Big-LinX

Navigation: Konfiguration > VPN > Big-LinX

Diese Seite konfiguriert die Big-LinX Cloud-VPN-Verbindung. Big-LinX ist eine verwaltete Fernzugriffsplattform, die verschlüsselte VPN-Tunnel zwischen der IRF1000 und der Big-LinX Cloud-Infrastruktur aufbaut und so die sichere Fernwartung industrieller Anlagen ermöglicht. Das Gerät authentifiziert sich beim Big-LinX-Server mittels eines Smartcard-Zertifikats oder eines auf dem Gerät gespeicherten Software-Zertifikats. Nach der Konfiguration können VPN-Verbindungen permanent gehalten, manuell über die Diagnoseseite Big-LinX aufgebaut oder automatisch durch Verbindungsereignisse wie den VPN KEY-Schalter oder den ALARM-Eingang ausgelöst werden. Die Seite bietet außerdem Einstellungen für HTTP/HTTPS-Proxy-Tunneling, VPN-Quittierungsverfahren, Routen-Push und Verbindungsoptimierung. Der aktuelle Verbindungsstatus kann auf der Diagnoseseite Big-LinX überwacht werden.

Big-LinX

Voraussetzungen

Ein gültiges Big-LinX-Zertifikat muss für dieses Gerät bereitgestellt sein. Bei Smartcard-basierter Authentifizierung muss die Smartcard eingelegt und deren PIN bekannt sein. Bei Software-Zertifikaten muss das Zertifikat über die Seite Zertifikate hochgeladen werden.
Das Gerät muss über die WAN-Schnittstelle eine Internetverbindung haben, um die Big-LinX Heartbeat- und VPN-Server zu erreichen.
Falls das Netzwerk ausgehenden Datenverkehr über einen Proxy leitet, konfigurieren Sie den systemweiten Proxy auf der Seite HTTP-Proxy, bevor Sie das Big-LinX-Proxy-Tunneling aktivieren.

Einstellungen

Big-LinX-Konfiguration

Permanente Verbindung: Bei Aktivierung hält das Gerät eine permanente VPN-Verbindung zur Big-LinX Cloud aufrecht. Manuelle Verbindungen, zyklische Tests und Verbindungsereignisse sind in diesem Modus deaktiviert.
Zertifikatstyp: Wählt den Zertifikatstyp für die Big-LinX-Authentifizierung. Bei Einstellung auf Smartcard verwendet das Gerät eine Hardware-Smartcard zur Authentifizierung. Die folgenden Felder für Smartcard-Status und PIN gelten nur in diesem Modus.
Smartcard-Status: Zeigt den aktuellen Status der eingelegten Smartcard an.
Smartcard-PIN: Die PIN für die eingelegte Smartcard. Die PIN muss auf dem Gerät gespeichert werden, um ereignisgesteuerte VPN-Verbindungen zu ermöglichen.
Weltweite Heartbeat-Erreichbarkeit: Statusanzeige, ob das Gerät die Big-LinX Heartbeat-Server erreichen kann. Ein grüner Indikator bestätigt eine erfolgreiche Kommunikation; ein grauer oder roter Indikator signalisiert ein Verbindungsproblem.
Weltweiter Heartbeat-Status: Statusanzeige zum Ergebnis des Heartbeat-Austauschs mit der Big-LinX-Plattform.
Big-LinX VPN-Verbindungsstatus: Statusanzeige, ob ein Big-LinX VPN-Tunnel aktuell aufgebaut ist.

Verbindungsereignisse

Verbinde bei VPN KEY

Löst die VPN-Verbindung basierend auf VPN KEY-Eingangsereignissen aus.

-: Keine Aktion bei VPN KEY-Ereignissen.

aktiv: Die VPN-Verbindung wird aufgebaut, wenn der VPN KEY eingeschaltet wird.

inaktiv: Die VPN-Verbindung wird aufgebaut, wenn der VPN KEY ausgeschaltet wird.

Wenn das VPN KEY-Ereignis quittiert wird, schließt sich die VPN-Verbindung. Das Quittierungsverhalten wird auf der Seite Cut & Alarm konfiguriert. Die Smartcard-PIN muss auf dem Gerät gespeichert sein, um diese Funktion nutzen zu können.

Verbinde bei ALARM

Löst die VPN-Verbindung basierend auf ALARM-Eingangsereignissen aus.

-: Keine Aktion bei ALARM-Ereignissen.

aktiv: Die VPN-Verbindung wird aufgebaut, wenn der ALARM eingeschaltet wird.

inaktiv: Die VPN-Verbindung wird aufgebaut, wenn der ALARM ausgeschaltet wird.

Wenn das ALARM-Ereignis quittiert wird, schließt sich die VPN-Verbindung. Das Quittierungsverhalten wird auf der Seite Cut & Alarm konfiguriert. Die Smartcard-PIN muss auf dem Gerät gespeichert sein, um diese Funktion nutzen zu können.

