SDA Gateway
https://app.eu1.sdaconsole.io/에서 접속할 수 있는 SDA Console은 산업용 연결 인프라를 생성하고 관리하기 위한 중앙 관리 플랫폼입니다. 테넌트 계정 온보딩 절차를 완료한 후에는 Gateway를 생성하고 산업용 장치를 연결하여 네트워크 토폴로지 구성을 시작할 수 있습니다.
설정 과정은 두 가지 주요 단계로 이루어집니다. 먼저 산업용 네트워크와 SDA Cloud 서비스 간의 보안 브리지 역할을 수행할 연결 Gateway를 선언하고, 그다음 Gateway가 접근을 제공할 산업용 장치(PLC, HMI, 로봇 등)를 생성하고 연결합니다.
SDA Gateway 관련 정보
SDA Gateway는 각 분기별 릴리스에서 중심적인 역할을 담당하며, 온프레미스 산업용 네트워크와 SDA 클라우드 플랫폼 사이의 보안 브리지 역할을 수행합니다. Gateway가 전체 시스템 설계 및 설정에서 어떻게 위치하는지에 대한 자세한 내용은 아래 정보를 참조하십시오.
개요
암호화된 VPN 터널을 통해 제조 네트워크와 클라우드 서비스를 연결하는 안전한 산업용 연결 서비스입니다. SDA Connectivity Service는 Linux 및 Windows 호스트에서 사용할 수 있는 Gateway용 애플리케이션인 SDA Glue를 기반으로 합니다. 이 서비스는 Windows 클라이언트에서 OpenVPN을 지원하는 SoftEther VPN으로 구동되며, Gateway의 네트워크 인터페이스와 IDEaaS, Backup, Deployment VM 등의 SDA 클라우드 서비스 간에 안전한 TCP 터널을 구축합니다.
또한 OS 기본 방화벽(Linux iptables 및 Windows Filtering Platform(WFP))과 NAT 테이블을 결합하여 Siemens TIA Portal 및 Rockwell Studio 5000과 같은 벤더별 소프트웨어를 제조 제어 계층의 장치와 직접 연결합니다.
핵심 사항
SDA를 통한 산업 자산 관리는 제조 환경과 클라우드 기반 서비스 간의 격차를 해소하는 포괄적이고 안전한 산업용 연결 솔루션으로 구동됩니다. 검증된 기술을 활용하고 견고한 보안 조치를 구현함으로써, 이 서비스는 산업 자동화 및 제어 시스템에 특화된 엔터프라이즈급 연결성을 제공합니다.
산업 등급 보안
- AWS IoT Core와의 통합을 통해 세분화된 접근 제어 정책이 적용된 안전한 TLS 연결을 제공합니다.
- 산업용 IoT 보안 모범 사례를 따르며, 관리자가 장치 속성과 컨텍스트를 기반으로 접근을 제한할 수 있도록 합니다.
검증된 VPN 기반
- SoftEther VPN을 활용하여 AES 256비트 및 RSA 4096비트 암호화를 고속 처리 성능과 낮은 메모리 및 CPU 사용량으로 제공합니다.
- 전송 중 데이터가 도청 및 무단 접근으로부터 안전하게 유지되도록 보장하며, 보안과 성능이 중요한 산업용 애플리케이션에 이상적입니다.
제로 트러스트 네트워크 접근
- 온디맨드 방식으로 연결을 구축하여 기존의 정적 VPN 필요성을 제거합니다.
- 이러한 Point-to-Point 아키텍처는 사용자가 전체 네트워크 세그먼트가 아니라 특별히 승인된 장치에만 접근할 수 있도록 보장하여 공격 표면을 크게 줄입니다.
공장 친화적 설계
- 모든 연결은 Gateway에서 외부로 개시되므로 제조 환경에서 인바운드 방화벽 규칙이 필요하지 않습니다.
- 이 설계는 기존 산업 보안 아키텍처를 존중하면서 안전한 원격 접근 기능을 제공합니다.
아키텍처
가상 네트워크의 피어는 Node라고 하며, Connectivity Service의 주요 구성 요소입니다.
각 연결은 특정 역할을 가진 Node들의 체인 상호작용으로 구축됩니다.
Devices
일반적으로 IP 주소로 접근할 수 있는 제조 보안 네트워크에 위치한 산업 자산(예: PLC, HMI, 로봇)입니다.
- Device는 각 테넌트별로 SDA Console에서 선언되며, 사용자 접근은 역할 기반 접근 제어(RBAC)로 관리됩니다.
- 연결을 위해서는 모든 Device가 최소 하나의 네트워크 Gateway와 연결되어야 합니다.
