Kiedy warto przemyśleć zmianę systemu zdalnego dostępu
Wybrałeś system zdalnego dostępu lata temu i długo się sprawdzał. Potem dostawca wprowadził subskrypcję i objął nią routery, które stale pracują u Twoich klientów. Przy intensywnej pracy zdalnej, gdy przez łącze idą gigabajty, praca zatrzymuje się na limicie transferu danych. To sytuacja, którą słyszymy od integratorów pracujących na eWON, Ixon i Secomea.
W pewnym momencie pada pytanie: co się zmieni, jeśli przejdę na TOSI, i czy scenariusze, których się obawiam, mają odpowiedź. W tym artykule pokazujemy, jak każda z tych obaw wygląda po stronie TOSI.
TOSI (dawniej Tosibox) to system zdalnego dostępu do maszyn i sieci OT, w którym administrator ma sprzętowy klucz Master i paruje nim routery, a dostęp kolejnym serwisantom nadaje licencjami TOSI SoftKey. Migracja z modelu subskrypcyjnego zmienia trzy rzeczy naraz. Licencja slave TOSI SoftKey jest przypisana do komputera i jest dożywotnia, a nie do konta w chmurze dostawcy. Podstawowy zdalny dostęp, czyli klucz, router i tunel VPN, działa bez subskrypcji i bez limitu przesyłanych danych. Certyfikaty urządzeń zostają u Ciebie, a nie na serwerze producenta.
Dlaczego integratorzy szukają alternatywy
Zdiagnozowaliśmy trzy źródła. Pierwsze to opłaty cykliczne, które rosną razem z liczbą obiektów. Drugie to rozjazd narzędzi, bo każdy klient przychodzi z innym systemem zdalnego dostępu, a Twój zespół musi „ogarniać" je wszystkie. Trzecie to limity transferu danych, bo w planach rozliczanych ilością danych dłuższa sesja diagnostyczna albo przesłanie plików z systemu wizyjnego potrafi wyczerpać pakiet i przerwać pracę.
TOSI odpowiada na to jednym systemem, który wdrażasz u każdego klienta na tych samych zasadach: jeden klucz administratora, jeden sposób nadawania dostępu, jeden model rozliczenia. Reszta artykułu pokazuje, co to oznacza w praktyce, obiekcja po obiekcji.
Obiekcja 1: licencja jest per komputer, nie per konto użytkownika
To najczęstsza obawa przy migracji. W modelu subskrypcyjnym masz konto w chmurze, które serwisanci mogą sobie przekazywać na zmianach, więc kilka kont obsługuje cały zespół. W TOSI licencja TOSI SoftKey jest przypisana do konkretnego komputera, a tym samym do jednego użytkownika.
Zarządza tym administrator z poziomu klucza Master. Licencje są dożywotnie i przypisane do klucza administratora, więc możesz je dowolnie deaktywować i nadawać na nowo. Gdy serwisant dostaje nowy komputer, administrator dezaktywuje licencję na starym komputerze i aktywuje ją na nowym. Pracownik nie ma możliwości przekazania uprawnień dostępowych innej osobie. Robi to tylko administrator.
Praca zmianowa wygląda następująco: jeśli serwisant ze Szczecina i serwisant z Krakowa mają w tym samym czasie połączyć się z tym samym routerem, potrzebujesz dwóch licencji i wtedy obaj mogą być połączeni równolegle. Jeśli pracują naprzemiennie i wystarczy Ci jedno aktywne stanowisko, jedną licencję przełączasz między komputerami.
Dla zespołu licencje TOSI SoftKey kupisz w pakietach 5 i 10, gdzie cena pojedynczej licencji jest niższa niż przy zakupie osobno.
Obiekcja 2: co jeśli zgubię klucz sprzętowy, mając 50 routerów w terenie
Dlatego administrator ma dwa klucze sprzętowe. Klucz Master i Backup Key to dwa identyczne klucze sprzętowe z kryptoprocesorem, o takich samych uprawnieniach. Trzymasz je w osobnych miejscach. Gdy główny zginie, wyciągasz backup, a on synchronizuje certyfikaty routerów, które były na masterze. Mogą też działać równolegle, jeśli chcesz mieć dwóch administratorów.
A gdyby przepadły wszystkie klucze Master naraz, a mamy kilkadziesiąt routerów rozsianych po obiektach? Wtedy odzyskujesz dostęp zdalnie. Prosisz osobę na obiekcie, żeby zalogowała się do routera przez port serwisowy jako administrator, udostępniasz hasło i dajesz trzypunktową instrukcję: zaloguj się, usuń certyfikat klucza, wygeneruj certyfikat do parowania zdalnego. Ta osoba przesyła Ci certyfikat, Ty masz nowy klucz sprzętowy online i wprowadzasz certyfikat parowania zdalnego, a router i klucz przeprowadzają zdalną serializację. Na koniec logujesz się do routera jako administrator i zmieniasz hasło.
