Prejsť na hlavný obsah

SDA Gateway

SDA Console, dostupná na adrese https://app.eu1.sdaconsole.io/, slúži ako centrálna platforma na správu pre vytváranie a spravovanie vašej infrastruktúry priemyselnej konektivity. Po dokončení procesu onboardingu účtu tenanta môžete začať konfigurovať topológiu svojej siete vytváraním Gatewayov a prepájaním priemyselných zariadení.

Proces nastavenia zahŕňa dva hlavné kroky: najprv deklarovanie konektivitného Gatewayu, ktorý bude slúžiť ako bezpečný most medzi vašou priemyselnou sieťou a službami SDA Cloud, a potom vytvorenie a prepojenie priemyselných zariadení (ako sú PLC, HMI a roboty), ku ktorým bude Gateway poskytovať prístup.

Súvisiace informácie o SDA Gatewayoch​

SDA Gateway hrá centrálnu úlohu v každom kvartálnom vydaní a slúži ako bezpečný most medzi lokálnymi priemyselnými sieťami a cloudovou platformou SDA. Ďalšie podrobnosti o tom, ako Gateway zapadá do celkového návrhu a nastavenia systému, nájdete v nasledujúcich informáciách

Prehľad​

Bezpečná služba priemyselnej konektivity prepájajúca výrobné siete s cloudovými službami prostredníctvom šifrovaných VPN tunelov. Služba SDA Connectivity Service sa opiera o SDA Glue, aplikáciu pre Gatewaye, dostupnú pre hostiteľské systémy Linux a Windows. Službu poháňa SoftEther VPN, ktorá na klientoch Windows podporuje OpenVPN, čím sa vytvára bezpečný TCP tunel medzi sieťovým rozhraním v Gatewayi a službami SDA Cloud, ako sú IDEaaS, Backup a Deployment VM.

Zároveň kombinuje natívne firewally operačného systému (Linux iptables a Windows Filtering Platform (WFP)) s NAT tabuľkou, aby prepojila softvér špecifický pre dodávateľa, ako Siemens TIA Portal a Rockwell Studio 5000, priamo so zariadením vo vrstve riadenia výroby.

Kľúčové body​

Správa priemyselných zariadení pomocou SDA je poháňaná komplexným a bezpečným riešením priemyselnej konektivity, ktoré preklenuje priepasť medzi výrobnými prostrediami a cloudovými službami. Využívaním overených technológií a implementáciou robustných bezpečnostných opatrení služba poskytuje konektivitu na podnikovej úrovni, prispôsobenú špeciálne pre priemyselnú automatizáciu a riadiace systémy.

Bezpečnosť na priemyselnej úrovni​

  • Integrácia s AWS IoT Core poskytuje bezpečné TLS spojenia s jemne granulovanými politikami riadenia prístupu.
  • Dodržiava najlepšie praktiky bezpečnosti priemyselného IoT a umožňuje administrátorom obmedziť prístup na základe vlastností a kontextu zariadenia.

Overený základ VPN​

  • Využíva SoftEther VPN, ktorá poskytuje šifrovanie AES 256-bit a RSA 4096-bit s vysokorýchlostnou priepustnosťou a nízkym využitím pamäte a CPU.
  • Zabezpečuje, že prenášané dáta zostávajú chránené pred odposluchom a neoprávneným prístupom, čo je ideálne pre priemyselné aplikácie, kde sú bezpečnosť a výkon kritické.

Sieťový prístup s nulovou dôverou (Zero-Trust)​

  • Eliminuje potrebu tradičných statických VPN vytváraním spojení na požiadanie.
  • Táto architektúra Point-to-Point zabezpečuje, že používatelia majú prístup iba k špecificky autorizovaným zariadeniam, nie k celým sieťovým segmentom, čo významne znižuje plochu na útok.

Návrh vhodný pre výrobné prostredie​

  • Všetky spojenia sú iniciované z Gatewayu smerom von, čo nevyžaduje žiadne prichádzajúce pravidlá firewallu vo výrobnom prostredí.
  • Tento návrh rešpektuje existujúce priemyselné bezpečnostné architektúry a zároveň poskytuje možnosti bezpečného vzdialeného prístupu.

Architektúra​

Účastníci vo virtuálnej sieti sa nazývajú Nodes a sú hlavnými komponentmi služby Connectivity Service.
Každé spojenie je vytvorené z interakcie reťazca Nodes, pričom každý má špecifickú úlohu.

Zariadenia​

Priemyselné zariadenia zvyčajne umiestnené vo výrobnej zabezpečenej sieti, ku ktorým je možné pristupovať prostredníctvom ich IP adresy (napr. PLC, HMI, roboty).

