Hoppa till huvudinnehåll

SDA Gateway

SDA Console, som är tillgänglig på https://app.eu1.sdaconsole.io/, fungerar som den centrala hanteringsplattformen för att skapa och hantera er industriella anslutningsinfrastruktur. När onboardingprocessen för tenant-kontot är slutförd kan ni börja konfigurera er nätverkstopologi genom att skapa Gateways och länka industriella enheter.

Installationsprocessen omfattar två huvudsteg: först deklareras en anslutnings-Gateway som fungerar som den säkra bryggan mellan ert industriella nätverk och SDA Cloud-tjänsterna, och därefter skapas och länkas de industriella enheterna (såsom PLC, HMI och robotar) som Gatewayen ska ge åtkomst till.

Relaterad information om SDA Gateways​

SDA Gateway har en central roll i varje kvartalsrelease och fungerar som den säkra bryggan mellan lokala industriella nätverk och SDA-molnplattformen. För mer information om hur Gatewayen passar in i den övergripande systemdesignen och installationen, se följande information

Översikt​

Säker industriell anslutningstjänst som bryggar tillverkningsnätverk med molntjänster via krypterade VPN-tunnlar. SDA Connectivity Service bygger på SDA Glue, applikationen för Gateways, som finns tillgänglig för Linux- och Windows-värdar. Tjänsten drivs av SoftEther VPN, som stöder OpenVPN på Windows-klienter och upprättar en säker TCP-tunnel mellan ett nätverksgränssnitt i Gatewayen och SDA:s molntjänster, såsom IDEaaS, Backup och Deployment-VM:ar.

Den kombinerar även operativsystemens inbyggda brandväggar (Linux iptables och Windows Filtering Platform (WFP)) med en NAT-tabell för att brygga leverantörsspecifik programvara, som Siemens TIA Portal och Rockwell Studio 5000, direkt med enheten i tillverkningens styrningsnivå.

Viktiga punkter​

Hanteringen av industriella tillgångar med SDA drivs av en omfattande och säker industriell anslutningslösning som överbryggar klyftan mellan tillverkningsmiljöer och molnbaserade tjänster. Genom att utnyttja beprövad teknik och implementera robusta säkerhetsåtgärder levererar tjänsten anslutning på företagsnivå, skräddarsydd specifikt för industriell automation och styrsystem.

Säkerhet på industriell nivå​

  • Integration med AWS IoT Core ger säkra TLS-anslutningar med finkorniga policyer för åtkomstkontroll.
  • Följer bästa praxis för säkerhet inom industriell IoT och gör det möjligt för administratörer att begränsa åtkomst baserat på enhetsegenskaper och kontext.

Beprövad VPN-grund​

  • Använder SoftEther VPN, som erbjuder AES 256-bitars och RSA 4096-bitars kryptering med höghastighetsprestanda och låg minnes- och CPU-användning.
  • Säkerställer att data under överföring förblir skyddade mot avlyssning och obehörig åtkomst, vilket är idealiskt för industriella tillämpningar där säkerhet och prestanda är kritiska.

Zero-Trust-nätverksåtkomst​

  • Eliminerar behovet av traditionella statiska VPN genom att upprätta anslutningar vid behov.
  • Denna Point-to-Point-arkitektur säkerställer att användare endast kan komma åt specifikt auktoriserade enheter, inte hela nätverkssegment, vilket avsevärt minskar attackytan.

Fabriksvänlig design​

  • Alla anslutningar initieras utåt från Gatewayen, vilket inte kräver några inkommande brandväggsregler i tillverkningsmiljön.
  • Denna design respekterar befintliga industriella säkerhetsarkitekturer samtidigt som den möjliggör säker fjärråtkomst.

Arkitektur​

Peers i ett virtuellt nätverk kallas Nodes och är huvudkomponenterna i Connectivity Service.
Varje anslutning byggs upp av samverkan mellan en kedja av Nodes, där varje nod har en specifik roll.

Enheter​

Industriella tillgångar som vanligtvis finns i det säkra tillverkningsnätverket och som kan nås via sin IP-adress (t.ex. PLC, HMI, robotar).

  • Enheter deklareras i SDA Console för varje Tenant och användaråtkomst hanteras med rollbaserad åtkomstkontroll (RBAC).
  • Anslutning kräver att varje enhet är länkad till minst en nätverks-Gateway.

