Acceso remoto

La página Acceso remoto: abrir los paneles de control de esta estación a otros dispositivos de la red, por HTTPS si lo desea, quién puede usarlos, los navegadores conectados en este momento y las tabletas y las computadoras configuradas para abrirse a su manera, y el reinicio que cuesta cada cambio.

Acceso remoto es una página propia, la entrada del grupo inferior de la barra de navegación justo después de Agente, que solo se dibuja para un rol que tenga Ver acceso remoto; la ruta /remote-access está protegida por el mismo permiso. Apagado, el anfitrión web de la estación contesta solo a su propia máquina en la dirección de loopback, que es como la ventana del escritorio dibuja la interfaz, y nada escucha en la red. Encendido, se ata también cada dirección de red de la estación, y una tableta u otra PC de la misma LAN pueden abrir esa misma interfaz en un navegador. La página dice qué es bajo el título: "Abre los paneles de control de esta estación en el navegador de las computadoras y tablets de su red. Recibe conexiones y nunca abre una." Tiene tres tarjetas, Estado, Configuración y Acceso de clientes: Ver acceso remoto las lee, y Configurar acceso remoto enciende y apaga el acceso remoto y cambia sus ajustes. Cada cambio reinicia el servidor web que dibuja la mismísima pantalla en la que usted está, así que cada uno pregunta antes.

Encendido y apagado

La barra de la parte superior de la página muestra su estado junto a su ícono: "Apagado", "Escuchando en el puerto 18760", "Arrancando…" mientras el servidor web regresa tras un cambio, "Sin dirección de red" o "No se pudo iniciar". Su punto es gris mientras el acceso remoto está apagado, verde mientras otros dispositivos alcanzan la estación, ámbar mientras arranca o no tiene dirección que dar, y rojo cuando se rechazó la red.

Activar y Desactivar en la barra de comandos lo encienden y lo apagan. En una estación nueva está apagado. Encendido: el anfitrión web ata cada dirección LAN de la estación junto a la de loopback, la aplicación agrega una regla del Firewall de Windows llamada "Ganter Lab Dashboard" (TCP de entrada en el puerto, perfiles Privado y Dominio, solo la subred local) e instala una lista de permitidos que rechaza cualquier origen fuera de los rangos de direcciones privadas. Apagado: solo se ata loopback y la regla se quita. A un rol sin Configurar acceso remoto no se le dibujan los dos comandos, y lee las tarjetas sin cambiarlas. Cada comando sigue dibujado y en gris con el motivo mientras el acceso remoto ya está en su estado. Los dos comandos y los ajustes se ponen en gris igual mientras una unidad está en marcha o el runtime está detenido, como en toda la página Connector, y en la demostración publicada, cuya dirección se fija al iniciarse: "La dirección de esta demostración se fija al iniciarse, así que el acceso remoto no se puede cambiar aquí."

Los ajustes

La tarjeta Estado muestra dónde se alcanza la estación. Mientras el acceso remoto está apagado dice "El acceso remoto está apagado: solo esta computadora abre los paneles de control de la estación y nada escucha en la red." En una estación con dirección de red, siguen el código QR y la dirección que va a dar, atenuados, bajo Abrir en otro dispositivo, con el acceso remoto encendido: "Este código y esta dirección no abren nada hasta que el acceso remoto esté encendido. Entonces, un navegador de la misma red abre la estación escaneando el código o escribiendo esta dirección:". Esa dirección es la primera dirección de red de esta computadora, leída como la lee el host cuando se enciende el acceso remoto, así que es la que el host vincula primero; en una estación sin dirección de red la tarjeta muestra solo la frase. Mientras está encendido, muestra una de tres cosas.

