Protege una máquina con un enclave

Un enclave es un grupo de máquinas junto con las personas y los sistemas autorizados a acceder a ellas. Añades tus máquinas al inventario, las agrupas en un enclave y permites únicamente los flujos que necesitan. Nada se bloquea hasta que lo apruebas: Access Gate comienza en modo de prueba en seco (dry run).

En este ejemplo, protegemos un robot de picking. Dos flujos deben seguir funcionando:

1. El servidor CAM envía trabajos al robot.
2. El robot envía datos de progreso al historiador.

Antes de empezar

Access Gate asigna a cada máquina una dirección gemela junto a su dirección real. Comprueba que sus rangos de direcciones coincidan con tu red: abre la página Settings, luego la pestaña Networking.

En este ejemplo, tus máquinas usan 10.0.0.0/16 (por ejemplo 10.0.0.1 o 10.254.23.45), y las direcciones gemelas usan 100.64.0.0/16. Si tus direcciones son distintas, los pasos son los mismos, siempre que esta pantalla coincida con tu red.

Subredes en la configuración de Access Gate

1. Añade tus máquinas al inventario

Localiza la máquina en Monitor si necesitas su dirección y regístrala en Assets. Consulta Construir tu inventario de activos.

1. Abre la página Assets en la barra lateral izquierda.
2. Haz clic en Create Asset, arriba a la derecha.
3. Asígnale un nombre reconocible, por ejemplo CUI Server, PLC32, HMI.
4. Añade su dirección IP.
5. Si otros sistemas se conectan a ella, añade los servicios que ejecuta.
6. Haz clic en Save.

Abre la máquina para añadir más detalles.

• Edit overview: ubicación, fecha de instalación, descripción, nivel de riesgo.
• Edit network: nombre DNS, otras IPs o servicios y métodos de acceso remoto.

2. Crea el enclave

1. Abre la página Enclaves y crea un enclave. Nómbralo Robot Picking Workshop, establece el Security Level en Important y añade una descripción.
2. Haz clic en Save.

3. Añade máquinas y personas

1. Abre el enclave y haz clic en Edit principals.
2. Añade el servidor CAM, el servicio modbus/tcp del robot y el servicio mqtt del historiador. Añade también usuarios aquí si las personas necesitan acceder a estas máquinas.

Para proteger aún más el broker MQTT del historiador, con inicio de sesión, límites de tópicos y cifrado, consulta Configurar flujos MQTT.

4. Permite los flujos que necesitas

En la tabla del enclave, permite los dos flujos: del servidor CAM al robot, y del robot al historiador. Todo lo que no permitas permanece bloqueado.

El servidor CAM ahora envía trabajos al robot en kuka.fabcore.tr-sec.net.

5. Documenta el motivo

Para tu equipo y para los auditores, anota por qué se permiten estos flujos. Haz clic en Edit Overview y completa el campo Description, por ejemplo:

Robot de picking en el muelle de carga. Las reglas permiten: 1. Envío de trabajos desde el servidor CAM 2. Registro de datos en el historiador

Resultado

• Tus máquinas están en el inventario y Access Gate supervisa su tráfico.
• Un enclave define quién puede acceder a ellas, y el motivo queda documentado.

Los enclaves son ligeros, así que crea tantos como necesite tu planta: uno por célula de producción o uno para tus sistemas CUI. Access Gate sigue supervisando el tráfico, por lo que verás rápidamente cómo se usan estas máquinas.