Ga naar hoofdinhoud

SDA Gateway

De SDA Console, beschikbaar via https://app.eu1.sdaconsole.io/, dient als het centrale beheerplatform voor het opzetten en beheren van uw industriële connectiviteitsinfrastructuur. Nadat u het onboardingproces voor het tenantaccount hebt afgerond, kunt u beginnen met het configureren van uw netwerktopologie door Gateways aan te maken en industriële apparaten te koppelen.

Het installatieproces bestaat uit twee hoofdstappen: eerst declareert u een connectiviteits-Gateway die als beveiligde brug fungeert tussen uw industriële netwerk en de SDA Cloud-services, en vervolgens creëert en koppelt u de industriële apparaten (zoals PLC's, HMI's en robots) waartoe de Gateway toegang zal verlenen.

Gerelateerde informatie over SDA Gateways​

De SDA Gateway speelt een centrale rol in elke kwartaalrelease en fungeert als beveiligde brug tussen on-premise industriële netwerken en het SDA-cloudplatform. Voor meer details over hoe de Gateway past binnen het algemene systeemontwerp en de installatie, raadpleegt u de volgende informatie

Overzicht​

Beveiligde industriële connectiviteitsservice die productienetwerken via versleutelde VPN-tunnels verbindt met cloudservices. De SDA Connectivity Service is gebaseerd op de SDA Glue, de applicatie voor Gateways, beschikbaar voor Linux- en Windows-hosts. De service werkt met SoftEther VPN, dat OpenVPN op Windows-clients ondersteunt en een beveiligde TCP-tunnel opzet tussen een netwerkinterface in de Gateway en de SDA-cloudservices, zoals IDEaaS, Backup- en Deployment-VM's.

Daarnaast combineert het OS-native firewalls (Linux iptables en Windows Filtering Platform (WFP)) met een NAT-tabel om leveranciersspecifieke software, zoals Siemens TIA Portal en Rockwell Studio 5000, direct te verbinden met het apparaat in de besturingslaag van de productie.

Kernpunten​

Het beheer van industriële assets met SDA wordt mogelijk gemaakt door een uitgebreide en veilige industriële connectiviteitsoplossing die de kloof overbrugt tussen productieomgevingen en cloudservices. Door gebruik te maken van bewezen technologieën en de implementatie van robuuste beveiligingsmaatregelen levert de service connectiviteit op enterpriseniveau, specifiek toegesneden op industriële automatisering en besturingssystemen.

Beveiliging op industrieel niveau​

  • Integratie met AWS IoT Core biedt beveiligde TLS-verbindingen met fijnmazig beleid voor toegangscontrole.
  • Volgt best practices voor industriële IoT-beveiliging, waardoor beheerders toegang kunnen beperken op basis van apparaateigenschappen en context.

Bewezen VPN-basis​

  • Maakt gebruik van SoftEther VPN, dat AES 256-bits- en RSA 4096-bits-versleuteling biedt met hoge doorvoersnelheid en laag geheugen- en CPU-gebruik.
  • Zorgt ervoor dat data in transit beveiligd blijft tegen afluisteren en ongeautoriseerde toegang, ideaal voor industriële toepassingen waarbij beveiliging en prestaties cruciaal zijn.

Zero-Trust-netwerktoegang​

  • Maakt traditionele statische VPN's overbodig door verbindingen op aanvraag op te zetten.
  • Deze point-to-point-architectuur zorgt ervoor dat gebruikers alleen toegang hebben tot specifiek geautoriseerde apparaten en niet tot volledige netwerksegmenten, waardoor het aanvalsoppervlak aanzienlijk wordt verkleind.

Fabrieksvriendelijk ontwerp​

  • Alle verbindingen worden van de Gateway naar buiten geïnitieerd, waardoor er geen inkomende firewallregels nodig zijn in de productieomgeving.
  • Dit ontwerp respecteert bestaande industriële beveiligingsarchitecturen en biedt tegelijkertijd veilige mogelijkheden voor toegang op afstand.

Architectuur​

De peers in een virtueel netwerk worden Nodes genoemd; zij zijn de belangrijkste componenten in de Connectivity Service.
Elke verbinding wordt opgebouwd uit de interactie van een keten van Nodes, elk met een specifieke rol.

Apparaten​

Industriële assets die zich doorgaans in het beveiligde productienetwerk bevinden en via hun IP-adres toegankelijk zijn (bijv. PLC's, HMI's, robots).