Gateways​

Nätverksvärdar med säker åtkomst till internet och till de enheter som hanteras i SDA Console.

  • Vanligtvis IPC:er, VM:ar, containrar eller Raspberry Pi-enheter, placerade i en brandväggszon som kräver specifika regler för att komma åt SDA Cloud-resurser som Tenant Servers.
  • Varje Gateway kör SDA Glue, som är en OS-tjänst som lyssnar på anslutningsförfrågningar och tillhandahåller telemetridata.

Tenant Servers​

Bastion-värdar som körs i en säker SDA Cloud-miljö, dedikerade för varje Tenant.

  • Bryggar Gatewayens nätverksgränssnitt med en SDA Service VM eller en annan Gateway.
  • Garanterar nödvändiga filtreringspolicyer för att säkerställa endast Point-to-Point-anslutning (t.ex. från IDEaaS till en specifik PLC och inte till andra enheter i samma nätverk).
  • Autentiserar åtkomst från Gateways baserat på en policy för rotation av inloggningsuppgifter för varje anslutning.

Service-VM:ar​

Kör de applikationer som SDA-tjänsterna behöver, som IDEaaS, Backup och Deployment Pipelines.

  • Dessa VM:ar förlitar sig på Connectivity Service för att komma åt enheter på nätverksnivå via deras IP-adress, vilket är väsentligt för industriella tillämpningar.

Moln​

Istället för att använda traditionella statiska VPN upprättar SDA Connectivity Service anslutningar till industriella tillgångar utifrån förfrågningar som vidarebefordras till en kedja av Nodes som samverkar för att tillhandahålla Point-to-Point-nätverksåtkomst mellan SDA-tjänster och enheter.

För tillverkningsnätverket initieras alla anslutningar från Gatewayen, vilket inte kräver några regler för inkommande anslutningar i fabriken. För att uppnå detta lyssnar Nodes ständigt på en IoT-meddelandeförmedlare efter inkommande förfrågningar, driven av AWS IoT Core.

Denna arkitektur gör det möjligt för användare att interagera med tillgångar i fabriken från vilken plats som helst med internet, från vilken dator som helst, med endast en webbläsare som förutsättning.

Nätverk​

Gatewayen är en edge-enhet som placeras mellan tillverkningens styrningsnivå och internet, vilken ger SDA-tjänsterna kontrollerad åtkomst till tillgångar som definierats i Console.
Det är viktigt att konsolidera en arkitektur som på ett säkert sätt bryggar SDA Cloud med den lokala infrastrukturen.

Vi rekommenderar en av de två föreslagna uppsättningarna för Gatewayen, enligt följande:

Gateway i LAN​

Detta är den vanligaste metoden, där Gatewayen placeras intill de PLC:er som onboardas på SDA-plattformen.

  • En brandvägg kontrollerar strikt utgående anslutningar från Gatewayen till internet.
  • Gatewayen har åtkomst till det subnät där den är placerad, men en brandvägg kan tillhandahållas i nätverkets router som ett Access Control Layer (ACL).
  • Det är vanligt att använda en Gateway-enhet med två nätverksgränssnitt: ett som pekar mot DMZ och ett annat mot styrningsnivån.
  • Denna arkitektur tillåter upprepade IP-zoner (t.ex. båda med subnätet 10.0.0.0/24).

Gateway i DMZ​

Denna metod används ofta när Gatewayen körs i en dedikerad virtuell maskin inom serverinfrastrukturen.

  • IT-teamet tillhandahåller särskilda rutter mellan VM:en och mål-PLC:erna i styrningsnivån, där brandväggar sannolikt finns på både internet- och OT-åtkomstvägarna.
  • En Network Address Translation (NAT) kan finnas i riktning nedströms mot PLC:erna.
    • Observera: viss leverantörsspecifik PLC-programvara kan vara inkompatibel med IP-aliasing och måste ansluta med den konfigurerade projekt-IP-adressen.
  • Varje PLC i tillverkningsenheten måste ha en unik IP-adress för att undvika kollisioner.
  • Beroende på nätverksinfrastrukturen kan Layer 2-åtkomst från Gateways till PLC:er sakna funktion – detta är en kommande funktion för integration av realtidsbaserade industriella nätverk i SDA-tjänsterna.

