Uzaktan erişim ve VPN

Tesis ağının dışından (evden, ofisten) FabyaVision'ı güvenli izlemek için VPN düzeni: senaryolar, WireGuard örneği, FabyaVision ayarları, devreye alma testi ve sorun giderme.

Yaklaşım

Uzaktan izleme sunucusu salt okunurdur ve HTTPS kullanmaz; bu yüzden internete doğrudan açılmaz (router'da 8080 portu yönlendirilmez). Güvenli yol tesise bir VPN kurmaktır: yönetici önce VPN'e bağlanır, sonra tarayıcıda yerel ağdaki adresi (http://<Live PC'sinin IP adresi>:8080) açar. Bu rehber, kurulumu yapan servis mühendisi ve müşterinin BT sorumlusu içindir.

FabyaVision tarafı ek olarak kaynak adres denetimi yapar: sunucu yalnızca özel adreslerden (yerel ağ ve VPN) ve bu bilgisayardan gelen bağlantıyı kabul eder; internetteki bir adresten gelen istek, router yanlışlıkla açılsa bile 403 alır.

VPN ağ geçidi seçenekleri

Genel IP varsa sabit IP ya da bir DDNS adı (ör. tesis.firma.com) kullanılır; internete yalnızca VPN portu açılır.

WireGuard örneği (ağ geçidi PC / Linux)

Tesis ağı 192.168.10.0/24, VPN ağı 10.8.0.0/24, Live PC 192.168.10.20 olsun. Örnektir; kendi adresleriniz ve anahtarlarınızla değiştirin.

Sunucu (/etc/wireguard/wg0.conf):

[Interface]
Address    = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <sunucu özel anahtarı>
# VPN istemcisi yalnızca Live PC'nin 8080 portuna erişsin
PostUp   = sysctl -w net.ipv4.ip_forward=1
PostUp   = iptables -A FORWARD -i wg0 -d 192.168.10.20 -p tcp --dport 8080 -j ACCEPT
PostUp   = iptables -A FORWARD -i wg0 -j DROP
PostUp   = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -d 192.168.10.20 -j MASQUERADE

[Peer]   # Üretim müdürü - telefon
PublicKey  = <istemci açık anahtarı>
AllowedIPs = 10.8.0.2/32

İstemci (telefon / dizüstü):

[Interface]
Address    = 10.8.0.2/32
PrivateKey = <istemci özel anahtarı>

[Peer]
PublicKey  = <sunucu açık anahtarı>
Endpoint   = tesis.firma.com:51820
AllowedIPs = 192.168.10.20/32     # yalnızca Live PC (yöneticinin internet trafiği VPN'den geçmez)
PersistentKeepalive = 25

MASQUERADE satırı sayesinde Live PC, VPN istemcisinin adresini değil ağ geçidinin yerel adresini görür; Live PC'ye dönüş rotası eklemek gerekmez. Rota eklemeyi tercih ederseniz Live PC'de 10.8.0.0/24 için ağ geçidi olarak VPN ağ geçidinin yerel adresini verin.

FabyaVision ayarları

1. İzlemeyi açın

   Studio'da Uzaktan İzleme › Genel › Tarayıcıdan izleme: Açık, port (varsayılan 8080).

2. Kullanıcı tanımlayın

   Tarayıcı Kullanıcıları: her yönetici için ayrı kullanıcı ve güçlü şifre (tahmin edilemez, en az 10 karakter önerilir). Şifresiz kullanıcı giriş yapamaz.