• Abrir en otro dispositivo: un código QR y la dirección que hay que escribir, http://<address>:<port>/ (o https://), donde la dirección es la primera dirección LAN que ató el anfitrión al arrancar. Escanéelo o escríbala en un navegador de la misma red.
• "Esta estación todavía no está en una red. Conéctela a la red de planta para obtener una dirección que compartir.": el acceso remoto está encendido, pero la estación no tenía ninguna dirección LAN cuando arrancó el anfitrión, así que solo se ató loopback y no se creó ninguna regla de firewall. El ajuste se queda encendido, y el anfitrión se vuelve a atar cuando aparece una dirección.
• El acceso remoto no está disponible, un aviso de precaución: se pidió HTTPS y el certificado no se pudo cargar ni crear. El aviso lleva el motivo: "El acceso remoto no arrancó porque su certificado HTTPS no se pudo cargar ni crear. El acceso por loopback sigue disponible; revise Eventos y cambie el ajuste de acceso remoto para reintentar." La estación nunca cae sola a HTTP simple, y una notificación de "Panel de control remoto no disponible" dice lo mismo cuando arranca el anfitrión.

Siempre que la tarjeta muestra el código, apagado o encendido, una línea debajo da la dirección que abre la estación en su propia computadora, http://localhost:<puerto> en el puerto en el que escucha la estación. Responde diga lo que diga el acceso remoto, porque es la dirección de loopback desde la que se dibuja la propia ventana de la estación; un navegador ahí entra con el rol Sin sesión iniciada.

En la demostración publicada dice "Esta es la demostración publicada: los visitantes llegan a ella por la dirección con la que la abrieron."

La tarjeta Acceso de clientes dice quién puede entrar: un navegador de otro dispositivo entra con su propio inicio de sesión, y solo mientras su rol tenga Acceso remoto (LAN) (véase Quién puede abrir un panel de control). Mientras el acceso remoto está encendido, también muestra el estado de la regla "Ganter Lab Dashboard" bajo Firewall de Windows, y ofrece Permitir la red local mientras esa regla falta; solo la ventana de la propia estación puede presionarlo (véase La regla de firewall y la vigilancia de direcciones).

Aplicar un cambio: el reinicio

Activar, Desactivar, el interruptor de HTTPS, un puerto nuevo o una lista nueva de nombres abre el diálogo ¿Reiniciar el servidor web?. Su párrafo dice cuánto cuesta y termina con "Esta pantalla la dibuja ese servidor, así que se detiene unos segundos y vuelve sola.":

• Activar: "Abrir los paneles de control en otros dispositivos reinicia el servidor web.";
• Desactivar: "Cerrar los paneles de control en otros dispositivos reinicia el servidor web, y un dispositivo que lea esta estación por la red deja de alcanzarla.";
• HTTPS encendido: "Servir por HTTPS reinicia el servidor web, y cada dispositivo le pide aceptar el certificado propio de esta estación la primera vez."; HTTPS apagado: "Volver a servir por HTTP sin cifrar reinicia el servidor web.";
• un puerto nuevo: "Mover esta estación al puerto N reinicia el servidor web.";
• nombres declarados: "Responder con estos nombres reinicia el servidor web."; el campo vaciado: "Volver a responder solo con las direcciones propias de esta estación reinicia el servidor web."

Cancelar no guarda nada: el acceso remoto y el interruptor de HTTPS se quedan en lo que la estación escucha, igual que durante la pregunta, y el campo del puerto y el campo de los nombres regresan a lo que la estación escucha y a aquello con lo que responde. Aplicar y recargar guarda el ajuste; la aplicación entonces quita la regla vieja de firewall, detiene el anfitrión, lo arranca con las opciones nuevas y vuelve a crear la regla. Mientras eso pasa, una cubierta titulada Reiniciando el servidor web se para sobre la aplicación: "La pantalla vuelve sola en cuanto la estación responda de nuevo." en la ventana del escritorio, "La pantalla vuelve sola en cuanto responda la nueva dirección." en un navegador, seguida allí de "Cuando la pantalla vuelva, hay que iniciar sesión de nuevo: la sesión de un navegador termina con el reinicio.", y en las dos "La adquisición, la grabación y el servidor OPC UA siguen funcionando todo el tiempo." Un navegador sondea la dirección nueva cada medio segundo hasta por treinta segundos y se va ahí en cuanto contesta; si nada contesta a tiempo, la cubierta se hace a un lado y toma su lugar la pantalla de reconexión de siempre, con su Intentar de nuevo y su Recargar. La ventana del escritorio vuelve a apuntar su propia vista. Quien pidió el cambio es quien espera; cualquier otro dispositivo simplemente pierde su conexión y se reconecta. Un navegador que apagó el acceso remoto no tiene, por decisión propia, nada a lo que regresar.

