L'accès à l'interface humaine mobile (HMI) est requis dans de nombreuses applications d'automatisation industrielle. Il existe deux méthodes couramment utilisées - les routeurs standard qui ne nécessitent pas de routeurs VPN et VPN hébergés par le cloud - pour obtenir cette connexion avec les routeurs et les réseaux privés virtuels (VPN).
Le premier est le routeur standard, qui, malgré sa faible sécurité, est toujours utilisé par de nombreuses applications HMI mobiles existantes et même certaines plus récentes. Un avantage majeur est qu'il est peu coûteux, mais il n'est pas recommandé car lorsque le transfert de port est activé dans un pare-feu, il expose le réseau à des menaces externes et présente donc un risque de sécurité du réseau important.
Une autre approche consiste à utiliser un routeur VPN hébergé par le cloud, ce qui simplifie la complexité des technologies de l'information (TI) en créant une connexion cryptée du routeur VPN local à un routeur VPN hébergé par le cloud sur Internet. Les utilisateurs distants peuvent accéder solidement à des composants et des systèmes locaux via le routeur VPN hébergé par le cloud. Cela réduit non seulement les risques de sécurité du réseau, mais simplifie également la configuration et la maintenance.
Le troisième type de connexion du routeur implémenté à l'aide d'un routeur VPN traditionnel n'est pas pris en compte dans cet article car il implique d'ouvrir des connexions entrantes et crée des complexités et des risques similaires à ceux des routeurs standard.
Routeurs standard
De nombreuses applications industrielles utilisent des routeurs et pare-feu standard pour protéger les réseaux d'entreprise et d'usine, qui obligent les utilisateurs à configurer et à gérer manuellement tous les paramètres de routage et de pare-feu. Ce type de routeur n'a généralement pas de VPN pour chiffrer les données, mais crée des ports dans le pare-feu pour le transfert pour les utilisateurs distants pour accéder à des applications et des composants spécifiques sur le réseau d'usine.
La plupart des utilisateurs de l'IHM souhaitent un accès à distance et local. La connexion d'un ordinateur portable à un serveur Web HMI est courante pour surveiller les données et modifier les points de consigne et autres paramètres, ou utiliser un logiciel de programmation pour se connecter au HMI pour le dépannage ou les modifications de programme.
Pour se connecter à distance à l'aide d'un routeur standard, le transfert de port est généralement configuré pour permettre l'accès au HMI ou à un PC local exécutant un logiciel d'accès à distance. Le PC local offre à l'utilisateur distant la possibilité d'exécuter le logiciel de programmation HMI.
Les applications mobiles HMI nécessitent également un transfert de port afin que les utilisateurs distants puissent accéder à l'IHM local pour contrôler ou afficher les données. Ces applications fournissent généralement les mêmes fonctionnalités que l'accès à distance basé sur le navigateur, sauf que l'accès est via l'application plutôt qu'un navigateur.
Le principal problème avec cette approche est le risque de sécurité associé à la transmission des ports dans les applications mobiles ainsi qu'aux applications basées sur PC. Un pirate peut facilement déterminer quels ports sont ouverts sur un pare-feu et peuvent accéder à une entreprise ou un réseau d'usine via un routeur.
Bien que le transfert de port soit très efficace et utile dans une entreprise ou un réseau d'usine, il est extrêmement dangereux d'utiliser cette fonctionnalité sur les interfaces Internet et Intranet d'entreprise. Les organisations de fabrication doivent éviter d'utiliser cette méthode de routeur dans de nouvelles installations et convertir plutôt les installations de routeurs standard existantes en connexions plus sécurisées, telles que les routeurs VPN hébergés par le cloud.
Routeur VPN hébergé par le nuage
Un VPN hébergé par le cloud fournit une connectivité sécurisée avec une configuration simple et une configuration réseau. Une option VPN hébergée par le cloud, comprend un routeur VPN local, un serveur VPN hébergé par le cloud, un client VPN et des composants d'automatisation interconnectés (figure 1).
Une connexion sécurisée est établie après le routeur local (situé sur le réseau de plantes / de contrôle) et le client VPN (logiciel installé sur l'ordinateur portable de l'utilisateur ou le périphérique mobile) sont chacun connectés au serveur VPN hébergé par le cloud. Le routeur local établit cette connexion immédiatement au démarrage, mais le client VPN se connecte uniquement lorsqu'il reçoit une demande d'authentification d'un utilisateur distant. Une fois les deux connexions établies, toutes les données passant par ce canal VPN sont sécurisées.
