Fora aliro al HMI sen publika reta aŭskultanto
Tenu la HMI ekster la publika interreto kaj peru unu aprobitan agon tra pordego, registrita identeco de aktivaĵo kaj sesio, kiun vi povas revoki laŭbezone.
Montri la statan paĝon de maŝino en retumila langeto ne samas kiel regi la ekipaĵon malantaŭ ĝi. La HMI devus resti privata, dum malgranda, politike ligita servo peras la unu agon, kiun uzanto bezonas. Decidu la operacion, la identecon kaj la revokan vojon antaŭ ol elekti produkton. Transporto estas la facila parto anstataŭigebla; la rajtiga modelo ne estas.
Elektu la operacion antaŭ la transporto
Legi statan paĝon, eltiri aprobitan raporton kaj ŝanĝi celvaloron estas tri malsamaj petoj. La unua kontentiĝas per nurlega vido; la lasta tuŝas la staton de la ekipaĵo kaj bezonas eksplicitan aprobon de la posedanto, prizorgan fenestron kaj lokan superrigardon. Grupigi ilin sub fora aliro kaŝas tiun diferencon kaj kutime kreas pli larĝan vojon ol la tasko postulas. Nomu la operacion, la rolon rajtigitan plenumi ĝin kaj la pruvon, ke ĝi okazis.
Poste la transporto sekvas el la operacio, ne inverse. Nurlega bezono malofte pravigas interagan regadon, kaj interaga regado malofte pravigas malkaŝi la propran aŭskultanton de la HMI. Unufoje la operacio estas skribita, la alirmodelo fariĝas decido anstataŭ produkta defaŭlto.
Metu la peranton antaŭ unu nomitan rimedon
Rimeda pordego aŭtentikigas la uzanton, aplikas politikon kaj malfermas konekton al unu privata servo. La HMI tenas sian aŭskultanton en la privata reto kaj neniam akceptas sesiojn el la interreto. La pordego finas la ĉifritan sesion, kio faras ĝin klarteksta fido-limo, kiun iu devas administri kaj observi.
Tiu limo estas la dezajno, ne flanka efiko. Skribu, kie ĉifrado finiĝas, kiu tenas la ŝlosilojn de la pordego kaj kiu teamo povas ŝanĝi ĝian politikon.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Ĉiu vico portas malsaman fiaskmanieron. Pordego dependas de sia politiko kaj atestila ĉeno, laborejo en la ejo dependas de fizika kaj loka konta kontrolo, kaj elira konektilo dependas de tio, ĉu la peranto atingeblas. Elektu la vicon kongruan kun la operacio, poste dokumentu la dependecon, kiun ĝi enkondukas.
Adreso estas enkursigado, identeco estas rajtigo
Tunela adreso aŭ DNS-nomo diras al la reto, kien sendi pakaĵojn; ĝi ne diras al la peranto, kiun maŝinon la uzanto intencis. Registru ĉiun HMI aŭ ejan konektilon kun aparta identeco kaj ligi tiun identecon al inventara rikordo. Kiam adreso ŝanĝiĝas, la identeco ankoraŭ elektas la ĝustan aktivaĵon. Kiam identeco estas retiriĝita, la inventara rikordo montras, kiu aliro malaperis.
Dinamika DNS ĝisdatigas rikordon kaj nenion alian. Ĝi donas nek uzantan rajtigon nek vojon tra ĉiu supra tradukilo, kaj trakti ĝin kiel alirkontrolon estas la maniero, kiel malnova nomo daŭre funkcias post malmuntado. Subtenata elira konektilo evitas novan nepetitan envenan vojon, sed ĝi ankoraŭ bezonas aprobon de la retposedanto kaj dokumentitan konduton, kiam la peranto neatingeblas.
Limigu la sesion kaj pruvu revokon
Donu al ĉiu uzanto apartan identecon, postulu pluroblan aŭtentikigon kaj donu nur la agojn, kiujn la operacio bezonas. Starigu la prizorgan fenestron en la politiko, ne en kalendara noto. Protektu la akreditaĵojn kaj laborajn datumojn, kiujn la sesio tuŝas, kaj konservu alirajn eventojn sen kolekti nerilatan uzantan agadon.
Revoko devas esti testita dum la sesio estas viva. Forigu la rajton de la uzanto, finu la sesion ĉe la peranto, kaj konfirmu, ke la HMI ne plu atingeblas tra tiu vojo.
Poste ekzercu la fiaskon, kiun la plano asertas postvivi: haltigu la peranton aŭ interrompu la tunelon kaj kontrolu, ĉu loka funkciado kaj restaŭro ankoraŭ funkcias. Dezajno, kiu funkcias nur dum la fora vojo estas sana, ne estas fora-alira plano. Notu la daton, la operatoron kaj la rezulton, ĉar la sekva revizianto petos pruvojn, ne intencojn.