Pular para o conteúdo principal

SDA Gateway

O SDA Console, acessível em https://app.eu1.sdaconsole.io/, funciona como a plataforma central de gestão para criar e gerir a sua infraestrutura de conectividade industrial. Após concluir o processo de onboarding da conta do tenant, pode começar a configurar a sua topologia de rede criando Gateways e associando dispositivos industriais.

O processo de configuração envolve dois passos principais: primeiro, declarar um Gateway de conectividade que servirá de ponte segura entre a sua rede industrial e os serviços da SDA Cloud e, em seguida, criar e associar os dispositivos industriais (como PLCs, HMIs e robôs) aos quais o Gateway dará acesso.

Informação relacionada sobre SDA Gateways​

O SDA Gateway desempenha um papel central em cada release trimestral, servindo de ponte segura entre as redes industriais on-premise e a plataforma cloud SDA. Para mais detalhes sobre como o Gateway se enquadra na conceção e configuração global do sistema, consulte a informação seguinte

Visão geral​

Serviço de conectividade industrial segura que liga redes de produção a serviços cloud através de túneis VPN encriptados. O SDA Connectivity Service assenta no SDA Glue, a aplicação para Gateways, disponível para hosts Linux e Windows. O serviço é suportado por SoftEther VPN, que suporta OpenVPN em clientes Windows, estabelecendo um túnel TCP seguro entre uma interface de rede no Gateway e os serviços da SDA Cloud, tais como IDEaaS, Backup e VMs de Deployment.

Combina também firewalls nativas do SO (iptables no Linux e Windows Filtering Platform (WFP)) com uma tabela NAT para ligar software específico de fabricantes, como o Siemens TIA Portal e o Rockwell Studio 5000, diretamente ao dispositivo na camada de controlo de produção.

Pontos-chave​

A gestão de ativos industriais com SDA é suportada por uma solução de conectividade industrial abrangente e segura, que colmata a lacuna entre os ambientes de produção e os serviços baseados na cloud. Ao tirar partido de tecnologias comprovadas e implementar medidas de segurança robustas, o serviço proporciona conectividade de nível empresarial, adaptada especificamente a sistemas de automação e controlo industrial.

Segurança de nível industrial​

  • A integração com o AWS IoT Core proporciona ligações TLS seguras com políticas de controlo de acesso granulares.
  • Segue as melhores práticas de segurança de IoT industrial, permitindo que os administradores restrinjam o acesso com base nas propriedades e no contexto dos dispositivos.

Base VPN comprovada​

  • Utiliza SoftEther VPN, que proporciona encriptação AES de 256 bits e RSA de 4096 bits com débito de alta velocidade e baixa utilização de memória e CPU.
  • Garante que os dados em trânsito permanecem protegidos contra interceção e acessos não autorizados, sendo ideal para aplicações industriais em que a segurança e o desempenho são críticos.

Acesso à rede Zero-Trust​

  • Elimina a necessidade de VPNs estáticas tradicionais, estabelecendo ligações a pedido.
  • Esta arquitetura Point-to-Point garante que os utilizadores apenas acedem a dispositivos especificamente autorizados, e não a segmentos de rede inteiros, reduzindo significativamente a superfície de ataque.

Conceção adequada ao ambiente fabril​

  • Todas as ligações são iniciadas a partir do Gateway para o exterior, não exigindo regras de firewall de entrada no ambiente de produção.
  • Esta conceção respeita as arquiteturas de segurança industriais existentes, proporcionando simultaneamente capacidades de acesso remoto seguro.

Arquitetura​

Os pares numa rede virtual designam-se por Nodes, os principais componentes do Connectivity Service.
Cada ligação é construída a partir da interação de uma cadeia de Nodes, cada um com uma função específica.

Devices​

Ativos industriais normalmente localizados na rede segura de produção, que podem ser acedidos pelo seu endereço IP (por exemplo, PLCs, HMIs, robôs).

  • Os Devices são declarados no SDA Console para cada Tenant e o acesso dos utilizadores é gerido por Role-Based Access Control (RBAC).
  • A conectividade exige que cada Device esteja associado a, pelo menos, um Gateway de rede.

