Zentrale Infrastruktur ermöglicht die Fernwartung vieler Anlagen

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

Knuth Werkzeugmaschinen GmbH

HOPPE Unternehmensberatung

PHOENIX CONTACT Cyber Security AG

Ein Maschinenbauer, der 20 Systeme pro Monat ausliefert und Wartungsverträge über die ersten vier Jahre nach Auslieferung abschließt, muss also für etwa 1000 Tunnel planen. Dabei ist es nicht notwendig, bereits zum Start für die volle Tunnelzahl ausgestattet zu sein, das Konzept sollte aber die entsprechende Skalierbarkeit haben.

Skalierung der VPN-Tunnel von Anfang an einplanen

Pilotprojekte sollten so ausgelegt sein, dass sie die Skalierbarkeit mit bewerten. Viele Angebote im Markt zielen darauf, den Kunden mit einer einfachen Inbetriebnahme des ersten Tunnels anzusprechen, und bauen darauf, dass der Kunde dann später auch bei Skalierungsproblemen nicht mehr abspringen wird, wenn die ersten Systeme aufgebaut sind.

Im Idealfall werden die maschinenseitigen VPN-Appliances nach der Inbetriebnahme nie mehr umkonfiguriert. Bei einer Nutzungsdauer von mehreren Jahren sollte allerdings die Notwendigkeit von Konfigurationsänderungen eingeplant werden.

Die meisten industriellen VPN-Appliances werden über eine Web-GUI konfiguriert. Änderungen an mehreren Appliances müssen dann durch manuelle Interaktion durchgeführt werden. Dies ist bei maximal 20 Appliances machbar, darüber hinaus wird ein zentrales Managementtool benötigt.

Zentrales Managementtool unabdingbar

Im genannten Beispiel von etwa 1000 Systemen ergibt sich bei 1000 Konfigurationsvariablen pro System eine Menge von 1 Mio. Parametern, welche bei 100 Byte pro Parameter eine Gesamtgröße von 100 MByte haben. Es wird deutlich, dass ein entsprechendes Managementtool von Anfang an für große Datenbestände entwickelt worden sein muss, wie etwa der Innominate Device Manager (IDM) als Client-Server-Architektur mit einer relationalen Datenbank (Bild 2).

Beim oben genannten Beispiel eines Maschinenbauers könnten im ungünstigsten Fall die Konfigurationen von 1000 Systemen gleichzeitig einer Änderung bedürfen. Dabei wird es sich um eine systematische Änderung handeln.

Änderungen der Grundkonfiguration erfolgen nur an einer Stelle

Es erweist sich als sinnvoll, einen Template-basierten Ansatz zur Verfügung zu haben, welcher aus einer oder wenigen Grundkonfigurationen die individuellen Einstellungen ableitet. Muss eine Grundkonfiguration geändert werden, erfolgt dies nur an einer Stelle.

Die Anwendung der Änderung in den individuellen Konfigurationen und die Aktivierung auf den Zielsystemen übernimmt dann das zentrale Management. Entsprechend der großen Zahl von Systemen muss der Erfolg der Konfigurationsänderung zentral erfasst und gemeldet werden.

Bevor ein VPN-Tunnel aufgebaut wird, müssen sich die Kommunikationspartner gegenseitig authentifizieren. Stand der Technik ist dabei die Verwendung von Public-Key-Verfahren unter Verwendung von X.509-Zertifikaten. Das Zertifikat enthält dabei den nicht geheimen, öffentlichen Schlüssel zusammen mit Informationen über das System.

(ID:325304)