การเข้าถึง HMI จากระยะไกลโดยไม่ต้องมีตัวรับฟังเว็บสาธารณะ
เก็บ HMI ไว้นอกอินเทอร์เน็ตสาธารณะ และส่งต่อการกระทำหนึ่งรายการที่ได้รับอนุมัติผ่านเกตเวย์ ตัวตนของสินทรัพย์ที่ลงทะเบียน และเซสชันที่คุณเพิกถอนได้ตามต้องการ
การแสดงหน้าสถานะของเครื่องจักรในแท็บเบราว์เซอร์ไม่เหมือนกับการควบคุมอุปกรณ์ที่อยู่เบื้องหลัง HMI ควรเป็นส่วนตัว ขณะที่บริการขนาดเล็กที่ผูกกับนโยบายทำหน้าที่ส่งต่อการกระทำหนึ่งรายการที่ผู้ใช้ต้องการ ตัดสินใจเรื่องการดำเนินการ ตัวตน และเส้นทางการเพิกถอนก่อนเลือกผลิตภัณฑ์ การขนส่งเป็นส่วนที่เปลี่ยนได้ง่าย ส่วนโมเดลการอนุญาตไม่ใช่
เลือกการดำเนินการก่อนการขนส่ง
การอ่านหน้าสถานะ การดึงรายงานที่อนุมัติแล้ว และการเปลี่ยนค่าที่ตั้งไว้เป็นคำขอที่แตกต่างกันสามแบบ แบบแรกตอบสนองได้ด้วยมุมมองแบบอ่านอย่างเดียว แบบสุดท้ายแตะสถานะของอุปกรณ์และต้องมีการอนุมัติอย่างชัดเจนจากเจ้าของ ช่วงเวลาบำรุงรักษา และการกำกับดูแลในพื้นที่ การจัดกลุ่มทั้งหมดไว้ใต้การเข้าถึงจากระยะไกลจะซ่อนความแตกต่างนั้นและมักสร้างเส้นทางที่กว้างกว่าที่งานต้องการ ระบุชื่อการดำเนินการ บทบาทที่ได้รับอนุญาตให้ทำ และหลักฐานว่าเกิดขึ้นจริง
จากนั้นการขนส่งจึงตามมาจากการดำเนินการ ไม่ใช่กลับกัน ความต้องการแบบอ่านอย่างเดียวแทบไม่เคยให้เหตุผลรองรับการควบคุมแบบโต้ตอบ และการควบคุมแบบโต้ตอบแทบไม่เคยให้เหตุผลรองรับการเปิดเผยตัวรับฟังของ HMI เอง เมื่อเขียนการดำเนินการลงไปแล้ว โมเดลการเข้าถึงก็กลายเป็นการตัดสินใจ ไม่ใช่ค่าเริ่มต้นของผลิตภัณฑ์
วางโบรกเกอร์ไว้หน้าทรัพยากรที่มีชื่อเดียว
เกตเวย์ทรัพยากรตรวจสอบตัวตนผู้ใช้ ใช้แนวนโยบาย และเปิดการเชื่อมต่อไปยังบริการส่วนตัวหนึ่งบริการ HMI เก็บตัวรับฟังไว้ในเครือข่ายส่วนตัวและไม่รับเซสชันจากอินเทอร์เน็ตเลย เกตเวย์ยุติเซสชันที่เข้ารหัส ซึ่งทำให้มันเป็นขอบเขตความไว้วางใจแบบข้อความธรรมดาที่มีคนต้องดูแลและตรวจสอบ
ขอบเขตนั้นคือการออกแบบ ไม่ใช่ผลข้างเคียง เขียนไว้ว่าการเข้ารหัสสิ้นสุดที่ใด ใครถือกุญแจของเกตเวย์ และทีมใดเปลี่ยนนโยบายได้
| Model | Where the session ends | Fits when |
|---|---|---|
| Browser gateway | At the broker, then a narrow proxy connection to one HMI service | Read-only pages and approved actions with per-user policy |
