Bei Anwendungen im Bereich Infrastruktur und Gebäude-Automation sind oft mehrere Netzwerke miteinander zu verbinden, wobei jede Seite die Verbindung über einen VPN-Tunnel aufbauen kann. Danach sind alle Teilnehmer in der Lage, miteinander Daten auszutauschen. Für die Kommunikation werden jeweils die in den lokalen Netzen vergebenen IP-Adressen genutzt.

Im Gegensatz dazu ist bei der Fernwartung im Maschinenbau meist nur ein Client-Rechner mit einer entfernten Steuerung zu verbinden, zum Beispiel ein Service-Mitarbeiter oder ein Programmierer. Für diese Verbindung erhält der Client eine virtuelle IP-Adresse, über die er mit dem entfernten Netzwerk, in dem sich die Steuerung befindet, kommunizieren kann. Für diese Einsatzfälle bietet sich meist die Nutzung eines VPN-Portals an, da nur wenige Geräte über das Internet angesprochen werden.

Generelle Einwände gegen den Einsatz von Fernwartungslösungen beziehen sich vor allem auf den Aspekt Sicherheit. Um diese Risiken zu minimieren, nutzt man Virtual Private Networks (VPN), bei denen eine zertifikatsbasierende Verschlüsselung Manipulationen von außen verhindert.

Fernzugriff in der Gebäude-Automatisierung

Der Fernzugriff von einer Zentrale auf umliegende Gebäude und Außenstationen wird immer wichtiger. Nur mit dieser Technologie ist es möglich, das Facility-Management zu dezentralisieren oder an externe Dienstleister zu vergeben. Im Umfeld von „Outsourcing“ kommt bei kleineren Außenstellen auch der portalbasierte Fernzugriff auf eine zentrale Steuerung in Frage. In der Regel sind in der Gebäude-Automatisierung aber größere und mehrere Systeme installiert, die eine Verbindung zwischen mehreren Netzwerken erfordern. Daneben macht die Möglichkeit, nachträglich via Ethernet zusätzliche Komponenten – etwa IP-basierte Kameras zur Überwachung einzubinden – die Netzwerk-Ankopplung der Gebäudetechnik zusätzlich interessant.

Typische Client-Server-Lösung für die Gebäudeautomation.

© ISK

Einen konkreten Einblick in die Herangehensweise bei modernen Fernzugriffslösungen gibt das bei der Firma Art-Department bei Baden-Baden realisierte Projekt. Das Unternehmen bietet eine Umgestaltung und individuelle Farbgebung von Fahrzeugen an, ohne das Fahrzeug neu zu lackieren. Diese Technik wird mittlerweile bei Taxis und auch Polizeifahrzeugen eingesetzt, um den Wiederverkaufswert der Fahrzeuge durch die Erhaltung der originalen Fahrzeug-Lackierung zu erhöhen. Die Grundlage bilden spezielle Folien, die auf den Fahrzeugen aufgebracht werden.

In der Aufgabenstellung bei der Auslegung der Gebäude-Automatisierung standen neben den klassischen HKL-Funk-tionen (Heizen, Klima, Lüften) einige spezielle Punkte im Pflichtenheft, die den Einsatz eines Internet-Fernzugriffs unumgänglich machten. Da sich meistens mehrere neue und teure PKWs in der Arbeitshalle und auf dem Vorgelände befinden, ist aus versicherungstechnischen Gründen neben einer Brandmelde-Anlage ein Alarmsystem vorgeschrieben. Zudem befindet sich der Betrieb in einem Industriegebiet mit wenig Wohnbebauung. Deshalb muss die Alarmanlage in der Lage sein, Nachrichten per E-Mail zu versenden.

Ein weiterer wesentlicher Aspekt bei der Systemdefinition war die Forderung, das Folienlager in der Arbeitshalle ständig auf einer konstanten Temperatur zu halten. Der Grund: Die Spezialfolien können bei zu hohen und zu niedrigen Temperaturen beschädigt oder sogar unbrauchbar werden. Einmal als zweite Haut auf dem Fahrzeug angebracht, spielen die Temperaturen keine Rolle mehr. Daher muss das Steuerungssystem nicht nur die Temperatur überwachen, sondern bei Abweichungen eine Nachricht generieren, damit aus der Ferne sofort Gegenmaßnahmen eingeleitet werden können. Beispielsweise setzt das System bei Ausfall der Zentralheizung eine Meldung als E-Mail ab, die auch Smartphones empfangen können. Der zuständige Mitarbeiter kann individuell entscheiden, ob er eine separate elektrische Notheizung manuell zuschaltet oder sofort hinfährt und vor Ort der Fehlerursache auf den Grund geht. Aus dem Lastenheft leiten sich folgende Anforderungen an das Fernzugriffs-System ab:

