Fernzugriff

Die Dashboards dieser Station für andere Geräte im Netzwerk öffnen, auf Wunsch über HTTPS, wer sie nutzen darf, und der Neustart, den jede Änderung kostet.

Als Markdown ansehen

Fernzugriff ist die letzte Zeile der Gruppe ALLGEMEIN auf der Seite Einstellungen. Aus antwortet der Web-Host der Station nur dem eigenen Rechner auf der Loopback-Adresse, womit das Desktop-Fenster selbst die Oberfläche zeichnet, und im Netzwerk lauscht nichts. Ein wird auch jede Netzwerkadresse der Station belegt, und ein Tablet oder ein anderer PC im selben LAN kann dieselbe Oberfläche in einem Browser öffnen. Die Seite braucht die Berechtigung Einstellungen ändern, und die drei Einstellungen hier starten den Webserver neu, der genau die Ansicht zeichnet, auf der Sie stehen, deshalb fragt jede zuerst.

Die Einstellungen

Feld	Was es ist	Werte / Vorgabe	Wirkung
Dashboards auf anderen Geräten öffnen	"Standardmäßig aus. Schalten Sie dies ein, um die Dashboards dieser Station von einem Tablet oder einem anderen PC im selben Netzwerk zu öffnen."	Ein oder aus. Aus als Vorgabe.	Ein: der Web-Host belegt neben der Loopback-Adresse jede LAN-Adresse der Station, die Anwendung legt eine Regel der Windows-Firewall namens "Ganter Lab Dashboard" an (eingehend TCP auf dem Port, Profile Privat und Domäne, nur das lokale Subnetz) und richtet eine Zulassungsliste ein, die jede Quelle außerhalb der privaten Adressbereiche abweist. Aus: nur Loopback ist belegt, und die Regel wird entfernt.
Über HTTPS ausliefern (selbstsigniertes Zertifikat)	Nur gezeichnet, solange der Schalter darüber ein ist. Verschlüsselt den Verkehr im LAN mit einem Zertifikat, das die Station sich selbst ausstellt.	Ein oder aus. Aus als Vorgabe.	Ein: die LAN-Adressen liefern HTTPS; die Loopback-Adresse bleibt einfaches HTTP, das Desktop-Fenster ist also nie betroffen. Jedes Gerät bittet Sie beim ersten Mal, das Zertifikat der Station anzunehmen.
Netzwerk-Port	"Der Netzwerk-Port, auf dem diese Station lauscht. Eine Änderung startet den Webserver neu: Diese Ansicht lädt sich von selbst neu, und anderswo geöffnete Dashboards müssen unter der neuen Adresse erneut geöffnet werden."	1 bis 65535. Vorgabe 18760.	Der Port für Loopback und LAN gleichermaßen. Das Feld übernimmt, wenn Sie es verlassen oder Eingabe drücken, nie bei jedem Tastendruck; Text, der kein Port ist, eine Zahl außerhalb des Bereichs oder der bereits geltende Port fällt kommentarlos auf den geltenden Wert zurück.

Solange der Schalter ein ist, erklärt die Karte, wer sich verbinden darf (siehe unten), und zeigt dann eines von drei Dingen.

Auf einem anderen Gerät öffnen: ein QR-Code und die Adresse zum Eintippen, http://<Adresse>:<Port>/ (oder https://), wobei die Adresse die erste LAN-Adresse ist, die der Host beim Start belegt hat. Scannen Sie den Code, oder tippen Sie ihn in einem Browser im selben Netzwerk.
"Diese Station ist noch in keinem Netzwerk. Verbinden Sie sie mit Ihrem Anlagennetz, um eine Adresse zum Weitergeben zu erhalten.": der Schalter ist ein, aber die Station hatte beim Start des Hosts keine LAN-Adresse, deshalb ist nur Loopback belegt und es wurde keine Firewallregel angelegt. Die Einstellung bleibt ein, und der Host wird neu gebunden, sobald eine Adresse auftaucht.
Der Fernzugriff ist nicht verfügbar, ein Hinweis in Vorsichtsfarbe: HTTPS wurde verlangt und das Zertifikat ließ sich nicht laden oder erzeugen. Der Hinweis trägt den Grund: "Der Fernzugriff wurde nicht gestartet, weil sein HTTPS-Zertifikat nicht geladen oder erzeugt werden konnte. Der Zugriff über Loopback bleibt verfügbar; prüfen Sie Ereignisse und ändern Sie die Einstellung des Fernzugriffs, um es erneut zu versuchen." Die Station fällt nie von selbst auf einfaches HTTP zurück, und eine Benachrichtigung "Fernzugriff auf das Dashboard nicht verfügbar" sagt beim Start des Hosts dasselbe.

