Załącznik B: Konfiguracja VPN WireGuard

ZAŁĄCZNIK B. KONFIGURACJA VPN WIREGUARD

Dokument główny: „Instrukcja obsługi TR-100E”

Niniejszy załącznik opisuje dwa tryby konfiguracji VPN WireGuard:

• statyczny — parametry połączenia są wprowadzane ręcznie w celu połączenia z wybranym węzłem WireGuard;
• automatyczny — TR-100E otrzymuje parametry połączenia od Overvis po połączeniu z kontem za pomocą kodu PIN.

W obu trybach TR-100E samodzielnie inicjuje wymianę danych ze zdalnym węzłem. Do konfiguracji wymagany jest dostęp do interfejsu Web TR-100E z poziomem powerUser. TR-100E musi mieć połączenie IP ze zdalnym węzłem; w przypadku korzystania z nazwy hosta serwery DNS muszą być poprawnie skonfigurowane.

Dane poufne

Nie należy udostępniać osobom postronnym kodu PIN, haseł, klucza prywatnego WireGuard ani innych danych identyfikacyjnych TR-100E. Przed opublikowaniem lub przekazaniem zrzutów ekranu należy ukryć kod PIN, numer seryjny, adres MAC i klucze.

B.1 Ręczna konfiguracja WireGuard

B.1.1 Wprowadzanie parametrów

W przypadku konfiguracji statycznej administrator VPN powinien przekazać parametry WireGuard dla TR-100E i skonfigurować odpowiedni peer na zdalnym węźle.

1. Otworzyć interfejs Web TR-100E i zalogować się z poziomem dostępu powerUser.
2. Przejść do zakładki Ustawienia i rozwinąć sekcję VPN-WireGuard.
3. Włączyć parametr Włączone.
4. Wyłączyć parametr Automatyczne połączenie z serwerem Overvis. Pola konfiguracji statycznej staną się dostępne do edycji.
5. Wprowadzić parametry przekazane przez administratora VPN:

Pole	Zawartość
Klucz prywatny	Klucz prywatny TR-100E w formacie Base64
Adres interfejsu	Adres TR-100E wewnątrz VPN w formacie IPv4/CIDR, na przykład 10.8.0.2/24
Klucz publiczny peer	Klucz publiczny zdalnego węzła w formacie Base64
Host peer	Nazwa DNS lub adres IPv4 zdalnego węzła
Port peer	Port UDP zdalnego węzła, od 1 do 65535; wartość domyślna — 51820
Allowed IP 1, Allowed IP 2	Maksymalnie dwie sieci, do których ruch jest kierowany przez peer, w formacie IPv4/CIDR
Keepalive (s)	Interwał persistent keepalive od 1 do 300 s; wartość domyślna — 25 s

Klucz prywatny, adres interfejsu, klucz publiczny i host peer są obowiązkowe. Dla adresu interfejsu używany jest prefiks od /1 do /32. Oba pola Allowed IP można pozostawić puste. Jeżeli nie określono żadnej dozwolonej sieci, TR-100E używa sieci określonej przez adres interfejsu. Jeżeli wypełniono jedno pole Allowed IP, używana jest wskazana w nim trasa. W bieżącej wersji oprogramowania układowego trasy z prefiksem /0 nie są stosowane; dla Allowed IP należy używać prefiksów od /1 do /32.

6. Nacisnąć Zapisz w sekcji VPN-WireGuard. Usługa WireGuard zostanie automatycznie uruchomiona ponownie; ponowne uruchomienie TR-100E nie jest wymagane.

Jeżeli przez statyczne połączenie VPN wymagany jest dostęp do interfejsu Web lub Modbus TCP, należy dodatkowo wykonać ustawienia opisane w krokach 5–11 p. B.2.2.

Rysunek B.1 – statyczna konfiguracja WireGuard

B.1.2 Sprawdzanie połączenia

Przejść do zakładki Serwis, w bloku Diagnostyka wybrać Sieć → VPN i włączyć Autoodświeżanie.

Dla poprawnie wypełnionej konfiguracji statycznej wyświetlane są:

• Usługa — Włączone;
• Tryb — Statyczny;
• Konfiguracja — Gotowe;
• Połączenie — Skonfigurowane, Połączone lub Aktywne.

Pomyślna wymiana danych ze zdalnym węzłem jest potwierdzana stanem Połączone lub Aktywne, czasem w polu Handshake oraz wzrostem liczników pakietów RX/TX. Stan Nieprawidłowa konfiguracja oznacza, że co najmniej jeden parametr obowiązkowy nie został wypełniony: klucz prywatny, adres interfejsu, klucz publiczny lub host peer.

