Industriële apparatuur achter NAT is vaak bereikbaar zonder vaste portforwarding. Plaats hiervoor een beheerde connector of gateway bij de apparatuur. Deze start een uitgaande sessie naar een broker, relay of privaat overlaynetwerk. De externe gebruiker meldt zich aan bij de toegangsdienst en krijgt alleen toegang tot een toegestaan doel. Een vaste inkomende vertaalregel is dan niet nodig. Uitgaand verkeer beperken, het netwerk segmenteren, protocollen testen en gedrag bij storingen vastleggen blijft wel nodig.
Bepaal het benodigde doel: een web-HMI, een werkstation voor extern bureaublad, een SSH-dienst of een specifiek industrieel protocoleindpunt. Geef de connector lokaal toegang tot die bron. Controleer dat de gebruiker geen andere apparaten kan bereiken.
Waarom bemoeilijkt NAT inkomende industriële toegang?
Network Address Translation laat meerdere private adressen via één of meer publieke adressen communiceren. Start een intern apparaat een verbinding, dan legt het NAT-apparaat de koppeling met een extern adres en poort vast. Voor ongevraagd inkomend verkeer bestaat die koppeling niet. Daarvoor is een vaste toewijzing, een mechanisme om NAT te passeren of een blijvende uitgaande applicatiesessie nodig.
NAT werkt niet op elk apparaat hetzelfde. De geldigheidsduur van koppelingen, filters, UDP-verwerking, poortbehoud en gedrag bij meerdere lagen kunnen verschillen. RFC 4787 van de IETF beschrijft termen en gedragseisen voor unicast UDP NAT. Op een industriële locatie kunnen ook carrier-grade NAT, stateful firewalls, expliciete webproxy's, DNS-filters, TLS-inspectie en mobiele verbindingen met wisselende publieke adressen voorkomen.
Daarom is ‘werkt achter NAT’ geen voldoende acceptatiecriterium. De oplossing moet werken met NAT en beveiligingsmaatregelen van de locatie. Gebruik daarbij precies het transport en de herstelprocedure die het beheerteam kan ondersteunen.
Hoe werkt toegang via een uitgaande verbinding?
De component op locatie start een toegestane uitgaande verbinding en houdt de toestand bij voor toegestaan retourverkeer. De externe client maakt verbinding met een bekende dienst, bewijst zijn identiteit en vraagt een doel aan. De dienst brengt beide kanten bij elkaar of geeft het verkeer door. Het product kan hiervoor een broker, relay, peer-to-peer-overlay, applicatieproxy of een combinatie gebruiken.
| Opzet | Gedrag op locatie | Toegang voor externe gebruikers | Belangrijk controlepunt |
|---|---|---|---|
| Applicatieproxy met broker | De connector houdt een uitgaande besturings- of dataverbinding open | Toegang tot een specifieke webapp, desktop, SSH-host of dienst | Ondersteunde protocollen, vertrouwensgrens van de proxy en wat de broker kan inzien |
| Omgekeerde tunnel via een relay | De gateway opent een uitgaande tunnel naar een relay | Een toegewezen verbinding naar één lokaal doel | Bestemmingsbeperkingen, relaybeveiliging, tunnelduur en omgang met inloggegevens |
| Privaat overlay- of meshnetwerk | Het knooppunt op locatie meldt zich aan bij een virtueel netwerk | Routes of dienstidentiteiten binnen het overlaynetwerk | Bereik van routes, toestemming voor peers, terugvalopties voor NAT en beperking van laterale beweging |
| Uitgaande agent voor extern bureaublad | Een beheerd werkstation maakt verbinding met een ontmoetingsdienst | Toegang tot beeldscherm en invoer van dat werkstation | Lokale rechten, bestands- en klembordbeheer, detectie van softwaremisbruik en beleid voor onbeheerde toegang |
| VPN gestart vanaf de locatie | De gateway op locatie houdt een tunnel naar een centraal knooppunt open | Geselecteerde externe netwerken of subnetten | Routegrenzen, gevolgen van een gehackt knooppunt, overlappende adressen en eigenaarschap van regels |
Deze opzetten kunnen vaste inkomende portforwarding voorkomen. Hun vertrouwensmodellen verschillen echter. Sommige relays beëindigen applicatiesessies. Sommige transporten beveiligen verkeer tussen eindpunten. Overlaynetwerken kunnen netwerkroutes bieden; proxy's kunnen één applicatie ontsluiten. Leg vast waar versleuteling eindigt, wie authenticatie uitvoert, welke metadata zichtbaar zijn en wie de besturingslaag beheert. Ga niet uit van end-to-end-beveiliging bij iedere ‘tunnel’.
Hoe ziet een bruikbare referentiearchitectuur eruit?
Een onderbouwd ontwerp heeft vijf lagen:
- Extern eindpunt: een bevoegde gebruiker met een persoonlijk account of de houder van een apart verstrekt toegangsbewijs gebruikt de client of browser op een beoordeeld apparaat.
