Zum Hauptinhalt springen

Netzwerkkonfiguration — Leitfaden zur Gateway-Platzierung

Das Gateway ist so ausgelegt, dass es mit 2 NICs das PLC-Netz und das WAN physisch trennt. Standardkonfiguration für Appliances / Industrie-PCs.

NIC-Rollen (2026.05+)
  • LAN1 = PLC (eth1 / enp1s0 usw.) — einzelne SPS oder mehrere SPSen hinter einem Switch
  • LAN2 = WAN (eth2 / enp2s0 usw.) — Internet / Platform / OTA
  • wlan0 / wwan0 / tun0 / usb0 — WiFi / GSM / VPN / Management-USB-Ethernet

Das NIC-Namens-Mapping lässt sich pro Box über edge.net.lan1.iface in /etc/kopens/app.properties usw. anpassen (bei install.sh per LAN1_IFACE=enp1s0 ... bash install.sh-env überschreibbar). Dient ausschließlich der Anzeige in der Monitoring-Karte — die IP-Konfiguration selbst liegt beim OS (NetworkManager / netplan). install.sh führt optional auch eine nmcli-Static-IP-Konfiguration durch (LAN1_IP=192.168.100.10/24 LAN2_IP=192.168.0.10/24 ... bash install.sh).

1. Standardtopologie​

        ┌──────────────────────┐                 ┌─────────────┐
        │   상위 플랫폼 / 클라우드 │ ◀─── HTTPS / MQTT ─── │  게이트웨이   │
        │  (PlantPulse / SCADA) │                 └─────────────┘
        └──────────────────────┘                  enp1s0 │ enp2s0
                                                          │   │
                                          ┌───────────────┘   └────────────┐
                                          │                                │
                                       WAN (외부)                       PLC 망 (내부)
                                          │                                │
                                          │                            ┌───┴────────────┐
                                          │                            │                │
                                                                      PLC₁  PLC₂  PLC₃
                                                                  (Modbus / S7 / OPCUA)
NICName (Fedora 38 Standard)RolleStandard-Gateway?
NIC 1enp1s0WAN — externes Internet / übergeordnete Platform / NTP✅ Yes
NIC 2enp2s0PLC-Netz — private IP, ausschließlich Kommunikation mit der SPS❌ No (ipv4.never-default yes)

2. Empfohlenes IP-Konzept (Beispiel)​

BereichCIDRVerwendung
WANDHCP oder Firmennetz / 192.168.0.0/24externe IP des Gateways — Büronetzwerk
PLC-Netz192.168.100.0/24dediziertes privates SPS-Netz — vom WAN isoliert
Gateway selbstWAN: 192.168.0.50 / PLC: 192.168.100.10
SPS192.168.100.20–254pro Linie / pro Zelle

3. Konfiguration nach Szenario​

3.1 Einfache Konfiguration — ein einzelnes Firmennetz​

Die SPS hängt direkt am Firmennetz, ein separates SPS-Subnetz existiert nicht. Beide NICs müssen dann nicht im selben Netz liegen:

  • nur enp1s0 (WAN) verwenden — DHCP oder STATIC
  • enp2s0 ungenutzt (oder link down)

Bei Installationen ab 2026.05+ lassen Sie bei der Ausführung von install.sh einfach LAN2_IFACE weg oder setzen die ungenutzte NIC nach der Installation im OS-NetworkManager auf down. Beim legacy-native setup.sh kann der Prompt für die zweite NIC noch vorhanden sein — prüfen Sie das Deaktivieren von set-2.sh daher nur auf älteren Boxen.

3.2 Standardtrennung — WAN + PLC-Netz (empfohlen)​

Genau wie unter 1. Standardtopologie. Sicherheitstechnisch lässt sich das PLC-Netz vollständig vom Internet isolieren — das Gateway ist die einzige Brücke zwischen beiden Netzen. Die SPS ist aus dem Internet nicht sichtbar.

