Servis mühendisi bir HMI ekranını açmak istiyor. Makine ise fabrikanın güvenlik duvarının arkasında; internet bağlantısı bazen mobil şebekeden geliyor ve sabit IP yok. Bu durumda ilk soru “Hangi portu açalım?” olmak zorunda değil.
Sahadaki bir bağlantı bileşeni dışarı doğru oturum başlatabilir. Uzak kullanıcı, erişim hizmeti üzerinden izin verilen hedefe bağlanır. Böylece gelen bağlantılar için sürekli açık bir port yönlendirme kuralına ihtiyaç duymayan bir yapı kurulabilir.
NAT bağlantıyı neden etkiler?
NAT, yerel IP adresleriyle dış ağdaki adresler arasında eşleme yapar. İçerideki cihaz bağlantıyı başlattığında dönüş trafiği için bir kayıt oluşur. Dışarıdan kendiliğinden gelen isteğin ise böyle bir kaydı yoktur.
Sahada bunun üzerine ikinci bir yönlendirici, operatörün CGNAT altyapısı, proxy veya TLS denetimi eklenebilir. UDP engellenmiş olabilir. Mobil bağlantının dış IP adresi değişebilir. Bu yüzden ofiste çalışan bağlantı, aynı ayarlarla tesiste çalışmayabilir.
IETF RFC 4787 UDP için NAT davranışlarını açıklar. Ürünün “NAT arkasında çalışır” demesi yine de sahadaki tüm ağ koşullarını karşıladığı anlamına gelmez.
Bağlantı nasıl kurulabilir?
| Yöntem | Sahada çalışan bileşen | Kullanıcıya açılan alan |
|---|---|---|
| Uygulama proxy’si | Tanımlı hizmete dışarı doğru bağlanan yazılım | Belirli web uygulaması veya servis |
| Ters tünel | Aracı sunucuya bağlanan ağ geçidi | Tünelde tanımlanan hedef |
| Özel ağ katmanı | Yetkili ağa katılan düğüm | İzin verilen servisler veya ağ rotaları |
| Uzaktan masaüstü | Yönetilen bilgisayardaki bağlantı yazılımı | O bilgisayarın ekranı ve izin verilen işlemler |
| Sahadan başlatılan VPN | Merkezle tünel kuran ağ geçidi | Tanımlanmış ağlar ve alt ağlar |
Her yöntemde kimlik doğrulama, şifrelemenin sonlandığı yer ve aracının görebildiği bilgi farklı olabilir. Bunları ağ çiziminde gösterin. “Tünel var” ifadesi tek başına uçtan uca güvenlik tanımı değildir.
Hedefi olabildiğince dar tutun
Uzaktaki kişiye bütün tesis ağı yerine işini tamamlayacağı kaynağı açın. Üretim takibi için rapor ekranı yeterliyse PLC programlama servisini erişime açmaya gerek yoktur.
PLC mühendislik yazılımı gerekiyorsa sahadaki yönetilen bir bilgisayara bağlanmak uygun olabilir. Yazılım ve proje dosyaları bu bilgisayarda kalır; bilgisayarın PLC’ye erişimi ayrıca sınırlandırılır. Yayın paketleriyle cihaz arama veya dinamik port kullanan araçları ayrı test edin.
Ağ geçidinin iki ağ kartı olması, onu bütün ağlar arasında serbest geçiş noktası yapmamalıdır. Hangi kaynağa, hangi protokolle bağlanabildiği açıkça tanımlanmalıdır.
BT ekibine hangi bilgileri vermelisiniz?
Kurulumdan önce bağlantı sağlayıcısından şu bilgileri alın:
- Gerekli hedef alan adları, TCP ve UDP portları.
- DNS, saat eşitleme ve sertifika doğrulama gereksinimleri.
- Proxy ve TLS denetimiyle çalışma biçimi.
- Güncelleme ve yedek bağlantı adresleri.
- İnternet kesintisinden sonra yeniden bağlanma davranışı.
- Ağ geçidinin güncelleme ve bakım sorumlusu.
Sadece bağlantı kurulmadığı için geniş bir internet çıkış kuralı açmayın. Reddedilen trafiğe bakarak hangi işlevin hangi bağlantıya ihtiyaç duyduğunu belirleyin.
Kabul testini gerçek sahada yapın
Normal bağlantının yanında kısa kesinti, değişen dış IP, DNS hatası, UDP engeli ve aracı hizmetin kullanılamaması durumlarını deneyin. Yetkisi kaldırılan kullanıcının yeniden bağlanamadığını kontrol edin.
Aynı kullanıcıyla komşu bir makineye ulaşmayı da deneyin. Testin sonucu yalnızca “hedef açıldı” olmamalı; kapsam dışındaki hedef kapalı kalmalıdır. Bağlantı kesildiğinde yerel üretimin nasıl devam ettiği ve sahadaki kişinin erişimi nasıl kapatacağı da görülmelidir.
Gerçekten dış ağdan yalıtılması gereken bir tesiste dışarı doğru bağlantı da uygun olmayabilir. Böyle bir gereksinim varsa yerel servis yöntemini koruyun.
Orenda ile nasıl başlanır?
Orenda Connect, mevcut uygulama ve cihaz servislerine kaynak bazında erişim için kullanılabilir. Orenda Box, makine verisi ve yerel uygulamalar da gerektiğinde sahadaki bileşen olabilir.
Önce tek hedefle başlayın. Sahanın internet çıkışını, kullanılan protokolü, erişimin kaldırılmasını ve bağlantı kesintisini doğrulayın. Dış servis ekibine verilen bağlantının kapsamını ve varsa bitiş zamanını belirleyin; bağlantıya sahip olmanın erişim sağladığı durumlarda paylaşımı da yönetin.
Mimariyi seçmek için VPN, atlama sunucusu ve uygulama bazlı erişim karşılaştırmasına, kontrolör desteği için PLC ve HMI uzaktan destek rehberine geçebilirsiniz.
