Przejdź do głównej zawartości

SDA Gateway

Konsola SDA, dostępna pod adresem https://app.eu1.sdaconsole.io/, stanowi centralną platformę zarządzania służącą do tworzenia i obsługi infrastruktury łączności przemysłowej. Po zakończeniu procesu onboardingu konta tenanta można rozpocząć konfigurowanie topologii sieci poprzez tworzenie Gateway'ów i łączenie urządzeń przemysłowych.

Proces konfiguracji obejmuje dwa główne kroki: najpierw zadeklarowanie Gateway'a łączności, który będzie pełnił rolę bezpiecznego mostu pomiędzy siecią przemysłową a usługami SDA Cloud, a następnie utworzenie i powiązanie urządzeń przemysłowych (takich jak PLC, panele HMI i roboty), do których Gateway będzie zapewniał dostęp.

Powiązane informacje o SDA Gateway​

SDA Gateway odgrywa centralną rolę w każdym kwartalnym wydaniu, pełniąc funkcję bezpiecznego mostu pomiędzy lokalnymi sieciami przemysłowymi a platformą chmurową SDA. Więcej szczegółów na temat tego, jak Gateway wpisuje się w ogólny projekt i konfigurację systemu, znajduje się w poniższych informacjach

Przegląd​

Bezpieczna usługa łączności przemysłowej łącząca sieci produkcyjne z usługami chmurowymi za pośrednictwem szyfrowanych tuneli VPN. Usługa SDA Connectivity Service opiera się na SDA Glue, aplikacji przeznaczonej dla Gateway'ów, dostępnej dla hostów Linux i Windows. Usługa działa w oparciu o SoftEther VPN, który obsługuje OpenVPN na klientach Windows, ustanawiając bezpieczny tunel TCP pomiędzy interfejsem sieciowym w Gatewayu a usługami SDA Cloud, takimi jak IDEaaS, Backup i maszyny wirtualne wdrożeniowe.

Łączy również natywne zapory systemów operacyjnych (Linux iptables oraz Windows Filtering Platform (WFP)) z tabelą NAT, aby połączyć oprogramowanie specyficzne dla producentów, takie jak Siemens TIA Portal i Rockwell Studio 5000, bezpośrednio z urządzeniem w warstwie sterowania produkcją.

Kluczowe punkty​

Zarządzanie zasobami przemysłowymi za pomocą SDA opiera się na kompleksowym i bezpiecznym rozwiązaniu łączności przemysłowej, które wypełnia lukę pomiędzy środowiskami produkcyjnymi a usługami chmurowymi. Dzięki wykorzystaniu sprawdzonych technologii oraz wdrożeniu solidnych mechanizmów bezpieczeństwa usługa zapewnia łączność klasy korporacyjnej, dostosowaną specjalnie do systemów automatyki i sterowania przemysłowego.

Bezpieczeństwo klasy przemysłowej​

  • Integracja z AWS IoT Core zapewnia bezpieczne połączenia TLS z precyzyjnymi politykami kontroli dostępu.
  • Zgodność z najlepszymi praktykami bezpieczeństwa przemysłowego IoT, umożliwiająca administratorom ograniczanie dostępu na podstawie właściwości i kontekstu urządzenia.

Sprawdzona podstawa VPN​

  • Wykorzystuje SoftEther VPN, który zapewnia szyfrowanie AES 256-bit i RSA 4096-bit przy wysokiej przepustowości oraz niskim zużyciu pamięci i CPU.
  • Gwarantuje, że dane w tranzycie pozostają zabezpieczone przed podsłuchem i nieautoryzowanym dostępem, co jest idealne dla zastosowań przemysłowych, gdzie bezpieczeństwo i wydajność mają kluczowe znaczenie.

Dostęp sieciowy w modelu Zero-Trust​

  • Eliminuje konieczność stosowania tradycyjnych statycznych sieci VPN, ustanawiając połączenia na żądanie.
  • Ta architektura Point-to-Point zapewnia, że użytkownicy mają dostęp wyłącznie do konkretnie autoryzowanych urządzeń, a nie do całych segmentów sieci, co znacząco zmniejsza powierzchnię ataku.

Projekt przyjazny dla zakładu produkcyjnego​

  • Wszystkie połączenia inicjowane są z Gateway'a na zewnątrz, co nie wymaga żadnych przychodzących reguł zapory w środowisku produkcyjnym.
  • Takie podejście respektuje istniejące przemysłowe architektury bezpieczeństwa, zapewniając jednocześnie bezpieczny dostęp zdalny.

Architektura​

Węzły w sieci wirtualnej nazywane są Nodes i stanowią główne komponenty usługi Connectivity Service.
Każde połączenie powstaje w wyniku interakcji łańcucha węzłów, z których każdy pełni określoną rolę.

Urządzenia​

Zasoby przemysłowe zwykle znajdujące się w bezpiecznej sieci produkcyjnej, dostępne po adresie IP (np. PLC, panele HMI, roboty).