■ Ankopplung der Gebäude-Steuerung über den vorhandenen ADSL-Zugang;
■ Betrieb des Überwachungssystems ohne Beeinflussung des existierenden Netzwerks;
■ Einbindung mehrerer IP-Kameras zur Gebäude-Überwachung;
■ Sendung von E-Mail-Nachrichten bei Störungen oder Alarmzuständen;
■ Webbasierter Fernzugriff per Browser auf die Steuerung und IP-Kameras;
■ Ferngesteuerte Auslösung von Aktionen per PC oder Smartphone bei Störungen;
■ Integration von Brandmeldern und einer Alarmanlage in den Daten-Fernzugriff;
■ Erweiterbarkeit, um später zusätzliche Sensoren und Aktoren einzubinden.

Client-Server-System als Lösung

Sämtliche Anforderungen aus dem Lastenheft lassen sich mit einer vorgefertigten Client-Server-Lösung mit Subnet-Kopplung erfüllen. Bei dieser Lösung wird ein VPN-Server in das vorhandene Netzwerk des Kunden integriert, der den existierenden ADSL-Anschluss zur Datenübertragung nutzt. An diesem VPN-Server hängt ein zweites Ethernet-Netzwerk, an das die Gebäudesteuerung sowie mehrere IP-Kameras angeschlossen sind. Als VPN-Clients agieren bei dieser Konfiguration die entfernten Rechner beziehungsweise die Smartphones der Mitarbeiter. Für diese Komponenten wurden die notwendigen Schlüsseldateien zusammen mit dem vorkonfigurierten VPN-Server geliefert.

Als VPN-Server kommt ein Kompakt-Router FR-100 der Firma ISK Automation zum Einsatz, der speziell für die Belange der Gebäude-Automatisierung ausgelegt ist. Mit seinen zwei autarken Ethernet-Schnittstellen lässt sich auf Ethernet-Subnet über einen sicheren VPN-Tunnel per Internet zugreifen. Als sofort einsetzbares Plug&Play-System kann dieser Router mit allen Gebäude-Steuerungen, die eine Ethernet-Schnittstelle zur Konfiguration besitzen, eingesetzt werden. Über die integrierte Wifi-Schnittstelle kann der Router zusätzlich bis zu acht IP-Kameras drahtlos ankoppeln und deren Bilder ebenfalls über den VPN-Tunnel übertragen.

Router-Konfiguration: klingt kompliziert, ist aber einfach

Der für die Fernwartung konzipierte Router basiert auf den Protokollen OpenSSL/OpenVPN und nutzt den dort spezifizierten Ethernet-Port UDP 1194. Bei der ersten Inbetriebnahme muss daher sichergestellt sein, dass dieser Port für ausgehende Verbindungen offen ist. Ansonsten kann sich der Router nicht mit dem Portal verbinden. Dies bedeutet: Falls bislang kein offener Verbindungs-Port im Netzwerk existiert, muss die Unternehmens-IT die Firewall so konfigurieren, dass mindestens der UDP-Port 1194 für ausgehende Verbindungen offen ist.

Ankopplung des Fernzugriffs an das Firmen-Netzwerk.

© ISK

Auf der WAN-Seite ist der Router als DHCP-Client konfiguriert und am Firmen-Netzwerk angeschlossen, das heißt, er bekommt eine Netzwerk-Adresse vom DHCP-Server des vorhandenen Netzwerks zugewiesen (meist der Netzwerk-Server oder der Internet-Router). Auf diese IP-Adresse muss im Internet-Router des Kunden eine Port-Weiterleitung auf den VPN-Port 1194 des Routers eingerichtet werden. Falls kein Firmen-Netzwerk vorhanden ist, kann der FR-100 auch direkt über ein ADSL-Modem mit dem Internet verbunden werden.