HTTPS y su certificado

El certificado es autofirmado, emitido a "Ganter Lab Dashboard", válido por cinco años, y enumera localhost, 127.0.0.1 y todas las direcciones LAN que tenía la estación cuando se hizo. Se guarda como dashboard-cert.pfx bajo la raíz de datos de la estación y se vuelve a hacer cuando falta, cuando no se puede leer, cuando le queda menos de un día de validez, o cuando ya no cubre alguna de las direcciones de la estación. Los navegadores no confían en él por su cuenta: cada dispositivo muestra su propia advertencia una vez y ahí se acepta el certificado de la estación. Sin HTTPS, los PIN de inicio de sesión cruzan la red en texto claro, y también todo lo demás que la estación muestra por la red, incluido el usuario del servidor OPC UA de Configuración; una contraseña escrita ahí cruza igual a la ida, aunque la guardada nunca se le manda al navegador.

La regla de firewall y la vigilancia de direcciones

La regla "Ganter Lab Dashboard" se crea y se quita con netsh conforme la aplicación aplica el ajuste. Crear una regla necesita elevación, y la aplicación no la da por hecha: una falla queda registrada y se traga, porque el atado y la lista de permitidos de rangos privados igual confinan al anfitrión, y Windows entonces muestra su propio aviso de "permitir acceso". La regla se tira y se vuelve a crear en cada cambio, así que no se queda ninguna regla vieja de un puerto anterior. Un arranque de demostración o de prueba, cuya carpeta de datos se cambió a una carpeta propia, no crea ni quita la regla: el nombre de la regla es de toda la máquina, y quitarla dejaría sin acceso remoto al programa instalado. Una copia del programa que no se instaló, como una versión de desarrollo, tampoco toca la regla, por el mismo motivo.

Las direcciones de la estación se pueden mover bajo un anfitrión en marcha (una concesión DHCP nueva, un paso de Wi-Fi a cable, una base). La aplicación las vigila y, mientras el acceso remoto está encendido, vuelve a atar el anfitrión en las direcciones actuales, lo que además renueva el certificado cuando ya no las cubre; la tarjeta de dirección va detrás.

Abrir la estación con un nombre suyo

Una estación conoce por sí sola dos clases de nombre: las direcciones que ató y el nombre que Windows lleva de la máquina. Dos montajes le dan un tercero que no tiene manera de conocer. Uno es un alias de DNS, donde el propio DNS de la planta apunta un nombre con sentido a la dirección de la estación. El otro es un proxy inverso, donde un servidor delante de la estación toma la conexión y la reenvía. En los dos, el navegador escribe ese nombre en la solicitud, la estación lo compara con lo que publica, y un nombre que nadie declaró se rechaza con 403 antes de dibujar pantalla alguna. Nombres con los que responde esta estación es donde se anota: el nombre tal como lo manda el navegador, un nombre tras otro con una coma entre ellos, y nada más, porque un protocolo, un puerto o una ruta en el campo serían un nombre que ninguna solicitud puede traer.

La lista se lee cada vez que arranca el servidor web, así que un cambio entra en vigor con el mismo reinicio que cuestan los demás ajustes de aquí. No sigue el estado del acceso remoto. Un proxy en la propia máquina de la estación reenvía a la dirección de loopback, que la estación mantiene abierta con el acceso remoto encendido o apagado, mientras que un proxy en cualquier otro punto de la red necesita el acceso remoto encendido para alcanzar la estación. Declare solo nombres que de verdad lleguen hasta aquí: cada nombre que agregue es un nombre más con el que una página en un navegador puede direccionar esta estación.