  • Zariadenia sa deklarujú v SDA Console pre každého tenanta a prístup používateľov sa spravuje pomocou riadenia prístupu na základe rolí (RBAC).
  • Konektivita vyžaduje, aby bolo každé zariadenie prepojené s aspoň jedným sieťovým Gatewayom.

Gatewaye​

Sieťoví hostitelia s bezpečným prístupom na internet a k zariadeniam spravovaným v SDA Console.

  • Typicky IPC, VM, kontejnery alebo Raspberry Pi umiestnené vo firewallovej zóne, ktorá vyžaduje špecifické pravidlá na prístup k zdrojom SDA Cloud, ako sú Tenant Servers.
  • Na každom Gatewayi beží SDA Glue, čo je služba operačného systému, ktorá načúva požiadavkám na spojenie a poskytuje telemetrické údaje.

Tenant Servers​

Bastion hostitelia bežiaci v bezpečnom prostredí SDA Cloud, dedikovaní pre každého tenanta.

  • Prepájajú sieťové rozhranie Gatewayu s SDA Service VM alebo iným Gatewayom.
  • Garantujú požadované filtrovacie politiky na zabezpečenie výlučne spojenia Point-to-Point (napr. z IDEaaS na konkrétne PLC a nie na iné zariadenia v tej istej sieti).
  • Autentifikujú prístup z Gatewayov na základe politiky rotácie prihlasovacích údajov pre každé spojenie.

Service VM​

Prevádzkujú aplikácie potrebné pre služby SDA, ako sú IDEaaS, Backup a Deployment Pipelines.

  • Tieto VM sa spoliehajú na Connectivity Service pri prístupe k zariadeniam na sieťovej vrstve prostredníctvom ich IP adresy, čo je pre priemyselné aplikácie nevyhnutné.

Cloud​

Namiesto použitia tradičných statických VPN služba SDA Connectivity Service vytvára spojenia k priemyselným zariadeniam na základe požiadaviek, ktoré sú preposielané reťazcu Nodes, ktoré spolupracujú na poskytovaní sieťového prístupu Point-to-Point medzi službami SDA a zariadeniami.

Pre výrobnú sieť sú všetky spojenia iniciované z Gatewayu, takže v závode nie sú potrebné žiadne pravidlá pre prichádzajúce spojenia. Aby to bolo možné, Nodes neustále načúvajú prichádzajúcim požiadavkám na IoT message brokeri poháňanom službou AWS IoT Core.

Táto architektúra umožňuje používateľom pracovať so zariadeniami v závode odkiaľkoľvek s prístupom na internet, z akéhokoľvek počítača, len s použitím prehliadača.

Sieť​

Gateway je hraničné zariadenie umiestnené medzi vrstvou riadenia výroby a internetom, ktoré poskytuje službám SDA kontrolovaný prístup k zariadeniam definovaným v Console.
Je dôležité vytvoriť architektúru, ktorá bezpečne prepája SDA Cloud s lokálnou infrastruktúrou.

Odporúčame jedno z dvoch navrhovaných nastavení Gatewayu, a to:

Gateway v LAN​

Toto je najbežnejší prístup, pri ktorom je Gateway umiestnený vedľa PLC, ktoré sú onboardované na platformu SDA.

  • Firewall striktne kontroluje odchádzajúce spojenia z Gatewayu na internet.
  • Gateway má prístup do podsiete, v ktorej sa nachádza, ale v routeri siete môže byť zavedený firewall ako vrstva riadenia prístupu (ACL).
  • Je bežné použiť Gateway zariadenie s dvoma sieťovými rozhraniami: jedno smerujúce do DMZ a druhé do vrstvy riadenia.
  • Táto architektúra umožňuje opakované IP zóny (napr. obe s podsieťou 10.0.0.0/24).

Gateway v DMZ​

Tento prístup sa často používa, keď Gateway beží v dedikovanom virtuálnom stroji v rámci serverovej infrastruktúry.

  • IT tím poskytuje špeciálne trasy medzi VM a cieľovými PLC vo vrstve riadenia, pričom firewally pravdepodobne existujú na prístupových cestách k internetu aj k OT.
  • Pri smerovaní nadol k PLC môže existovať preklad sieťových adries (NAT).
    • Vyžaduje pozornosť: niektorý softvér špecifický pre dodávateľa PLC nemusí byť kompatibilný s IP aliasingom a musí sa pripájať pomocou nakonfigurovanej projektovej IP adresy.
  • Každé PLC vo výrobnej jednotke musí mať jedinečnú IP adresu, aby sa zabránilo kolíziám.
  • V závislosti od sieťovej infrastruktúry nemusí fungovať prístup na vrstve 2 z Gatewayov k PLC — ide o pripravovanú funkciu pre integráciu priemyselných sietí v reálnom čase do služieb SDA.