  • Apparaten worden per Tenant gedeclareerd in de SDA Console en gebruikerstoegang wordt beheerd via Role-Based Access Control (RBAC).
  • Voor connectiviteit is het vereist dat elk apparaat aan minimaal één netwerk-Gateway is gekoppeld.

Gateways​

Netwerkhosts met beveiligde toegang tot het internet en tot de apparaten die in de SDA Console worden beheerd.

  • Doorgaans IPC's, VM's, containers of Raspberry Pi's, geplaatst in een firewallzone die specifieke regels vereist om SDA-cloudresources zoals Tenant Servers te bereiken.
  • Elke Gateway draait de SDA Glue, een OS-service die naar verbindingsverzoeken luistert en telemetriegegevens levert.

Tenant Servers​

Bastion-hosts die in een beveiligde SDA-cloudomgeving draaien, toegewijd aan elke Tenant.

  • Verbinden de netwerkinterface van de Gateway met een SDA Service-VM of een andere Gateway.
  • Garanderen het vereiste filterbeleid om uitsluitend point-to-point-verbindingen te waarborgen (bijv. van IDEaaS naar een specifieke PLC en niet naar andere apparaten in hetzelfde netwerk).
  • Authenticeren toegang vanuit Gateways op basis van een beleid voor rotatie van inloggegevens bij elke verbinding.

Service-VM's​

Draaien de applicaties die nodig zijn voor SDA-services, zoals IDEaaS, Backup en Deployment Pipelines.

  • Deze VM's vertrouwen op de Connectivity Service om apparaten op de netwerklaag via hun IP-adres te bereiken, wat essentieel is voor industriële toepassingen.

Cloud​

In plaats van traditionele statische VPN's te gebruiken, zet de SDA Connectivity Service verbindingen naar industriële assets op na aanvragen die worden doorgestuurd naar een keten van Nodes die samenwerken om point-to-point-netwerktoegang tussen SDA-services en apparaten te bieden.

Voor het productienetwerk worden alle verbindingen vanuit de Gateway geïnitieerd, waardoor er geen regels voor inkomende verbindingen in de fabriek nodig zijn. Om dit te bereiken luisteren Nodes continu op een IoT-messagebroker naar inkomende verzoeken, mogelijk gemaakt door AWS IoT Core.

Deze architectuur stelt gebruikers in staat om vanaf elke plek met internet en vanaf elke computer met assets in de fabriek te interacteren, waarbij alleen een browser nodig is.

Netwerk​

De Gateway is een edge-apparaat dat zich bevindt tussen een productiebesturingslaag en het internet en dat SDA-services gecontroleerde toegang geeft tot assets die in de Console zijn gedefinieerd.
Het is belangrijk om een architectuur te consolideren die de SDA Cloud veilig verbindt met de lokale infrastructuur.

Wij raden een van de twee voorgestelde opstellingen voor de Gateway aan:

Gateway in LAN​

Dit is de meest gebruikelijke aanpak, waarbij de Gateway naast de PLC's wordt geplaatst die op het SDA-platform worden onboarded.

  • Een firewall controleert strikt de uitgaande verbindingen van de Gateway naar het internet.
  • De Gateway heeft toegang tot het subnet waarin deze zich bevindt, maar in de router van het netwerk kan een firewall worden ingericht als Access Control Layer (ACL).
  • Het is gebruikelijk om een Gateway-apparaat met twee netwerkinterfaces te gebruiken: één gericht op de DMZ en één op de besturingslaag.
  • Deze architectuur maakt herhaalde IP-zones mogelijk (bijv. beide met subnet 10.0.0.0/24).

Gateway in DMZ​

Deze aanpak wordt vaak gebruikt wanneer de Gateway in een dedicated virtuele machine binnen de serverinfrastructuur draait.

  • Het IT-team voorziet in speciale routes tussen de VM en de doel-PLC's in de besturingslaag, waarbij er waarschijnlijk firewalls aanwezig zijn op zowel de internet- als de OT-toegangspaden.
  • Er kan Network Address Translation (NAT) aanwezig zijn bij downstream-verkeer naar de PLC's.
    • Let op: sommige leveranciersspecifieke PLC-software is mogelijk niet compatibel met IP-aliasing en moet verbinding maken via het geconfigureerde project-IP.
  • Elke PLC in de productie-eenheid moet een uniek IP-adres hebben om conflicten te voorkomen.
  • Afhankelijk van de netwerkinfrastructuur werkt Layer 2-toegang van Gateways naar PLC's mogelijk niet — dit is een aanstaande functie voor de integratie van real-time industriële netwerken in SDA-services.