3.3 3 NICs — WAN + PLC + Management​

Für große Standorte. Zusätzlicher Schritt in setup.sh (set-usb-mgnt.sh ist auskommentiert — kann aktiviert werden):

  • enp1s0 (WAN) — extern
  • enp2s0 (PLC) — privates SPS-Netz
  • enp3s0 oder USB-Ethernet (Management) — separater Kanal für Diagnose / Inspektion (Firmen-IT)

Die Home-Karte Management-Port zeigt die IP dieser NIC an.

3.4 Cloud / VM mit 1 NIC​

In VM-Umgebungen mit nur einer NIC — der gesamte Verkehr läuft über dasselbe virtuelle Netzwerk. Die NIC-Trennung erfolgt im Host-OS über vSwitch / VLAN.

4. Zugriff auf das Gateway von außen​

Um nach dem Rollout von außen (Büro-PC, mobil) auf die Web-UI des Gateways zuzugreifen:

SzenarioVorgehen
innerhalb desselben Firmennetzesdirekt über https://<gateway-wan-ip>/ui/main
von außerhalb → Firmennetznach VPN-Verbindung wie oben
von außerhalb → Internet (riskant)NAT-Forwarding in der Firewall + REST API-Authentifizierung zwingend + HTTPS

Das Gateway-v1-REST verwendet X-API-Key- / Bearer-Authentifizierung. Dennoch wird eine direkte Exposition ins Internet nicht empfohlen. Erlauben Sie externen Zugriff erst nach Einrichtung zusätzlicher Schutzschichten wie VPN oder mTLS/API-Gateway.

5. Firewall — exponierte Ports​

install.sh registriert die für den Container-Modus erforderlichen Ports in der Firewall. Die detaillierte Porttabelle für legacy native finden Sie weiterhin in (legacy) H/W-Komplettinstallation, Abschnitt 5.1.

Kern: 80 / 443 (Web-UI) + 1880 (Node-RED) + 12000 / 12443 (OPC-UA) + 1883 / 8883 (MQTT, sofern genutzt).

Ports, die im Betrieb keinen externen Zugriff benötigen, per Firewall sperren oder nur auf der WAN-NIC blockieren (firewall-cmd --remove-port).

6. Netzwerkprüfung​

Direkt nach der Installation oder unmittelbar vor dem Hinzufügen einer SPS die Netzwerkerreichbarkeit prüfen:

# 1) WAN — 외부 ping
ping -c 3 8.8.8.8
# 2) WAN — DNS
nslookup google.com
# 3) WAN — 플랫폼 / 다운로드
curl -I https://product.kopens.io/plantpulse-edge/install.sh

# 4) PLC 망 — 인터페이스 활성
ip a show enp2s0
# 5) PLC 망 — PLC 도달
ping -c 3 192.168.100.20         # 첫 PLC IP

# 6) PLC 포트 도달 (Modbus 502 예시)
nc -vz 192.168.100.20 502
# Connection succeeded ... 면 정상

# 7) 게이트웨이 자체 시스템 헬스 (컨테이너 모드)
sudo bash /opt/kopens/install/bin/status.sh
curl -ks https://127.0.0.1/api/v1/system/health | python3 -m json.tool

7. Häufige Stolperfallen​

SymptomUrsache / Abhilfe
WAN funktioniert, SPS antwortet aber nicht auf pingIP / Maske der NIC 2 bzw. Gateway-Einstellung auf SPS-Seite. Routing mit ip route prüfen
Aus dem PLC-Netz scheint Internetverkehr abzufließenipv4.never-default yes in enp2s0 fehlt. nmcli con modify enp2s0 ipv4.never-default yes
Externe IP des Gateways hat sich geändert (DHCP)Greift ein externes SCADA über die IP zu, bricht die Verbindung ab — STATIC empfohlen
Beide NICs routen zueinander (Bridge)ipv4.method und ipv6.method der NIC 2 prüfen. Bridge-Modus auflösen
Alarmantworten auf SPS-Seite sind langsamkeepalive / Paketgröße der PLC-Netz-NIC prüfen. tcpdump -i enp2s0 host <PLC-IP>
Externer OPC-UA-Client wird abgewiesenPort 12000 durch Firewall blockiert / Zertifikat nicht vertrauenswürdig. firewall-cmd --list-ports und OPC-UA-Sicherheit prüfen

8. Weiterführendes​