Port ve ağ
Bu sayfa destek ve BT personeli içindir. Burada anlatılan ağ ayarları kurulumun ayar dosyalarında ve Windows güvenlik duvarındadır; arayüzde alanları yoktur. Linux sunucuda o işletim sisteminin güvenlik duvarını kullanın.
Bir YTCC sunucusu bütün servislerini tek bilgisayarda çalıştırır. Bunların çoğu yalnız o bilgisayardan bağlantı kabul eder. Birkaçına ise ağdan ulaşılabilmesi gerekir, çünkü cihazlar ya da başka sistemler onlara bağlanır. Port numaraları ve nerede ayarlandıkları Port tablosu sayfasındadır.
Ağda dinleyen servisler
Şu servisler sunucunun bütün ağ arayüzlerinden bağlantı kabul eder:
| Servis | Kim bağlanır | Ne zaman çalışır |
|---|---|---|
| Canlı veri sunucusu (gateway) | Sunucudaki web arayüzü | Her zaman |
| OPC UA sunucu sürücüsü | OPC UA istemcileri | Yalnız bir projede böyle bir sürücü çalışırken |
| MQTT broker sürücüsü | Ona yayın yapan saha ve uç cihazları | Yalnız böyle bir sürücü çalışırken |
| SNMP trap alıcısı | Trap gönderen cihazlar | Yalnız bir SNMP sürücüsü çalışırken; cihazın trap dinleme adresiyle tek bir adrese bağlanabilir |
| BACnet/IP sürücüsü | İsteklere yanıt veren ve bildirim gönderen BACnet cihazları | Yalnız böyle bir sürücü çalışırken; yerel IP adresine bağlanabilir |
| Dinleme modundaki DNP3 sürücüsü | YTCC'ye bağlanan outstation'lar | Yalnız böyle bir sürücü çalışırken; dinleme adresine bağlanabilir |
Canlı veri sunucusu ağda olsa da kendini korur. Bir projede kullanıcı girişi açıkken değer okumak ve canlı güncelleme almak oturum ister. Bir şeyi değiştiren tarayıcı istekleri ve canlı güncelleme bağlantıları yalnız sunucunun kendi sunduğu sayfalardan kabul edilir; başka bir adresten gelen web sayfası reddedilir.
Canlı veri sunucusu, config\gateway.toml içindeki bir [access] bölümüyle yalnız listelenen istemci adreslerini ya da
ağları da kabul edebilir; sunucunun kendisi her zaman kabul edilir. Bkz.
Canlı veri sunucusuna yalnız bilinen bilgisayarları bağlayın.
Yalnız sunucuda dinleyen servisler
Mesaj yolu (NATS), proje sunucusu, proje köprüsü, alarm servisi ve süreç yöneticisinin kontrol portu yalnız 127.0.0.1'de
dinler. Başka bilgisayarlar bunlara ulaşamaz. Web arayüzü de ağa açılana kadar yalnız 127.0.0.1'de dinler.
Mesaj yolu sunucudaki süreçler içindir. Adresi config\manager.toml içindeki nats_bind ile değiştirilebilir; bu ayarı boş
bırakın. Bir ağ adresine ayarlanırsa YTCC açılışta güvenlik uyarısı yazar.
Arayüzü başka bilgisayarlardan açma
Varsayılan olarak arayüz yalnız sunucunun kendisindeki bir tarayıcıda açılır. Ağdaki başka bilgisayarlardan açmak için
kurulum klasöründe config\ui-web.toml dosyasını oluşturun:
bind = "0.0.0.0"
allow = ["192.0.2.0/24"]
| Ayar | Anlamı |
|---|---|
bind | Arayüzün dinlediği adres: bütün ağ kartları için 0.0.0.0 ya da bir kartın adresi. Dosya yoksa 127.0.0.1. |
allow | Bağlanabilecek istemci adresleri ve ağları; tek adres ya da CIDR gösterimi. Başka adreslerden gelen bağlantılar hemen kapatılır. Sunucunun kendisine her zaman izin verilir. Liste boşsa her adres bağlanabilir ve YTCC uyarı yazar. |
Geçersiz bir girdi ya da konak bitleri dolu bir ağ (192.0.2.5/24 gibi) arayüzün başlamasını engeller. Değişikliği
scada-manager restart ui-web ile uygulayın.
Sonra güvenlik duvarında arayüz portunu (ui_web, varsayılan 8773) o bilgisayarlara açın ve onlardaki bir tarayıcıda
http://192.0.2.10:8773 adresini açın. İstemciler yalnız bu portu kullanır. Arayüz canlı veriyi, komutları ve proje isteklerini
sunucudaki servislere iletir. Başka bir adresin sayfasından gelen istekler yine reddedilir.
Arayüzü ağa açmadan önce her projede kullanıcı girişini açın; bkz. Güvenlik sertleştirme kontrol listesi.
Güvenlik duvarı
- Gelen bağlantılara yalnız ilk tablodaki servisler için ve yalnız onları kullanan cihaz ve bilgisayarlardan izin verin. Hiçbir sürücünün kullanmadığı sürücü portu kapalı kalabilir.
- Web arayüzü canlı veri sunucusuna sunucunun kendisinde ulaşır; tek sunuculu kurulumda başka hiçbir bilgisayarın ona ihtiyacı yoktur. Bir bilgisayar gerektirmedikçe portunu ağa kapalı tutun.
- Web arayüzü portunu yalnız arayüz ağa açıldığında ve yalnız
allowlistesindeki bilgisayarlara açın. - Mesaj yolu portunu ağa hiçbir zaman açmayın.
- Sunucudan saha cihazlarına, sürücülerinin kullandığı portlardan giden bağlantılara izin verin.
- Sunucuyu ve istemcilerini korunan bir ağda tutun.
Adımlar Güvenlik sertleştirme kontrol listesi sayfasındadır.