- Identiteit en beleid: toegang met een persoonlijk account controleert de persoon en de gevraagde bron. Bij een toegangslink geldt het bezit van de link als toegangsbewijs. Regel daarom afzonderlijk de verspreiding, vervaldatum en intrekking.
- Besturingslaag van broker, relay of overlay: deze coördineert de sessie en handhaaft de doelen en regels voor deze toegangsroute.
- Connector of gateway op locatie: een onderhouden systeem in een passende grenszone start alleen vastgelegde uitgaande verbindingen.
- Regels voor lokale doelen: een firewall- of hostregel geeft de connector alleen toegang tot de bedoelde HMI, het werkstation, de applicatie of PLC-dienst.
De gateway mag geen onbeperkte brug worden. Kan deze elk VLAN en willekeurige bestemmingen bereiken, dan biedt de uitgaande tunnel opnieuw brede netwerktoegang. Gebruik aparte connectors, interfaces, routes of beleidsgroepen als gevolgen en verantwoordelijkheden verschillen.
De NIST Guide to OT Security bespreekt segmentatie, toegang op afstand en maatregelen in relatie tot betrouwbaarheid en veiligheid van OT. Voor dit ontwerp geldt vooral: de verbinding moet passen bij de industriële netwerktopologie en de operationele gevolgen. Een algemeen IT-ontwerp volstaat niet.
Waar plaatst u de connector?
Gebruik een PLC niet als toegangspunt naar internet. Besturingen hebben vaak een lange levensduur, beperkte beveiligingsfuncties en strenge beschikbaarheidseisen. Plaats de connector op een onderhouden industrieel edge-apparaat, toegangsgateway of beheerd werkstation. Geef deze alleen de benodigde lokale verbindingen.
Voor een web-HMI kan de gateway één HTTPS-dienst doorgeven. Voor PLC-programmering kan de verbinding beter eindigen op een beheerd engineeringwerkstation met de vereiste leverancierssoftware. Beperk vervolgens de verbindingen van dat werkstation naar de besturing. Ontsluit voor bewaking op afstand de historian of een applicatie met alleen leestoegang. Stel het besturingsprotocol niet beschikbaar alleen omdat dat technisch kan.
De ISA/IEC 62443-aanpak beschouwt industriële cyberbeveiliging als een gedeelde verantwoordelijkheid over de hele levensduur. Pas dat toe bij de plaatsing. De eigenaar bepaalt de zone en gevolgen. De integrator beschrijft verbindingen en toegestane verkeersstromen. De leverancier legt het beveiligingsgedrag uit. De dienstverlener werkt binnen die grenzen.
Welke firewallregels en uitgaande verbindingen zijn nodig?
Een uitgaande verbinding betekent niet dat de gateway onbeperkt internettoegang nodig heeft. Vraag de leverancier om exacte installatievereisten en leg het volgende vast:
- hostnamen van bestemmingen en beschikbaarheid van vaste IP-reeksen
- TCP- en UDP-poorten en functies die uitvallen als UDP is geblokkeerd
- DNS-resolvers en eisen voor certificaatcontrole
- ondersteuning voor expliciete proxy's en TLS-inspectie
- primaire eindpunten en eindpunten voor uitwijk, telemetrie, updates en tijdsynchronisatie
- of het product tot een organisatiespecifieke tenant of relay kan worden beperkt
- ondertekening van updates en de werkwijze voor gatewaypatches
- verwachte keepalive-intervallen en sessiegedrag na verbindingswijzigingen
Sta alleen noodzakelijk verkeer toe. Controleer tijdens de pilot welk verkeer wordt geweigerd. Zijn wildcardbestemmingen of onbeperkte uitgaande verbindingen nodig, leg dat dan vast als risico. Verberg het niet in een brede regel.
NIST adviseert in SP 800-46 Rev. 2, de gids voor veilige toegang op afstand om toegangscomponenten tot de beveiligingsgrens te rekenen. Beveilig clients, servers en communicatie. De gids gaat grotendeels over werken op afstand in bedrijven. Hetzelfde denken in grenzen geldt voor een uitgaande industriële gateway.
Is een ontwerp zonder portforwarding veilig?
Niet vanzelf. Zonder vaste inkomende toewijzing neemt één vorm van blootstelling af. Een gehackte connector kan nog steeds een schijnbaar toegestane uitgaande verbinding maken. Gestolen inloggegevens blijven bruikbaar. Een te ruime lokale route kan laterale beweging mogelijk maken. Een kwetsbare besturingslaag kan veel locaties raken.