Gateways​

Hosts de rede com acesso seguro à Internet e aos Devices geridos no SDA Console.

  • Tipicamente IPCs, VMs, contentores ou Raspberry Pis, localizados numa zona de firewall que requer regras específicas para aceder a recursos da SDA Cloud, como os Tenant Servers.
  • Cada Gateway executa o SDA Glue, um serviço do SO que escuta pedidos de ligação e fornece dados de telemetria.

Tenant Servers​

Hosts bastion em execução num ambiente seguro da SDA Cloud, dedicados a cada Tenant.

  • Ligam a interface de rede do Gateway a uma Service VM do SDA ou a outro Gateway.
  • Garantem as políticas de filtragem necessárias para assegurar apenas ligações Point-to-Point (por exemplo, do IDEaaS para um PLC específico e não para outros dispositivos na mesma rede).
  • Autenticam o acesso a partir dos Gateways com base numa política de rotação de credenciais para cada ligação.

Service VMs​

Executam as aplicações necessárias aos Serviços SDA, como IDEaaS, Backup e Deployment Pipelines.

  • Estas VMs dependem do Connectivity Service para aceder aos Devices na camada de rede através do respetivo endereço IP, o que é essencial para aplicações industriais.

Cloud​

Em vez de utilizar VPNs estáticas tradicionais, o SDA Connectivity Service estabelece ligações a ativos industriais mediante pedidos que são encaminhados para uma cadeia de Nodes que operam em conjunto para proporcionar acesso de rede Point-to-Point entre os Serviços SDA e os Devices.

Para a rede de produção, todas as ligações são iniciadas a partir do Gateway, não exigindo regras de ligação de entrada na fábrica. Para tal, os Nodes escutam constantemente pedidos recebidos num message broker IoT, suportado pelo AWS IoT Core.

Esta arquitetura permite que os utilizadores interajam com os ativos da fábrica a partir de qualquer lugar com Internet, a partir de qualquer computador, dependendo apenas de um browser.

Rede​

O Gateway é um dispositivo edge situado entre a camada de controlo de produção e a Internet, que proporciona aos serviços SDA acesso controlado aos ativos definidos no Console.
É importante consolidar uma arquitetura que ligue de forma segura a SDA Cloud à infraestrutura local.

Recomendamos uma das duas configurações propostas para o Gateway, conforme se segue:

Gateway na LAN​

Esta é a abordagem mais comum, na qual o Gateway é colocado junto aos PLCs que são integrados na plataforma SDA.

  • Uma firewall controla rigorosamente as ligações de saída do Gateway para a Internet.
  • O Gateway tem acesso à sub-rede onde está localizado, mas pode ser provisionada uma firewall no router da rede como Access Control Layer (ACL).
  • É comum utilizar um dispositivo Gateway com duas interfaces de rede: uma apontando para a DMZ e outra para a camada de controlo.
  • Esta arquitetura permite zonas de IP repetidas (por exemplo, ambas com a sub-rede 10.0.0.0/24).

Gateway na DMZ​

Esta abordagem é frequentemente utilizada quando o Gateway é executado numa Máquina Virtual dedicada dentro da infraestrutura de servidores.

  • A equipa de TI disponibiliza rotas especiais entre a VM e os PLCs de destino na camada de controlo, existindo provavelmente firewalls tanto nos caminhos de acesso à Internet como à OT.
  • Pode existir uma Network Address Translation (NAT) no percurso descendente para os PLCs.
    • Atenção: algum software específico de fabricantes de PLC pode não ser compatível com IP aliasing e tem de se ligar utilizando o IP configurado no projeto.
  • Cada PLC na unidade de produção deve ter um endereço IP único para evitar colisões.
  • Dependendo da infraestrutura de rede, o acesso de Layer 2 dos Gateways aos PLCs pode não funcionar — esta é uma funcionalidade futura para a integração de Redes Industriais em Tempo Real nos serviços SDA.

Software​

O SDA Glue é uma aplicação que corre como serviço do SO, garantindo alta disponibilidade do Gateway com arranque automático e reinício em caso de erros.