Software​

De SDA Glue is een applicatie die als OS-service draait en de hoge beschikbaarheid van de Gateway waarborgt met automatische start en herstart bij fouten.

Om netwerktunnels op te zetten door het beheren van netwerkresources zoals interfaces, routes en firewallregels, is verhoogde rechten als systeemgebruiker vereist.

Automatische updates​

Automatische updates zijn standaard uitgeschakeld en kunnen worden ingeschakeld via de SDA Console in de sectie met Gateway-configuraties, of via de CLI van het apparaat met:

sdaglue config set --update.auto true

De Glue-service leest de laatste stabiele versie van repository.eu1.sdaconsole.io en past de update toe zodra er geen actieve verbindingen zijn.

Het updatemechanisme:

  • Downloadt de nieuwe applicatiebinary
  • Vervangt daarmee de oude
  • Herstart de service

AWS IoT Core-verbinding​

AWS IoT Core wordt verbonden tijdens het inloggen, via het endpoint iot.eu1.sdaconsole.io.

Zodra de verbinding tot stand is gebracht, zal de Glue-service:

  • Continu luisteren naar verzoeken van de SDA Cloud
  • Telemetriegegevens publiceren, zoals de status van de apparaten die aan de Gateway zijn gekoppeld

IoT-authenticatie wordt beschermd door:

  • Een short ID en een eenmalig wachtwoord (OTP) dat uit de SDA Console wordt opgehaald
  • Een secret key die in de applicatiebinary is ingebed

De verbinding met IoT kan worden geconfigureerd om te gebruiken:

  • MQTT SSL, of
  • WebSocket Secure, beide op poort 443

Platformverschillen​

De netwerkmechanismen zijn verschillend voor Linux en Windows.
Daarom worden zij afzonderlijk beschreven.

Linux​

SDA Glue op Linux maakt gebruik van de SoftEther VPN Client, die open source is (Apache License 2.0) en tijdens de Glue-installatie wordt geïnstalleerd vanaf de SDA-mirror op repository.eu1.sdaconsole.io.

Voor elke verbinding:

  • Gebruikt Glue de SoftEther Client om een NIC-netwerkinterface te creëren en deze te verbinden met de Tenant Server.
  • Gebruikt het Linux IP-tools om een IP-adres aan die interface toe te wijzen en de benodigde routes tussen de Service-VM en het doelapparaat aan te maken.

Interne firewallregels en NAT-translatie worden aangemaakt in iptables, die:

  • Geen inkomende netwerkpakketten naar de Gateway toestaan
  • Pakketten uitsluitend doorsturen naar het doelapparaat

Windows​

SDA Glue op Windows ondersteunt geen ingebed gebruik van de SoftEther VPN Client.
Daarom gebruikt het de OpenVPN Community Open-Source Client (GPL-licentie versie 2), die tijdens de Glue-installatie wordt geïnstalleerd vanaf de SDA-mirror op repository.eu1.sdaconsole.io.

Voor elke verbinding:

  • Gebruikt Glue de OpenVPN TAP-driver om een netwerkinterface te creëren en deze te verbinden met de Tenant Server via certificaatgebaseerde authenticatie.
  • Gebruikt het de Windows native API om een IP aan de interface toe te wijzen en de benodigde routes tussen de Service-VM en het doelapparaat aan te maken.

Glue gebruikt ook het Windows Filtering Platform (WFP) om dedicated lagen en firewallregels te creëren.
Het is echter afhankelijk van WinNAT (of NetNat) om de adrestranslatie tussen de Service-VM en het apparaat te declareren, wat mogelijk niet standaard is ingeschakeld.

Samenvatting ​

De SDA Connectivity Service levert een volwassen, veilige en schaalbare oplossing voor uitdagingen op het gebied van industriële connectiviteit.

Door bewezen open-sourcetechnologieën zoals SoftEther VPN te combineren met cloudinfrastructuur op enterpriseniveau van AWS IoT Core, biedt de service de betrouwbaarheid en beveiliging die industriële activiteiten vereisen, met daarbij de flexibiliteit en het gebruiksgemak dat moderne engineeringteams verwachten.

De architectuur van de service respecteert industriële beveiligingsprincipes en maakt tegelijkertijd digitale transformatie-initiatieven mogelijk die het volgende stimuleren:

  • Operationele efficiëntie
  • Samenwerking op afstand
  • Datagestuurde besluitvorming

Voor organisaties die hun industriële assets veilig met cloudservices willen verbinden zonder de netwerkbeveiliging of operationele betrouwbaarheid in gevaar te brengen, biedt de SDA Connectivity Service een complete, productieklare oplossing.