FireSight OT · accesso remoto OT
Accesso remoto OT sicuro per PLC e macchine
FireSight OT è una soluzione di accesso remoto OT e teleassistenza industriale per PLC, HMI e PC di engineering. Un piccolo Cloud Connector in ogni rete macchina si collega in uscita al vostro Cloud Hub, e ogni persona raggiunge solo le macchine che le sono state assegnate. Nessuna porta in ingresso da aprire nello stabilimento, nessun indirizzo da cambiare sulle macchine.
Architettura
Accesso remoto OT solo in uscita
Il Cloud Hub è un server che gestite voi. Contiene utenti, autorizzazioni, registro di audit e licenze, ed è l'unico componente esposto a Internet, su HTTPS 443. Il Cloud Connector in stabilimento apre una connessione cifrata verso l'Hub e da lì raggiunge le macchine per conto dell'utente.
- Nessuna regola in ingresso sul firewall dello stabilimento: il Cloud Connector si collega solo in uscita, anche attraverso il proxy HTTP del sito.
- TLS reciproco con un certificato per ogni Cloud Connector, TLS 1.3 per impostazione predefinita, rilasciato all'attivazione con un codice monouso.
- Le macchine non cambiano: vedono le connessioni arrivare dall'indirizzo del Cloud Connector, quindi niente rotte o gateway da modificare su PLC e HMI.
- Il sito ha l'ultima parola: una lista sul dispositivo limita ciò che l'Hub può raggiungere, e l'Hub non può ampliarla.
IP duplicati
Linee identiche con gli stessi indirizzi IP
I costruttori consegnano linee uguali, e molti stabilimenti usano la stessa rete, per esempio 192.168.1.0/24. Una VPN industriale tradizionale non può instradare verso due reti con gli stessi indirizzi. FireSight OT assegna a ogni rete macchina un intervallo virtuale univoco sull'Hub (mappatura 1:1).
Esempio: il PLC 192.168.1.20 di Milano diventa 10.200.3.20 sull'Hub, quello di Brno diventa 10.200.4.20. In stabilimento non si rinumera nulla.
Approfondimento: accesso remoto con indirizzi IP duplicati (in inglese).
Come ci si collega
Teleassistenza industriale dal browser o dal client
Gli utenti accedono all'Hub e aprono le macchine da I miei accessi. Molto si fa direttamente nel browser; per gli strumenti di engineering c'è il client FireSight OT.
HMI web
Pannelli e pagine web delle macchine si aprono nel browser attraverso l'Hub, comprese pagine di login, cookie e HMI con aggiornamento in tempo reale.
Desktop remoto e terminale
RDP e VNC verso PC di engineering e pannelli HMI, con appunti e Ctrl+Alt+Canc. SSH, Telnet e console seriali in una finestra di terminale. Nel browser, senza client.
Strumenti di engineering
Il client FireSight OT per Windows, Mac e Linux apre una porta locale per TIA Portal, Studio 5000, strumenti Modbus o PuTTY, e avvia da solo il visualizzatore RDP o VNC. Si scarica dal vostro Hub.
Per gli strumenti che devono raggiungere un'intera rete c'è una VPN WireGuard opzionale, limitata alle reti assegnate a ciascuno. Dettagli per PLC: accesso remoto PLC sicuro.
Terze parti
Accesso remoto sicuro per i fornitori
Il costruttore ha bisogno di un PLC, in orario di lavoro, per una settimana. Con FireSight OT ottiene esattamente questo, e ogni sessione resta registrata.
- Niente è visibile finché non viene assegnato: una macchina o un intero Cloud Connector, a una persona, a una divisione (stabilimento, linea, manutenzione) o a un fornitore.
- Account fornitore con autenticazione a due fattori obbligatoria, orari di accesso (per esempio lun–ven 07:00–18:00) e data di scadenza. Le sessioni aperte si chiudono allo scadere del tempo.
- Registro di audit completo: accessi, sessioni (chi, cosa, da dove, per quanto, quanti dati), modifiche ed email di allarme, esportabile in CSV.
