Podłączanie sterownika PLC ze statycznym adresem IP do routera Tosibox

Podłączenie sterownika PLC ze statycznym adresem IP do routera Tosibox jest proste, niemniej wymaga odpowiedniej konfiguracji sieci i urządzeń. Poniższa instrukcja przedstawia pełny szczegółowy proces konfiguracji urządzeń od momentu ich pierwszego uruchomienia, bazując na aktualnych rozwiązaniach oferowanych przez firmę Tosibox oraz sprawdzonych praktykach stosowanych w środowisku przemysłowym. Wykorzystanie statycznego adresowania IP w przypadku sterowników PLC jest powszechną praktyką w automatyce, zabezpieczenie bezpiecznych połączeń zdalnych do tych urządzeń wymaga specjalnego podejścia podczas ich integracji z routerami VPN.

Technologia Tosibox - wprowadzenie

Tosibox to fińska firma oferująca rozwiązania do zdalnego dostępu VPN, które charakteryzują się prostotą konfiguracji i wysokim poziomem bezpieczeństwa. Podstawowym elementem systemu jest router Tosibox Lock, który pełni funkcję punktu dostępowego do urządzeń IP takich jak sterowniki PLC, panele HMI czy kamery przemysłowe. Fundamentem działania systemu jest technologia Plug&Go, która pozwala na automatyczne zestawianie połączeń VPN bez potrzeby skomplikowanej konfiguracji.

Urządzenia Tosibox (Router Tosibox, Klucz Tosibox) automatycznie identyfikują się w Internecie nawet gdy są umieszczone za zaporą sieciową i ustanawiają szyfrowane połączenie VPN. Jeden klucz Tosibox może być sparowany z nieograniczoną liczbą routerów Tosibox Lock oraz Kluczy Tosibox, co ułatwia rozbudowę i zarządzanie wieloma instalacjami oraz wieloma uzytkonikami systemu. Konfiguracja urządzeń nie wymaga posiadania specjalistycznej wiedzy IT.

Instrukcja będzie podzielona na etapy od momentu pierwszego uruchomienia urządzeń, zawierając szczegółowe informacje dotyczące procesu parowania klucza z routerem, logowania do interfejsu UI routera, konfiguracji sieci LAN routera oraz testowania szyfrowanego połączenia VPN.

1. Parowanie klucza z routerem (Tosibox Lock)

Tosibox Key – sprzętowy klucz USB z wbudowanym bezpiecznym procesorem kryptograficznym. Umożliwia ustanowienie szyfrowanego połączenia VPN między komputerem użytkownika a jednym lub wieloma routerami Tosibox (Node/Lock).

Aby sparować klucz Tosibox Key z routerem Tosibox, wykonaj następujące kroki:

Podłącz zasilanie do routera Tosibox i poczekaj, aż urządzenie się uruchomi (ok. 1–2 min). Jeśli to możliwe, zapewnij routerowi dostęp do Internetu, podłączając kabel sieciowy do portu WAN (ułatwi to późniejszą komunikację z kluczem).
Włóż klucz sprzętowy Tosibox do portu USB routera. Diody na kluczu zaczną migać – po około 10 sekundach, gdy dioda przestanie migać/zaświeci ciągłym światłem, proces parowania (matching) jest zakończony. Możesz teraz wyjąć klucz z portu USB routera, klucz został sparowany z routerem.

Uwaga: Dla routerów Tosibox, ktore nie są wyposażone w port USB takich jak (TOSIBOX Lock 175) stosuję się metodę zdalnego parowania, instrukcja pod linkiem: https://sklep.pacepoland.pl/blog/tosibox-blog/vpn-w-5-minut-odcinek-3-dwie-metody-parowania-klucza-tosibox-z-routerem-tosibox-lock

Podczas parowania routera i klucza następuje wymiana klucza publicznego i certyfikatu między kluczem a routerem – urządzenia wzajemnie uwierzytelniają się. Tosibox wykorzystuje infrastrukturę klucza publicznego PKI opartą o klucze RSA (2048/3072/4096-bit) do uwierzytelniania urządzeń, co oznacza, że fizyczne sparowanie stanowi bezpieczne przekazanie kluczy kryptograficznych (tzw. physical key exchange w architekturze Tosibox). Od tego momentu klucz i router posiadają wzajemnie zaufane certyfikaty i mogą zestawiać prywatny tunel VPN – żadne inne urządzenia nie mają dostępu do sieci routera Tosibox Lock, dopóki administrator przeprowadzi konfigurację i nada nowe uprawnienia dostępowe dla kolejnych użytkowników.