Eine Änderung anwenden: der Neustart

Einen der beiden Schalter umzulegen oder einen neuen Port zu übernehmen öffnet den Dialog Den Webserver neu starten?. Sein Absatz nennt den Preis und endet mit "Diese Ansicht wird von diesem Server gezeichnet, deshalb setzt sie für einige Sekunden aus und kommt von selbst zurück.":

den Schalter einschalten: "Dashboards auf anderen Geräten zu öffnen startet den Webserver neu.";
ihn ausschalten: "Dashboards auf anderen Geräten zu schließen startet den Webserver neu, und ein Gerät, das diese Station über das Netzwerk liest, erreicht sie nicht mehr.";
HTTPS ein: "Die Auslieferung über HTTPS startet den Webserver neu, und jedes Gerät fragt Sie beim ersten Mal, ob Sie dem eigenen Zertifikat dieser Station vertrauen."; HTTPS aus: "Die Auslieferung wieder über einfaches HTTP startet den Webserver neu.";
ein neuer Port: "Diese Station auf Port N zu verschieben startet den Webserver neu."

Abbrechen stellt den Schalter und das Portfeld auf das zurück, worauf die Station lauscht. Übernehmen und neu laden speichert die Einstellung; die Anwendung entfernt dann die alte Firewallregel, stoppt den Host, startet ihn mit den neuen Optionen und legt die Regel neu an. Währenddessen steht eine Abdeckung mit dem Titel Der Webserver wird neu gestartet über der Anwendung: "Die Ansicht kommt von selbst zurück, sobald die Station wieder antwortet." im Desktop-Fenster, "Die Ansicht kommt von selbst zurück, sobald die neue Adresse antwortet." in einem Browser, und in beiden "Erfassung, Aufzeichnung und der OPC UA-Server laufen die ganze Zeit weiter." Ein Browser tastet die neue Adresse alle halbe Sekunde ab, bis zu dreißig Sekunden lang, und geht dorthin, sobald sie antwortet; antwortet nichts rechtzeitig, tritt die Abdeckung beiseite und die gewöhnliche Ansicht zum erneuten Verbinden übernimmt, mit ihrem Erneut versuchen und Neu laden. Das Desktop-Fenster richtet seine eigene Ansicht neu aus. Wer die Änderung verlangt hat, ist der, der wartet; jedes andere Gerät verliert einfach seine Verbindung und verbindet sich neu. Ein Browser, der den Fernzugriff ausgeschaltet hat, hat nach eigener Wahl nichts mehr, wohin er zurückkäme.

Solange die Runtime gestoppt ist, wird diese Seite gar nicht gezeichnet (siehe Einstellungen), keine der drei lässt sich also erreichen, bis die Runtime zurück ist.

HTTPS und sein Zertifikat

Das Zertifikat ist selbstsigniert, ausgestellt auf "Ganter Lab Dashboard", fünf Jahre gültig und führt localhost, 127.0.0.1 und jede LAN-Adresse auf, die die Station bei seiner Erzeugung hatte. Es liegt als dashboard-cert.pfx unter der Datenwurzel der Station und wird neu erzeugt, wenn es fehlt, nicht lesbar ist, binnen eines Tages abläuft oder eine der Adressen der Station nicht mehr abdeckt. Browser vertrauen ihm nicht von sich aus: jedes Gerät zeigt einmal seine eigene Warnung, und Sie nehmen das Zertifikat der Station dort an. Ohne HTTPS gehen Anmelde-PINs im Klartext über das Netz, und ebenso alles andere, was die Station über das Netzwerk zeigt, einschließlich des Benutzernamens des OPC UA-Servers unter Konfiguration; ein dort eingetipptes Passwort geht auf dem Hinweg genauso über das Netz, das gespeicherte wird jedoch nie an den Browser geschickt.

Die Firewallregel und die Beobachtung der Adressen

Die Regel "Ganter Lab Dashboard" wird mit netsh angelegt und entfernt, während die Anwendung die Einstellung anwendet. Eine Regel anzulegen braucht erhöhte Rechte, und die Anwendung setzt sie nicht voraus: ein Fehlschlag wird ins Journal geschrieben und geschluckt, denn die Bindung und die Zulassungsliste der privaten Bereiche halten den Host ohnehin eng, und Windows zeigt dann seine eigene Frage nach dem Zugriff. Die Regel wird bei jeder Änderung entfernt und neu angelegt, damit keine alte Regel für einen alten Port zurückbleibt.