Softvér​

SDA Glue je aplikácia, ktorá beží ako služba operačného systému a zabezpečuje vysokú dostupnosť Gatewayu s automatickým spustením a restartom v prípade chýb.

Na vytváranie sieťových tunelov prostredníctvom správy sieťových zdrojov, ako sú rozhrania, trasy a pravidlá firewallu, vyžaduje zvýšené oprávnenia systémového používateľa.

Automatické aktualizácie​

Automatické aktualizácie sú predvolene zakázané a je možné ich povoliť buď v SDA Console v sekcii konfigurácií Gatewayu, alebo z CLI zariadenia pomocou:

sdaglue config set --update.auto true

Služba Glue načíta najnovšiu stabilnú verziu z repository.eu1.sdaconsole.io a aplikuje aktualizáciu, keď nie sú žiadne aktívne spojenia.

Mechanizmus aktualizácie:

  • Stiahne nový binárny súbor aplikácie
  • Nahradí ho starým
  • Restartuje službu

Spojenie s AWS IoT Core​

AWS IoT Core bude pripojený počas prihlásenia pomocou endpointu iot.eu1.sdaconsole.io.

Po pripojení bude služba Glue:

  • Neustále načúvať požiadavkám z SDA Cloud
  • Publikovať telemetrické údaje, ako je stav zariadení priradených ku Gatewayu

IoT autentifikácia je chránená:

  • Krátkym ID a jednorazovým heslom (OTP) získaným z SDA Console
  • Tajným kľúčom vloženým v binárnom súbore aplikácie

Spojenie k IoT je možné nakonfigurovať na použitie:

  • MQTT SSL, alebo
  • WebSocket Secure, oboje na porte 443

Rozdiely medzi platformami​

Sieťové mechanizmy sa pre Linux a Windows líšia.
Preto sú popísané samostatne.

Linux​

SDA Glue na Linuxe sa opiera o SoftEther VPN Client, ktorý je open-source (Apache License 2.0) a počas inštalácie Glue sa inštaluje zo zrkadla SDA na repository.eu1.sdaconsole.io.

Pre každé spojenie:

  • Glue používa SoftEther Client na vytvorenie sieťového rozhrania NIC a jeho pripojenie k Tenant Serveru.
  • Používa Linux IP tools na priradenie IP adresy tomuto rozhraniu a vytvorenie potrebných trás medzi Service VM a cieľovým zariadením.

Interné pravidlá firewallu a preklad NAT sa vytvárajú v iptables, ktoré:

  • Nepovoľujú prichádzajúce sieťové pakety do Gatewayu
  • Preposielajú pakety iba na cieľové zariadenie

Windows​

SDA Glue na Windows nepodporuje vložené použitie SoftEther VPN Client.
Preto používa OpenVPN Community Open-Source Client (licencia GPL verzia 2), inštalovaný zo zrkadla SDA na repository.eu1.sdaconsole.io počas inštalácie Glue.

Pre každé spojenie:

  • Glue používa OpenVPN TAP driver na vytvorenie sieťového rozhrania a jeho pripojenie k Tenant Serveru pomocou autentifikácie na základe certifikátov.
  • Používa natívne Windows API na priradenie IP adresy rozhraniu a vytvorenie potrebných trás medzi Service VM a cieľovým zariadením.

Glue tiež používa Windows Filtering Platform (WFP) na vytvorenie dedikovaných vrstiev a pravidiel firewallu.
Na deklarovanie prekladu adries medzi Service VM a zariadením však závisí od WinNAT (alebo NetNat), ktorý nemusí byť predvolene povolený.

Súhrn ​

SDA Connectivity Service poskytuje vyspelé, bezpečné a škálovateľné riešenie výziev priemyselnej konektivity.

Kombináciou overených open-source technológií, ako je SoftEther VPN, s cloudovou infrastruktúrou podnikovej úrovne od AWS IoT Core služba poskytuje spoľahlivosť a bezpečnosť, ktoré priemyselné operácie vyžadujú, a zároveň ponúka flexibilitu a jednoduchosť použitia, akú očakávajú moderné inženierske tímy.

Architektúra služby rešpektuje princípy priemyselnej bezpečnosti a zároveň umožňuje iniciatívy digitálnej transformácie, ktoré podporujú:

  • Prevádzkovú efektivitu
  • Vzdialenú spoluprácu
  • Rozhodovanie založené na dátach

Pre organizácie, ktoré chcú bezpečne pripojiť svoje priemyselné zariadenia ku cloudovým službám bez kompromisov v oblasti sieťovej bezpečnosti alebo prevádzkovej spoľahlivosti, SDA Connectivity Service poskytuje komplexné riešenie pripravené na produkčné nasadenie.