2. Podłączenie PC do portu LAN routera i logowanie do interfejsu www (UI) routera

Po pomyślnym sparowaniu przejdź do konfiguracji routera poprzez jego interfejs webowy.

Podłącz komputer PC do portu LAN routera Tosibox Upewnij się, że kartę sieciową komputera ustawiono na automatyczne pobieranie adresu (DHCP).
Otwórz przeglądarkę i adres IP z tabliczki znamionowej routera Tosibox Lock: Powinien załadować się panel logowania do routera.
Zaloguj się jako admin – domyślne hasło administratora znajduje się na naklejce (na tabliczce znamionowej routera). Po zalogowaniu zobaczysz graficzny interfejs użytkownika (UI) routera Tosibox, gdzie można zmieniać jego ustawienia.

Bezpieczeństwo dostępu do UI: Panel administracyjny routera jest zabezpieczony hasłem i – co ważne – dostępny tylko lokalnie (przez port serwisowy/LAN) lub poprzez zaszyfrowane połączenie VPN z klucza. Oznacza to, że z Internetu nie da się bezpośrednio otworzyć UI routera (brak otwartego portu WWW) – najpierw musi zostać zestawiony tunel VPN przez Tosibox Key. Zapewnia to, że konfiguracja routera jest niedostępna dla nieautoryzowanych osób. Zaleca się od razu zmienić hasło administratora na własne, co zwiększy bezpieczeństwo.

3. Konfiguracja sieci LAN i ustawienia statycznego IP PLC

W tym etapie upewnimy się, że sterownik PLC (o stałym adresie IP) jest poprawnie zaadresowany w sieci lokalnej routera Tosibox. Domyślnie Lock działa jako router z wbudowanym serwerem DHCP i domyślną podsiecią LAN (jej adres IP i maska są wydrukowane na tabliczce znamionowej urządzenia). Istnieją dwa podejścia konfiguracji, w zależności od tego, czy możemy zmienić adres IP sterownika PLC:

Metoda A – dostosowanie PLC do sieci Lock: Sprawdź, jaka jest domyślna sieć LAN routera Tosibox (np. 192.168.x.0/24) – informacja widnieje na etykiecie urządzenia lub w UI (zakładka Network > LAN). Następnie podłącz się do sterownika PLC bezpośrednio z PC (zgodnie z instrukcją producenta PLC) i zmień jego statyczny adres IP na adres z puli sieci routera Tosibox Lock. Najlepiej wybrać adres nieużywany, np. o jeden większy od adresu IP routera. Przykład: jeśli Lock ma adres LAN 192.168.5.1 (maska 255.255.255.0), ustaw PLC na 192.168.5.2 (maska 255.255.255.0). Upewnij się, że adres nie koliduje z innymi urządzeniami. Zapisz konfigurację PLC, po czym podłącz sterownik do portu LAN routera Tosibox – urządzenie PLC powinno być teraz osiągalne w sieci LAN routera.
Metoda B – dostosowanie Lock do sieci PLC: Jeśli nie możesz zmienić adresu PLC (np. jest już ustawiony i musi pozostać w określonej podsieci), zmodyfikuj konfigurację LAN routera Tosibox. Ustal bieżący adres IP i maskę podsieci sterownika PLC. Podłącz PC do portu LAN Locka i zaloguj się do UI (jak w etapie 2). Przejdź do Network > LAN. Zmień adres IPv4 routera na adres z sieci PLC – np. ustaw adres o jeden wyższy niż PLC. Jednocześnie dopasuj IPv4 netmask do maski sieci PLC. Zapisz ustawienia i uruchom ponownie router, jeśli to wymagane. Podłącz PLC do portu LAN Locka. Teraz zarówno router, jak i sterownik są w tej samej podsieci statycznej.

Niezależnie od wybranej metody, należy również sprawdzić konfigurację wbudowanego serwera DHCP Locka, aby nie przydzielał adresu kolidującego ze statycznym IP PLC. W UI przejdź do Network > LAN > DHCP Server i ustaw parametr Start na adres wyższy niż wszystkie używane adresy statyczne (np. jeśli statyczne urządzenia zajmują adresy do .50, ustaw Start = .51). Parametr Limit ustaw tak, by pula obejmowała pozostałe wolne adresy w sieci. Dzięki temu serwer DHCP będzie przydzielał adresy tylko spoza zakresu zarezerwowanego dla urządzeń o stałych adresach.