Rysunek B.2 – stan statycznego połączenia WireGuard

Jeżeli połączenie statyczne nie zostaje ustanowione:

• jeżeli wyświetlany jest stan Nieprawidłowa konfiguracja, sprawdzić, czy wypełniono klucz prywatny, adres interfejsu, klucz publiczny i host peer;
• porównać wszystkie parametry z konfiguracją zdalnego peer;
• w przypadku korzystania z nazwy DNS sprawdzić ustawienia DNS w sekcji Ustawienia → Sieć;
• sprawdzić dostępność hosta i portu UDP peer z sieci TR-100E;
• sprawdzić, czy trasy Allowed IP nie nakładają się w niezamierzony sposób na sieć lokalną;
• upewnić się, że zdalny peer jest skonfigurowany do pracy z kluczem i adresem VPN TR-100E.

B.2 Automatyczna konfiguracja przez Overvis

B.2.1 Sprawdzanie danych identyfikacyjnych

1. Otworzyć interfejs Web TR-100E i zalogować się z poziomem dostępu powerUser.
2. Przejść do zakładki Serwis.
3. W bloku Informacje o urządzeniu upewnić się, że wskaźniki Klucz urządzenia i Zarejestrowano mają kolor zielony, a w polu Kod PIN jest wyświetlana wartość. Zapisać kod PIN (jest on również podany na naklejce urządzenia): kod będzie potrzebny do połączenia TR-100E z kontem Overvis.

Rysunek B.3 – dane identyfikacyjne TR-100E

B.2.2 Włączanie automatycznego połączenia

1. Przejść do zakładki Ustawienia i rozwinąć sekcję VPN-WireGuard.
2. Włączyć parametry Włączone i Automatyczne połączenie z serwerem Overvis.
3. Pole URL serwera automatycznej konfiguracji pozostawić puste: w takim przypadku używany jest adres zapisany przez producenta. Pole należy wypełniać wyłącznie na polecenie pomocy technicznej.
4. Nacisnąć Zapisz w sekcji VPN-WireGuard.

Rysunek B.4 – konfiguracja automatycznego połączenia z Overvis

5. Rozwinąć sekcję Serwer Web.
6. Włączyć parametr Dostęp do Web przez VPN i ustawić parametr Domyślny poziom dostępu przez VPN na PowerUser.
7. Nacisnąć Zapisz w sekcji Serwer Web.

Rysunek B.5 – konfiguracja dostępu do interfejsu Web przez VPN

8. Rozwinąć sekcję Modbus TCP.
9. Włączyć parametr Włączone i dla parametru Dostęp do Modbus przez VPN wybrać wartość Odczyt i zapis. Ten poziom jest wymagany, aby Overvis HMI mógł nie tylko odczytywać, lecz także zmieniać parametry TR-100E.
10. Dla parametru Tryb ochrony wybrać wartość Zapis. Zezwolenie na zapis przez VPN nie wyłącza ochrony lokalnego Modbus: klienci lokalni nadal będą wymagali odblokowania hasłem.
11. Nacisnąć Zapisz w sekcji Modbus TCP.

Poziom Odczyt i zapis zapewnia dostęp bez hasła każdej sesji Modbus TCP przyjętej przez interfejs VPN. Należy go używać wyłącznie z zaufaną konfiguracją WireGuard. Jeżeli zdalna zmiana parametrów nie jest wymagana, należy wybrać Tylko odczyt.

Rysunek B.6 – konfiguracja dostępu do Modbus TCP przez VPN

B.2.3 Kontrola automatycznego połączenia

Po zapisaniu ustawień przejść do zakładki Serwis, w bloku Diagnostyka wybrać Sieć → VPN i włączyć Autoodświeżanie. Poczekać na zakończenie automatycznej konfiguracji. Oznaki gotowości do połączenia przez Overvis:

• Usługa — Włączone;
• Tryb — Auto;
• Konfiguracja — Gotowe;
• Połączenie — Połączone lub Aktywne;
• w polu Handshake wyświetlany jest czas ostatniej wymiany zamiast kreski.

Po pojawieniu się tych stanów należy przejść do łączenia TR-100E z kontem Overvis HMI.

Rysunek B.7 – gotowość WireGuard do połączenia przez Overvis

B.2.4 Łączenie TR-100E z kontem Overvis HMI

Przed kontynuowaniem należy upewnić się, że TR-100E jest połączony z Internetem, a automatyczna konfiguracja WireGuard została zakończona zgodnie z p. B.2.3. Przygotować 8-znakowy kod PIN podany na naklejce obudowy.

