Fjernadgang til HMI uden en offentlig weblytter

At vise en maskines statusside i en browservane er ikke det samme som at styre udstyret bag den. HMI'en bør forblive privat, mens en lille, politikbundet tjeneste mægler den ene handling, en bruger har brug for. Beslut operationen, identiteten og tilbagekaldelsesvejen, før du vælger et produkt. Transport er den nemme del at udskifte; autorisationsmodellen er ikke.

Vælg operationen før transporten

At læse en statusside, hente en godkendt rapport og ændre et setpunkt er tre forskellige anmodninger. Den første kan opfyldes med en skrivebeskyttet visning; den sidste rører udstyrets tilstand og kræver ejerens udtrykkelige godkendelse, et vedligeholdelsesvindue og lokalt tilsyn. At gruppere dem under fjernadgang skjuler den forskel og giver normalt en bredere vej, end opgaven kræver. Navngiv operationen, den rolle, der må udføre den, og beviset for, at det skete.

Transporten følger derefter af operationen og ikke omvendt. Et skrivebeskyttet behov retfærdiggør sjældent interaktiv kontrol, og interaktiv kontrol retfærdiggør sjældent at blotlægge HMI'ens egen lytter. Når operationen er skrevet ned, bliver adgangsmodellen en beslutning i stedet for en produktstandard.

Sæt mægleren foran én navngivet ressource

En ressourcegateway autentificerer brugeren, anvender politik og åbner en forbindelse til én privat tjeneste. HMI'en holder sin lytter på det private netværk og accepterer aldrig sessioner fra internettet. Gatewayen afslutter den krypterede session, hvilket gør den til en klartekst-tillidsgrænse, som nogen skal administrere og overvåge.

Den grænse er designet, ikke en bivirkning. Skriv ned, hvor krypteringen slutter, hvem der har gatewayens nøgler, og hvilket team der kan ændre dens politik.

Hver række bærer en forskellig fejltilstand. En gateway afhænger af sin politik og certifikatkæde, en arbejdsstation på stedet afhænger af fysisk og lokal kontokontrol, og en udgående connector afhænger af, at mægleren er tilgængelig. Vælg den række, der passer til operationen, og dokumentér derefter den afhængighed, den indfører.

Adresse er routing, identitet er autorisation

En tunneladresse eller et DNS-navn fortæller netværket, hvor pakker skal sendes hen; det fortæller ikke mægleren, hvilken maskine brugeren mente. Registrér hver HMI eller stedconnector med en særskilt identitet, og bind den identitet til en lagerpost. Når en adresse ændrer sig, vælger identiteten stadig det rigtige aktiv. Når en identitet nedlægges, viser lagerposten, hvilken adgang der forsvandt.

Dynamisk DNS opdaterer en post og intet andet. Det giver hverken brugergodkendelse eller en rute gennem hver oversætter længere oppe, og at behandle det som adgangskontrol er måden, hvorpå et gammelt navn bliver ved med at virke efter en nedlukning. En understøttet udgående connector undgår en ny uopfordret indgående vej, men den kræver stadig netværksejerens godkendelse og en dokumenteret adfærd, når mægleren ikke kan nås.

Afgræns sessionen og bevis tilbagekaldelse

Giv hver bruger en separat identitet, kræv multifaktorautentificering, og tildel kun de handlinger, operationen har brug for. Sæt vedligeholdelsesvinduet i politikken i stedet for i en kalendernote. Beskyt de legitimationsoplysninger og jobdata, sessionen berører, og opbevar adgangshændelser uden at indsamle uvedkommende brugeraktivitet.

Tilbagekaldelse skal testes, mens sessionen er aktiv. Fjern brugerens rettighed, afslut sessionen fra mægleren, og bekræft, at HMI'en ikke længere kan nås ad den vej.

Afprøv derefter den fejl, som planen hævder at overleve: stop mægleren eller afbryd tunnelen, og verificér, at lokal drift og gendannelse stadig virker. Et design, der kun fungerer, mens fjernvejen er sund, er ikke en fjernadgangsplan. Notér datoen, operatøren og resultatet, for den næste anmelder vil bede om bevis i stedet for hensigt.