Uwaga: Router Tosibox automatycznie wykrywa urządzenia wpięte do portów LAN. Po powyższej konfiguracji sterownik PLC powinien być widoczny w panelu Status interfejsu Locka wraz ze swoim adresem IP (można to zweryfikować w następnym etapie). Lock domyślnie izoluje swoją sieć LAN za pomocą firewall’a i NAT – urządzenia w LAN (PLC, HMI itp.) nie są bezpośrednio dostępne od strony WAN, co zwiększa bezpieczeństwo dostępu.

4. Konfiguracja VPN i zabezpieczeń

Po ustawieniu sieci LAN routera przechodzimy do przejżenia parametrów bezpieczeństwa. W rozwiązaniu Tosibox większość ustawień VPN jest automatyczna – sparowany klucz i router samoczynnie ustanawiają między sobą szyfrowany tunel gdy tylko obie strony mają dostęp do Internetu. Niemniej warto znać i ewentualnie dostosować kluczowe parametry zabezpieczeń:

Architektura VPN: Tosibox wykorzystuje architekturę kryptograficzną opartą o PKI (Public Key Infrastructure), gdzie każdy klucz i router posiada parę kluczy RSA (o długości 2048, 3072 lub 4096 bitów). Uwierzytelnianie połączenia odbywa się poprzez certyfikaty X.509 – tylko zaufane (sparowane) urządzenia mogą nawiązać ze sobą tunel VPN. Pierwsze sparowanie fizyczne dostarcza certyfikaty (to tzw. serializacja sprzętowa), natomiast przy sparowaniach zdalnych stosowany jest mechanizm zdalnego dopasowania kluczy (Remote Matching) z użyciem istniejącej infrastruktury PKI (podpisy cyfrowe RSA).
Szyfrowanie danych VPN: Dane przesyłane tunelem VPN są szyfrowane algorytmem AES (Advanced Encryption Standard) w trybie CBC o długości klucza 128, 192 lub 256 bit. Wspierany jest również Blowfish-128-CBC, choć AES jest domyślnym standardem. Kanał kontrolny VPN (sygnalizacja) także jest szyfrowany symetrycznie, zwykle AES-256-CBC. Wymiana kluczy sesyjnych odbywa się przy każdym połączeniu za pomocą protokołu TLS z wymianą kluczy Diffie-Hellman (DH) oraz wzajemną weryfikacją certyfikatów klient-serwer. Zapewnia to tzw. Perfect Forward Secrecy – każda sesja ma unikalny klucz symetryczny, co chroni przed odszyfrowaniem ruchu nawet w razie kompromitacji kluczy.
Firewall i dostęp zdalny: Router Tosibox Lock posiada wbudowany firewall oparty o Linux iptables/netfilter. Domyślnie zapora zezwala na ruch VPN oraz na dostęp klucza do urządzeń w sieci LAN Locka, blokując ruch przychodzący z WAN niebędący częścią połączenia Tosibox. Dzięki temu nawet przy podłączeniu Locka do Internetu (np. publiczne IP lub poprzez router zakładowy) urządzenia za Lockiem (w podsieci LAN routera) są ukryte. Dodatkowo Tosibox umożliwia konfigurację filtracji MAC/IP w zaawansowanych ustawieniach – administrator może ograniczyć, do jakich konkretnie adresów w sieci LAN klucz ma mieć dostęp. MatchMaking – mechanizm zestawiania połączenia pomiędzy urządzeniami Tosibox – jest również zabezpieczony: komunikacja klucza i Locka z serwerem pośredniczącym odbywa się przez TLS/SSL z uwierzytelnieniem certyfikatami i wymianą kluczy w oparciu o PKI, a same dane sterujące są szyfrowane AES-128-CBC (). W efekcie proces „odnajdywania się” urządzeń przez Internet jest poufny i odporny na ataki man-in-the-middle.
Ustawienia VPN w UI: W interfejsie Locka (zakładka Settings / Keys & Locks) można podejrzeć listę sparowanych kluczy i typ połączenia (Warstwa 2 / Warstwa 3). Dla komunikacji z protokołami przemysłowymi wybierz typ połączenia w Warswie 2, instrukcja pod linkiem: https://sklep.pacepoland.pl/pl/n/Zdalny-dostep-do-sterownikow-PLC/34

