Acces de la distanță la HMI fără un ascultător web public
Țineți HMI-ul în afara internetului public și intermediați o singură acțiune aprobată printr-un gateway, o identitate de activ înregistrată și o sesiune pe care o puteți revoca la cerere.
A afișa pagina de stare a unei mașini într-o filă de browser nu este același lucru cu a controla echipamentul din spatele ei. HMI-ul ar trebui să rămână privat în timp ce un serviciu mic, legat de politici, intermediază singura acțiune de care are nevoie un utilizator. Decideți operația, identitatea și calea de revocare înainte de a alege un produs. Transportul este partea ușor de înlocuit; modelul de autorizare nu.
Alegeți operația înainte de transport
Citirea unei pagini de stare, extragerea unui raport aprobat și modificarea unei valori de referință sunt trei cereri diferite. Prima poate fi satisfăcută cu o vizualizare doar pentru citire; ultima atinge starea echipamentului și necesită aprobarea explicită a proprietarului, o fereastră de mentenanță și supraveghere locală. Gruparea lor sub acces la distanță ascunde această diferență și produce de obicei o cale mai largă decât cere sarcina. Numiți operația, rolul autorizat să o execute și dovada că s-a întâmplat.
Apoi transportul decurge din operație și nu invers. O nevoie doar pentru citire justifică rareori controlul interactiv, iar controlul interactiv justifică rareori expunerea ascultătorului propriu al HMI-ului. Odată ce operația este scrisă, modelul de acces devine o decizie și nu o valoare implicită a produsului.
Puneți intermediarul în fața unei singure resurse numite
Un gateway de resurse autentifică utilizatorul, aplică politica și deschide o conexiune către un singur serviciu privat. HMI-ul își ține ascultătorul în rețeaua privată și nu acceptă niciodată sesiuni din internet. Gateway-ul încheie sesiunea criptată, ceea ce îl face o frontieră de încredere în text simplu pe care cineva trebuie să o administreze și să o monitorizeze.
Acea frontieră este proiectul, nu un efect secundar. Notați unde se termină criptarea, cine deține cheile gateway-ului și ce echipă îi poate schimba politica.
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
Fiecare rând poartă un alt mod de eșec. Un gateway depinde de politica și de lanțul său de certificate, o stație de lucru din sit depinde de controlul fizic și de conturile locale, iar un conector de ieșire depinde de accesibilitatea intermediarului. Alegeți rândul care corespunde operației, apoi documentați dependența pe care o introduce.
Adresa este rutare, identitatea este autorizare
O adresă de tunel sau un nume DNS spune rețelei unde să trimită pachetele; nu îi spune intermediarului ce mașină a avut în vedere utilizatorul. Înregistrați fiecare HMI sau conector de sit cu o identitate distinctă și legați acea identitate de o înregistrare de inventar. Când se schimbă o adresă, identitatea selectează în continuare activul corect. Când o identitate este retrasă, intrarea din inventar arată ce acces a dispărut.
DNS-ul dinamic actualizează o înregistrare și nimic altceva. Nu oferă nici autorizare de utilizator, nici o rută prin fiecare traducător din amonte, iar tratarea lui ca control de acces este modul în care un nume vechi continuă să funcționeze după o scoatere din uz. Un conector de ieșire acceptat evită o nouă cale de intrare nesolicitată, dar are în continuare nevoie de aprobarea proprietarului rețelei și de un comportament documentat când intermediarul nu este accesibil.
Delimitați sesiunea și dovediți revocarea
Dați fiecărui utilizator o identitate separată, cereți autentificare multifactor și acordați doar acțiunile de care are nevoie operația. Stabiliți fereastra de mentenanță în politică și nu într-o notă de calendar. Protejați acreditările și datele de lucru pe care le atinge sesiunea și păstrați evenimentele de acces fără a colecta activitate nelegată a utilizatorilor.
Revocarea trebuie testată în timp ce sesiunea este activă. Retrageți dreptul utilizatorului, încheiați sesiunea din intermediar și confirmați că HMI-ul nu mai este accesibil pe acea cale.
Apoi exersați defecțiunea pe care planul susține că o supraviețuiește: opriți intermediarul sau tăiați tunelul și verificați că operarea locală și recuperarea încă funcționează. Un proiect care funcționează doar cât timp calea de la distanță este sănătoasă nu este un plan de acces la distanță. Înregistrați data, operatorul și rezultatul, pentru că următorul recenzent va cere dovezi, nu intenții.