Quién puede abrir un panel de control

La primera pregunta no es quién pide, sino qué direccionó la solicitud. La estación responde en 127.0.0.1 en su propia máquina, con cada nombre declarado en Nombres con los que responde esta estación y, con el acceso remoto encendido, en cada dirección LAN que enlazó y en el nombre de red de esta máquina; una solicitud que nombra cualquier otro host, o que trae como origen la página de otro sitio, se rechaza con 403 y con la línea "Esta estación responde solo en la dirección que publica." antes de servir una pantalla, un archivo o una conexión. Eso es lo que evita que un sitio que usted visite por casualidad maneje esta estación desde su navegador: una página así puede apuntar su propio dominio a esta máquina, pero no escoge la dirección que el navegador escribe en la solicitud que hace por ella, y el intento queda registrado en Events. El endpoint del agente rechaza a sus propios llamadores con esa misma regla.

El anfitrión web sirve la interfaz entera, no solo los paneles de control, y cada navegador es su propia conexión con su propio usuario con la sesión iniciada. Si una identidad puede siquiera entrar desde la red es cosa del permiso Acceso remoto (LAN) de su rol, en la página Usuarios: a un navegador cuya identidad no lo tiene no le sale ninguna página, solo el panel de inicio de sesión, hasta que alguien con ese bit inicie sesión. El rol Sin sesión iniciada lo trae apagado de fábrica, así que encender el acceso remoto no comparte nada hasta que un usuario inicie sesión, salvo que usted le conceda ese bit a propósito a ese rol para un quiosco o una tableta. Un navegador de la máquina de la propia estación nunca pasa por esa puerta. De ahí en adelante el rol con la sesión iniciada decide todo lo demás, exactamente igual que en la ventana de la estación; véase Iniciar sesión.

Navegadores conectados y dispositivos configurados

Una tableta junto a una máquina o una computadora en la planta abre la dirección de la estación todos los días. La tarjeta Acceso de clientes muestra en Conectados ahora cada navegador que tiene la estación abierta desde la red, y convierte cualquiera de ellos en un dispositivo configurado: uno que la estación reconoce a partir de entonces y abre como dice su fila, en un sinóptico propio, fijado en él si lo desea, con la sesión iniciada por sí solo, de vuelta al inicio tras quedarse sin uso, o de solo lectura. El dispositivo abre la dirección de la estación como siempre: no hay código QR ni enlace de emparejamiento para él.

Conectados ahora

"Cada navegador que abre esta estación desde otra computadora o tableta en este momento, con la sesión iniciada o todavía en la pantalla de inicio de sesión. La ventana de esta computadora no aparece." Un navegador en la propia computadora de la estación tampoco aparece. Cada fila nombra el navegador y su sistema tal como el navegador los dice ("Chrome en Windows", "Safari en iPad"), o el nombre del dispositivo si está configurado, y una línea con su dirección, la página que tiene abierta (En la pantalla de inicio de sesión mientras nadie ha iniciado sesión), quién tiene la sesión iniciada en él (Sin sesión iniciada cuando nadie la tiene) y desde cuándo. Sin nadie, el grupo dice "Ningún navegador de otra computadora o tableta está conectado en este momento."

Para un rol que tenga Configurar acceso remoto, cada fila lleva dos verbos:

La clave del dispositivo

Configurar un dispositivo nunca muestra una clave en ningún lado. La estación envía ese navegador, por su propia conexión, a una dirección de un solo uso que escribe una clave en una cookie de ese navegador que ninguna página puede leer, y la pantalla se recarga una vez. La estación guarda solo un hash de la clave, no se guarda nada si el navegador se va antes de recargar, y cada página que abre el dispositivo renueva la cookie, así que un dispositivo en uso conserva su clave. La clave pertenece a ese navegador y a la dirección con la que se abrió la estación: un navegador que se borra o se restablece, otro navegador en la misma tableta, o la estación abierta por otra de sus direcciones vuelve a ser un navegador desconocido, regresa a Conectados ahora y se configura de nuevo. Por HTTP simple la clave cruza la red como cruza un PIN de inicio de sesión; HTTPS cubre los dos.