Jeder ADSL-Anschluss hat eine „Public-IP“, eine im Internet sichtbare IP-Adresse, meist auch WAN-IP genannt. In der Regel ändert sich die Public-IP alle 24 Stunden. Um dennoch von außen immer über das Internet Zugang zum Router zu haben, muss in diesem Fall eine Namenszuweisung auf den ADSL-Anschluss über einen DynDNS-Dienst (dynamisches Domain Name System) eingerichtet werden.

Je nach Internet-Provider (zum Beispiel Telekom) besteht ebenso die Möglichkeit, eine ADSL-IP als feste Adresse zu beziehen. Da diese Adresse immer gleich bleibt, kann der Router ohne DynDNS von überall aus dem Internet angesprochen werden.

Der VPN-Router ist auf der LAN-Seite mit der festen IP-Adresse 192.168.6.1 (die zugehörige Subnet-Maske ist 255.255.255.0) ausgestattet. Diese Adresse wird bei allen angeschlossenen Ethernet-Geräten als Gateway eingetragen. Alle Teilnehmer des LAN-Netzwerks, die über den FR-100 ansprechbar sein sollen, werden daher auf die Subnet-Adresse 192.168.6.0 eingestellt.
Bei jedem angeschlossenen Gerät muss im Ethernet-Setup eine IP-Adresse mit dem Wert 192.168.6.xxx konfiguriert werden. Der zulässige Wertebereich des letzten Adressbytes (xxx) liegt in den Bereichen zwischen 12 und 179 und 181 bis 253. Die anderen Adressen sind für den Anschluss von IP-Kameras oder anderen Wifi-Geräten reserviert. Als Subnet-Maske wird immer 255.255.255.0 eingetragen und bei dem Eintrag für das Standard- (Default) Gateway ist immer die Adresse des FR-100 (192.168.6.1) einzutragen. Damit ist die Konfiguration des Fernzugriffs-Systems abgeschlossen.

Konfiguration der Fernzugriffs-Rechner

An den Router können bis zu vier verschiedene Clients für den Fernzugriff per Internet gekoppelt werden. Dementsprechend sind im Lieferumfang vier Client-Datensätze mit den notwendigen VPN-Zertifikaten für einen OpenVPN-Client enthalten. Für Rechner mit Windows XP und Windows 7 empfiehlt ISK das kostenlose Tool OpenVPN-GUI. Über diesen OpenVPN-Client kann der VPN-Tunnel zum FR-100 aufgebaut werden. Nachdem sich der Tunnel aufgebaut hat, können alle Teilnehmer am LAN-Ausgang des VPN-Routers über ihre Adresse 192.168.6.xxx so angesprochen werden, als wären sie direkt mit dem Client-PC verbunden. Die Daten werden dabei sicher über den VPN-Tunnel transportiert und vom normalen Kunden-Netzwerk komplett abgeschottet.

Soll ein Smartphone für den mobilen Fernzugriff genutzt werden, muss für den VPN-Zugriff ein entsprechendes Programm (App) auf dem Smartphone sowie eine der mitgelieferten Client-Schlüsseldateien installiert sein. Da es viele verschiedene Smartphones gibt, gibt es keine allgemeingültige Smartphone-App, Informationen zu OpenVPN-Client-Software gibt es aber häufig vom Hersteller oder in Anwenderforen.

Das Ergebnis: Sicherer Fern-zugriff jederzeit und überall

Die komplette Gebäude-Leittechnik – nebst Brandschutzanlage und IP-Kameras – kann über den VPN-Router Alarme absetzen und ist per Fernzugriff direkt erreichbar.

© ISK

Durch die Installation des beschriebenen Fernzugriffs-Systems konnten alle Punkte des Pflichtenheftes erfüllt werden. Die GLT-Steuerung überwacht die Temperatur im Folienlager und kontrolliert die angeschlossenen Sensoren, Brandmelder und Bewegungsmelder der Zutrittskon-trolle. Die IP-Kameras sind per Wifi-Kopplung direkt mit dem Router verbunden und können per Internet-Browser jederzeit vom Laptop oder Smartphone angesprochen werden. Da die Kameras eine Bewegungsmelder-Funktion haben, können sie bei einem Alarm selbstständig eine E-Mail an das Smartphone des Kunden senden oder auch Bilder auf einen FTP-Server übertragen.

