Додаток Б: Налаштування VPN WireGuard

ДОДАТОК Б. НАЛАШТУВАННЯ VPN WIREGUARD

Основний документ: «Посібник з експлуатації TR-100E»

Цей додаток описує два режими налаштування VPN WireGuard:

статичний — параметри з’єднання задаються вручну для підключення до вибраного вузла WireGuard;
автоматичний — TR-100E отримує параметри з’єднання від Overvis після підключення до облікового запису за PIN-кодом.

В обох режимах TR-100E самостійно ініціює обмін із віддаленим вузлом. Для налаштування потрібен доступ до Web-інтерфейсу TR-100E з рівнем powerUser. TR-100E повинен мати IP-з’єднання з віддаленим вузлом; у разі використання імені хоста мають бути правильно налаштовані DNS-сервери.

Б.1 Ручне налаштування WireGuard

Б.1.1 Введення параметрів

Для статичного налаштування адміністратор VPN повинен надати параметри WireGuard для TR-100E та налаштувати відповідний peer на віддаленому вузлі.

Відкрити Web-інтерфейс TR-100E та увійти з рівнем доступу powerUser.
Перейти на вкладку Налаштування та розкрити розділ VPN-WireGuard.
Увімкнути параметр Увімкнено.
Вимкнути параметр Автоматичне підключення до сервера Overvis. Поля статичного налаштування стануть доступними для введення.
Ввести параметри, надані адміністратором VPN:

Поле	Вміст
Приватний ключ	Приватний ключ TR-100E у форматі Base64
Адреса інтерфейсу	Адреса TR-100E всередині VPN у форматі IPv4/CIDR, наприклад `10.8.0.2/24`
Публічний ключ peer	Публічний ключ віддаленого вузла у форматі Base64
Хост peer	DNS-ім’я або IPv4-адреса віддаленого вузла
Порт peer	UDP-порт віддаленого вузла, від `1` до `65535`; значення за замовчуванням — `51820`
Allowed IP 1, Allowed IP 2	До двох мереж, трафік до яких спрямовується через peer, у форматі IPv4/CIDR
Keepalive (s)	Інтервал persistent keepalive від `1` до `300` s; значення за замовчуванням — `25` s

Приватний ключ, адреса інтерфейсу, публічний ключ та хост peer є обов’язковими. Для адреси інтерфейсу використовується префікс від /1 до /32. Обидва поля Allowed IP можна залишити порожніми. Якщо не задано жодної дозволеної мережі, TR-100E використовує мережу, задану адресою інтерфейсу. Якщо заповнено одне поле Allowed IP, використовується зазначений у ньому маршрут. У поточній версії прошивки маршрути з префіксом /0 не застосовуються; для Allowed IP слід використовувати префікси від /1 до /32.

Натиснути Зберегти в розділі VPN-WireGuard. Служба WireGuard перезапуститься автоматично; перезапуск TR-100E не потрібен.

Якщо через статичне VPN-з’єднання потрібен доступ до Web-інтерфейсу або Modbus TCP, додатково виконати налаштування, зазначені в кроках 5–11 п. Б.2.2.

Рисунок Б.1 – статичне налаштування WireGuard

Б.1.2 Перевірка підключення

Перейти на вкладку Сервіс, у блоці Діагностика вибрати Мережа → VPN та увімкнути Автооновлення.

Для правильно заповненої статичної конфігурації відображаються:

Сервіс — Увімкнено;
Режим — Статичний;
Конфігурація — Готово;
Зв’язок — Налаштовано, Підключено або Активно.

Успішний обмін із віддаленим вузлом підтверджується станом Підключено або Активно, часом у полі Рукостискання та збільшенням лічильників пакетів RX/TX. Стан Конфігурація неправильна означає, що не заповнено принаймні один обов’язковий параметр: приватний ключ, адреса інтерфейсу, публічний ключ або хост peer.

Рисунок Б.2 – стан статичного підключення WireGuard

Якщо статичне підключення не встановлюється:

якщо відображається стан Конфігурація неправильна, перевірити заповнення приватного ключа, адреси інтерфейсу, публічного ключа та хоста peer;
звірити всі параметри з конфігурацією віддаленого peer;
у разі використання DNS-імені перевірити налаштування DNS у розділі Налаштування → Мережа;
перевірити доступність хоста та UDP-порту peer з мережі TR-100E;
перевірити, що маршрути Allowed IP не перетинаються з локальною мережею непередбаченим чином;
переконатися, що віддалений peer налаштований для роботи з ключем та VPN-адресою TR-100E.

Б.2 Автоматичне налаштування через Overvis

Б.2.1 Перевірка ідентифікаційних даних

Відкрити Web-інтерфейс TR-100E та увійти з рівнем доступу powerUser.
Перейти на вкладку Сервіс.
У блоці Інформація про пристрій переконатися, що індикатори Ключ пристрою та Зареєстровано мають зелений колір, а в полі PIN-код відображається значення. Записати PIN-код (його також зазначено на наклейці пристрою): код буде потрібен для підключення TR-100E до облікового запису Overvis.

Рисунок Б.3 – ідентифікаційні дані TR-100E

Б.2.2 Увімкнення автоматичного підключення

Перейти на вкладку Налаштування та розкрити розділ VPN-WireGuard.
Увімкнути параметри Увімкнено та Автоматичне підключення до сервера Overvis.
Поле URL сервера автоматичної конфігурації залишити порожнім: у цьому разі використовується адреса, записана виробником. Заповнювати поле слід лише за вказівкою служби технічної підтримки.
Натиснути Зберегти в розділі VPN-WireGuard.

