Bağlantı güvenliği

5 dk okumaHaberleşme

Bağlantı şifrelerinin ve MQTT istemci sertifikası PFX parolasının nerede tutulduğu ve nasıl girildiği, her sürücünün sunduğu güvenlik (kimlik doğrulama, TLS, sertifika, DCOM) ve ağ / güvenlik duvarı notları.

Şifreler projeye yazılmaz

Kimlik doğrulaması isteyen üç sürücüde (OPC UA, MQTT, OPC DA) bağlantı parametrelerinde yalnızca Kullanıcı adı bulunur; Kimlik doğrulama (OPC DA'da DCOM kimliği) Kullanıcı adı ve şifre seçilince şifre alanı yoktur. MQTT'de istemci sertifikası olarak PFX dosyası seçiliyse projede yalnız dosyanın yolu durur; dosyanın parolası da şifre gibi Live'da girilir. Şifre ve parola proje dosyasına (.fvs) hiç yazılmaz; projeyi başkasıyla paylaşmak, yedeklemek ya da Live'a yüklemek onları taşımaz.

Şifreyi Live'da girme

Yetkili girin
Şifre girmek için Ayarlar yetkisi gerekir. Oturum kapalıysa Live Bu işlem "Ayarlar" yetkisi ister. diyerek giriş penceresi açar; yetkisi olmayan kullanıcı yetkisi yok iletisi alır. Giriş yaptıktan sonra düğmeye yeniden tıklayın.
Sistem menüsünü açın
Live'da sistem menüsünü (ekranın sağ altındaki ☰ düğmesi) açın. Bağlantılar bölümünde, kullanıcı adı ve şifre ya da PFX parolası isteyen her bağlantının yanında bir düğme vardır: hiç girilmediyse Şifre gir, girildiyse Şifre….
1
Sistem menüsünde şifre isteyen bağlantının yanındaki Şifre gir düğmesi.
1. Şifre gir — şifre bu bilgisayarda saklanır; Ayarlar yetkisi gerekir.
Şifreyi yazıp kaydedin
Bağlantı Şifresi penceresi bağlantı adını ve kullanıcı adını gösterir; PFX dosyası seçilmiş MQTT bağlantısında ayrıca dosyanın yolunu ve PFX parolası alanını gösterir. Yazıp Kaydet'e tıklayın. Kayıttan sonra haberleşme yeniden başlar: tüm bağlantılar kısa süre kopup yeniden kurulur.

İstemci sertifikası PFX dosyası olan MQTT bağlantısının parola penceresi.

Şifre girilmemiş bir bağlantı yine de denenir; sunucu kimlik bilgisini reddedince bağlantı iletisi … (bu bağlantı için şifre girilmemiş) der (OPC UA) ya da şifrenin Live'da girilmesini söyler (MQTT). Parola isteyen PFX dosyasında parola girilmemişse ileti PFX dosyası parola istiyor ama parola girilmemiş. ile başlar.

Bağlantı silinip aynı adla yeniden oluşturulursa yeni bir kimlik alır ve şifre yeniden girilmelidir. Yedekli sunucu çiftinde şifreler iki bilgisayar arasında eşitlenmez: iki Live'da da girin.

Sürücülerin sunduğu güvenlik

Sürücü	Kimlik doğrulama	Şifreleme
Siemens S7	Yok (PLC parolası gönderilmez)	Yok (PUT/GET düz TCP)
Modbus TCP, RTU, ASCII	Yok	Yok
Allen-Bradley EtherNet/IP	Yok	Yok
Mitsubishi MC Protocol	Yok (uzak şifreyle kilitli PLC'ye erişilemez)	Yok
Omron FINS	Yok (PLC IP adresine göre bağlantıyı kısıtlayabilir)	Yok
OPC UA	Anonim ya da kullanıcı adı / şifre	Yok, imzalı ya da imzalı ve şifreli (Basic256Sha256)
MQTT	Anonim ya da kullanıcı adı / şifre; TLS ile isteğe bağlı istemci sertifikası (PFX dosyası ya da Windows sertifika deposu)	Yok ya da TLS 1.2
OPC DA	Live'ı çalıştıran Windows kullanıcısı ya da açık kullanıcı adı / şifre (DCOM)	Windows DCOM ayarlarına bağlı

S7, Modbus, Allen-Bradley, Mitsubishi ve Omron protokollerinde ağa (seri sürücülerde hatta) erişebilen herkes aynı bağlantıyı kurabilir ve okuyup yazabilir. Bu cihazları ayrı bir denetim ağına koyun, Live ile arasına güvenlik duvarı ya da VPN koyun; güvenli iletişim gereken yerde cihazın OPC UA sunucusunu kullanın.

