ipELB

4-Port Ethernet Line Breaker mit relaisgesteuerten Ethernet-Ports und integriertem I/O-Modul

  • ipELB

    ipELB ist ein System für Cybersicherheit in industriellen Netzwerken, mit dem Ethernet-Verbindungen physikalisch getrennt werden können. Es verfügt über relaisgesteuerte 10-Gigabit-Ethernet-Ports, die je über einen Schalter am Gerät als auch aus der Ferne an- und abgeschaltet werden können. Für die Remote-Steuerung kommen standardisierte Kommunikations­protokolle zum Einsatz.

    ipELB Relais

    Zur Schaltung der Ethernet-Ports werden bistabile Relais eingesetzt, die ihren Zustand selbst bei Stromausfällen beibehalten. Bestehende Verbindungen werden daher nicht beeinträchtigt.

    Die eingesetzte Hardwareplattform SEC3ER verfügt über ein Digital-I/O-Modul, um Zustände zu schalten, zu erfassen und bis zu vier Ethernet Portpaare physikalisch zu trennen. Hierzu stehen acht digitale Ein- und Ausgänge bereit, die neben einer Vielzahl an Feldbus-, Fernwirk- und etablierten IT-/Cloud-Protokollen dazu verwendet werden können, die Verbindungen des 4-Port Ethernet Line Breakers zu überwachen und steuern.

    ipELB LEDs and toggle switches

    Die integrierte Weboberfläche stellt vielfältige Konfigurationsmöglichkeiten bereit, um die trennbaren Ethernet-Verbindungen zu automatisieren. Sie enthält leistungsfähige Funktionen zur Verarbeitung von Prozessinformationen und kann Zustände der Digital I/O-Schnittstelle dazu verwenden, um komplexe Schaltungsszenarien zu ermöglichen.

    Features

    • Unterstützung von 10M / 100M / 1G und 10G Ethernet
    • Transparente Datenübertragung
    • Kontrollierter bidirektionaler Datenaustausch zwischen Systemen
    • Netzwerksegmentierung
    • Daisy-Chain aus mehreren SEC3ER

    Da ipELB die Kommunikation mittels zahlreicher Protokolle unterstützt, kann es flexibel in bestehende Projekte integriert werden, wie folgende Beispiele veranschaulichen:

    • Anbindung an eine SPS kann über die Protokolle S7 Protokoll (RFC 1006) und Simatic Fetch/Write erfolgen
    • Einbindung in ein Netzwerk Management System mit Hilfe von SNMP-Agenten
    • Integration in ein SCADA/HMI-System über die Protokolle OPC UA, IEC 60870-5-104 oder DNP 3.0
    • Verbindung mit der Unternehmens-IT über die REST-Schnittstelle
    • Bildung von Clustern aus mehreren SEC3ER zur Realisierung komplexer Architekturen

    Die folgenden Anwendungsbeispiele veranschaulichen die Einsatzmöglichkeiten von ipELB.

Anbindung redundanter Provider (ISP)
  • redundant ISP

    Für die nahtlose Umschaltung zwischen redundanten Internetprovidern (ISP) eignet sich das Produkt ipELB bestens. Als Hardwareplattform dient der 4-Port Ethernet Line Breaker SEC3ER, mit dem bis zu 4 Ethernet-Ports physikalisch getrennt werden können.

    Das Schaubild zeigt den schematischen Aufbau eines Unternehmensnetzwerks. Anlagenbetreiber können über industrielle Protokolle steuern und automatisieren, welcher ISP aktiv gesetzt wird. Die Unternehmens-IT kann über mechanische 3-Wege-Schalter ebenfalls bestimmen, welche Verbindung genutzt werden soll. Automatisierte Verbindungen werden durch das manuelle Schalten überschrieben.

