Отдалечен достъп до HMI без публичен уеб слушател
Дръжте HMI извън публичния интернет и прекарвайте едно одобрено действие през шлюз, регистрирана идентичност на актив и сесия, която можете да отмените при поискване.
Показването на страницата за състояние на машина в раздел на браузъра не е същото като управлението на оборудването зад нея. HMI трябва да остане частен, докато малка услуга, обвързана с политики, прекарва едното действие, от което потребителят се нуждае. Определете операцията, идентичността и пътя за отмяна, преди да изберете продукт. Транспортът е лесната част за подмяна; моделът на оторизация не е.
Изберете операцията преди транспорта
Четенето на страница за състояние, изтеглянето на одобрен отчет и промяната на зададена стойност са три различни заявки. Първата може да се удовлетвори с изглед само за четене; последната засяга състоянието на оборудването и изисква изричното одобрение на собственика, прозорец за поддръжка и локален надзор. Групирането им под отдалечен достъп скрива тази разлика и обикновено създава по-широк път, отколкото изисква задачата. Назовете операцията, ролята, на която е разрешено да я изпълни, и доказателството, че се е случила.
Тогава транспортът следва от операцията, а не обратното. Нуждата само за четене рядко оправдава интерактивно управление, а интерактивното управление рядко оправдава излагането на собствения слушател на HMI. След като операцията е записана, моделът на достъп става решение, а не фабрична настройка на продукт.
Поставете посредника пред един именуван ресурс
Шлюзът за ресурси удостоверява потребителя, прилага политика и отваря връзка към една частна услуга. HMI запазва слушателя си в частната мрежа и никога не приема сесии от интернет. Шлюзът прекратява криптираната сесия, което го прави граница на доверие с открит текст, която някой трябва да администрира и наблюдава.
Тази граница е дизайнът, а не страничен ефект. Запишете къде свършва криптирането, кой държи ключовете на шлюза и кой екип може да промени политиката му.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Всеки ред носи различен режим на отказ. Шлюзът зависи от своята политика и верига от сертификати, работната станция на обекта зависи от физически и локален контрол на акаунтите, а изходящият конектор зависи от достъпността на посредника. Изберете реда, който отговаря на операцията, след което документирайте зависимостта, която въвежда.
Адресът е маршрутизация, идентичността е оторизация
Адресът на тунела или DNS име казва на мрежата къде да изпраща пакети; той не казва на посредника коя машина е имал предвид потребителят. Регистрирайте всяко HMI или конектор на обект с отделна идентичност и обвържете тази идентичност със запис в инвентара. Когато адресът се промени, идентичността все още избира правилния актив. Когато идентичност бъде оттеглена, записът в инвентара показва какъв достъп е изчезнал.
Динамичният DNS обновява запис и нищо друго. Той не предоставя нито оторизация на потребителя, нито маршрут през всеки транслатор по веригата, а третирането му като контрол на достъпа е начинът, по който старо име продължава да работи след извеждане от експлоатация. Поддържан изходящ конектор избягва нов входящ път без заявка, но все още се нуждае от одобрение на собственика на мрежата и документирано поведение, когато посредникът е недостъпен.
Ограничете сесията и докажете отмяната
Дайте на всеки потребител отделна идентичност, изисквайте многофакторно удостоверяване и предоставяйте само действията, от които операцията се нуждае. Задайте прозореца за поддръжка в политиката, а не в бележка в календара. Защитете идентификационните данни и данните за работа, които сесията докосва, и запазвайте събитията за достъп, без да събирате несвързана активност на потребителите.
Отмяната трябва да се тества, докато сесията е активна. Отнемете правото на потребителя, прекратете сесията от посредника и потвърдете, че HMI вече не е достъпен през този път.
След това упражнете отказа, който планът твърди, че преживява: спрете посредника или прекъснете тунела и проверете дали локалната работа и възстановяването все още работят. Дизайн, който функционира само докато отдалеченият път е здрав, не е план за отдалечен достъп. Запишете датата, оператора и резултата, защото следващият оценител ще поиска доказателства, а не намерение.