- Trascrizioni di ogni sessione di terminale nel browser (SSH, Telnet, seriale), conservate 90 giorni e collegate al registro di audit.
- Single sign-on con Microsoft Entra ID, Google Workspace, Okta, OpenID Connect o SAML 2.0.
Esercizio
Allarmi, reti mobili e console seriali
Email senza valanghe
Avvisi quando un Cloud Connector è offline o una macchina non risponde per N minuti, con destinatari per squadra. Se cade un intero sito arriva una riga sola. La modalità manutenzione (da 1 ora a 1 settimana) sospende gli avvisi durante gli interventi.
4G/5G
Un modem USB con SIM dati come connessione principale o di riserva. Sulle SIM a consumo il Cloud Connector resta in attesa e usa circa 15 MB al mese; il tunnel si apre in pochi secondi quando serve.
Console seriali
Cavi console USB o adattatori USB-RS232 sul Cloud Connector, per router, switch, firewall, azionamenti e porte di servizio dei PLC. Un utente alla volta, con pulsante Send break.
Dal sito si possono anche caricare file (log, ricette, backup) via SFTP o FTP, poi raccolti dal vostro software di backup via SFTP o S3. Approfondimenti in inglese: accesso remoto su 4G/5G e console seriali remote.
Hardware, hosting e licenza
Al posto del router industriale per teleassistenza
Nessun vincolo sull'hardware e nessun servizio cloud obbligatorio.
Comprarlo o costruirlo
I Cloud Connector sono basati su Raspberry Pi. Potete acquistarli pronti da noi (CC-3, CC-4, CC-5 e le versioni industriali CC-4i e CC-5i) oppure assemblarli con componenti acquistati in qualsiasi negozio locale.
Sul vostro server
L'Hub si installa con un solo comando su Debian 12 o 13, nel vostro data center o su una VM cloud, con certificato Let's Encrypt gratuito. I dati e le regole di accesso restano a voi. Un'opzione SaaS ospitata è prevista.
Per Cloud Connector
Licenza Hub per azienda o licenza dispositivo per singolo Cloud Connector. Valutazione gratuita di 30 giorni con un massimo di 3 Cloud Connector. Se la licenza scade, il sistema continua a funzionare in modalità limitata e gli aggiornamenti di sicurezza proseguono.
Previsti nella versione 0.4.0: registrazione video delle sessioni RDP/VNC, API REST e webhook, VLAN sulla porta macchine, app mobile con notifiche, aggiornamenti automatici. Per i costruttori: teleassistenza per costruttori di macchine. Per la conformità: NIS2 e accesso remoto. Per una prova o un progetto pilota: contattateci.
Domande frequenti
Domande frequenti
Servono porte aperte in ingresso sul firewall dello stabilimento?
No. Il Cloud Connector si collega solo in uscita al Cloud Hub, anche attraverso il proxy HTTP del sito, quindi lo stabilimento non deve aprire porte né avere indirizzi pubblici.
Funziona se più linee usano gli stessi indirizzi IP?
Sì. Ogni rete macchina riceve un intervallo virtuale univoco sull'Hub (mappatura 1:1), quindi linee identiche convivono senza rinumerare nulla in stabilimento.
FireSight OT è una VPN industriale?
Non nel senso classico. Di norma l'accesso è per singola macchina, dal browser o dal client FireSight OT; una VPN WireGuard opzionale è disponibile per gli strumenti che hanno bisogno di un'intera rete, limitata alle reti assegnate.
Dove gira il Cloud Hub?
Sul vostro server, nel vostro data center o su una VM cloud, con un'installazione su Debian 12 o 13. Un'opzione SaaS ospitata è prevista.
Cosa succede se la licenza scade?
Il sistema continua a funzionare in modalità limitata e gli aggiornamenti di sicurezza proseguono. La licenza è per Cloud Connector, con una valutazione gratuita di 30 giorni fino a 3 Cloud Connector.
Vedetelo su una linea di prova
Raccontateci i vostri siti e chi deve raggiungerli. Vi mostriamo FireSight OT in un Cloud Hub dimostrativo, con macchine reali dietro un Cloud Connector.