Gebruik waar mogelijk phishingbestendige meervoudige authenticatie. Werk met unieke identiteiten, beperkte doelrechten, onderhouden eindpunten, snelle intrekking en passende bewaking. Inventariseer ook bestaande tools voor toegang op afstand. CISA vraagt in Principles of OT Cyber Security om besluiten te baseren op de specifieke operationele en zakelijke gevolgen van OT. Cyberbeveiliging is meer dan een technische laag.
NAT controleert geen identiteit of bevoegdheid. Het kan ongevraagd verkeer blokkeren doordat een verbindingstoestand ontbreekt. Beveiliging berust op expliciete filters en op de systemen die uitgaande verbindingen mogen starten.
Hoe test u dubbele NAT, CGNAT en streng afgeschermde locaties?
Gebruik de beoogde hardware en het werkelijke netwerk. Een ruim ingesteld kantoornetwerk volstaat niet. Test minimaal:
- normale verbinding via firewall en NAT van de locatie
- dubbele NAT en, indien relevant, carrier-grade of mobiele NAT
- geblokkeerde UDP, zodat het product zijn vastgelegde terugvaloptie moet gebruiken
- een expliciete proxy die authenticatie vereist
- TLS-inspectie aan en uit, volgens het locatiebeleid
- DNS onbereikbaar, traag of met gewijzigde adressen
- een gewijzigd publiek adres tijdens een actieve sessie
- korte verbindingsuitval gevolgd door herstel
- een onbereikbare broker of relay
- ingetrokken gebruikersrechten tijdens of vóór een nieuwe sessie
- een toegangspoging tot een naburige, niet toegestane bron
Noteer of toegang bij fouten sluit, hoe lang herstel duurt, welke lokale diensten doorgaan en wie bruikbare statusinformatie ontvangt. De OT remote access build architecture van NIST NCCoE uit 2026 is een nuttige primaire bron. Deze beschrijft uitvoerbare ontwerpen en operationele keuzes voor toegang op afstand.
Wat controleert u vóór ingebruikname?
Controleer vóór gebruik in productie:
- de connector heeft een verantwoordelijke eigenaar, een ondersteund besturingssysteem en een vastgelegd updateproces
- lokale firewallregels noemen exacte bronnen, doelen en diensten
- externe rollen sluiten aan op echte ondersteuningstaken
- leverancierstoegang kan snel worden ingetrokken; stel waar nodig een vervaldatum in
- PLC-wijzigingen volgen de lokale procedures voor onderhoud, back-up, controle en herstel
- de besturing blijft veilig werken bij uitval van connector, internet, DNS of externe dienst
- herstel hangt niet uitsluitend af van de uitgevallen externe verbinding
- schema's tonen NAT, firewall, proxy, relay, gateway en grenzen van OT-zones
- incidentbestrijders weten hoe zij de verbinding uitschakelen zonder het proces stil te leggen
Vergelijk meer methoden in OT-toegang op afstand: VPN, jumpserver en ZTNA. Gaat het om een besturing of bedieningspaneel, lees dan veilige ondersteuning op afstand voor PLC en HMI. Gebruik de checklist voor de invoering van industriële toegang op afstand als centraal startpunt.
Wanneer past deze architectuur niet?
Een uitgaande broker of overlay past niet bij een verplichte volledige netwerkscheiding, bij locaties die de nodige uitgaande verbindingen verbieden of bij te grote afhankelijkheid van een externe besturingslaag. Directe bediening van veiligheidsfuncties, tijdkritische gesloten regelkringen en niet-ondersteunde leveranciersprotocollen vragen ook om een ander ontwerp of werk op locatie.
Streng afgeschermde organisaties kunnen kiezen voor een lokaal begeleid onderhoudswerkstation, beheer van verwisselbare media en geen vaste externe toegang. Andere eisen een eigen broker of een verbinding tussen locaties. ‘Geen portforwarding’ is een technische randvoorwaarde. Het is geen reden om strengere operationele eisen af te zwakken.
Waar kan Orenda helpen?
Orenda Connect verbindt bevoegde organisatiegebruikers via versleutelde Diode-verbindingen met geselecteerde bronnen. OrendaService draait op een ondersteunde host die het doel lokaal kan bereiken. Orenda Box voegt waar nodig lokale applicaties en verzameling van machinegegevens toe. Voor externe ondersteuning kunnen bevoegde gebruikers een link naar een gekozen bron maken, een vervaldatum instellen en de toegang intrekken. Wie de link bezit, krijgt toegang. Gebruik persoonlijke accounts als iedere persoon herkenbaar moet zijn.
Beoordeel een Orenda-pilot zoals iedere andere architectuur. Controleer uitgaand verkeer, gatewayplaatsing, doelen en protocollen, grenzen van versleuteling, identiteitsgedrag, werking bij verbindingsuitval en bewijslast. Leverancierstoegang kan tot één doel worden beperkt, vervallen en worden ingetrokken. De eigenaar blijft verantwoordelijk voor aanvraag, toestemming, wijzigingsbeheer en operationeel toezicht.