Im Fall einer Störung oder eines Alarms sendet die Steuerung eine E-Mail an eine oder mehrere voreingestellte Adressen, die den Kunden auf seinem Laptop oder Smartphone auf Probleme hinweist. Der Kunde kann dann die Situation über die Kameras prüfen und Aktionen per Fernzugriff auf die GLT-Steuerung veranlassen oder im Fall eines Einbruchversuchs die Polizei informieren. An diesem Beispiel zeigen sich deutlich die erweiterten Möglichkeiten eines VPN-basierten Fernzugriffs in der Gebäude-Automatisierung.

Portal-Lösungen: Ideal für Maschinen-Fernwartung

Remote-Service und Fernwartung gewinnen im Maschinen- und Anlagenbau zunehmend an Bedeutung. Techniker sind darüber in der Lage, auf entfernte Maschinen und Anlagen direkt von der Zentrale aus zuzugreifen. Eine der wichtigsten Zielsetzungen ist dabei der vorausschauende Service, mit dem versucht wird, den Ausfall von Maschinen und Anlagen zu verhindern. Dies geschieht beispielsweise durch die Übertragung von Statusmeldungen, auf die umgehend reagiert werden kann. Hinzu kommen regelmäßige Zugriffe von der Zentrale des Lieferanten auf die Steuerung der Maschine oder Anlage. Routine-Aufgaben wie Updates und Instandhaltungsmaßnahmen können ebenfalls von der Zentrale aus vorgenommen werden. Insgesamt reduziert Fernwartung die Arbeitszeit von Technikern direkt an der Maschine erheblich, wodurch letzten Endes die Wartungskosten sinken.

Da im Bereich des Maschinenbaus keine tiefgehenden IT-Kenntnisse beim Wartungspersonal vorausgesetzt werden können, sind VPN-Portale als eine skalierbare, ständig verfügbare Fernwartungslösung als Plattform prädestiniert. Der Vorteil: Anwender müssen sich nicht um die technischen Aspekte des Fernzugriffs über Internet kümmern. Die Technologie lässt sich leicht in vorhandene Netzwerke integrieren, ohne Einschränkungen bei der Sicherheit der Daten in Kauf nehmen zu müssen. Denn Portal-Lösungen haben in der Regel hohe Sicherheitsstandards, ähnlich wie sie Banken und sichere Online-Shopping-Sites verwenden. Die VPN-Protokolle des Craser-Portals (Cellular Remote Address Serving Router) der Firma ISK verwenden beispielsweise OpenSSL (Secure Socket Layer) and OpenVPN.

Der Portal-Service wird von Unternehmen betrieben, deren Hauptaktivität das Webhosting mit breitbandiger Internet-Anbindung ist. Das Portal kann durch den fast unbegrenzten Datendurchsatz so skaliert werden, dass es auch hohe Anforderungen hinsichtlich der Verbindungsanzahl erfüllt. Jedes Internet-Portal auf Basis einer gehosteten Web-Anwendung verbindet die Benutzer mit ihren Maschinen über das Internet und agiert als Vermittlungsstelle zwischen Benutzer und Maschine. Jeder mit einer Maschine verbundene Router ist als Client ausschließlich mit dem Portal-Server (Craser) verbunden. Ein Authentifi-zierungsmechanismus gewährleistet, dass jeder Router nur mit dem Portal-Zugang verbunden ist, der den gleichen Schlüssel hat. Jeden anderen Versuch eine Verbindung aufzubauen, lehnt der Router ab. Ein ähnlicher Mechanismus, vergleichbar mit Nutzungs- und Zugangsrechten, stellt sicher, dass die einzelnen Benutzer nur mit bestimmten Routern kommunizieren können. Da auch das Fernwartungs-Portal auf den Protokollen OpenSSL/OpenVPN und dem dort spezifizierten Ethernet-Port UDP 1194 basiert, muss bei der ersten Inbetriebnahme sichergestellt sein, dass dieser Port für ausgehende Verbindungen offen ist. Ansonsten kann sich der Router nicht mit dem Portal verbinden. Dies bedeutet: Falls bislang kein offener Verbindungs-Port im Netzwerk existiert, muss die Unternehmens-IT die Firewall so konfigurieren, dass mindestens der UDP-Port 1194 für aus-gehende Verbindungen offen ist.

Als All-inclusive-Lösung konzipiert, gibt es bei diesem Ansatz keine versteckten Kosten, so dass ein Maschinenbauer die Betriebskosten detailliert berechnen kann.

Autor: Stefan Körte war vor seinem aktuellen Wechsel zur Firma Hilscher als Berater für die Firma INC-Consult in Sinzheim tätig.