Fjerntilgang til HMI uten en offentlig nettlytter

Å vise statussiden til en maskin i en nettleserfane er ikke det samme som å styre utstyret bak den. HMI-en bør forbli privat mens en liten, policybundet tjeneste formidler den ene handlingen en bruker trenger. Bestem operasjonen, identiteten og tilbakekallingsveien før du velger et produkt. Transport er den enkle delen å bytte ut; autorisasjonsmodellen er det ikke.

Velg operasjonen før transporten

Å lese en statusside, hente en godkjent rapport og endre et settpunkt er tre forskjellige forespørsler. Den første kan oppfylles med en skrivebeskyttet visning; den siste berører utstyrets tilstand og krever eierens uttrykkelige godkjenning, et vedlikeholdsvindu og lokal tilsyn. Å gruppere dem under fjerntilgang skjuler den forskjellen og gir vanligvis en bredere vei enn oppgaven krever. Navngi operasjonen, rollen som har lov til å utføre den, og beviset for at det skjedde.

Transporten følger deretter av operasjonen og ikke omvendt. Et skrivebeskyttet behov rettferdiggjør sjelden interaktiv kontroll, og interaktiv kontroll rettferdiggjør sjelden å eksponere HMI-ens egen lytter. Når operasjonen er skrevet ned, blir tilgangsmodellen en beslutning i stedet for en produktstandard.

Sett megleren foran én navngitt ressurs

En ressursgateway autentiserer brukeren, anvender policy og åpner en forbindelse til én privat tjeneste. HMI-en holder lytteren sin på det private nettverket og godtar aldri økter fra internettet. Gatewayen avslutter den krypterte økten, noe som gjør den til en klartekst-tillitsgrense som noen må administrere og overvåke.

Den grensen er designet, ikke en bivirkning. Skriv ned hvor krypteringen slutter, hvem som har gatewayens nøkler, og hvilket team som kan endre policyen.

Hver rad bærer en annen feilmodus. En gateway avhenger av policyen og sertifikatkjeden sin, en arbeidsstasjon på stedet av fysisk og lokal kontokontroll, og en utgående kobling av at megleren er tilgjengelig. Velg raden som passer operasjonen, og dokumenter deretter avhengigheten den innfører.

Adresse er ruting, identitet er autorisasjon

En tunneladresse eller et DNS-navn forteller nettverket hvor pakkene skal sendes; det forteller ikke megleren hvilken maskin brukeren mente. Registrer hver HMI eller stedskobling med en egen identitet og knytt identiteten til en lagerpost. Når en adresse endres, velger identiteten fortsatt riktig aktivum. Når en identitet trekkes tilbake, viser lagerposten hvilken tilgang som forsvant.

Dynamisk DNS oppdaterer en post og ingenting annet. Det gir verken brukerautorisasjon eller en rute gjennom hver oppstrøms oversetter, og å behandle det som tilgangskontroll er måten et gammelt navn fortsetter å virke etter en nedleggelse. En støttet utgående kobling unngår en ny uoppfordret inngående vei, men den trenger fortsatt nettverkseierens godkjenning og en dokumentert oppførsel når megleren ikke er tilgjengelig.

Begrens økten og bevis tilbakekallingen

Gi hver bruker en egen identitet, krev multifaktorautentisering og gi bare handlingene operasjonen trenger. Sett vedlikeholdsvinduet i policyen og ikke i et kalendernotat. Beskytt legitimasjonen og jobbdataene økten berører, og oppbevar tilgangshendelser uten å samle inn urelatert brukeraktivitet.

Tilbakekalling må testes mens økten er levende. Fjern brukerens rettighet, avslutt økten fra megleren, og bekreft at HMI-en ikke lenger er tilgjengelig via den veien.

Deretter øv på feilen planen hevder å overleve: stopp megleren eller kutt tunnelen og bekreft at lokal drift og gjenoppretting fortsatt virker. Et design som bare fungerer mens fjernveien er sunn, er ikke en fjerntilgangsplan. Noter datoen, operatøren og resultatet, fordi neste gjennomgåer vil be om bevis og ikke intensjon.