Störungen aus der Ferne beseitigen

Das Unternehmen Frimo ist ein Spezialist für die Entwicklung und Herstellung von Fertigungssystemen für hochwertige Kunststoffbauteile für unterschiedlichste Anwendungen. Heute gehören weltweit 15 Standorte mit insgesamt 1200 Mitarbeitern zum Frimo-Netzwerk. Die Firma hat langjährige Erfahrungen mit der Fernwartung, vor allem im Automotive-Umfeld. Die ehemals analoge Technik wurde inzwischen durch breitbandige Internet-Zugänge ersetzt, die über VPN-Verbindungen abhör- und manipulationssichere Tunnel aufbauen. Dank der schnelleren Datenverbindung zwischen der Anlage beim Kunden und dem Servicetechniker beim Hersteller lassen sich auch die Industrie-PCs der Maschinen komfortabel bedienen. Per VNC-Software wird der komplette Bildschirminhalt des entfernten Rechners übertragen und kann vom Servicetechniker wie ein lokaler PC bedient werden.

Frimo nutzt die Fernwartung vorrangig zur schnellen Störungsbeseitigung. Der Unterstützungsbedarf der Kunden steigt und Frimo strebt an, den Teleservice schrittweise zu erweitern. „Wir passen unsere Maschinen auf die speziellen Anforderungen unserer Kunden an. Über die schnelle und sichere VPN-Verbindung haben wir Zugriff auf alle Devices in der Maschine. Mit der Fernwartung können wir beispielsweise aus der Ferne im Visualisierungssystem des PC eine zusätzliche Checkbox einrichten oder die Parameter eines Frequenzumrichters anpassen“, erläutert Axel Starflinger IT-Administrator bei Frimo.

Inzwischen setzt Frimo 80 Teleservice-Connectivity-Lösungen des Typs mGuard vom Security-Spezialisten Innominate ein. „Wir haben verschiedene Alternativen getestet und uns für die mGuards entschieden. Mit der Lösung von Innominate haben wir eine sehr sichere, leistungsfähige und vor allem sehr einfach zu bedienende Lösung gefunden. Der Konfigurationsaufwand hat sich von vielen Stunden auf wenige Minuten reduziert“, beschreibt der IT-Administrator seine Erfahrungen. Der Konfigurationsaufwand auf der Maschinenseite sei gering gewesen. Erreicht wurde das mit einheitlichen und standardisierten Konfigurationsvorlagen für die mGuards.

Soll eine Maschine für die Fernwartung ausgerüstet werden, wird nur noch die mGuard-Technik von Innominate genutzt. Für die Einrichtung der Fernwartungslösung wird eine fertige Konfigurationsvorlage per SD-Karte in den mGuard eingelesen. Damit sind fast alle notwendigen Parameter definiert. Ergänzt werden müssen lediglich die kundenspezifischen Eingaben für die VPN-Verbindung, für den Router im Netzwerk des Kunden und die IP-Adressen der Maschine. Mit der Abbildung der realen Adressen des Maschinennetzes auf eine virtuelle IP-Adressierung durch die sogenannte 1:1-NAT-Funktion des VPN-Routers werden Adresskonflikte verhindert. Zusätzliche Anpassungen an den internen Adressraum der Maschinen sind damit nicht mehr notwendig.

In der Zentrale setzt Frimo in einem 19“-Racksystem eine mGuard bladeBase für bis zu zwölf mGuards ein. Alle technischen Parameter und Berechtigungen sind fertig eingerichtet; eine neue Maschine wird ohne zusätzliche Eingaben zugeschaltet. Alle Standorte sind über ein firmeninternes MPLS-Netz an die Zentrale angebunden. Im Servicefall kann sich der Techniker von jedem dezentralen Standort aus je nach seiner Berechtigung über die Blades in der Zentrale auf die VPN-Verbindung zur Maschine beim Kunden aufschalten.

Frimos IT-Administrator bestätigt, dass die Maschinenbetreiber einem externen Zugriff auf Ihr Produktionsnetz generell skeptisch bis ablehnend gegenüberstehen. Das gelte insbesondere für Hersteller und Zulieferer im Automotive-Bereich. „Die Sicherheitsbedenken sind zunächst groß. Die Vorteile einer schnellen Störungsbeseitigung durch die Fernwartung und die Sicherheitsfeatures unserer mGuard-Lösung können aber überzeugen“, so Starflinger.

Die in Deutschland entwickelten und gefertigten mGuards integrieren auf der Basis eines gehärteten Embedded Linux drei aufeinander abgestimmte Sicherheitskomponenten: eine bidirektionale Stateful Firewall, einen flexiblen NAT-Router sowie einen sicheren VPN-fähigen Ethernet-Router mit IPsec-Verschlüsselung (IP-Security-Protokoll). Die IT-Bereiche der Maschinenbetreiber legen auf eine Schutzeinrichtung des mGuard besonderen Wert: Der Zugriff auf die Maschine von außen wird generell verhindert. Erst nach einer ausdrücklichen Freigabe des Maschinenbedieners über einen VPN-Hardwareschalter kann eine sichere Datenverbindung aufgebaut werden. Der Zugang zur Maschine ist damit immer eine vom Anwender kontrollierte ausgehende Verbindung. (ah) •