Remote Access Tools 보안

Tools 애플릿 클라이언트가 Runtime 클라이언트에 연결되면 특정 장치의 사용자에게 'VPN 액세스' 권한이 부여된 방식에 따라 VPN 연결을 설정할 수 있습니다.

FactoryTalk® Remote Access™

VPN은 ISO/OSI 프로토콜 스택의 레벨 2에서 작동합니다. 즉, IP 패킷 대신 이더넷 프레임을 캡슐화합니다. 이는 비IP 프로토콜 또는 브로드캐스트 메시지가 사용되는 일반적인 산업 시나리오와의 최상의 호환성을 위해 수행됩니다.

VPN은 프런트 엔드 PC에 가상 이더넷 어댑터를 설치하여 구현됩니다.

FactoryTalk® Remote Access™

Runtime은 선택한 물리적 인터페이스의 하위 레벨 네트워크 트래픽을 가로채서 프런트 엔드의 가상 이더넷 어댑터로 채널링할 수 있습니다. 프런트 엔드 시스템과

FactoryTalk® Remote Access™

Runtime 장치 모두에 대해 프런트 엔드 시스템이 선택한 Runtime LAN에 물리적으로 연결된 것처럼 나타납니다.

레벨 2가 IP 아래에 있더라도 기본적으로 Runtime 서비스는 프런트 엔드 가상 VPN 어댑터에 사용 가능한 IP를 자동으로 할당합니다. 이는 대부분의 유용한 프로토콜이 IP 기반이어서 바로 사용할 수 있기 때문에 편의상 수행됩니다. 또한 실제 물리적 서브넷의 IP가 사용됩니다. 가상 IP 서브넷 및 그에 따른 라우팅 규칙이 생성되지 않습니다.

Runtime은 ARP 메시지를 전송하여 네트워크의 기존 장치를 주기적으로 폴링합니다. 이러한 과정에서 나중에 VPN 연결에 할당할 수 있는 '사용 가능한' IP를 검색합니다. 이 정책은 편리하지만 더 엄격하고 제어된 구성이 필요한 경우 변경할 수 있습니다. Runtime이 이 풀에서 오는 IP만 할당하도록 장치에서 IP 풀을 구성할 수 있습니다. 이 경우 ARP 검색이 수행되지 않습니다.

프런트 엔드 PC를 물리적 장치 네트워크에 가상으로 연결하는 것은 강력하고 유용하지만 ICT 정책 준수를 위해 다양한 방법으로 구성하고 제한할 수 있습니다.

VPN 방화벽 규칙은 원격으로 사용할 수 있는 장치/하위 장치/사용자/프로토콜 조합의 트래픽 종류를 제어하도록

FactoryTalk® Remote Access™

조직

에서 구성할 수 있습니다. 이러한 규칙은 조직 계층 전체에서 방화벽 규칙을 구성하여 얻을 수 있습니다. 규칙은 계층적이며 사용자별, 리소스별 또는 리소스 그룹별로 적용됩니다. 또한 허용 – 거부 방식으로 특정 원격 MAC 주소, 원격 IP, 서브넷 및 이더넷 또는 IP 프로토콜로 제한될 수 있습니다. 결과 규칙 집합은 VPN 연결이 시작되기 전에 서버에서 계산되고 프런트 엔드와 Runtime 모두에 적용됩니다.

보안과 관련된 모범 사례는 특정 원격 사용자 또는 사용자 그룹에 필요한 프로토콜과 연결 가능한 대상만 활성화하는 것입니다. 이렇게 하면 VPN 연결이 실제 물리적 로컬 연결보다 훨씬 더 안전해집니다. 물리적 연결에서는 로컬 PC 방화벽이 트래픽을 제한하는 유일한 메커니즘이지만 이 경우

FactoryTalk® Remote Access™

인프라가 관리자가 결정한 보안 규칙을 적용하기 때문입니다.

원격 파일 작업(다운로드, 업로드, 이름 바꾸기, 삭제)은

FactoryTalk® Remote Access™

서비스 프로세스를 통해 제공됩니다. 이 프로세스는 기본적으로 로컬 시스템 권한으로 실행됩니다. 어떤 경우든

FactoryTalk® Remote Access™

조직 관리자는 파일 전송 권한이 특정 사용자에 대해 특정 장치로 전파되는 방식에 따라 원격 사용자에 대해 이 작업을 활성화하거나 비활성화할 수 있습니다.

도메인 또는 구성에 대한 등록은 로컬 네트워크에서 작동하는 특정 애플릿을 사용하여 수행할 수 있습니다. 이러한 애플릿은 AES-256 GCM 알고리즘을 사용하여 네트워크 트래픽을 암호화합니다.