Systembeschreibung eurogard ServiceRouter V2 FW-Version 4.0

Transkript

1 Systembeschreibung eurogard ServiceRouter V2 FW-Version 4.0 eurogard GmbH, Januar 2011

2 1. Systembeschreibung Der Bedarf an sicheren Zugangslösungen für die Fernwartung und das Fernbetreiben von SPS-basierten Systemen über das Internet steigt stetig an. Steuerungen sind Ethernet fähig und Web-basierte Bedienoberflächen haben gegenüber klassischen B&B-Lösungen den Vorteil der globalen Zugänglichkeit. Vorrausetzung für die verbreitete Nutzung dieser Eigenschaften ist ein einfach zu handhabender und sicherer Zugang über das WWW. Die eurogard GmbH präsentiert ihren ServiceRouter jetzt in der zweiten Generation. Die seit 1995 gewonnene TeleService Kompetenz fließt in eine professionelle Internet-Lösung für die Industrie, die optimal auf SPS-Netze abgestimmt ist und deren Funktionalitäten sinnvoll erweitert. Der ServiceRouter V2 ist eine durchdachte Komplettlösung zur Fernwartung von Automatisierungsnetzen über das neue schnelle Internet. Wahlweise drahtgebunden per DSL oder drahtlos via UMTS-HSUPA mit bis zu 7,2 Mbit Bandbreite auf der Luftschnittstelle. Der SerciceRouter V2 kann sowohl VPN-Server, als auch VPN-Client sein. Damit sind verschiedene Netzstrukturen einfach realisierbar. Zum Betrieb größerer Service Netze bietet eurogard den Portalserver MAGNUM auf Basis eines Quadcore Rack-PC s an. Diese Lösung bietet genügend Bandbreite für viele VPN-Kanäle und ist die Basis für kundenspezifische Projekte mit besonderen Anforderungen, z.b. in Bezug auf differenzierte Zugangsstrategien einzelner Nutzer zu Clients oder IP-Bereiche im Servicenetz.

3 1.1. Systemübersicht: Standardlösung, Anlagenrouter ist VPN-Server Wie man in früheren Modemzeiten Punkt zu Punkt Verbindungen durch Wählen einer Telefon-Nummer aufgebaut hat, so wird in dieser Variante die Internet-basierte TeleService- Verbindung mittels VPN-Softwareclient auf dem PC des Nutzers hergestellt. Der ServiceRouter in der entfernten Anlage ist VPN-Server. Dazu muss er in das (Endkunden-) Ziel-Netz eingebunden werden und durch Portweiterleitung mindestens des VPN-Ports erreichbar sein. Hat das Zielnetz nur eine dynamische IP, ist ein Dienst wie DynDNS zur Aktualisierung der aktuellen IP notwendig. In der kostenlosen eurogard-teleservice Software SRconnect ist der VPN-Clint bereits eingebaut. Darüber hinaus werden Ihre Zertifikate verwaltet, die Zugriffszeiten für die spätere Rechnungsstellung gespeichert und die Verbindung zu den Anlagenroutern sicher via Mausklick aufbaut. Permanente Kommunikation zwischen den einzelnen Anlagen ist nicht möglich. Zusammenfassend: Einfache und sichere Punkt zu Punkt VPN-Verbindungen zu allen Anlagen Der ServiceRouter wird durch Portweiterleitung in das Anlagennetz eingebunden oder hat ein eigenes DSL-Modem Drahtloser (UMTS/HSDPA) Zugang ist nur auf der Benutzer-, nicht aber auf der Anlagen-Seite möglich Die Eurogard VPN-Client Software SRconnect macht den Verbindungsaufbau übersichtlich und einfach.

4 1.2. Systemübersicht: Client Netz mit zentralem ServiceRouter Server Die verteilten Anlagen werden mit ServiceRouter-Clients ausgerüstet. Der ServiceRouter Client baut die VPN-Verbindung zu einem ihm bekannten Server auf, überwacht sie und bildet mit anderen Clients ein gemeinsames Netz. Es wird ein gemeinsamer ServiceRouter Server (als Zentrale) benötigt. In diesem Netz ist Querverkehr der entfernten Anlagen untereinander möglich. Weiterhin können jetzt Anlagen per UMTS/HSDPA drahtlos angebunden werden. Da die Mobilfunknetze zum Internet hin über Firewalls abgeschottet sind, müssen die einzelnen Anlagenrouter als Clients auf einem Server außerhalb des Mobilfunknetzes im Internet zusammengeschaltet werden. Sie bilden mit dem Server ein gemeinsames, geschlossenes Netzwerk, um sowohl untereinander zu kommunizieren, als auch von einer beliebigen Anwendung im Servicenetz (Datenbank, Programmiergerät) erreichbar zu sein. Bei Verwendung des Portalservers MAGNUM werden die Anlagen in unterschiedlichen Kundennetzen organisiert, die untereinander getrennt sind. Ein gemeinsames Admin Netz ist möglich. Für weiter führende Informationen wenden Sie sich bitte an uns. Zusammenfassend: Die Einbindung der Router als Client im Zielnetz ist besonders einfach. Keine Portweiterleitung, lediglich eine IP mit Internetzugang ist notwendig Drahtlose Anbindung von Anlagen über UMTS-HSUPA bietet ausreichende Bandbreite und ist unkompliziert und preisweit möglich Preiswerter Einstieg mit einem ServiceRouter als zentralem VPN-Server. Hochrüstung und Einrichtung eines Servicenetzes ist mit dem Portalserver MAGNUM jederzeit möglich.

