Für praktisch jede Fernzugriffslösung in der Automatisierung wird heute der Einsatz eines VPNs (Virtual Private Network) in Erwägung gezogen. Besonders anspruchsvoll ist der IPsec- oder SSL-gesicherte Zugriff unterschiedlicher Nutzergruppen – zum Beispiel Anlagenhersteller und Betreiber – auf die einzelnen Automatisierungsbaugruppen im Ethernet-LAN einer Anlage. Zunächst einmal hat man es dabei mit drei völlig unterschiedlichen Funktionseinheiten zu tun, die konfiguriert, administriert und ständig nach neuesten Sicherheitserkenntnissen weiter zu entwickeln sind:

VPN-Server
Der VPN-Server ist im Allgemeinen ein leistungsfähiger PC, der im Rechenzentrum eines Anlagenherstellers oder bei einem Service-Anbieter betrieben wird. Dieser hochverfügbare Rechner ist mit dem Internet verbunden und über einen DNS-Namen oder eine statische IP-Adresse weltweit erreichbar.

VPN-Gateway
Eine solche Baugruppe besitzt mindestens zwei IP-Schnittstellen. Eine ist per DSL, GPRS, UMTS oder über eine spezielle Modemverbindung mit dem Internet verbunden. Die zweite IP-Schnittstelle ist in das Automatisierungs-LAN der Anlage eingebunden. Zwischen beiden Schnittstellen muss ein höchst­sicherer Zugriffsschutz gewährleistet sein. VPN-Gateways für die Automatisierung sind in der Regel kleine Rechnereinheiten, die direkt auf der DIN-Hutschiene montiert werden.

Teleservice-PC
Hierbei handelt es sich um gewöhnliche Arbeitsplatzrechner und Notebooks, die mit unterschiedlichen Microsoft-, Apple- oder Linux-Betriebssystemen laufen. Sie sind entweder über ein Unternehmens-LAN oder per WLAN beziehungsweise UMTS mit dem Internet verbunden. Auf diesen Rechnern sind zahlreiche weitere Anwendungen – wie zum Beispiel eine SPS-Programmiersoftware – installiert. Sinn und Zweck eines Teleservice-VPNs ist in den meisten Anwendungsfällen der völlig transparente Fernzugriff per Teleservice-PC auf die einzelnen Automatisierungsbaugruppen.

Herausforderung IP-Adressierung

Die wohl größte Herausforderung beim Aufbau einer VPN-basierten Fernzugriffslösung stellt die IP-Adressierung aller Teilnehmer dar. Dazu liefert die Tabelle in der folgenden Bilderstrecke eine Übersicht zu den einzelnen Adressen für das Beispiel in Bild 1. In der Praxis werden innerhalb eines Automatisierungs-LANs in allen Anlagen meist dieselben internen IP-Adressen für gleiche Baugruppen verwendet. So hat zum Beispiel die SPS in jeder Anlage im Bild 1 die IP-Adresse 192.168.19.2. Die in das VPN einge­bundenen IP-Schnittstellen des Servers, der Gateways und der Teleservice-PCs benutzen einen jeweils eigenen IP-Nummernkreis. Hier ist jede IP-Adresse innerhalb des VPNs nur einmal verwendbar. Neben den IP-Adressen gibt es weitere temporäre Adressen für die Fernzugriffsschnittstellen der VPN-Gateways und der Teleservice-PCs beziehungsweise der Router, hinter welchen diese PCs betrieben werden. Hinzu kommt die globale IP-Adresse des VPN-Servers im Internet.

Durch einen entsprechenden Cloud-Service lässt sich die gesamte Planung und Realisierung eines Automatisierungs-VPNs deutlich vereinfachen. Die VPN-Gateway-Baugruppen für ein solches virtuelles privates Netzwerk sind bereits durch den Anbieter entsprechend vorkonfigurierbar, so dass der Automatisierer bei der Inbetriebnahme vor Ort in der Anlage nur noch die Gateway-Verbindungen zum Internet und zum Feldgerät herstellen muss. Bei einer GPRS- oder UMTS-basierten Internet-Anbindung müsste lediglich eine entsprechende M2M-SIM-Karte in das VPN-Gateway eingesteckt werden.