Para estabelecer os túneis de rede através da gestão de recursos de rede como interfaces, rotas e regras de firewall, requer elevação como utilizador de sistema.

Atualizações automáticas​

As atualizações automáticas estão desativadas por predefinição e devem ser ativadas a partir do SDA Console, na secção de configurações do Gateway, ou a partir da CLI do dispositivo com:

sdaglue config set --update.auto true

O serviço Glue irá ler a versão estável mais recente em repository.eu1.sdaconsole.io e aplicar a atualização assim que não existirem ligações ativas.

O mecanismo de atualização:

  • Descarrega o novo binário da aplicação
  • Substitui o antigo
  • Reinicia o serviço

Ligação ao AWS IoT Core​

O AWS IoT Core será ligado durante o login, utilizando o endpoint iot.eu1.sdaconsole.io.

Uma vez ligado, o serviço Glue irá:

  • Escutar continuamente pedidos da SDA Cloud
  • Publicar dados de telemetria, como o estado dos Devices associados ao Gateway

A autenticação IoT é protegida por:

  • Um short ID e uma one-time password (OTP) obtidos no SDA Console
  • Uma chave secreta incorporada no binário da aplicação

A ligação ao IoT pode ser configurada para utilizar:

  • MQTT SSL, ou
  • WebSocket Secure, ambos na porta 443

Diferenças entre plataformas​

Os mecanismos de rede são diferentes para Linux e Windows.
Por isso, são descritos separadamente.

Linux​

O SDA Glue em Linux assenta no SoftEther VPN Client, que é open-source (Apache License 2.0) e é instalado a partir do mirror da SDA em repository.eu1.sdaconsole.io durante a instalação do Glue.

Para cada ligação:

  • O Glue utiliza o SoftEther Client para criar uma interface de rede NIC e ligá-la ao Tenant Server.
  • Utiliza as ferramentas IP do Linux para atribuir um endereço IP a essa interface e criar as rotas necessárias entre a Service VM e o Device de destino.

As regras internas de firewall e a tradução NAT são criadas em iptables, que:

  • Não permitem pacotes de rede de entrada no Gateway
  • Apenas encaminham pacotes para o Device de destino

Windows​

O SDA Glue em Windows não suporta a utilização incorporada do SoftEther VPN Client.
Por isso, utiliza o OpenVPN Community Open-Source Client (licença GPL versão 2), instalado a partir do mirror da SDA em repository.eu1.sdaconsole.io durante a instalação do Glue.

Para cada ligação:

  • O Glue utiliza o driver TAP do OpenVPN para criar uma interface de rede e ligá-la ao Tenant Server utilizando autenticação baseada em certificados.
  • Utiliza a API nativa do Windows para atribuir um IP à interface e criar as rotas necessárias entre a Service VM e o Device de destino.

O Glue utiliza também a Windows Filtering Platform (WFP) para criar camadas dedicadas e regras de firewall.
No entanto, depende do WinNAT (ou NetNat) para declarar a tradução de endereços entre a Service VM e o Device, o que pode não estar ativado por predefinição.

Resumo ​

O SDA Connectivity Service oferece uma solução madura, segura e escalável para os desafios da conectividade industrial.

Ao combinar tecnologias open-source comprovadas, como o SoftEther VPN, com infraestrutura cloud de nível empresarial do AWS IoT Core, o serviço proporciona a fiabilidade e a segurança exigidas pelas operações industriais, oferecendo simultaneamente a flexibilidade e a facilidade de utilização que as equipas de engenharia modernas esperam.

A arquitetura do serviço respeita os princípios de segurança industrial, viabilizando ao mesmo tempo iniciativas de transformação digital que impulsionam:

  • Eficiência operacional
  • Colaboração remota
  • Tomada de decisão baseada em dados

Para organizações que procuram ligar de forma segura os seus ativos industriais a serviços cloud sem comprometer a segurança de rede ou a fiabilidade operacional, o SDA Connectivity Service oferece uma solução abrangente e pronta para produção.