HTTP/HTTPS-Proxy-Einstellungen

Der Big-LinX VPN-Client kann die VPN-Verbindung durch einen HTTP-Proxy tunneln. Für den Proxy sieht der Datenverkehr wie eine normale HTTPS-Webverbindung aus. Falls der Proxy eine Authentifizierung erfordert, geben Sie Benutzername und Passwort in den entsprechenden Feldern ein. Der systemweite HTTP-Proxy muss auf der Seite HTTP-Proxy konfiguriert werden.

Zusätzliche Einstellungen

SNAT für Ziel

Aktiviert Source-NAT (Masquerading) für Datenverkehr zu einem bestimmten Server oder Subnetz im Big-LinX-Netzwerk. Verwenden Sie diese Funktion, wenn ein entfernter Server -- beispielsweise ein Condition-Monitoring-System hinter einem Big-LinX Infrastruktur-Router -- die lokalen Netzwerke erreichen muss. Geben Sie das Ziel in CIDR-Notation an (z.B. 172.16.1.100/32 für einen einzelnen Server oder 172.16.1.0/24 für ein gesamtes Subnetz).

Loglevel

Steuert den Detailgrad der Big-LinX VPN-Meldungen im Eventlog.

none: Es werden keine Meldungen protokolliert.

info: Nur grundlegende Informationen und kritische Fehler werden protokolliert.

debug: Statusinformationen zur Fehlersuche werden ebenfalls protokolliert.

verbose: Alle möglichen Meldungen werden protokolliert.

VPN-LED-/Ausgangssteuerung

Wählt, welche VPN-Schnittstelle den Zustand der VPN-LED und der digitalen Ausgangsfunktion VPNUP steuert. Die LED zeigt den Verbindungszustand an:

aus: Verbindung inaktiv.

blinkend: Verbindungsaufbau.

an: Verbunden.

Inaktivitäts-Timeout

Beendet eine geschaltete (ereignisgesteuerte) VPN-Verbindung, wenn innerhalb der angegebenen Zeitspanne weniger als 100 kB Daten übertragen wurden. Dies verhindert, dass inaktive VPN-Verbindungen dauerhaft geöffnet bleiben.

VPN-Quittierungsmodus

Erfordert eine zusätzliche Freigabe, bevor eine Big-LinX VPN-Verbindung aufgebaut wird, und fügt so eine weitere Ebene der Zugriffskontrolle hinzu.

deaktiviert: VPN-Verbindungen werden sofort bei Anfrage aufgebaut (Standardeinstellung).

durch API: Die Variable vpn_approve_now muss von einem externen Programm auf 1 gesetzt werden, bevor der VPN-Kanal aufgebaut wird. Dies ermöglicht die Integration mit externen Autorisierungssystemen.

durch Switch: Der VPN KEY-Schalter muss physisch aktiv sein, damit der VPN-Kanal online gehen kann. Dies bietet einen hardwarebasierten Freigabemechanismus.

Optimierung für langsame Verbindungen

Optimiert die VPN-Verbindungsparameter für Verbindungen mit hoher Latenz (Round-Trip-Zeiten über 1000 ms), wie z.B. Satellitenverbindungen.

Aktiviere WWHv3

Aktiviert die neueste Version des WWH-Protokolls. Stellen Sie vor der Aktivierung sicher, dass der Server wwh2-we.aw-cp.de (52.236.154.224) für das Gerät erreichbar ist.

Netzwerk-Routen-Push an Big-LinX VPN

Wählen Sie aus, welche lokalen Netzwerke als Routen durch den Big-LinX VPN-Tunnel propagiert werden. Deaktivieren Sie ein Netzwerk, um es vom VPN-Routen-Push auszuschließen. Nur Schnittstellen mit statischer IP-Zuweisung werden tatsächlich gepusht. Schnittstellen mit DHCP oder Monitor-Modus haben kein festes Netzwerk und werden nicht gepusht, auch wenn sie aktiviert sind. Die Kontrollkästchen werden für alle Schnittstellen unabhängig von der aktuellen IP-Zuweisung angezeigt.

ACHTUNG

Die Smartcard-PIN muss auf dem Gerät gespeichert sein, damit ereignisgesteuerte VPN-Verbindungen (VPN KEY, ALARM) funktionieren. Ist die PIN nicht hinterlegt, kann sich das Gerät beim Eintreten eines Verbindungsereignisses nicht beim Big-LinX-Server authentifizieren.

Sicherheit

Verwenden Sie den VPN-Quittierungsmodus, um ein Zwei-Personen- oder Zwei-Faktor-Autorisierungsverfahren für Fernzugriffsverbindungen zu implementieren. Setzen Sie in sicherheitskritischen Umgebungen den Quittierungsmodus auf durch Switch, damit eine physische Aktion am Gerät erforderlich ist, bevor eine Remote-VPN-Sitzung aufgebaut werden kann. Wenn der permanente Verbindungsmodus nicht benötigt wird, bevorzugen Sie ereignisgesteuerte Verbindungen, um das Zeitfenster zu minimieren, in dem der VPN-Tunnel geöffnet ist. Überprüfen Sie die Netzwerk-Routen-Push-Einstellungen, um sicherzustellen, dass nur die erforderlichen lokalen Netzwerke über den Big-LinX VPN-Tunnel erreichbar sind, und deaktivieren Sie Routen für Netzwerke, die keinen Fernzugriff benötigen.