Рисунок Б.4 – налаштування автоматичного підключення до Overvis

Розкрити розділ Web-сервер.
Увімкнути параметр Доступ до Web через VPN та встановити для параметра Рівень доступу через VPN за замовчуванням значення PowerUser.
Натиснути Зберегти в розділі Web-сервер.

Рисунок Б.5 – налаштування доступу до Web-інтерфейсу через VPN

Розкрити розділ Modbus TCP.
Увімкнути параметр Увімкнено та для параметра Доступ до Modbus через VPN вибрати значення Читання та запис. Цей рівень потрібен, щоб Overvis HMI міг не лише читати, а й змінювати параметри TR-100E.
Для параметра Режим захисту вибрати значення Запис. Дозвіл запису через VPN не вимикає захист локального Modbus: локальним клієнтам, як і раніше, буде потрібне розблокування паролем.
Натиснути Зберегти в розділі Modbus TCP.

Рівень Читання та запис надає доступ без пароля будь-якій сесії Modbus TCP, прийнятій через VPN-інтерфейс. Використовуйте його лише для довіреної конфігурації WireGuard. Якщо віддалена зміна параметрів не потрібна, виберіть Лише читання.

Рисунок Б.6 – налаштування доступу до Modbus TCP через VPN

Б.2.3 Контроль автоматичного підключення

Після збереження налаштувань перейти на вкладку Сервіс, у блоці Діагностика вибрати Мережа → VPN та увімкнути Автооновлення. Дочекатися завершення автоматичного налаштування. Ознаки готовності до підключення через Overvis:

Сервіс — Увімкнено;
Режим — Авто;
Конфігурація — Готово;
Зв’язок — Підключено або Активно;
у полі Рукостискання відображається час останнього обміну замість риски.

Після появи цих станів перейти до підключення TR-100E до облікового запису Overvis HMI.

Рисунок Б.7 – готовність WireGuard до підключення через Overvis

Б.2.4 Підключення TR-100E до облікового запису Overvis HMI

Перед продовженням переконайтеся, що TR-100E підключений до інтернету, а автоматичне налаштування WireGuard завершено відповідно до п. Б.2.3. Підготуйте 8-символьний PIN-код, зазначений на наклейці корпусу.

У веббраузері перейдіть на сайт Overvis HMI.
На сторінці входу в полі Email введіть адресу електронної пошти та натисніть Send code. У полі, що з’явиться, введіть одноразовий код із листа. Якщо ця адреса використовується вперше, Overvis HMI створить обліковий запис після її підтвердження. Окремий пароль не потрібен. Код діє 10 хвилин і приймається один раз. Новий код можна запросити через хвилину; раніше виданий код після цього припинить діяти.
Під час першого входу вкажіть ім’я та назву організації. Overvis HMI створить перший робочий простір із назви організації. Якщо робочий простір уже існує, відкрийте його.
Перейдіть до розділу Ручне налаштування → Підключення та натисніть Створити підключення.
У полі Тип виберіть PIN. Для цього типу підключення використовується порт 502, тому поле Порт не відображається.
У полі Назва замініть текст Нове підключення зрозумілою назвою, наприклад місцем встановлення TR-100E. У полі PIN-код введіть код із наклейки та натисніть Створити.

Рисунок Б.8 – створення підключення TR-100E за PIN-кодом

Підтвердьте володіння пристроєм: натисніть Так на TR-100E або введіть в Overvis HMI код, показаний на дисплеї пристрою.
Дочекайтеся повідомлення Підключення створено.
У списку Підключення виберіть створений рядок. На вкладці Підключення переконайтеся, що відображається стан Підключено, а поле Активна адреса заповнено. У рядку списку мають відображатися мітка PIN, виробник і код моделі.

Рисунок Б.9 – TR-100E підключено до робочого простору

Після створення Тип і прив’язаний пристрій змінити не можна. Якщо PIN зазначено неправильно, підключення видаляють і створюють заново. Температури це підключення саме по собі не показує: параметри TR-100E додають окремо.

Б.2.5 Додавання параметрів TR-100E із шаблону

Після створення підключення додайте параметри контролера із шаблону Novatek-Electro TR-100E. Адресу та порт підключення повторно вводити не потрібно.

У меню налаштування перейдіть до розділу Параметри (Parameters).
Натисніть Додати (Add) та виберіть Із шаблону… (From template…).
У вікні Додати із шаблону (Add from template) виберіть шаблон Novatek-Electro TR-100E із групи Overvis.
Перевірте поле Назва кореневої гілки (Root branch name). За потреби змініть запропоновану назву; залишати поле порожнім не можна.
Перевірте поле ID пристрою (Unit ID). Шаблон використовує заводську адресу Modbus TR-100E — 48. Якщо адресу контролера було змінено, зазначте її поточне значення.
У полі Підключення (Endpoint) виберіть створене раніше підключення TR-100E.
Натисніть Додати (Add). Окремо зберігати зміни не потрібно.

Рисунок Б.10 – додавання параметрів TR-100E із шаблону

Після застосування шаблону в дереві Параметри з’явиться нова коренева гілка з параметрами TR-100E. Щоб перевірити обмін із контролером, виділіть нову гілку та натисніть Читати (Read). Праворуч від параметрів мають з’явитися отримані значення. Для безперервного опитування увімкніть Онлайн (Live).

Рисунок Б.11 – перевірка читання параметрів TR-100E

Якщо замість значень відображається помилка, перевірте, що поле ID пристрою відповідає адресі Modbus контролера та що створене підключення має стан Підключено.

Додаткові відомості наведено в документації Overvis щодо підключення обладнання.