| Site engineering workstation | On a controlled host inside the site network | The tool needs local discovery or a legacy client |
| Outbound site connector | At the connector, brokered from outside | No new inbound path to the site is allowed |
แต่ละแถวมีโหมดความล้มเหลวต่างกัน เกตเวย์ขึ้นกับนโยบายและห่วงโซ่ใบรับรอง สถานีงานในพื้นที่ขึ้นกับการควบคุมทางกายภาพและบัญชีท้องถิ่น และตัวเชื่อมต่อขาออกขึ้นกับการเข้าถึงโบรกเกอร์ได้ เลือกแถวที่ตรงกับการดำเนินการ แล้วบันทึกการพึ่งพาที่มันนำเข้ามา
ที่อยู่คือการกำหนดเส้นทาง ตัวตนคือการอนุญาต
ที่อยู่ของอุโมงค์หรือชื่อ DNS บอกเครือข่ายว่าส่งแพ็กเก็ตไปที่ใด แต่ไม่ได้บอกโบรกเกอร์ว่าผู้ใช้หมายถึงเครื่องใด ลงทะเบียน HMI หรือตัวเชื่อมต่อของแต่ละไซต์ด้วยตัวตนที่แตกต่างกัน และผูกตัวตนนั้นกับบันทึกสินค้าคงคลัง เมื่อที่อยู่เปลี่ยน ตัวตนยังเลือกสินทรัพย์ที่ถูกต้อง เมื่อเลิกใช้ตัวตน บันทึกสินค้าคงคลังจะแสดงว่าการเข้าถึงใดหายไป
DNS แบบไดนามิกอัปเดตระเบียนหนึ่งรายการและไม่มีอะไรอื่น มันไม่ได้ให้การอนุญาตผู้ใช้หรือเส้นทางผ่านตัวแปลทุกตัวที่อยู่ต้นทาง และการปฏิบัติต่อมันเป็นการควบคุมการเข้าถึงคือวิธีที่ชื่อเก่ายังคงทำงานหลังการปลดระวาง ตัวเชื่อมต่อขาออกที่รองรับจะหลีกเลี่ยงเส้นทางขาเข้าใหม่ที่ไม่ได้รับเชิญ แต่ยังต้องมีการอนุมัติจากเจ้าของเครือข่ายและพฤติกรรมที่บันทึกไว้เมื่อเข้าถึงโบรกเกอร์ไม่ได้
กำหนดขอบเขตเซสชันและพิสูจน์การเพิกถอน
ให้ตัวตนแยกกับผู้ใช้แต่ละคน กำหนดให้มีการพิสูจน์ตัวตนหลายปัจจัย และให้สิทธิ์เฉพาะการกระทำที่การดำเนินการต้องการ ตั้งช่วงบำรุงรักษาไว้ในนโยบายไม่ใช่ในบันทึกปฏิทิน ปกป้องข้อมูลรับรองและข้อมูลงานที่เซสชันแตะต้อง และเก็บเหตุการณ์การเข้าถึงโดยไม่เก็บกิจกรรมผู้ใช้ที่ไม่เกี่ยวข้อง
ต้องทดสอบการเพิกถอนขณะเซสชันยังใช้งานอยู่ ถอนสิทธิ์ของผู้ใช้ ยุติเซสชันจากโบรกเกอร์ และ ยืนยันว่าไม่สามารถเข้าถึง HMI ผ่านเส้นทางนั้นได้อีก.
จากนั้นฝึกซ้อมความล้มเหลวที่แผนอ้างว่าจะรอดพ้น หยุดโบรกเกอร์หรือตัดอุโมงค์ และตรวจสอบว่าการปฏิบัติงานในพื้นที่และการกู้คืนยังทำงานได้ การออกแบบที่ทำงานได้เพียงขณะที่เส้นทางระยะไกลแข็งแรงไม่ใช่แผนการเข้าถึงจากระยะไกล บันทึกวันที่ ผู้ปฏิบัติงาน และผลลัพธ์ เพราะผู้ตรวจสอบคนถัดไปจะขอหลักฐานไม่ใช่เจตนา