5 1.3. Funktionsübersicht und Konzept Der Aufbau der Firmware soll im folgenden Übersichtsschema verdeutlicht werden Zugangswege Der Router akzeptiert auf der WAN-Seite ausschließlich VPN- oder SSL-verschlüsselte Daten. Die Firewall ist für alle übrigen Ports gesperrt. Diese Sperre kann nicht aufgehoben werden. Beim WLAN-Zugang in Stellung Access Point kann lokal direkt mit dem SPS-Netz kommuniziert werden, um mobilen Einsatz von Programmiergeräten bei der Inbetriebnahme, oder den Einsatz von WLAN-Bediengeräten zu ermöglichen. Bei Geräten mit WLAN- Option, ist WPA2-Verschlüsselung zwingend eingeschaltet Zusatzfunktionen: Proxy-Server, Web-Server und Nutzer-Dateisystem Der Servicerouter bietet einen besonders sicheren Zugang für Bediener, die nur auf webbasierte Bedienoberflächen bestimmter Teilnehmer im SPS-Netz zugreifen sollen. Er nimmt Seitenaufrufe der Bediener entgegen holt die Inhalte aus dem SPS-Netz und spiegelt sie mit Hilfe eines Proxy s im Router. Dadurch hat diese Benutzergruppe keinen direkten Zugriff auf Netzteilnehmer. Der auf dem Router laufende Web-Server wird nicht nur zur Darstellung der Bedienoberfläche verwendet, sondern kann ebenso vom Kunden für seine eigenen HTML-Dokumente benutzt werden. Das integrierte Flash-Laufwerk für alle denkbaren Daten, mit Bediener-spezifischer Ordnerstruktur, rundet das umfassende Konzept ServiceRouter ab.

6 1.6. Voraussetzungen im Zielnetz (Endkunden-LAN) Betrieb als Server im Zielnetz Der ServiceRouterV2 muss durch die Weiterleitung der unten beschriebenen Ports eingebunden werden. Weiterhin muss er durch Aktualisierung seiner IP über DynDNS erreichbar sein. Alle genannten Port-Nummern sind wählbar. OPTIONAL: UDP 1194 Für die getunnelte Verbindung zum SPS-Netz (VPN) TCP 443 Zur Erreichung der Parametrieroberfläche (SSL) Nur zeitweise: TCP 22 für den Notfall-Support durch den Hersteller eurogard. Die Ports 443 und 22 können nach der Inbetriebnahme im Router gesperrt werden und müssen dann nicht mehr durchgeleitet werden. Da in der Regel die öffentliche IP unserer Kunden dynamisch ist, ist somit auch die öffentliche IP des ServiceRouters dynamisch. Um von extern auf den ServiceRouter zuzugreifen, muss über den Internetdienst DynDNS.com die lokale IP aktualisiert werde. Dazu muss der Router nach außen auf Port 80 kommunizieren können. Der Router benötigt Zugriff auf einen NTP-Uhrzeitserver zur Aktualisierung seiner Systemzeit. Steht kein interner NTP zur Verfügung, muss der Port 123 ausgehend zum Erreichen eines NTP s im Internet freigegeben werden. Die Batterie gepufferte Echtzeituhr des ServiceRouters überbrückt dabei Offline- Zeiten und macht den Router weiterhin erreichbar. Betrieb als Client im Zielnetz Wird der ServiceRouter V2 als Client im Zielnetz betrieben, entfällt die Portweiterleitung und damit auch manche Diskussion mit örtlichen IP-Administratoren. Der ServiceRouter V2 benötigt lediglich eine IP im Netz und einen Weg ins Internet, wie jeder andere PC in diesem Netz. Der Zugriff auf einen NTP-Server sollte möglich sein. Die Notwendigkeit von DynDNS besteht lediglich einmalig beim zentralen Server.