Es gibt allerdings bereits Anbieter, die Fernzugriffs-Gateways mit vorinstallierten SIM-Karten ausliefern. Wird ein DSL-Anschluss für die Verbindung zum Internet genutzt, muss bei einigen VPN-Gateways über eine Web-Konfigurationsschnittstelle nur zwischen direkter DSL-Modemverbindung oder Router-Verbindung gewählt werden. Im ungünstigsten Fall müsste der Mitarbeiter vor Ort die Parameter des Internetzugangs bei der Inbetriebnahme mit Hilfe eines Notebooks manuell konfigurieren. Nach dem Anlegen der Versorgungsspannung respektive nach der Internet-Zugangskonfiguration erzeugt das VPN-Gateway über die Fernzugriffsschnittstelle zunächst eine Verbindung zum Internet. Danach meldet sich der Gateway-Rechner bei dem jeweils hinterlegten VPN-Server. Der dort ablaufende Cloud-Service erkennt die Anmeldung des Gateways und stellt anhand der vorliegenden Daten fest, dass es sich um eine Erst-Inbetriebnahme handelt.

Um die erforderliche IP-Konfiguration in die Wege zu leiten, verschickt der Cloud-Service eine automatisch erzeugte E-Mail an den zuständigen Betreuer. Bei dieser Person kann es sich um einen geschulten Mitarbeiter beim VPN-Gateway-Lieferanten, beim Betreiber des VPN-Servers oder beim Cloud-Service-Anbieter handeln. Dieser Mitarbeiter erzeugt dann mit Hilfe seines Arbeitsplatzrechners eine VPN-Verbindung zum Gateway in der Anlage und führt die gesamte IP-Konfiguration aus der Ferne durch. Zum Schluss werden für das Gateway und die Teleservice-PCs des Kunden die entsprechenden Passwörter, Benutzerschlüssel und VPN-Zertifikate generiert und dem Kunden auf einem sicheren Weg zur Verfügung gestellt. Danach können die Teleservice-PCs mit den entsprechenden Rechten per VPN auf die einzelnen Automatisierungsbaugruppen der Anlage zugreifen.

Ein Beispiel aus der Praxis

Die Vorteile VPN-gesicherter Fernzugriffe per Cloud-Service lassen sich am Beispiel eines BHKW-Anlagenherstellers verdeutlichen. Blockheizkraftwerke (BHKW) sind so genannte Kraft-Wärme-Kopplungs-Anlagen (KWK-Anlagen), die in der Regel aus einem Gasantrieb und einem Generator bestehen. Die Abwärme des Gasantriebs dient als Nutzwärme. Der durch den Generator erzeugte Strom kann in das öffentliche Netz eingespeist oder vor Ort selbst verbraucht werden. Die Steuerung eines solchen BHKWs übernimmt üblicherweise eine SPS. Die Vernetzung der gesamten Automatisierungstechnik erfolgt vielfach per Ethernet-LAN. Hinzu kommt häufig eine RS-485-basierte Anbindung weiterer Datenpunkte. Aufgrund der zahlreichen Parameter derartiger Anlagen ist ein Fernzugriff sowohl durch den Hersteller der Anlage als auch durch den jeweiligen Betreiber erforderlich. Dabei soll auf alle Baugruppen im Anlagen-LAN transparent zugegriffen werden. Darüber hinaus sollen zum Beispiel auch die Daten eines Einspeise-Stromzählers und weiterer Sensoren per Fernzugriff abfragbar sein.

Cloud-Computing lässt sich als Drei-Schichten-Modell abbilden. Ein Cloud-Service für VPN- gesicherte Fernzu­griffe wäre als SaaS (Software as a Service) realisierbar.

