Fernwartung Server lädt Instandhalter zum virtuellen Rendezvous ein

Wer große Anlagen wie Fertigungsroboter oder Stromgeneratoren beschafft, verlangt vom Hersteller die Zusicherung des störungsfreien Betriebs. Denn sollte durch den Ausfall eines Systems eine ganze Fertigungsstraße stillstehen, summieren sich die Kosten schnell auf beträchtliche Größen. Eine hohe Betriebszuverlässigkeit können Hersteller nur durch ständige Betreuung mittels Fernwartung garantieren.

Anbieter zum Thema

Keller & Bohacek GmbH & Co.

Glatt GmbH

ROTRONIC MESSGERÄTE GMBH

Fernwartungs-Lösungen sind heutzutage dank moderner IT-Technologie, weltweiter Vernetzung und schneller Datenübertragung problemlos zu realisieren. Selbst komplexe Industrieanlagen lassen sich aus der Ferne überwachen und warten (Bild 1). Die Herausforderung stellt sich an anderer Stelle: Wie behalten Unternehmen, die Fernwartungs-Services von mehreren Herstellern nutzen, die Zugriffsmöglichkeiten in ihre Netzwerke hinein im Blick?

Die Vorteile einer Fernwartungs-Lösung liegen auf der Hand: Die Anlagen werden von erfahrenen Spezialisten des Herstellers fortlaufend überwacht und gewartet, ohne dass diese vor Ort sein müssen. Sollte trotz regelmäßiger Pflege eine Störung auftreten, können die Spezialisten mittels Wartungsverbindung zugreifen und die meisten Probleme umgehend lösen. Die erforderliche IT-Technologie ist ausgereift, schnelle Datenleitungen sind nahezu überall kostengünstig vorhanden. Fernwartungs-Lösungen sparen somit Zeit und Geld – davon profitieren sowohl der Wartungsdienstleister als auch der Anlagenbetreiber.

Die Vorteile sind überzeugend, der zunehmende Einsatz von Fernwartungs-Lösungen ist aber mit erheblichen Nebenwirkungen verbunden. Denn die Anlagen, die betreut werden sollen, sind bei den Anwendern in die lokalen Netze (LAN) eingebunden. Für den Fernzugriff muss dem Dienstleister also ein Zugang in das LAN des Anwenders eingeräumt werden. Damit ist der sensible Bereich der IT-Sicherheit bei der Anwenderfirma betroffen. Es muss sichergestellt werden, dass über den Wartungszugang tatsächlich nur der Dienstleister in das LAN gelangt und keine unbefugten Dritten (Bild 2).

Als weitere Sicherheitsstufe sollte der externe Zugriff auf das betreute Objekt begrenzt sein. Die meisten Unternehmen betreiben nur ein flaches Netz, an das alle Systeme angebunden werden. Wer einen Zugang hat, kann somit leicht in äußerst sensiblen Systemen und Daten herumsurfen.

Große Zahl an Zugängen erschwert die Absicherung

Je mehr Wartungszugänge in ein LAN geführt werden, desto schwieriger ist die Absicherung. Denn es wird eine Vielzahl von Fernwartungslösungen verwendet, die über unterschiedliche Wege eine Verbindung zur betreuten Anlage aufbauen: über Modem, ISDN, DSL oder In- ternet sowie mit verschieden- en VPN(Virtual-Private-Network)-Standards zur verschlüsselten Datenübertragung. Für dieses Sammelsurium unterschiedlicher Lösungen muss auf der Firewall wiederum eine Vielzahl an Ports freigeschaltet werden, wodurch die Gefährdung durch unberechtigte Zugriffe, Hacker-Attacken und Viren, die ganze Produktionsstraßen lahmlegen können, steigt.