Die Adressen der Station können sich unter einem laufenden Host bewegen (eine neue DHCP-Vergabe, ein Wechsel von WLAN auf Kabel, eine Dockingstation). Die Anwendung beobachtet sie und bindet den Host, solange der Fernzugriff ein ist, auf die aktuellen Adressen neu, was auch das Zertifikat erneuert, sobald es sie nicht mehr abdeckt; die Karte mit der Adresse folgt.

Wer ein Dashboard öffnen darf

Die erste Frage ist nicht, wer fragt, sondern was die Anfrage adressiert hat. Die Station antwortet auf dem eigenen Rechner unter 127.0.0.1 und, solange der Fernzugriff eingeschaltet ist, unter jeder LAN-Adresse, die sie gebunden hat, sowie unter dem Netzwerknamen dieses Rechners; eine Anfrage, die einen anderen Host nennt oder die eine Seite einer fremden Website als Ursprung mitführt, wird mit 403 und der Zeile "Diese Station antwortet nur unter der Adresse, die sie veröffentlicht." abgewiesen, bevor eine Ansicht, eine Datei oder eine Verbindung ausgeliefert wird. Das hält eine Website, die Sie zufällig besuchen, davon ab, diese Station über Ihren Browser zu steuern: eine solche Seite kann ihre eigene Domain auf diesen Rechner zeigen lassen, sie bestimmt aber nicht die Adresse, die der Browser in die Anfrage schreibt, die er für sie stellt, und der Versuch steht danach unter Events. Der Endpunkt des Agenten weist seine eigenen Aufrufer nach derselben Regel ab.

Der Web-Host liefert die ganze Oberfläche, nicht nur Dashboards, und jeder Browser ist eine eigene Verbindung mit einem eigenen angemeldeten Benutzer. Ob eine Identität überhaupt aus dem Netzwerk hereindarf, entscheidet die Berechtigung Fernzugriff (LAN) ihrer Rolle auf der Seite Benutzer: ein Browser, dessen Identität sie nicht hält, sieht keine Seite, nur die Anmeldefläche, bis sich jemand mit dieser Berechtigung anmeldet. Die Rolle Nicht angemeldet hat sie als Vorgabe aus, den Fernzugriff einzuschalten teilt also nichts, bis sich ein Benutzer anmeldet, es sei denn, Sie erteilen dieser Rolle die Berechtigung bewusst für einen Kiosk oder ein Tablet. Ein Browser auf dem Rechner der Station wird dadurch nie gesperrt. Von da an entscheidet die angemeldete Rolle alles Weitere, genau wie im Fenster der Station; siehe Anmelden.

Was ein entfernter Browser nicht kann

Ein paar Handlungen gibt es nur auf dem Desktop der Station selbst, und sie bleiben in einem Browser ausgegraut, mit "Nur in der lokalen Desktop-Anwendung der Station verfügbar.": den Ordner der Sicherungen öffnen, für eine Aktualisierung neu starten und das abgesetzte Fenster Ereignisse aus der Warnungsanzeige öffnen. Die Zeile mit dem Zoom des Fensters wird gar nicht gezeichnet. Vertrauen, Sperren, Widerrufen und Einspielen von Zertifikaten unter Client-Zugriff und Anlagenzugriff sowie die Firewall-Schaltfläche für OPC UA werden in einem Browser abgelehnt: "Der Client-Zugriff lässt sich nur in der Desktop-Anwendung der Station ändern." Alles Übrige, diese Einstellungen des Fernzugriffs eingeschlossen, folgt der angemeldeten Rolle.

Was dieser Abschnitt nicht tut

Die Station wird nie ins Internet gestellt und richtet keinen Tunnel ein: die Bindung ist eine LAN-Bindung, die Firewallregel gilt nur für das lokale Subnetz, und die Zulassungsliste weist öffentliche Adressen selbst dann ab, wenn beides falsch eingerichtet wäre. Es gibt hier keine Liste verbundener Browser, kein Erlauben oder Sperren je Gerät, kein eigenes Passwort zum Ansehen (die Identität ist der lokale Benutzer), und der Port des Agenten-Endpunkts wird auf der Seite Agentenzugriff gesetzt, nicht hier.