Zugriff auf den InTouch Web Client von außerhalb des OT-Netzwerks

Ein Reverse Proxy ist ein Server, der vor einem oder mehreren Web-Servern geschaltet ist und Anfragen von Clients abfängt. Mit einem Reverse Proxy werden Anfragen an der Netzwerkgrenze durch den umgekehrten Proxy abgefangen, wenn Clients Anfragen an den Ursprungs-Server einer Webseite senden. Der Reverse Proxy-Server senden dann die Anfragen an den Ursprungs-Server und erhält die Antworten von diesem. Fällt einer dieser Web Server aus oder fällt einer der Webserver aus, leitet der Reverse Proxy die Anfragen der Kunden an den redundanten Web Server weiter.

Ein Forward Proxy ist einem Client vorgeschaltet und sorgt dafür, dass ein Ursprungsserver nicht direkt mit einem bestimmten Client kommuniziert. Im Gegensatz dazu sitzt ein Reverse Proxy vor einem Ursprungs-Server uns stellt sicher, dass ein Client nie direkt mit diesem Ursprungs-Server kommunizieren kann.

Bevor Geräte außerhalb des OT-Netzwerks auf den InTouch Web Client zugreifen können, muss ein Reverse Proxy am DMZ-Server konfiguriert werden. Weitere Informationen finden Sie unter AVEVA DMZ Secure Link. AVEVA Identity Manager muss aktiviert werden, damit der Reverse Proxy funktioniert. Es gibt viele Anbieter von Lösungen für Reverse Proxies. Weitere Informationen zur Redundanzunterstützung und Anweisungen zum Einrichten der Reverse-Proxy-Lösung in Ihrer Infrastruktur entnehmen Sie bitte der entsprechenden Dokumentation zur Reverse-Proxy-Lösung.

Anforderungen an die Konfiguration des Reverse-Proxys

Der Reverse Proxy muss den HTTP-Header X-Forwarded-For in allen weitergeleiteten Anforderungen enthalten.

Die Web Client-Dienste verwenden diesen Header, um die ursprüngliche Client-IP-Adresse zu identifizieren, die für die Berechnung und Verwaltung der Lizenzsitzung erforderlich ist.

Wenn der erforderliche Header fehlt, wird die Anfrage nicht verarbeitet und ein Fehler wird im Log-Viewer protokolliert. Wenn Sie einen Reverse Proxy wie NGINX verwenden, stellen Sie sicher, dass der X-Forwarded-For-Header konfiguriert und bei jeder Anfrage an die InTouch Web Client-Dienste weitergeleitet wird.

Das folgende NGINX-Konfigurationsbeispiel zeigt, wie der X-Forwarded-For-Header hinzugefügt wird.

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;