Am anderen Ende der Verbindung stehen die Wartungsdienstleister zumeist vor ähnlichen Problemen: Auch dabei ist ein vielfältiges Portfolio an Fernwartungs-Systemen gewachsen, das umständlich zu bedienen ist und großen Aufwand bei der Administration erfordert. Für den Dienstleister ist es wichtig, dass sein Zugang in das Kundennetz zuverlässig gesichert ist. Beide Seiten – Anwender und Dienstleister – haben somit ein großes Interesse an einer Fernwartungs-Lösung, die diese Kriterien erfüllt:

• einfache Bedienung,
• komfortable Administration,
• hochwertige IT-Sicherheit,
• flexible Einsatzmöglichkeiten.

Eine Lösungsmöglichkeit für dieses Anforderungsprofil ist der Einsatz eines Rendezvous-Servers, wie in einem Konzept von Genua realisiert (Bild 3). Dabei werden keine einseitigen Zugriffe von Wartungsdienstleistern in das Netz des Kunden zugelassen. Stattdessen führen alle Fernwartungs-Zugriffe auf einen Rendezvous-Server, der in einem speziellen Bereich neben der Firewall, der so genannten demilitarisierten Zone (DMZ), installiert ist. Dahin kommt der Anwender dem Dienstleister mit einer Verbindung von innen aus dem Wartungsbereich entgegen.

Erst wenn es auf dieser zentralen Wartungsplattform zum Rendezvous kommt, kann der Dienstleister die jetzt durchgängige Verbindung zum Zugriff auf die betreute Anlage nutzen. Der Rendezvous-Server kann sowohl in der DMZ des Dienstleisters oder auch des Anwenders eingerichtet werden. Weil der Anwender zu einem verabredeten Zeitpunkt selbst aktiv werden muss, hat er stets den Überblick, wer wann in seinem Netz unterwegs ist.

Verbindung zum Server erfolgt über öffentliche Netze

Die Verbindungen zu dem Rendezvous-Server werden mit einem VPN-Gateway über öffentliche Netze wie das Internet aufgebaut. Dabei wird das VPN-Standardprotokoll SSH verwendet, das starke Verschlüsselungs- und Authentifizierung-Verfahren bietet. So ist sichergestellt, dass die Datenkommunikation nicht abgehört werden kann und nur berechtigte Teilnehmer Zugang zur zentralen Wartungs-Plattform in der sicherheitskritischen DMZ bekommen.

Innerhalb des Kundennetzes sorgt die sogenannte Genubox zusätzlich für Sicherheit. Sie wird an den betreuten Anlagen installiert und erzeugt die SSH-Verbindung zum Rendezvous-Server. Darüber hinaus separiert sie mit einer integrierten Firewall-Funktion den Wartungsbereich vom restlichen Netzwerk. So führt die SSH-Verbindung ausschließlich zum Wartungsobjekt – Zugriffe auf andere Systeme im Netz des Kunden sind nicht möglich. Auf einer Applikationsplattform der Genubox können zusätzlich Anwendungen installiert werden, um diese als intelligentes Tool bei der Anlage vor Ort einzusetzen: Sie kann komplexe Aufgaben erledigen wie die Steuerung und Wartung von Maschinen oder aufwändige Datenanalysen. Aufgrund der robusten und wartungsfreien Konstruktion ist sie auch für den Einsatz in rauen Industrieumgebungen geeignet.

Über den Rendezvous-Server können beliebig viele Fernwartungs-Verbindungen zusammengeführt werden. Weil Bedienung und Administration über einheitliche Oberflächen erfolgen, kann mit geringem Aufwand ein sicheres Fernwartungs-System mit vielen Teilnehmern aufgebaut und betrieben werden. Um neue Teilnehmer in die Lösung einzubinden, wird an der jeweiligen Gegenstelle lediglich eine Fernwartungs-Appliance installiert. Somit ist die Lösung für künftige Erweiterungen geeignet.

Dr. Michaela Harlander ist Geschäftsführerin der Gesellschaft für Netzwerk- und Unix-Administration mbH (Genua) in 85551 Kirchheim, Tel. (0 89) 99 19 50-0, info@genua.de

(ID:260451)