'interfaccia di rete NIC e connetterla al Tenant Server.
  • Utilizza i Linux IP tools per assegnare un indirizzo IP a tale interfaccia e creare le route necessarie tra la VM di servizio e il dispositivo di destinazione.

Le regole firewall interne e la traduzione NAT vengono create in iptables, che:

  • Non consentono pacchetti di rete in ingresso verso il Gateway
  • Inoltrano i pacchetti solo al dispositivo di destinazione

Windows​

SDA Glue su Windows non supporta l'uso incorporato del SoftEther VPN Client.
Utilizza pertanto l'OpenVPN Community Open-Source Client (licenza GPL versione 2), installato dal mirror SDA su repository.eu1.sdaconsole.io durante l'installazione di Glue.

Per ogni connessione:

  • Glue utilizza il driver TAP di OpenVPN per creare un'interfaccia di rete e connetterla al Tenant Server utilizzando l'autenticazione basata su certificati.
  • Utilizza le API native di Windows per assegnare un IP all'interfaccia e creare le route necessarie tra la VM di servizio e il dispositivo di destinazione.

Glue utilizza inoltre Windows Filtering Platform (WFP) per creare livelli e regole firewall dedicati.
Dipende tuttavia da WinNAT (o NetNat) per dichiarare la traduzione degli indirizzi tra la VM di servizio e il dispositivo, che potrebbe non essere abilitata per impostazione predefinita.

Riepilogo ​

L'SDA Connectivity Service offre una soluzione matura, sicura e scalabile per le sfide della connettività industriale.

Combinando tecnologie open-source collaudate come SoftEther VPN con un'infrastruttura cloud di livello enterprise fornita da AWS IoT Core, il servizio garantisce l'affidabilità e la sicurezza richieste dalle operazioni industriali, offrendo al contempo la flessibilità e la facilità d'uso che i moderni team di progettazione si aspettano.

L'architettura del servizio rispetta i principi di sicurezza industriale, abilitando al contempo iniziative di trasformazione digitale che favoriscono:

  • Efficienza operativa
  • Collaborazione remota
  • Processi decisionali basati sui dati

Per le organizzazioni che desiderano connettere in modo sicuro i propri asset industriali ai servizi cloud senza compromettere la sicurezza della rete o l'affidabilità operativa, l'SDA Connectivity Service fornisce una soluzione completa e pronta per la produzione.