Witam.
Potrzebuję porady. Mam sterownik S7-1200 w domu w sieci LAN. Adres rutera 192.168.1.1, adres sterownika 192.168.1.2. Adres komputera 192.168.1.3. Sterownik PLC ma wbudowany serwer www i jak jestem wewnątrz domu to działa mi to bez zarzutu - mogę sobie swobodnie sterować urządzeniami. Chciałbym móc robić to samo z zewnątrz będąc poza domem. Bramą główną jest ruter o którym wspominam w temacie postu tj. HUAWEI HG8546M. Dostawca internetu (światłowodem) dostarcza mi w swojej usłudze tzw. zewnętrzne IP - więc jeśli dobrze myślę to do swojego rutera mam dostęp z zewnątrz poprzez to zewnętrzne IP - jednak co dalej?

- Rejestracja:ponad 10 lat
- Ostatnio:około 2 lata
- Postów:293

- Rejestracja:ponad 8 lat
- Ostatnio:około 15 godzin
- Postów:925

- Rejestracja:ponad 10 lat
- Ostatnio:około 2 lata
- Postów:293
Czy jeśli na ruterze przekieruję port 80 na sterownik PLC to czy nie będzie problemów z korzystaniem normalnie z internetu?
Oraz czy jeśli w sterowniku zaprogramuję udostępnianie danych (odczyt/zapis) jedynie po zalogowaniu (wpisanie login i hasła na stronie www sterownika) to czy takie rozwiązanie będzie dla mnie bezpieczne?
Proszę o jakieś podpowiedzi, jestem trochę noga z informatyki - na co dzień zajmuję się automatyką, nie informatyką...

- Rejestracja:prawie 5 lat
- Ostatnio:5 miesięcy
- Postów:2420
Jak przekierujesz port router:80 -> sterownik:80 to nie będzie żadnego problemu z internetem. Szukaj pod pojęciem NAT jeżeli chcesz zrozumieć dlaczego.
Natomiast może być problem z bezpieczeństwem. Router (w przypadku większości operatorów) ma publiczny IP, czyli port 80 zostanie wystawiony "na świat" i każdy będzie mógł się połączyć. Zapewne port sterownika pojawi się też na https://www.shodan.io/ i jeżeli ma jakąś lukę to zaraz zostanie zhackowany...

- Rejestracja:ponad 8 lat
- Ostatnio:około 5 godzin
- Postów:3462
Dodatkowo do tego co napisał @0xmarcin dodam że na porcie 80 jest ruch nieszyfrowany.
Może lepiej jeśli wystawisz sobie VPN. Może Twój Router ma nawet wbudowaną funkcję serwera VPN np. z użyciem OpenVPN. Wtedy instalujesz sobie soft do VPN. Łączysz się do siebie do sieci lokalnej i dalej już działasz jak obecnie.

- Rejestracja:ponad 10 lat
- Ostatnio:około 2 lata
- Postów:293
Dzięki Wszystkim za podpowiedzi. Sprawdzę czy ruter ma opcję VPN ale po pierwszych wyszukanych w necie stronach raczej nie ma.
Chciałbym się dowiedzieć jakie przykładowe "luki" znacie w PLC? U mnie PLC będzie zabezpieczone w ten sposób że dopiero po zalogowaniu się (wysłaniu loginu i hasła ze strony www metodą POST) dojdzie do serwowania użytecznych danych. Dodatkowo załączony w PLC będzie https.
Może pytania wydają się Wam głupie ale ja zadaję je także aby nabyć wiedzy powiedzmy "praktycznie startowej" - bardzo byście mi pomogli gdybym mógł Was o takie jeszcze podpowiedzi poprosić.

- Rejestracja:ponad 10 lat
- Ostatnio:około 2 lata
- Postów:293
Właśnie nie, ponieważ docelowym urządzeniem jest PLC które jest załączone 24h na dobę podczas gdy komputer jest załączany tylko czasami.
Chodzi o to żeby móc dostać się do PLC z zewnątrz sieci.
Przekierowałem port HTTPS (tj. 443) i jestem w stanie wchodzić zdalnie na serwer www sterownika, jednakże chciałbym zasięgnąć dalszych Waszych wskazówek odnośnie bezpieczeństwa takiego połączenia.
Wiadomo bowiem że każdy może mi wejść na serwer, strona www na sam początek pyta o hasło i po wpisaniu sprawdza z tym co jest zapisane na sterowniku w DB_Passwords. Jeśli się zgadza, przepuszcza dalej, jeśli nie - to nie.
Czy takie coś jest bezpieczne?

- Rejestracja:ponad 8 lat
- Ostatnio:około 5 godzin
- Postów:3462
Wiesz, nigdy nie masz pewność, że formularz logowania jest wykonany bezpiecznie. Zawsze też mozna użyć bruteforce. Generalnie wykasuj jakieś hasła defaultowe. Ustaw długie hasło i user'a innego niż admin. To podstawa. A jak ten sterownik ma jakieś łuki to ma, trzeba by poczytać.

- Rejestracja:około 6 lat
- Ostatnio:około 23 godziny
Jeśli masz wątpliwości co do bezpieczeństwa wbudowanego serwera www (słusznie) to używa się do tego reverse proxy. Stawiasz na przykład nginx i komunikacja między internetem a lepiej zabezpieczonym i aktualizowanym nginx leci po https, a wewnątrz nginx komunikuje się już byle jak (http) ze sterownikiem. Możesz tam też dołożyć dodatkową warstwę uwierzytelniania. Minus taki że potrzebujesz zapewne kolejnego komputera który byłby ciągle włączony. Możesz użyć do tego jakiegoś raspberry pi żeby mieć niski pobór mocy i ciszę

- Rejestracja:około 9 lat
- Ostatnio:prawie 2 lata
- Postów:1039
obscurity napisał(a):
Jeśli masz wątpliwości co do bezpieczeństwa wbudowanego serwera www (słusznie) to używa się do tego reverse proxy. Stawiasz na przykład nginx i komunikacja między internetem a lepiej zabezpieczonym i aktualizowanym nginx leci po https, a wewnątrz nginx komunikuje się już byle jak (http) ze sterownikiem. Możesz tam też dołożyć dodatkową warstwę uwierzytelniania. Minus taki że potrzebujesz zapewne kolejnego komputera który byłby ciągle włączony. Możesz użyć do tego jakiegoś raspberry pi żeby mieć niski pobór mocy i ciszę
Myślę, że musiałby skonfigurować rate limiting na nginx, by ograniczyć możliwości ataku brute force i DoS.
Jakby coś takiego stawiał, to chyba sam sprawdziłbym metasploitem co wyłapie.
99xmarcin