Gateways
인터넷과 SDA Console에서 관리되는 Device에 안전하게 접근할 수 있는 네트워크 호스트입니다.
- 일반적으로 IPC, VM, 컨테이너 또는 Raspberry Pi로서, Tenant Server와 같은 SDA Cloud 리소스에 접근하기 위해 특정 규칙이 필요한 방화벽 영역에 위치합니다.
- 모든 Gateway는 SDA Glue를 실행하며, 이는 연결 요청을 수신하고 텔레메트리 데이터를 제공하는 OS 서비스입니다.
Tenant Servers
각 테넌트 전용으로 안전한 SDA Cloud 환경에서 실행되는 배스티온 호스트입니다.
- Gateway의 네트워크 인터페이스를 SDA Service VM 또는 다른 Gateway와 연결합니다.
- Point-to-Point 연결만 보장하기 위해 필요한 필터링 정책을 보장합니다(예: IDEaaS에서 특정 PLC로만 연결하고 동일 네트워크의 다른 장치로는 연결하지 않음).
- 모든 연결에 대해 자격 증명 순환 정책을 기반으로 Gateway의 접근을 인증합니다.
Service VMs
IDEaaS, Backup, Deployment Pipeline 등 SDA 서비스에 필요한 애플리케이션을 실행합니다.
- 이러한 VM은 Connectivity Service를 통해 네트워크 계층에서 IP 주소로 Device에 접근하며, 이는 산업용 애플리케이션에 필수적입니다.
클라우드
SDA Connectivity Service는 기존의 정적 VPN을 사용하는 대신, SDA 서비스와 Device 간의 Point-to-Point 네트워크 접근을 제공하기 위해 함께 동작하는 Node 체인으로 전달되는 요청에 따라 산업 자산에 대한 연결을 구축합니다.
제조 네트워크의 경우 모든 연결이 Gateway에서 개시되므로 공장 내 인바운드 연결 규칙이 필요하지 않습니다. 이를 위해 Node들은 AWS IoT Core로 구동되는 IoT 메시지 브로커에서 들어오는 요청을 지속적으로 수신합니다.
이 아키텍처를 통해 사용자는 인터넷이 연결된 어느 장소에서든, 브라우저만으로 어떤 컴퓨터에서든 공장의 자산과 상호작용할 수 있습니다.
네트워크
Gateway는 제조 제어 계층과 인터넷 사이에 위치하는 엣지 장치로서, Console에 정의된 자산에 대한 통제된 접근을 SDA 서비스에 제공합니다.
SDA Cloud와 로컬 인프라를 안전하게 연결하는 아키텍처를 확립하는 것이 중요합니다.
Gateway에 대해 다음 두 가지 제안된 설정 중 하나를 권장합니다.
LAN 내 Gateway
가장 일반적인 방식으로, Gateway가 SDA 플랫폼에 온보딩된 PLC 옆에 배치됩니다.
- 방화벽이 Gateway에서 인터넷으로의 아웃바운드 연결을 엄격하게 통제합니다.
- Gateway는 자신이 위치한 서브넷에 접근할 수 있으나, 네트워크 라우터에 접근 제어 계층(ACL)으로서 방화벽이 프로비저닝될 수 있습니다.
- 두 개의 네트워크 인터페이스를 가진 Gateway 장치를 사용하는 것이 일반적입니다. 하나는 DMZ를, 다른 하나는 제어 계층을 향합니다.
- 이 아키텍처는 중복 IP 영역(예: 양쪽 모두 서브넷 10.0.0.0/24)을 허용합니다.
DMZ 내 Gateway
이 방식은 Gateway가 서버 인프라 내의 전용 가상 머신에서 실행될 때 자주 사용됩니다.
- IT 팀이 VM과 제어 계층의 대상 PLC 간에 특별한 경로를 제공하며, 인터넷 및 OT 접근 경로 양쪽에 방화벽이 존재할 가능성이 높습니다.
- PLC로 다운스트림 이동 시 **네트워크 주소 변환(NAT)**이 존재할 수 있습니다.
- 주의 필요: 일부 PLC 벤더별 소프트웨어는 IP 앨리어싱과 호환되지 않을 수 있으며, 구성된 프로젝트 IP를 사용해 연결해야 합니다.
- 제조 단위의 모든 PLC는 충돌을 방지하기 위해 고유한 IP 주소를 가져야 합니다.
- 네트워크 인프라에 따라 Gateway에서 PLC로의 Layer 2 접근이 작동하지 않을 수 있습니다. 이는 SDA 서비스에 실시간 산업용 네트워크를 통합하기 위한 향후 기능입니다.
소프트웨어
SDA Glue는 OS 서비스로 실행되는 애플리케이션으로, 자동 시작 및 오류 발생 시 자동 재시작을 통해 Gateway의 고가용성을 보장합니다.