La plupart des VPN hébergés par le cloud offrent une attribution de bande passante mensuelle gratuite pour les opérations de base, et si l'accès aux données est nécessaire au-delà de cette limite, des plans de bande passante premium supplémentaires peuvent être demandés. Par exemple, un produit propose 5 Go d'échange de données VPN gratuit par mois, ce qui peut être suffisant pour la plupart des besoins de dépannage, de surveillance et de programmation.
Les risques de sécurité sont réduits lorsqu'un routeur local initie la communication avec un serveur via une connexion sortante sur un port ouvert standard, tel que HTTPS. Cela évite souvent les modifications du pare-feu informatique d'une entreprise et peut satisfaire des considérations de sécurité informatique. Pour plus de confiance, les utilisateurs peuvent rechercher un VPN hébergé par le cloud avec un système de gestion de la sécurité de l'information certifié par l'industrie (par exemple, ISO / IEC27001: 2013.) Cela montre que le fournisseur a mis en œuvre un programme et des contrôles de sécurité complets.
Un autre avantage des VPN hébergés dans le cloud est la simplicité de la configuration du routeur. Puisqu'il s'agit d'un routeur local sécurisé qui se connecte à un serveur cloud prédéfini, le routeur est préconfiguré avec des paramètres de réseau VPN complexes, permettant ainsi au personnel non IT de l'installer. Tout ce qui est nécessaire est de connaître les adresses IP des composants d'automatisation connectées au LAN et si le fournisseur de services Internet (ISP) ou le routeur réseau à l'échelle de l'entreprise (pas le routeur VPN hébergé par le cloud) est dynamiquement ou statiquement aux adresses IP. .
D'autres options avancées peuvent inclure la journalisation des données cloud et les notifications d'alarme qui fournissent un sous-ensemble de fonctionnalités HMI et sont plus faciles à utiliser que la programmation personnalisée. Ces services permettent aux utilisateurs de journaliser les données du système et de recevoir des alertes de gravité personnalisées sur leur appareil mobile ou un ordinateur portable, offrant un historique Web pratique des performances du système en cas de besoin.
Accès à distance basé sur des applications mobiles
De plus en plus, les applications mobiles prennent en charge les composants industriels HMI et le contrôleur logique programmable (PLC). Les fonctions de surveillance et de contrôle permettent aux utilisateurs de les accéder à distance de n'importe où à tout moment. Pour accéder solidement à l'équipement industriel, les appareils mobiles doivent également utiliser la technologie VPN pour crypter les données de l'appareil mobile vers le réseau d'usine. Sans VPN mobile, il serait nécessaire d'ouvrir les ports de pare-feu de l'usine, de créer un scénario similaire à un routeur standard et de laisser le réseau de l'usine vulnérable aux cyberattaques.
L'utilisation d'un VPN hébergé fournit une connexion VPN sécurisée pour les ordinateurs portables et les appareils mobiles. Ce dernier est accompli via une application mobile entièrement compatible VPN. Une fois en toute sécurité connecté au réseau de plantes via l'application VPN mobile, une application HMI ou PLC tierce peut être ouverte et connectée aux composants HMI et PLC locaux, cet utilisateur mobile apparaissant pratiquement comme s'il était réellement sur place.
Certains routeurs peuvent également fournir une connectivité des ordinateurs portables et des périphériques mobiles pour les VPN hébergés. Les applications d'appareils mobiles Apple iOS et Google Android offrent aux utilisateurs une connexion sécurisée au réseau de l'usine. Certains fournisseurs de VPN hébergés par le cloud offrent également un accès aux applications logicielles de journalisation de données basées sur le cloud, ainsi que des widgets pour configurer des tableaux de bord personnalisés pour une visualisation à distance.
Cette journalisation des nuages intégrée est particulièrement utile pour les fabricants d'équipements d'origine (OEM), dont beaucoup ont des milliers de machines installées dans des centaines d'emplacements à travers le monde, chacun avec plusieurs utilisateurs. L'OEM fournira à chaque machine un routeur VPN qui est Préconfiguré pour enregistrer les données et contient des tableaux de bord personnalisés pour une visualisation à distance sur une application mobile. Outre l'installation de l'application sur un smartphone ou une tablette, le client OEM n'aura pas besoin de configurer, d'installer ou de maintenir le logiciel d'accès à distance autrement.
Pour un accès plus large aux tableaux de bord, les utilisateurs distants peuvent utiliser un VPN mobile fourni par le fournisseur VPN hébergé pour accéder aux HMI et PLC locaux via l'application. Certains logiciels HMI mobiles peuvent fonctionner plus en toute sécurité lorsqu'ils sont utilisés avec le routeur VPN du fournisseur. Un PC peut également accéder solidement aux appareils locaux de la zone locale pour la programmation, la surveillance ou le dépannage.