Mieliśmy taki przypadek. Klient pojechał z routerem 1300 km, do Mołdawii, bez wcześniejszej serializacji. Klucz sprzętowy miał wpięty w serwer w firmie, połączył się z nim przez VPN, wprowadził certyfikat parowania zdalnego i zrobił wszystko sam. Więcej opisujemy w artykule o parowaniu zdalnym: dwie metody parowania klucza TOSI z routerem.
Obiekcja 3: subskrypcje i limity transferu danych
To największa różnica względem modelu, z którego migrujesz. Korzystanie z systemu TOSI do połączeń VPN nie wymaga subskrypcji. Płatność jest jednorazowa za sprzęt i licencje, bez cyklicznych opłat za połączenie i bez limitu przesyłanych danych, inaczej niż w większości konkurencyjnych rozwiązań. Licencja TOSI SoftKey jest dożywotnia. Kolejna lokalizacja to tylko router, bez cyklicznej opłaty za dostęp.
To odpowiada wprost na problem z limitem transferu danych. W TOSI o szybkości decyduje sam router: niższe modele obsługują szyfrowany ruch do 10 Mb/s, a seria 600 do 75 Mb/s. Gdy przesyłasz pliki z systemu wizyjnego albo duże ilości danych, dobierasz router z serii 600.
TOSI buduje osobne produkty subskrypcyjne do automatyzacji zarządzania siecią, na przykład TOSI Control i TOSI HUB. Podstawowy zdalny dostęp pozostaje jednak poza tym modelem, jako jednorazowy zakup.
Obiekcja 4: gdzie są moje dane i certyfikaty
W TOSI certyfikaty urządzeń przechowujesz lokalnie, po swojej stronie. Producent nie ma dostępu do danych klientów i nie przechowuje kluczy prywatnych. Serwery pośredniczące w zestawieniu połączenia nie przenoszą danych klienta, a sam ruch jest w pełni szyfrowany.
To realna zmiana względem systemów, które trzymają konta i dane w chmurze dostawcy. W TOSI jesteś właścicielem danych, które nie są ujawniane na zewnątrz. Jak dokładnie wygląda architektura zabezpieczeń, tożsamości urządzeń i szyfrowanie, przedstawiamy w artykule czy instalacja routera TOSI w mojej sieci jest bezpieczna oraz w opisie technologii kryptograficznych TOSI.
Obiekcja 5: czy TOSI połączy się przez firewall zakładu klienta
Router TOSI korzysta wyłącznie z portów wychodzących, a listę wymaganych portów udostępniamy. Zapora sieciowa (firewall) nie powinna blokować wychodzącego ruchu UDP ani podmieniać numerów portów po drodze. Połączenie nawiązuje się automatycznie od strony wychodzącej, bez otwierania portów przychodzących w firewallu.
W dużych zakładach z ostrymi procedurami cyberbezpieczeństwa podajemy tylko wymagane minimum, żebyś jako firma zewnętrzna mógł zestawić dostęp. Jeśli klient zamknął również ruch wychodzący, żadne połączenie nie zostanie zestawione. Zależność od publicznego adresu IP opisujemy w artykule zdalny dostęp bez publicznego adresu IP.
Obiekcja 6: kto jest administratorem, Ty czy klient
Oba scenariusze działają. W pierwszym Ty masz klucz Master, montujesz routery na obiektach klienta i sam nadajesz dostęp swoim serwisantom. W drugim przypadku klient chce zarządzać dostępem u siebie, więc kupuje własny klucz Master, staje się administratorem i to on przydziela uprawnienia, także Twojemu zespołowi. Ten odwrócony układ zdarza się coraz częściej, bo klienci pod presją wymogów bezpieczeństwa i dyrektywy NIS2 chcą trzymać administrację dostępami zdalnymi po swojej stronie.
Przy okazji migracji zyskujesz też dodatkową usługę do odsprzedaży. Licencję TOSI Mobile Client kupujesz jako integrator, przypisujesz do swojego klucza Master i jesteś jej właścicielem na zawsze, a klientowi udostępniasz podgląd wizualizacji z telefonu lub tabletu, na przykład jako element premium na czas gwarancji. Mobile Client też kupisz w pakietach 5 i 10, taniej niż osobno.