1. W przeglądarce internetowej przejść do witryny Overvis HMI.
2. Na stronie logowania w polu Email wprowadzić adres e-mail i nacisnąć Send code. W wyświetlonym polu wprowadzić jednorazowy kod z wiadomości e-mail. Jeżeli ten adres jest używany po raz pierwszy, Overvis HMI utworzy konto po jego potwierdzeniu. Oddzielne hasło nie jest wymagane. Kod jest ważny przez 10 minut i można go użyć tylko raz. Nowy kod można zamówić po minucie; wcześniej wydany kod przestanie wówczas działać.
3. Podczas pierwszego logowania podać imię i nazwę organizacji. Overvis HMI utworzy pierwszy obszar roboczy na podstawie nazwy organizacji. Jeżeli obszar roboczy już istnieje, należy go otworzyć.
4. Przejść do sekcji Konfiguracja ręczna → Połączenia i nacisnąć Utwórz połączenie.
5. W polu Typ wybrać PIN. Dla tego typu połączenia używany jest port 502, dlatego pole Port nie jest wyświetlane.
6. W polu Nazwa zastąpić tekst Nowe połączenie zrozumiałą nazwą, na przykład miejscem instalacji TR-100E. W polu Kod PIN wprowadzić kod z naklejki i nacisnąć Utwórz.

Rysunek B.8 – tworzenie połączenia TR-100E za pomocą kodu PIN

7. Potwierdzić posiadanie urządzenia: nacisnąć Tak na TR-100E lub wprowadzić w Overvis HMI kod wyświetlony na ekranie urządzenia.
8. Poczekać na komunikat Połączenie utworzone.
9. Na liście Połączenia wybrać utworzony wiersz. Na zakładce Połączenie upewnić się, że wyświetlany jest stan Połączono, a pole Aktywny adres jest wypełnione. W wierszu listy powinny być wyświetlane etykieta PIN, producent i kod modelu.

Rysunek B.9 – TR-100E połączony z obszarem roboczym

Po utworzeniu połączenia nie można zmienić Typu ani powiązanego urządzenia. Jeżeli kod PIN podano nieprawidłowo, połączenie należy usunąć i utworzyć ponownie. Samo to połączenie nie wyświetla temperatur: parametry TR-100E dodaje się oddzielnie.

B.2.5 Dodawanie parametrów TR-100E z szablonu

Po utworzeniu połączenia należy dodać parametry sterownika z szablonu Novatek-Electro TR-100E. Nie jest wymagane ponowne wprowadzanie adresu ani portu połączenia.

1. W menu konfiguracji przejść do sekcji Parametry (Parameters).
2. Nacisnąć Dodaj (Add) i wybrać Z szablonu… (From template…).
3. W oknie Dodaj z szablonu (Add from template) wybrać szablon Novatek-Electro TR-100E z grupy Overvis.
4. Sprawdzić pole Nazwa gałęzi głównej (Root branch name). W razie potrzeby zmienić proponowaną nazwę; pola nie można pozostawić pustego.
5. Sprawdzić pole ID urządzenia (Unit ID). Szablon używa fabrycznego adresu Modbus TR-100E — 48. Jeżeli adres sterownika został zmieniony, należy podać jego bieżącą wartość.
6. W polu Połączenie (Endpoint) wybrać utworzone wcześniej połączenie TR-100E.
7. Nacisnąć Dodaj (Add). Nie jest wymagane oddzielne zapisywanie zmian.

Rysunek B.10 – dodawanie parametrów TR-100E z szablonu

Po zastosowaniu szablonu w drzewie Parametry pojawi się nowa gałąź główna z parametrami TR-100E. Aby sprawdzić wymianę danych ze sterownikiem, należy zaznaczyć nową gałąź i nacisnąć Odczytaj (Read). Po prawej stronie parametrów powinny pojawić się odebrane wartości. Aby włączyć ciągłe odpytywanie, należy włączyć Online (Live).

Rysunek B.11 – sprawdzanie odczytu parametrów TR-100E

Jeżeli zamiast wartości wyświetlany jest błąd, należy sprawdzić, czy pole ID urządzenia odpowiada adresowi Modbus sterownika oraz czy utworzone połączenie ma stan Połączono.

Dodatkowe informacje podano w dokumentacji Overvis dotyczącej podłączania urządzeń.