TLS ve sertifikalar

OPC UA: güvenli kiplerde sunucu sertifikasına ilk görülende güvenilir, sonra yalnızca kaydedilen sertifika kabul edilir; sunucunun Live'a güvenmesi için Live'ın sertifikası sunucuya eklenir. Klasörler ve adımlar: OPC UA sürücüsü. Sertifikalar için bir yönetim ekranı yoktur; dosyalar %LOCALAPPDATA%\FabyaVision\OpcUa altındadır.
MQTT, sunucu sertifikası: TLS (sunucu sertifikası doğrulanır) sertifikanın Windows tarafından güvenilen bir otorite tarafından imzalı ve adresin sertifikadaki adla aynı olmasını ister; kendinden imzalı sertifikayı Windows'a güvenilen olarak ekleyin. TLS (sertifika doğrulanmaz) sunucunun kimliğini denetlemez; ortadaki saldırgan trafiği okuyabilir, yalnızca kapalı ağlarda kullanın.
MQTT, istemci sertifikası: sunucu karşılıklı TLS istiyorsa Live kendi sertifikasını verir. Sertifika ya PFX dosyasından (parolası yukarıdaki gibi Live'da girilir) ya da Windows'un Kişisel sertifika deposundan parmak iziyle alınır; özel anahtarı olmalı ve Live'ı çalıştıran kullanıcı anahtarı okuyabilmelidir. Ayrıntı: MQTT sürücüsü.

OPC DA ve DCOM

Yerel sunucu: DCOM kimliği olarak Live'ı çalıştıran Windows kullanıcısı seçili kalır. Sunucu başka bir hesapla çalışıyorsa bu hesabın sunucuyu başlatma / erişme izni olmalıdır.
Uzak sunucu: uzak bilgisayardaki OPC sunucusunun DCOM ayarlarında bağlanan kullanıcıya başlatma ve erişim izni verin. Kullanıcı adı ve şifre seçerseniz ALAN\kullanıcı biçimini kullanabilirsiniz. İletiler erişimi reddetti (DCOM izinleri) ve RPC sunucusu kullanılamıyor bu iki sorunu gösterir.
DCOM / RPC trafiği Live bilgisayarı ile sunucu arasındaki güvenlik duvarlarında açık olmalıdır. Sunucu OPC UA da sunuyorsa OPC UA sürücüsünü tercih edin.

Ağ ve güvenlik duvarı

Sürücüler cihaza giden bağlantı kurar; Live bilgisayarında bu bağlantılar için gelen kural gerekmez. Windows Güvenlik Duvarı ve ağ güvenlik duvarlarında, cihazın bulunduğu ağa şu portlara çıkışa izin verilmelidir:

Sürücü	Varsayılan port
Siemens S7	TCP `102` (yedek PLC açıksa iki CPU'ya da)
OPC UA	TCP `4840` (sunucuda değiştirilmişse o port)
Modbus TCP	TCP `502`
Modbus RTU / ASCII	Ağ kullanmaz (seri port)
Allen-Bradley EtherNet/IP	TCP `44818`
Mitsubishi MC Protocol	TCP, PLC'de açılan port (varsayılan `5007`)
Omron FINS	TCP ya da UDP `9600`
MQTT	TCP `1883` (TLS: `8883`)
OPC DA (uzak)	DCOM / RPC portları

İki durumda Live bilgisayarına gelen bağlantı kuralı gerekir: tarayıcıdan izleme ve TV gösterimi (Uzaktan izleme) ve yedekli sunucu çiftinde iki Live arasındaki yedeklilik portu (varsayılan TCP 8091). Yedeklilik portunun kuralını Live eklemez; iki bilgisayarda da elle ekleyin (Yedekli sunucu çifti).