5. Testowanie i diagnostyka

Po skonfigurowaniu powyższych elementów należy przetestować połączenie i upewnić się, że sterownik PLC jest osiągalny zdalnie:

Test lokalny (LAN/Service port): Podłącz komputer do portu serwisowego lub LAN Locka i sprawdź, czy widzisz sterownik PLC w sieci lokalnej. W interfejsie webowym Locka przejdź do zakładki Status – router wyświetla listę podłączonych urządzeń IP. Powinieneś zobaczyć adres IP sterownika PLC na liście (oraz inne parametry, np. MAC). Możesz też spróbować pingować adres PLC z komputera – jeśli odpowiedź nadchodzi, to konfiguracja adresów i połączenie między PLC a Lockiem działa prawidłowo. Lokalny test potwierdza poprawność ustawień LAN.
Test zdalny (VPN): Teraz wykonaj właściwy test zdalnego dostępu. Odłącz komputer od portu LAN Locka. Podłącz klucz Tosibox do komputera i upewnij się, że komputer ma dostęp do Internetu (np. przez inną sieć, poza routerem Tosibox). Uruchom aplikację Tosibox Key na komputerze – pojawi się sparowany router (Tosibox Lock). Połącz się z routerem klikając Connect w oprogramowaniu klucza i poczekaj, aż tunel VPN zostanie zestawiony (status połączenia zmieni się na Connected, ikona routera zaświeci się na zielono). Sterownik PLC będzie widoczny jako urządzenie IP poniżej ikony routera. Wykonaj ping adresu IP sterownika PLC przez tunel VPN nastepnie użyj oprogramowania inżynierskiego do nawiązania komunikacji ze sterownikiem. Przy poprawnej konfiguracji powinieneś uzyskać dostęp tak, jakbyś był w lokalnej sieci – np. program narzędziowy PLC zobaczy sterownik, a strony web HMI/PLC będą się wczytywać. Uwaga: Ruch sieciowy między kluczem a urządzeniami za Lockiem jest w całości przekazywany tunelem VPN, więc adresacja pozostaje taka sama; tunel zapewnia szyfrowanie AES i uwierzytelnienie – dane sterownika są poufne podczas transmisji przez Internet.
Diagnostyka problemów: Jeśli połączenie nie działa, sprawdź poszczególne etapy:

(a) Czy klucz Tosibox ma dostęp do Internetu i czy Lock jest online (sprawdź diody statusowe Locka oraz status w aplikacji Tosibox Key).

(b) Czy klucz jest poprawnie sparowany z Lockiem (w aplikacji Tosibox Key widoczny jest dany Lock; w razie potrzeby powtórz proces parowania lub użyj Remote Matching (zdlane parowanie).

(c) Czy adresacja sieciowa jest prawidłowa – np. komputer z kluczem nie powinien mieć identycznej klasy adresowej jak sieć PLC.

Technologie kryptograficzne w diagnostyce: Pamiętaj, że cały ruch między kluczem a routerem jest szyfrowany i uwierzytelniony. Możesz to zauważyć w praktyce – np. przechwycenie pakietów VPN (np. Wireshark) wykaże jedynie zaszyfrowane ramki, a próba podszycia się pod klucz lub Lock nie powiedzie się dzięki mechanizmom RSA i certyfikatom. Tosibox stosuje również mechanizm MatchMaking poprzez swoje serwery, ale komunikacja ta korzysta z TLS/SSL z kluczami klienta – nawet proces uzgadniania połączenia jest bezpieczny. Firewall Locka (iptables) domyślnie odrzuca nieautoryzowane połączenia – można to sprawdzić próbując np. pingować urządzenie PLC bezpośrednio z Internetu (brak odpowiedzi potwierdza, że dostęp jest zamknięty).