© SSv Software Systems

Da die Installation und Inbetriebnahme eines BHKWs durch Fachpersonal ohne IT-Spezialwissen erfolgt, wurde nach einer Fernzugriffslösung gesucht, die durch einen Elektriker vor Ort bei der Schaltschrankmontage ohne Spezialkenntnisse installierbar ist. Weiterhin sollte daneben die Zentrale des BHKW-Herstellers lediglich als VPN-Nutzer auftreten. Konfiguration und Administration wurde dem Dienstleister übertragen, der auch den VPN-Server liefert und den Cloud-Service zur Verfügung stellt.

Vor der Inbetriebnahme einer Anlage wird zwischen Hersteller und Betreiber zunächst die Art des Internet-Zugangs geklärt. Für die Bereitstellung des Zugangs ist der Betreiber verantwortlich. In Frage kommt ein Router mit Kabelmodem (in Deutschland zum Beispiel ein DSL-Anschluss mit Fritz-Box) oder ein GSM/UMTS-Mobilfunkvertrag. In Abhängigkeit von der jeweiligen Wahl wird entweder ein VPN-Gateway mit 2 × Ethernet und 1 × RS485 oder ein Gateway mit 1 × Ethernet, 1 × RS485 und GSM/UMTS-Modem zusammen mit der Anlage ausgeliefert. Diese Baugruppen sind immer für den VPN-Server des BHKW-Herstellers vorkonfiguriert. Dadurch muss der Elektromonteur bei der Anlagen-Inbetriebnahme praktisch nur die Kabelverbindungen zwischen Anlage und VPN-Gateway herstellen.

Nachdem sich ein VPN-Gateway erstmals beim Cloud-Service gemeldet hat, erfolgt der Versand einer E-Mail an den Cloud-Service-Betreiber. Dieser sorgt dafür, dass das VPN-Gateway für die entsprechende Anlage (fern-)konfiguriert wird. Danach verschickt der Service-Anbieter die erforderlichen Zertifikate und Zugangspasswörter per USB-Stick an BHKW-Hersteller und -Betreiber. Beide Parteien müssen lediglich die neuen Zugangsdaten in die jeweiligen Teleservice-PCs übernehmen. Auf einem solchen USB-Stick sind darüber hinaus die VPN-Treiber gespeichert, um einen neuen Rechner zum Teleservice-PC aufzurüsten.

Autor: Klaus-Dieter Walter ist als Business Development Manager und Mitglied der Geschäftsleitung für die Firma SSV Software Systems in Hannover tätig.

Was ist ein Cloud-Service?

Unter einem „Cloud-Service“ ist ein spezieller Dienst im Internet zu verstehen, dessen Re­ali­sierung mit Hilfe des Cloud-Computing erfolgt. Der Begriff „Cloud“ basiert auf dem Sachverhalt, dass das Internet in Grafiken und Bildern stets als (Netzwerk-)Wolke dargestellt wird. „Cloud-Service“ bedeutet demzufolge, dass ein wie auch immer gearteter Service irgendwo in der (Internet-)Wolke zur Verfügung steht.

Das einem Cloud-Service zugrrundeliegende Cloud-Computing kann man sich als Modell dreier übereinander liegender Schichten vorstellen, auf die jeweils einzeln per Internet zugegriffen werden kann. Die unterste Ebene bildet die „Infrastructure as a Service“ (IaaS), im Allgemeinen eine virtuelle Rechenzentrums- oder Server-Infrastruktur. Direkt darüber findet sich die „Platform as a Service“ (PaaS). In dieser Schicht steht eine Laufzeitumgebung (Computing Platform) mit Betriebssystem, Webserver, Bibliotheken (Library Support), speziellen Sprachinterpretern, Datenbank usw. zur Verfü­gung, um selbst entwickelte Anwendungen ablaufen zu lassen.

„Software as a Service“ (SaaS) bildet schließlich die oberste Ebene. Hier sind die bereits angesprochenen Web-Anwendungen zu finden. Sie laufen in der PaaS-Ebene und bieten eine per Internet erreichbare Serviceschnittstelle, über welche die jeweiligen Dienste in Anspruch genommen werden können. Die SaaS-Schicht ist für den Zugriff durch Anwender oder dezentrale Subsysteme gedacht – im ersten Fall handelt es sich um manuelle, im zweiten Fall um automatische Zugriffe.