Jak dobrać router pod migrację
Routery TOSI montujesz na szynie DIN, mają porty Ethernet i są przygotowane do pracy z protokołami przemysłowymi, także po zmianie na warstwę drugą (Layer 2) pod Profinet. Modele serii 300 i 600 wspierają segmentację sieci. Każdą podsieć przypiszesz do fizycznego portu, więc jednym routerem obsłużysz kilka sieci i oddzielisz sieć serwisową od produkcyjnej przez VLAN.
Na start do zdalnego dostępu sprawdza się TosiStartSoft 350: 4 porty LAN, segmentacja na portach, cyfrowe wejścia i wyjścia. Gdy na obiekcie nie ma stałego łącza i musisz łączyć się przez sieć GSM, najbardziej ekonomiczny jest Lock 175. Do dużej wydajności i większego ruchu wybierasz serię 600, czyli zestawy 610 albo 675. Wszystkie zestawy startowe porównasz w jednym miejscu w kategorii TOSI zestawy startowe.
Od czego zacząć migrację
Najprościej kupić jeden zestaw startowy TOSI i przetestować go u siebie. W zestawie znajduje się klucz sprzętowy, który staje się Twoim kluczem administratora, licencja TOSI SoftKey przypisana do tego klucza i router. Przy decyzji o wdrożeniu rozsądnie jest dokupić drugi klucz TOSI i skonfigurować go jako Backup Key dla bezpieczeństwa.
Potrzebujesz pomocy w dobraniu optymalnego zestawu? Napisz do nas. Dobierzemy konfigurację pod Twój scenariusz serwisowy.
Najczęstsze pytania
Czy licencja TOSI SoftKey jest przypisana do użytkownika czy do komputera?
Licencja TOSI SoftKey jest przypisana do konkretnego komputera, a tym samym do jednego użytkownika. Zarządza nią administrator z poziomu klucza Master. Licencja jest dożywotnia, więc administrator może ją dezaktywować i aktywować na innym komputerze. Sam użytkownik nie przeniesie licencji ani nie przekaże uprawnień dalej.
Czym różni się TOSI od eWON, Ixon i Secomea w modelu opłat?
Systemy takie jak eWON, Ixon i Secomea działają w modelu subskrypcyjnym, z kontami użytkowników w chmurze dostawcy i opłatami cyklicznymi, często z rozliczeniem ilości danych. W TOSI podstawowy zdalny dostęp, czyli klucz, router i tunel VPN, jest jednorazowym zakupem, bez subskrypcji i bez limitu przesyłanych danych. Licencje TOSI SoftKey są dożywotnie.
Co się stanie, jeśli zgubię klucz Master, a mam routery w terenie?
Administrator powinien mieć klucz Master i drugi klucz skonfigurowany jako Backup Key, przechowywane osobno. Gdy główny zginie, backup synchronizuje certyfikaty routerów. Jeśli przepadną wszystkie klucze, odzyskasz dostęp zdalnie: osoba na obiekcie loguje się do routera przez port serwisowy, usuwa certyfikat klucza i generuje certyfikat do parowania zdalnego, a Ty wprowadzasz go i parujesz z nowym kluczem sprzętowym.
Czy podstawowy zdalny dostęp TOSI wymaga subskrypcji?
Nie. Korzystanie z systemu TOSI do połączeń VPN nie wymaga subskrypcji. Płacisz jednorazowo za sprzęt i licencje, bez cyklicznych opłat za połączenie i bez limitu transferu danych. Osobne produkty subskrypcyjne TOSI, jak TOSI Control i TOSI HUB, dotyczą zarządzania i automatyzacji sieci, a nie samego zdalnego dostępu.
Czy TOSI zestawi połączenie przez firewall do zakładu klienta?
Router TOSI korzysta wyłącznie z portów wychodzących, a połączenie nawiązuje się automatycznie, bez otwierania portów przychodzących w firewallu. Udostępniamy listę wymaganych portów. Gdy zakład blokuje również ruch wychodzący, połączenie się nie zestawi, i wtedy podajemy minimum, które trzeba dopuścić.
Ile licencji potrzebuję dla serwisantów pracujących na zmiany?
Jeśli dwóch serwisantów ma łączyć się z tym samym routerem w tym samym czasie, potrzebujesz dwóch licencji TOSI SoftKey i obaj serwisanci będą mogli pracować równocześnie. Jeśli pracują naprzemiennie i wystarcza jedno aktywne stanowisko, jedną licencję administrator przełącza między komputerami. Dla zespołu licencje kupisz w pakietach 5 i 10, taniej niż osobno.
Zaloguj przez Facebooka
Zaloguj przez Google