  • Urządzenia są deklarowane w Konsoli SDA dla każdego tenanta, a dostęp użytkowników jest zarządzany przez kontrolę dostępu opartą na rolach (RBAC).
  • Łączność wymaga, aby każde urządzenie było powiązane z co najmniej jednym Gatewayem sieciowym.

Gateway'e​

Hosty sieciowe z bezpiecznym dostępem do Internetu oraz do urządzeń zarządzanych w Konsoli SDA.

  • Zazwyczaj są to komputery przemysłowe (IPC), maszyny wirtualne, kontenery lub urządzenia Raspberry Pi, umieszczone w strefie zapory wymagającej określonych reguł dostępu do zasobów SDA Cloud, takich jak Tenant Servers.
  • Każdy Gateway uruchamia SDA Glue, czyli usługę systemu operacyjnego nasłuchującą żądań połączeń i dostarczającą dane telemetryczne.

Tenant Servers​

Hosty bastionowe działające w bezpiecznym środowisku SDA Cloud, dedykowane dla każdego tenanta.

  • Łączą interfejs sieciowy Gateway'a z maszyną wirtualną usługi SDA lub innym Gatewayem.
  • Gwarantują wymagane polityki filtrowania zapewniające wyłącznie połączenia Point-to-Point (np. z IDEaaS do konkretnego PLC, a nie do innych urządzeń w tej samej sieci).
  • Uwierzytelniają dostęp z Gateway'ów w oparciu o politykę rotacji poświadczeń dla każdego połączenia.

Maszyny wirtualne usług (Service VMs)​

Uruchamiają aplikacje potrzebne usługom SDA, takim jak IDEaaS, Backup i potoki wdrożeniowe.

  • Te maszyny wirtualne korzystają z usługi Connectivity Service, aby uzyskiwać dostęp do urządzeń w warstwie sieciowej po ich adresie IP, co jest niezbędne w zastosowaniach przemysłowych.

Chmura​

Zamiast korzystać z tradycyjnych statycznych sieci VPN, usługa SDA Connectivity Service ustanawia połączenia z zasobami przemysłowymi na podstawie żądań przekazywanych do łańcucha węzłów, które współdziałają, zapewniając dostęp sieciowy Point-to-Point pomiędzy usługami SDA a urządzeniami.

W przypadku sieci produkcyjnej wszystkie połączenia są inicjowane z Gateway'a, co nie wymaga żadnych reguł połączeń przychodzących w zakładzie. Aby to osiągnąć, węzły nieustannie nasłuchują przychodzących żądań na brokerze wiadomości IoT opartym na AWS IoT Core.

Taka architektura umożliwia użytkownikom pracę z zasobami w zakładzie z dowolnego miejsca z dostępem do Internetu, z dowolnego komputera, wyłącznie za pomocą przeglądarki.

Sieć​

Gateway to urządzenie brzegowe znajdujące się pomiędzy warstwą sterowania produkcją a Internetem, które zapewnia usługom SDA kontrolowany dostęp do zasobów zdefiniowanych w Konsoli.
Ważne jest skonsolidowanie architektury, która bezpiecznie łączy SDA Cloud z lokalną infrastrukturą.

Zalecamy jedną z dwóch proponowanych konfiguracji Gateway'a:

Gateway w sieci LAN​

Jest to najczęstsze podejście, w którym Gateway umieszczany jest obok sterowników PLC podłączanych do platformy SDA.

  • Zapora ściśle kontroluje połączenia wychodzące z Gateway'a do Internetu.
  • Gateway ma dostęp do podsieci, w której się znajduje, ale w routerze sieci może zostać wdrożona zapora pełniąca funkcję warstwy kontroli dostępu (ACL).
  • Powszechne jest stosowanie urządzenia Gateway z dwoma interfejsami sieciowymi: jednym skierowanym do DMZ, a drugim do warstwy sterowania.
  • Taka architektura umożliwia powtarzalne strefy IP (np. obie z podsiecią 10.0.0.0/24).

Gateway w DMZ​

To podejście jest często stosowane, gdy Gateway działa na dedykowanej maszynie wirtualnej w ramach infrastruktury serwerowej.

  • Zespół IT zapewnia specjalne trasy pomiędzy maszyną wirtualną a docelowymi sterownikami PLC w warstwie sterowania, przy czym zapory prawdopodobnie istnieją zarówno na ścieżkach dostępu do Internetu, jak i do OT.
  • Podczas komunikacji w dół, w kierunku sterowników PLC, może występować translacja adresów sieciowych (NAT).
    • Wymagana uwaga: niektóre oprogramowanie specyficzne dla producentów PLC może nie być zgodne z aliasowaniem adresów IP i musi łączyć się przy użyciu adresu IP skonfigurowanego w projekcie.
  • Każdy PLC w jednostce produkcyjnej musi mieć unikalny adres IP, aby uniknąć kolizji.
  • W zależności od infrastruktury sieciowej dostęp w warstwie 2 z Gateway'ów do sterowników PLC może nie działać — jest to nadchodząca funkcja integracji przemysłowych sieci czasu rzeczywistego z usługami SDA.

