Toegang tot afgeleë HMI sonder 'n openbare webluisteraar
Hou die HMI buite die openbare internet en bemiddel een goedgekeurde aksie deur 'n poort, 'n ingeskryfde bate-identiteit en 'n sessie wat jy op aanvraag kan herroep.
Om 'n masjien se statusbladsy in 'n blaaier-oortjie te wys, is nie dieselfde as om die toerusting daaragter te beheer nie. Die HMI moet privaat bly terwyl 'n klein, beleidsgebonde diens die een aksie bemiddel wat 'n gebruiker nodig het. Besluit oor die bewerking, die identiteit en die herroepingsroete voordat jy 'n produk kies. Vervoer is die maklike deel om te vervang; die magtigingsmodel is nie.
Kies die bewerking voor die vervoer
Om 'n statusbladsy te lees, 'n goedgekeurde verslag te trek en 'n stelpunt te verander, is drie verskillende versoeke. Die eerste kan met 'n lees-alleen-aansig bevredig word; die laaste raak toerustingtoestand en vereis die eienaar se uitdruklike goedkeuring, 'n onderhoudsvenster en plaaslike toesig. Om hulle onder afgeleë toegang te groepeer, verberg daardie verskil en lewer gewoonlik 'n breër roete as wat die taak vereis. Noem die bewerking, die rol wat dit mag uitvoer en die bewyse dat dit gebeur het.
Die vervoer volg dan uit die bewerking eerder as omgekeerd. 'n Lees-alleen-behoefte regverdig selde interaktiewe beheer, en interaktiewe beheer regverdig selde die blootstelling van die HMI se eie luisteraar. Sodra die bewerking neergeskryf is, word die toegangsmodel 'n besluit in plaas van 'n produkverstek.
Plaas die bemiddelaar voor een benoemde hulpbron
'n Hulpbronpoort verifieer die gebruiker, pas beleid toe en open 'n verbinding na een private diens. Die HMI hou sy luisteraar op die private netwerk en aanvaar nooit sessies van die internet nie. Die poort beëindig die geënkripteerde sessie, wat dit 'n gewone-teks-vertrouensgrens maak wat iemand moet administreer en monitor.
Daardie grens is die ontwerp, nie 'n neweproduk nie. Skryf neer waar enkripsie eindig, wie die poort se sleutels hou en watter span sy beleid kan verander.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Elke ry dra 'n ander foutmodus. 'n Poort hang af van sy beleid en sertifikaatketting, 'n terreinwerksstasie hang af van fisiese en plaaslike rekeningbeheer, en 'n uitgaande koppelaar hang daarvan af dat die bemiddelaar bereikbaar is. Kies die ry wat by die bewerking pas en dokumenteer dan die afhanklikheid wat dit invoer.
Adres is roetering, identiteit is magtiging
'n Tonneladres of 'n DNS-naam vertel die netwerk waarheen pakkette gestuur moet word; dit vertel nie die bemiddelaar watter masjien die gebruiker bedoel het nie. Skryf elke HMI of terreinkoppelaar in met 'n afsonderlike identiteit en bind daardie identiteit aan 'n voorraadrekord. Wanneer 'n adres verander, kies die identiteit steeds die regte bate. Wanneer 'n identiteit uit diens onttrek word, wys die voorraadinskrywing watter toegang verdwyn het.
Dinamiese DNS werk 'n rekord by en niks anders nie. Dit verskaf nóg gebruiker-magtiging nóg 'n roete deur elke stroomop-vertaler, en om dit as toegangsbeheer te behandel, is hoe 'n ou naam ná 'n buitestelling bly werk. 'n Ondersteunde uitgaande koppelaar vermy 'n nuwe ongevraagde inkomende roete, maar dit vereis steeds netwerk-eienaar-goedkeuring en 'n gedokumenteerde gedrag wanneer die bemiddelaar onbereikbaar is.
Beperk die sessie en bewys herroeping
Gee elke gebruiker 'n aparte identiteit, vereis multifaktor-verifikasie en verleen slegs die aksies wat die bewerking nodig het. Stel die onderhoudsvenster in die beleid eerder as in 'n kalendernota. Beskerm die geloofsbriewe en taakdata wat die sessie raak, en hou toegangsgebeurtenisse by sonder om onverwante gebruikeraktiwiteit in te samel.
Herroeping moet getoets word terwyl die sessie lewendig is. Verwyder die gebruiker se reg, beëindig die sessie by die bemiddelaar, en bevestig dat die HMI nie meer deur daardie roete bereikbaar is nie.
Oefen dan die fout wat die plan beweer te oorleef: stop die bemiddelaar of laat die tonnel val en verifieer dat plaaslike bedryf en herstel steeds werk. 'n Ontwerp wat net funksioneer terwyl die afgeleë roete gesond is, is nie 'n afgeleë-toegangsplan nie. Teken die datum, die operateur en die resultaat aan, want die volgende keurder sal om bewyse vra eerder as om bedoeling.