3. İzinli adresleri ayarlayın

   Genel › Erişim (VPN) › İzinli adresler:

   • Yerel ağ ve VPN (özel adresler) (varsayılan): VPN havuzu özel bir blokta ise (10.x, 172.16–31.x, 192.168.x, Tailscale 100.64.x) ek ayar gerekmez.
   • VPN havuzu genel bir blokta (ör. 203.0.113.0/24) ise Erişim Ağları sekmesine eklenir.
   • Daha sıkı: Yalnızca “Erişim Ağları” listesindekiler; listeye VPN alt ağı (10.8.0.0/24) ve gerekli yerel alt ağlar (TV'lerin ağı) yazılır. Listede olmayan hiçbir adres bağlanamaz.
   • Her yerden (önerilmez) seçilirse Projeyi Denetle uyarır: sunucu internete doğrudan açılır, HTTPS yoktur.
4. TV adreslerini düşünün

   TV adresleri (/tv1 … /tv8) varsayılan olarak şifresizdir: adresi bilen ve izinli ağdaki herkes açabilir. VPN'e yalnızca yöneticiler girdiği için normalde sorun olmaz. Yöneticilerin TV ekranlarını da şifreyle açmasını istiyorsanız Ağdaki TV'ler sekmesinde TV'ler şifresiz izlesin'i Kapalı yapın. Sıkı kipte listeye VPN alt ağı (yöneticiler için) ve TV'lerin yerel alt ağı birlikte yazılır.

5. Güvenlik duvarı iznini ekleyin

   Live bilgisayarında sistem menüsü › Uzaktan izleme… › Güvenlik duvarı izni ekle (Windows yönetici onayı ister). Ayrıntı: Uzaktan izleme.

Live'daki Uzaktan izleme penceresi tarayıcı adreslerini, erişime izinli ağları, reddedilen bağlantı sayısını ve son reddedilen adresi gösterir. Bir VPN istemcisi bağlanamıyorsa o adresin ağını Erişim Ağları'na ekleyin.

Güvenlik duvarı ve ağ kuralları

• İnternetten tesise yalnızca VPN portu (WireGuard için UDP 51820) açılır. 8080 ve PLC portları (S7: 102, Modbus: 502 …) asla yönlendirilmez.
• VPN istemcisi, Live PC'ye TCP 8080 dışında hiçbir yere erişememelidir (PLC ağına erişim yok). Örnekteki iptables kuralları bunu uygular.
• Live PC'yi PLC ağından ve ofis ağından ayrı bir VLAN / DMZ'de tutmanız önerilir.
• Her cihaz için ayrı VPN anahtarı üretin; telefon kaybolunca ya da çalışan ayrılınca yalnızca o anahtar silinir.
• Ağ geçidinin ve Live PC'nin işletim sistemi güncellemelerini düzenli yapın; VPN yönetim arayüzü internetten erişilemez olmalıdır.

Devreye alma testi

1. Tesis içinden

   http://<Live PC>:8080 açılır, kullanıcıyla giriş yapılır, sayfalar canlı gelir.

2. VPN kapalıyken

   Telefon mobil veriye alınır; VPN kapalıyken adres açılmaz (zaman aşımı). İnternetten doğrudan erişim olmadığını doğrular.

3. VPN açıkken

   VPN açılır; aynı adres açılır, giriş yapılır, canlı değerler akar.

4. Live'da kontrol edin

   Uzaktan izleme penceresinde izleyici sayısı artar; Reddedilen bağlantı 0'dır.

5. Sıkı kipte deneyin

   Listede olmayan bir adresten deneme 403 — Bu adresten erişime izin verilmiyor verir ve reddedilen sayacı artar.

6. Hatalı şifre

   Yanlış şifreyle 5 deneme: o adres 60 saniye beklemeye alınır.

Sorun giderme

Sınırlar ve dikkat edilecekler

• HTTPS yoktur; VPN olmadan internete açmak şifrelerin düz metin gitmesi demektir.
• Bu bölümdeki VPN yapılandırmaları örnektir; kullandığınız VPN ürününün kendi belgelerine de bakın. Devreye alma testini (yukarıda) her kurulumda uygulayın.
• Telefondan izlemede sayfa tasarlandığı boyutta ölçeklenir; küçük ekranlar için ayrıca tasarlanmış sayfalar daha okunaklıdır.