6. Przegląd dostępnych routerów Tosibox (modele)

Na koniec przedstawiamy listę obecnie dostępnych modeli routerów Tosibox Lock (Node) wraz z ich krótką charakterystyką:

TOSIBOX Lock 175 – Przemysłowy router VPN z WAN, Wi-Fi i modemem GSM/LTE Cat.4. Pełni rolę punktu dostępowego do urządzeń IP (PLC, HMI, kamery itp.) w sieci lokalnej. Opatentowana technologia Plug & Go umożliwia automatyczne zestawianie szyfrowanego sprzętowo tunelu VPN (point-to-point) bez dodatkowej konfiguracji (TOSIBOX Lock 175). Posiada wbudowany modem 4G (LTE Cat4) umożliwiający łączność komórkową.
TOSIBOX Lock 350 – Router VPN (1× WAN, Wi-Fi, 4× LAN, cyfrowe I/O ) będący następcą modelu 150. Działa w sieciach WAN i Wi-Fi, zapewnia zdalny dostęp do urządzeń IP (PLC, HMI, CCTV itp.) (Tosibox Lock 350). Automatycznie zestawia szyfrowane połączenia VPN bez potrzeby specjalistycznej konfiguracji. Umożliwia do 50 jednoczesnych połączeń VPN i posiada rozszerzone funkcje (we/wy cyfrowe, zasilanie 12–48V DC, montaż na szynie DIN).
TOSIBOX Lock 375 – Router VPN z (1× WAN, Wi-Fi, 4× LAN, cyfrowe I/O (mozliwość wysyłania powiadomień via SMS) GSM/LTE). Działa z sieciami kablowymi i komórkowymi, zapewnia dostęp do urządzeń w LAN. Automatycznie zestawia szyfrowane tunele VPN (Plug & Go) (Tosibox Lock 375). Wbudowany modem LTEi interfejs Wi-Fi czynią go uniwersalnym w różnych scenariuszach komunikacji.
TOSIBOX Lock 610 – Router VPN (1× WAN, 3× LAN) do zastosowań stacjonarnych – tylko sieć WAN (Ethernet), bez Wi-Fi i modemu GSM. Zapewnia zdalny dostęp VPN do urządzeń w LAN, działa z publicznymi lub prywatnymi adresami IP WAN. Podobnie jak inne modele, automatycznie ustanawia szyfrowane połączenie VPN (TOSIBOX Lock 610). Osiąga wysoką przepustowość szyfrowanego ruchu (rzędu 50 Mb/s) i obsługuje do 50 równoległych sesji VPN.
TOSIBOX Lock 650 – Rozszerzona wersja 610 wyposażona dodatkowo w interfejs Wi-Fi. Router VPN WAN + Wi-Fi (4× LAN) do zastosowań wymagających łączności bezprzewodowej lokalnie. Działa jako punkt dostępu Wi-Fi lub klient Wi-Fi w istniejącej sieci. Umożliwia to np. podłączanie urządzeń bezprzewodowych do VPN. Reszta funkcjonalności jak model 610 – szyfrowany tunel VPN, dostęp do sieci LAN za NAT/firewallem (Tosibox Lock 650).
TOSIBOX Lock 670 – Wariant routera z serii 600 wyposażony w modem komórkowy (LTE) bez Wi-Fi. Jest to router VPN WAN + GSM/LTE (3× LAN) (Tosibox Lock 670). Idealny do zdalnych instalacji, gdzie łączność odbywa się przez sieć GSM (dwa porty kart SIM). Automatycznie nawiązuje VPN przez sieć komórkową (wspiera dynamiczne adresy IP operatorów).

TOSIBOX Lock 675 – Obsługuje połączenia: WAN + Wi-Fi + GSM/LTE. Ten router VPN oferuje największą elastyczność – może łączyć się z Internetem przez port Ethernet lub wbudowany modem LTE, a lokalnie obsługuje urządzenia przewodowe (LAN) oraz bezprzewodowe (Wi-Fi). Działa z sieciami WAN, Wi-Fi i GSM jednocześnie (Tosibox Lock 675). Umożliwia np. utworzenie hotspotu Wi-Fi dla urządzeń przemysłowych, które przez Lock 675 uzyskają zaszyfrowany dostęp zdalny. Jak zawsze, połączenie VPN zestawiane jest automatycznie i szyfrowane sprzętowo.

TOSIBOX Lock 695 (5G) – obsługuje sieć 5G. Jest to router VPN bardzo wysokiej wydajności z łącznością WAN, Wi-Fi oraz 5G/LTE (modem). Pełni rolę bramy dostępowej do sieci urządzeń (podobnie jak 675), zapewniając szyfrowany tunel dla nawet najbardziej wymagających aplikacji (duża przepustowość szyfrowanych danych, niskie opóźnienia dzięki 5G). Lock 695 (Tosibox Lock 695) jest dedykowany do zastosowań wymagających najwyższej przepustowości i niezawodności zdalnego dostępu.