Programvara​

SDA Glue är en applikation som körs som en OS-tjänst och säkerställer hög tillgänglighet för Gatewayen med automatiserad start och omstart vid fel.

För att upprätta nätverkstunnlarna genom att hantera nätverksresurser som gränssnitt, rutter och brandväggsregler krävs förhöjda rättigheter som systemanvändare.

Automatiska uppdateringar​

Automatiska uppdateringar är avaktiverade som standard och bör aktiveras antingen från SDA Console i avsnittet för Gateway-konfigurationer, eller från enhetens CLI med:

sdaglue config set --update.auto true

Glue-tjänsten läser den senaste stabila versionen från repository.eu1.sdaconsole.io och tillämpar uppdateringen när det inte finns några aktiva anslutningar.

Uppdateringsmekanismen:

  • Laddar ner den nya applikationsbinären
  • Ersätter den gamla med den nya
  • Startar om tjänsten

AWS IoT Core-anslutning​

AWS IoT Core ansluts vid inloggning, med hjälp av endpointen iot.eu1.sdaconsole.io.

När anslutningen är upprättad kommer Glue-tjänsten att:

  • Ständigt lyssna på förfrågningar från SDA Cloud
  • Publicera telemetridata såsom status för de enheter som är associerade med Gatewayen

IoT-autentisering skyddas av:

  • Ett kort ID och ett engångslösenord (OTP) som hämtas från SDA Console
  • En hemlig nyckel som är inbäddad i applikationsbinären

Anslutningen till IoT kan konfigureras att använda:

  • MQTT SSL, eller
  • WebSocket Secure, båda på port 443

Plattformsskillnader​

Nätverksmekanismerna skiljer sig mellan Linux och Windows.
Därför beskrivs de separat.

Linux​

SDA Glue på Linux förlitar sig på SoftEther VPN Client, som är öppen källkod (Apache License 2.0) och installeras från SDA:s spegel på repository.eu1.sdaconsole.io under installationen av Glue.

För varje anslutning:

  • Glue använder SoftEther Client för att skapa ett NIC-nätverksgränssnitt och ansluta det till Tenant Server.
  • Den använder Linux IP-verktyg för att tilldela en IP-adress till det gränssnittet och skapa de nödvändiga rutterna mellan Service VM och målenheten.

Interna brandväggsregler och NAT-översättning skapas i iptables, vilka:

  • Inte tillåter inkommande nätverkspaket till Gatewayen
  • Endast vidarebefordrar paket till målenheten

Windows​

SDA Glue på Windows stöder inte inbäddad användning av SoftEther VPN Client.
Därför används OpenVPN Community Open-Source Client (GPL-licens version 2), som installeras från SDA:s spegel på repository.eu1.sdaconsole.io under installationen av Glue.

För varje anslutning:

  • Glue använder OpenVPN TAP-drivrutinen för att skapa ett nätverksgränssnitt och ansluta det till Tenant Server med certifikatbaserad autentisering.
  • Den använder Windows inbyggda API för att tilldela en IP till gränssnittet och skapa de nödvändiga rutterna mellan Service VM och målenheten.

Glue använder också Windows Filtering Platform (WFP) för att skapa dedikerade lager och brandväggsregler.
Den är dock beroende av WinNAT (eller NetNat) för att deklarera adressöversättningen mellan Service VM och enheten, vilket kanske inte är aktiverat som standard.

Sammanfattning ​

SDA Connectivity Service levererar en mogen, säker och skalbar lösning på utmaningarna inom industriell anslutning.

Genom att kombinera beprövad teknik med öppen källkod som SoftEther VPN med molninfrastruktur på företagsnivå från AWS IoT Core ger tjänsten den tillförlitlighet och säkerhet som industriell verksamhet kräver, samtidigt som den erbjuder den flexibilitet och användarvänlighet som moderna ingenjörsteam förväntar sig.

Tjänstens arkitektur respekterar industriella säkerhetsprinciper samtidigt som den möjliggör initiativ för digital transformation som driver:

  • Operativ effektivitet
  • Samarbete på distans
  • Datadrivet beslutsfattande

För organisationer som söker att på ett säkert sätt ansluta sina industriella tillgångar till molntjänster utan att kompromissa med nätverkssäkerhet eller driftsäkerhet tillhandahåller SDA Connectivity Service en omfattande, produktionsklar lösning.