Redundanzkopplung für Einzelanlagen
  • legacy redundancy

    Um die Betriebs- und Ausfallsicherheit kritischer Anlagen zu gewährleisten, setzen Unternehmen redundante Systeme ein. Viele Geräte sind hierfür jedoch nicht geeignet. Mit Hilfe von ipELB können selbst solche Geräte zum redundanten Betrieb eingesetzt werden.

    Dies ist möglich, indem zwei identisch konfigurierte Geräte (z.B. durch Vergabe gleicher IP-Adressen) über zwei Ethernet-Ports des 4-Port Ethernet Line Breakers SEC3ER angebunden werden. Die passive Komponente wird dabei physikalisch vom Netz getrennt. Kommt es zum Ausfall der aktiven Komponente, wird deren Verbindung getrennt, während die Trennung der Passiven aufgehoben wird. Eine derartige Redundanzsteuerung kann beispielsweise automatisch über die Digital-I/O-Schnittstelle erfolgen.

Netzwerksegmentierung
  • decouple corporate networks

    Soll der physikalische Verbindungszustand einzelner Netzwerk-Segmente überwacht und (fern)gesteuert werden, bietet sich der Einsatz von ipELB an.

    Kommt es zu Sicherheitsvorfällen im Unternehmensnetz, können betroffene Segmente gezielt isoliert werden, indem entsprechende Verbindungen physikalisch unterbrochen werden. Die Kommunikation auf allen weiteren Linien läuft dabei ungehindert weiter.

    Zur Steuerung (und Automatisierung) der Verbindungen ist die Integration von Intrusion Detection Systemen (IDS) denkbar. Diese erkennen Anomalien in der Kommunikation und können betroffene Verbindungen mittels ipELB zuverlässig trennen.

Sichere Fernwartung
  • remote access

    Mit der zunehmenden Vernetzung von Maschinen und Industrieanlagen steigt auch der Bedarf nach Fernwartungszugängen, um diese kostenoptimiert zu betreiben. Gleichzeitig steigt damit das Risiko von Cyber-Angriffen, nicht zuletzt, wenn Systeme mit unzureichenden Sicherheitsmechanismen oder Altanlagen eingesetzt werden.

    Mit ipELB können Netzwerkverbindungen zur sicheren Fernwartung bereitgestellt und überwacht werden. Wird der Zugang nicht benötigt, kann die Wartungsverbindung physikalisch getrennt werden. Potentielle Angreifer haben somit keine Möglichkeit, die ungenutzte Verbindung zum Einschleusen von Schadcode zu nutzen.

Konfiguration
  • Die Konfiguration des Systems erfolgt komplett über einen Webbrowser. Keine weiteren speziellen Konfigurationstools sind erforderlich, außer einem normalen Notebook mit Netzwerkschnittstelle und einem Webbrowser.

    Die aktuelle ipConv Version 4 bietet die Möglichkeit der verschlüsselten Kommunikation zwischen Webserver und Browser über das HTTPS-Protokoll.

    ipELB main menu

    Die Hauptnavigation erlaubt den Zugriff auf alle relevanten Funktionen von ipConv und zeigt auf einen Blick den Zustand des Systems.

    Folgende Funktionen stehen hier zur Verfügung:

    • Wechseln in den Betriebsmodus (unbeaufsichtigte Station) oder Wartungsmodus (Freischaltung der konfigurationsändernden Funktionen)
    • Sicherung und Wiederherstellung der kompletten Konfiguration
    • Lizenzverwaltung (ADMIN)
      Installation von (Demo-) Lizenzen, Lizenzen mit oder ohne Laufzeitbeschränkung
    • Softwareupgrade (ADMIN)
    • Import von Konfigurationsinformationen aus Tabellen
    • Bearbeitung der Konfigurationsparameter
    • Freigabe und Versionierung einer Stationskonfiguration
    • Starten und Stoppen des Systems
    • Zugriffe auf Diagnoseinformationen (siehe Diagnose)
    • Zugriff auf das Prozessabbild und Simulation von Daten
    • Anlegen eigener Logbücher
      Zustandsänderungen von normierten Informationen können bei Bedarf gezielt in konfigurierbare Logbücher übertragen werden, um sie über einen bestimmten Zeitraum zu verfolgen oder zu protokollieren.
    • Zugriff auf aktuelle Logdateien
    • Excel Import
      Die Excel-Datei kann direkt importiert werden (Unterstützte Formate: .xlsx, .xlsm, .csv)