인터페이스, 경로, 방화벽 규칙과 같은 네트워크 리소스를 관리하여 네트워크 터널을 구축하기 위해서는 시스템 사용자로서의 권한 상승이 필요합니다.
자동 업데이트
자동 업데이트는 기본적으로 비활성화되어 있으며, SDA Console의 Gateway 구성 섹션에서 또는 장치의 CLI에서 다음 명령으로 활성화해야 합니다.
sdaglue config set --update.auto true
Glue 서비스는 repository.eu1.sdaconsole.io에서 최신 안정 버전을 읽고 활성 연결이 없을 때 업데이트를 적용합니다.
업데이트 메커니즘:
- 새 애플리케이션 바이너리를 다운로드
- 기존 바이너리를 교체
- 서비스를 재시작
AWS IoT Core 연결
AWS IoT Core는 로그인 시 iot.eu1.sdaconsole.io 엔드포인트를 사용하여 연결됩니다.
연결되면 Glue 서비스는 다음을 수행합니다.
- SDA Cloud의 요청을 지속적으로 수신
- Gateway에 연결된 Device의 상태와 같은 텔레메트리 데이터 발행
IoT 인증은 다음으로 보호됩니다.
- SDA Console에서 조회한 short ID와 일회용 비밀번호(OTP)
- 애플리케이션 바이너리에 내장된 비밀 키
IoT 연결은 다음을 사용하도록 구성할 수 있습니다.
- MQTT SSL, 또는
- WebSocket Secure, 두 방식 모두 포트 443 사용
플랫폼 차이점
네트워크 메커니즘은 Linux와 Windows에서 서로 다릅니다.
따라서 별도로 설명합니다.
Linux
Linux의 SDA Glue는 오픈 소스(Apache License 2.0)인 SoftEther VPN Client를 기반으로 하며, Glue 설치 시 repository.eu1.sdaconsole.io의 SDA 미러에서 설치됩니다.
각 연결에 대해:
- Glue는 SoftEther Client를 사용하여 NIC 네트워크 인터페이스를 생성하고 이를 Tenant Server에 연결합니다.
- Linux IP 도구를 사용하여 해당 인터페이스에 IP 주소를 할당하고 Service VM과 대상 Device 간에 필요한 경로를 생성합니다.
내부 방화벽 규칙과 NAT 변환은 iptables에서 생성되며, 이는 다음과 같습니다.
- Gateway로 들어오는 네트워크 패킷을 허용하지 않음
- 대상 Device로 패킷을 전달만 수행
Windows
Windows의 SDA Glue는 SoftEther VPN Client의 내장 사용을 지원하지 않습니다.
따라서 Glue 설치 시 repository.eu1.sdaconsole.io의 SDA 미러에서 설치되는 OpenVPN Community Open-Source Client(GPL 라이선스 버전 2)를 사용합니다.
각 연결에 대해:
- Glue는 OpenVPN TAP 드라이버를 사용하여 네트워크 인터페이스를 생성하고 인증서 기반 인증을 통해 이를 Tenant Server에 연결합니다.
- Windows 네이티브 API를 사용하여 인터페이스에 IP를 할당하고 Service VM과 대상 Device 간에 필요한 경로를 생성합니다.
Glue는 또한 **Windows Filtering Platform(WFP)**을 사용하여 전용 계층과 방화벽 규칙을 생성합니다.
그러나 Service VM과 Device 간의 주소 변환을 선언하기 위해서는 WinNAT(또는 NetNat)에 의존하며, 이는 기본적으로 활성화되어 있지 않을 수 있습니다.
요약
SDA Connectivity Service는 산업용 연결 과제에 대해 성숙하고 안전하며 확장 가능한 솔루션을 제공합니다.
SoftEther VPN과 같은 검증된 오픈 소스 기술을 AWS IoT Core의 엔터프라이즈급 클라우드 인프라와 결합함으로써, 이 서비스는 산업 운영에 요구되는 신뢰성과 보안을 제공하는 동시에 현대적인 엔지니어링 팀이 기대하는 유연성과 사용 편의성을 제공합니다.
이 서비스의 아키텍처는 산업 보안 원칙을 존중하면서 다음을 추진하는 디지털 전환 이니셔티브를 가능하게 합니다.
- 운영 효율성
- 원격 협업
- 데이터 기반 의사 결정
네트워크 보안이나 운영 신뢰성을 저해하지 않고 산업 자산을 클라우드 서비스에 안전하게 연결하려는 조직에게 SDA Connectivity Service는 포괄적이고 프로덕션 준비가 완료된 솔루션을 제공합니다.