Sécurité de Remote Access Tools

Une fois qu’un client de l’applet Tools est connecté à un client Runtime, une connexion VPN peut être établie en fonction de l’autorisation « Accès VPN » accordée à un utilisateur sur un dispositif donné.

Le VPN

FactoryTalk® Remote Access™

fonctionne au niveau 2 de la pile de protocoles selon le modèle ISO/OSI, c’est-à-dire qu’il encapsule des trames Ethernet au lieu de paquets IP. Cette opération permet d’obtenir une meilleure compatibilité avec les scénarios industriels courants, dans lesquels des protocoles non-IP ou des messages de diffusion sont utilisés.

Le VPN est implémenté en installant un adaptateur Ethernet virtuel sur le PC frontend.

FactoryTalk® Remote Access™

Runtime peut intercepter le trafic réseau de bas niveau des interfaces physiques sélectionnées et l’acheminer vers l’adaptateur Ethernet virtuel du frontend. Pour la machine frontend et le dispositif

FactoryTalk® Remote Access™

Runtime, cela revient à ce que la machine frontend soit physiquement connectée au LAN Runtime sélectionné.

Même si le niveau 2 est sous la couche IP, le service Runtime attribue automatiquement une adresse IP libre à l’adaptateur VPN virtuel frontend par défaut. C’est ainsi plus pratique, car la plupart des protocoles utiles sont basés sur IP et peuvent donc fonctionner immédiatement. De plus, les adresses IP des sous-réseaux physiques réels sont utilisées. Aucun sous-réseau IP virtuel et aucune règle de routage associée ne sont créés.

Le Runtime recherche périodiquement des dispositifs existants sur le réseau en envoyant des messages ARP. Il découvre les adresses IP « libres » qui peuvent être attribuées ultérieurement à des connexions VPN. Cette politique est pratique mais peut être modifiée si une configuration plus stricte et plus contrôlée est requise. Un pool d’IP peut être configuré sur le dispositif afin que le Runtime n’attribue que les adresses IP provenant de ce pool. Dans ce cas, aucune découverte ARP n’est effectuée.

La connexion virtuelle du PC frontend au réseau de dispositifs physiques est puissante et utile, et peut être configurée et limitée de plusieurs manières pour se conformer aux politiques TIC.

Les règles de pare-feu VPN peuvent être configurées dans l’organisation

FactoryTalk® Remote Access™

pour contrôler le type de trafic pouvant être utilisé à distance selon la combinaison de dispositif/sous-dispositif/utilisateur/protocole. Ces règles peuvent être obtenues en configurant des règles de pare-feu dans la hiérarchie de l’organisation. Les règles sont hiérarchiques, par utilisateur, par ressource ou par groupe de ressources, et peuvent être limitées à une certaine adresse MAC distante, à des adresses IP distantes, à des sous-réseaux et à des protocoles Ethernet ou IP, comme en mode AUTORISER – REFUSER. L’ensemble de règles qui en résulte est calculé par le serveur avant l’établissement d’une connexion VPN et est appliqué à la fois sur le frontend et le Runtime.

En matière de sécurité, la meilleure pratique consiste à activer uniquement les protocoles et la destination accessible requises pour un utilisateur ou groupe d’utilisateurs distant spécifique. Cela rend la connexion VPN encore plus sécurisée qu’une connexion locale physique réelle, car dans une connexion physique, le pare-feu du PC local est le seul mécanisme permettant de limiter le trafic. Dans notre cas, l’infrastructure

FactoryTalk® Remote Access™

se charge d’appliquer les règles de sécurité décidées par l’administrateur.

Les opérations distantes sur des fichiers (téléchargement, transfert, renommage, suppression) sont effectuées via le processus du service

FactoryTalk® Remote Access™

. Ce processus s’exécute avec les droits système locaux par défaut. Dans tous les cas, l’administrateur de l’organisation

FactoryTalk® Remote Access™

peut activer ou désactiver cette opération pour les utilisateurs distants en fonction du mode de propagation de l’autorisation de transfert de fichiers à un dispositif donné pour un utilisateur spécifique.

L’inscription à un domaine ou la configuration peut être effectué à l’aide d’applets spécifiques qui fonctionnent sur le réseau local. Ces applets utilisent un algorithme AES-256 GCM pour chiffrer le trafic réseau.