Oprogramowanie​

SDA Glue to aplikacja działająca jako usługa systemu operacyjnego, zapewniająca wysoką dostępność Gateway'a dzięki automatycznemu uruchamianiu i restartowaniu w przypadku błędów.

W celu ustanowienia tuneli sieciowych poprzez zarządzanie zasobami sieciowymi, takimi jak interfejsy, trasy i reguły zapory, wymaga podniesionych uprawnień jako użytkownik systemowy.

Automatyczne aktualizacje​

Automatyczne aktualizacje są domyślnie wyłączone i powinny zostać włączone albo w Konsoli SDA w sekcji konfiguracji Gateway'a, albo z poziomu CLI urządzenia poleceniem:

sdaglue config set --update.auto true

Usługa Glue odczyta najnowszą stabilną wersję z repository.eu1.sdaconsole.io i zastosuje aktualizację, gdy nie będzie aktywnych połączeń.

Mechanizm aktualizacji:

  • Pobiera nowy plik binarny aplikacji
  • Zastępuje nim stary
  • Restartuje usługę

Połączenie z AWS IoT Core​

AWS IoT Core zostanie połączone podczas logowania, z użyciem punktu końcowego iot.eu1.sdaconsole.io.

Po nawiązaniu połączenia usługa Glue będzie:

  • Stale nasłuchiwać żądań z SDA Cloud
  • Publikować dane telemetryczne, takie jak status urządzeń powiązanych z Gatewayem

Uwierzytelnianie IoT jest chronione przez:

  • Krótki identyfikator (short ID) oraz hasło jednorazowe (OTP) pobrane z Konsoli SDA
  • Klucz tajny osadzony w pliku binarnym aplikacji

Połączenie z IoT można skonfigurować do użycia:

  • MQTT SSL, lub
  • WebSocket Secure, oba na porcie 443

Różnice pomiędzy platformami​

Mechanizmy sieciowe różnią się dla systemów Linux i Windows.
Dlatego zostały opisane oddzielnie.

Linux​

SDA Glue w systemie Linux opiera się na SoftEther VPN Client, który jest oprogramowaniem open-source (Apache License 2.0) i jest instalowany z serwera lustrzanego SDA na repository.eu1.sdaconsole.io podczas instalacji Glue.

Dla każdego połączenia:

  • Glue używa klienta SoftEther do utworzenia interfejsu sieciowego NIC i połączenia go z Tenant Server.
  • Wykorzystuje narzędzia IP systemu Linux do przypisania adresu IP temu interfejsowi oraz utworzenia niezbędnych tras pomiędzy maszyną wirtualną usługi a urządzeniem docelowym.

Wewnętrzne reguły zapory i translacja NAT są tworzone w iptables, które:

  • Nie zezwalają na przychodzące pakiety sieciowe do Gateway'a
  • Jedynie przekazują pakiety do urządzenia docelowego

Windows​

SDA Glue w systemie Windows nie obsługuje wbudowanego wykorzystania SoftEther VPN Client.
Dlatego wykorzystuje OpenVPN Community Open-Source Client (licencja GPL w wersji 2), instalowany z serwera lustrzanego SDA na repository.eu1.sdaconsole.io podczas instalacji Glue.

Dla każdego połączenia:

  • Glue używa sterownika OpenVPN TAP do utworzenia interfejsu sieciowego i połączenia go z Tenant Server przy użyciu uwierzytelniania opartego na certyfikatach.
  • Wykorzystuje natywne API systemu Windows do przypisania adresu IP interfejsowi oraz utworzenia niezbędnych tras pomiędzy maszyną wirtualną usługi a urządzeniem docelowym.

Glue używa również Windows Filtering Platform (WFP) do tworzenia dedykowanych warstw i reguł zapory.
Zależy jednak od WinNAT (lub NetNat) w celu zadeklarowania translacji adresów pomiędzy maszyną wirtualną usługi a urządzeniem, co może nie być domyślnie włączone.

Podsumowanie ​

SDA Connectivity Service dostarcza dojrzałe, bezpieczne i skalowalne rozwiązanie wyzwań związanych z łącznością przemysłową.

Łącząc sprawdzone technologie open-source, takie jak SoftEther VPN, z infrastrukturą chmurową klasy korporacyjnej opartą na AWS IoT Core, usługa zapewnia niezawodność i bezpieczeństwo wymagane w operacjach przemysłowych, oferując jednocześnie elastyczność i łatwość obsługi oczekiwaną przez nowoczesne zespoły inżynierskie.

Architektura usługi respektuje zasady bezpieczeństwa przemysłowego, umożliwiając jednocześnie inicjatywy transformacji cyfrowej, które napędzają:

  • Efektywność operacyjną
  • Zdalną współpracę
  • Podejmowanie decyzji w oparciu o dane

Dla organizacji poszukujących sposobu na bezpieczne połączenie zasobów przemysłowych z usługami chmurowymi bez uszczerbku dla bezpieczeństwa sieci lub niezawodności operacyjnej, SDA Connectivity Service stanowi kompleksowe, gotowe do produkcji rozwiązanie.