    Das folgende Beispiel zeigt die Node-Konfiguration für das Informationsobjekt des Digital-I/O-Ausgangs DO1, um den zugehörigen Wert zu visualisieren.

    ipELB configuration

    Die zugewiesene Kategorie "Status" des Informationsobjekts dient der Anzeige des Objektwerts im Diagnosebereich (siehe Diagnose).

    Um große Mengen an Datenpunkten schnell und effektiv bearbeiten zu können, bietet ipConv die Möglichkeit, Daten aus Tabellen zu importieren. Die Tabellen werden aus Vorlagen erstellt und können mit einem Tabellenkalkulationsprogramm (z.B. MS Excel) bearbeitet werden. Durch Verwendung von Formeln wird die einzugebende Datenmenge auf ein Minimum reduziert. Dadurch wird auch die Fehlerrate erheblich gesenkt.

    ipConv datapoint table import

Diagnose
  • Mit ipELB ist es möglich, jederzeit auf einen Blick den Zustand der Kommunikation auf allen Schnittstellen feststellen zu können. Ist kein mit dem System vertrautes Personal auf der Anlage verfügbar, ist es von großem Vorteil, dass auch ein Laie dazu in der Lage ist.

    Eine Besonderheit bei ipELB ist das mitgelieferte Diagnose-Template zur Visualisierung und Steuerung der einzelnen Zustände des 4-Port Ethernet Line Breakers. Wie in folgender Abbildung zu erkennen ist, kann der Zustand jedes Ethernet-Relais durch die Weboberfläche überwacht und aus der Ferne gesteuert werden. Selbst ohne den Einsatz von Fernwirkprotokollen können somit Ethernet Verbindungen aktiv geschalten oder unterbrochen werden.

    ipELB diagnostics

    Mit Hilfe dieser Vorlage können auch ausgehende Signale (Digital Output) gesetzt werden. Dies ist besonders hilfreich, um bestimmte Funktionen mit Gegenstellen zu testen. Eingehende Signale (Digital Input) werden hierbei visualisiert.

    Welche Informationen hier dargestellt werden, mit welchen Texten und in welcher Farbe, wird mittels Konfiguration festgelegt.

    Neben reinen Meldungen und Messwerten können hier auch Steuerbefehle, z.B. eine Schaltfläche zum Auslösen einer Generalabfrage, dargestellt werden.

    ipConv diagnostics

    Werden weitere Diagnosefunktionen benötigt, können diese über die Konfiguration hinzugefügt und angepasst werden.

Verfügbare Protokollstacks

Database, Client

DNP V3.00, Master

DNP V3.00, Slave

Simatic Fetch/Write, Master

IEC 60870-5-101, Master

IEC 60870-5-101, Slave

IEC 60870-5-103, Master

IEC 60870-5-103, Slave

IEC 60870-5-104, Master

IEC 60870-5-104, Slave

IEC 61850, Client

IEC 61850, Server

MQTT, Publisher

MQTT, Subscriber

Modbus, Master

Modbus, Slave

Modbus TCP/IP, Master

Modbus TCP/IP, Slave

OPC DAXML 1.01, Server

OPC UA 1.02, Client

OPC UA 1.02, Server

S7 Protokoll, Client

SNMP, Client

Hardware
  • SEC3ER
    SEC3ER

    Relaisgesteuerter 4-Port Ethernet Line Breaker mit integriertem I/O-Modul