giải pháp VPN lò hơi truy cập lan với nhau

 Sự cố bạn gặp phải là một vấn đề rất điển hình với WinCC Unified, liên quan đến cách sản phẩm này xử lý bảo mật thông qua chứng chỉ SSL và xác thực người dùng.

🔍 Gốc rễ vấn đề: Chứng chỉ SSL và cơ chế bảo mật SWAC

Khi bạn NAT port 443 của máy chủ (internal) sang port 8443 (external), bạn đã thay đổi cổng truy cập mặc định. Điều này tưởng chừng đơn giản nhưng lại khiến cơ chế bảo mật của WinCC Unified hoạt động không chính xác.

Cụ thể, lỗi "SwacLogin" (thường thấy trong quá trình xác thực) xảy ra do sự không khớp giữa tên máy chủ/DNS trong chứng chỉ SSL mà trình duyệt nhận được và địa chỉ bạn dùng để truy cập.

• Khi bạn dùng https://WAN_IP:8443 (truy cập từ xa với port khác): Trình duyệt yêu cầu một chứng chỉ bảo mật từ máy chủ WinCC. Chứng chỉ này thường được tạo cho tên máy tính cục bộ hoặc địa chỉ IP nội bộ của máy chủ. Trình duyệt nhận thấy địa chỉ truy cập (WAN_IP:8443) không khớp với thông tin trong chứng chỉ và từ chối kết nối an toàn, dẫn đến lỗi SwacLogin.

• Khi bạn dùng https://WAN_IP:443 (truy cập từ xa với port mặc định): Nếu NAT port 443 external vào đúng port 443 internal, hệ thống có thể "bỏ qua" phần kiểm tra tên miền một cách linh hoạt hơn hoặc sử dụng chứng chỉ mặc định, cho phép truy cập, nhưng không đảm bảo an toàn lâu dài cho các ứng dụng yêu cầu bảo mật cao.

✅ Giải pháp dành cho bạn

Dựa trên các giải pháp từ cộng đồng và tài liệu của Siemens, dưới đây là các cách khắc phục được khuyến nghị, sắp xếp theo mức độ ưu tiên:

1. Sử dụng VPN (Khuyến nghị cao nhất): Đây là giải pháp an toàn và được Siemens khuyến nghị. Bạn thiết lập một kết nối VPN từ máy tính từ xa vào mạng nội bộ, sau đó truy cập WinCC Unified như khi đang ở trong mạng LAN (sử dụng địa chỉ IP nội bộ với port 443). Điều này giải quyết mọi vấn đề về chứng chỉ và xác thực một cách triệt để.

2. Cấu hình đúng chứng chỉ SSL với DNS:

   • Sở hữu một tên miền (ví dụ: wincc.miencuaban.com).

   • Cấu hình DDNS để tên miền này luôn trỏ đến IP WAN động của bạn.

   • Tạo một chứng chỉ SSL cho tên miền đó (có thể dùng Let's Encrypt miễn phí).

   • Nhập chứng chỉ này vào WinCC Unified.

   • Để NAT "external port 443" -> "internal port 443" và truy cập từ xa qua https://wincc.miencuaban.com.
     Theo một báo cáo trên diễn đàn Siemens, tính năng này đã được cải thiện từ phiên bản Update 3, cho phép bạn nhập địa chỉ DNS và cơ chế chuyển hướng của UMC hoạt động chính xác hơn.

3. Thay đổi cổng nội bộ của WinCC Unified:

   • Nếu có thể, hãy cấu hình WinCC Unified để lắng nghe trên một port HTTPS khác, ví dụ 8443.

   • Sau đó, NAT cổng 8443 external -> 8443 internal.

   • Truy cập từ xa bằng https://WAN_IP:8443. Cách này yêu cầu bạn thay đổi cấu hình bên trong dự án TIA Portal và tải lại xuống thiết bị.

4. Sử dụng Virtual Directory:

   • Cấu hình WebUX Configurator để tạo một thư mục ảo (virtual directory) trên server.

   • Kỹ thuật này có thể giúp bạn truy cập WinCC qua một đường dẫn, nhưng vẫn cần giải quyết vấn đề về port và chứng chỉ.

💡 Lưu ý quan trọng về Port mặc định

Tài liệu Siemens chỉ ra port mặc định cho WinCC Unified Runtime là 443 (HTTPS). Việc thay đổi cổng này có thể dẫn đến xung đột với các ứng dụng khác trên cùng máy chủ (như IIS) hoặc làm gián đoạn các dịch vụ nội bộ. Do đó, giải pháp thay đổi cổng nội bộ thường ít được ưa chuộng hơn so với việc sử dụng VPN hoặc chứng chỉ chuẩn.

Bạn đã thử cách nào trong số này chưa?

Phản hồi này do AI tạo ra, chỉ mang tính tham khảo.

Nội dung chính