Dispositivos configurados

"Cada dispositivo guarda una clave que esta estación dio a su navegador, y se abre como dice su fila. Un navegador que se borra o se reemplaza pierde su clave y vuelve a Conectados ahora como un navegador desconocido." Cada fila tiene un punto, verde mientras el dispositivo está conectado, su nombre, y una línea que dice cómo se abre: Conectado en este momento o No conectado; luego "Se abre en Oven overview", "Fijado en Oven overview" o Se abre como cualquier navegador; luego "Inicia sesión como Vera" o Pide iniciar sesión; Solo lectura cuando lo es; y "Vuelve al inicio tras 5 min sin tocar" cuando vuelve. Cuando algo a lo que apunta ha cambiado, una nota bajo la fila dice qué hace el dispositivo en su lugar:

• "Su usuario fijo se eliminó, así que pide iniciar sesión."
• "El rol de Vera ya no tiene Acceso remoto (LAN), así que pide iniciar sesión."
• "Su sinóptico inicial se eliminó, así que se abre en View con todo el programa alrededor y sin fijar."

Presionar una fila abre sus ajustes debajo de ella. Cada uno se guarda en cuanto sale del campo o cambia el interruptor, y llega en el acto a la pantalla abierta del dispositivo.

Olvidar en una fila elimina el dispositivo tras "¿Olvidar 'Line 3 tablet'?": "Su navegador conserva la clave, pero esta estación ya no lo reconoce: pide iniciar sesión como cualquier navegador hasta que se configure de nuevo. Esto no se puede deshacer.", con Olvidar y Conservarlo. Una pantalla abierta de ese dispositivo pasa en el acto a ser un navegador desconocido.

En el dispositivo

Un dispositivo con sinóptico inicial se abre en él. Fijado, se dibuja como el modo Ampliar de View: sin barra de navegación, sin barra de título y sin otras páginas, la barra de estado visible solo si el sinóptico la conserva a pantalla completa, y cualquier otra dirección que se escriba en él lo devuelve a su sinóptico inicial. Los botones configurados con Abrir otro panel de control son el único camino a otro sinóptico, y un sinóptico que el rol vigente no ve queda fuera de alcance. La barra de estado sigue diciendo la salud, las alarmas y las grabaciones, sin llevar a ninguna parte. Una tecla discreta Iniciar sesión en la esquina superior derecha abre el diálogo de inicio de sesión de siempre; mientras alguien tiene la sesión iniciada por encima del usuario del dispositivo, lleva el nombre de esa persona, y su diálogo le cierra la sesión de nuevo. Nada en el dispositivo quita la fijación: el dispositivo se cambia aquí.

Lo que el usuario fijo, iniciar sesión por encima de él, volver tras los minutos sin tocar y el modo de solo lectura hacen con quién tiene la sesión iniciada está en Iniciar sesión. Cada registro que el diario técnico guarda de lo que se hizo desde un dispositivo configurado lleva su nombre, que se lee como Dispositivo remoto en los detalles del registro en Consola y se exporta en una columna propia.

Un navegador no puede ponerse solo a pantalla completa, y una página no puede mantenerlo así: eso es el modo quiosco del propio dispositivo. En un iPad es el Acceso guiado (en Ajustes, Accesibilidad, y luego una triple presión del botón lateral o de inicio con Safari abierto); en Android, la fijación de pantalla en los ajustes de seguridad, o un navegador de quiosco; en una computadora con Windows, Chrome o Edge iniciado con --kiosk seguido de la dirección de la estación, o el acceso asignado de Windows.

Quién puede cambiarlos

Ver acceso remoto lee las dos listas. Configurar acceso remoto identifica, configura, cambia y olvida dispositivos, y elegir un usuario fijo requiere además Gestionar los usuarios locales, para que un rol que solo configura el acceso remoto no pueda poner un administrador en una tableta. Una unidad en marcha o un runtime detenido atenúan los verbos y los campos con el motivo, como en el Connector. El agente lee las dos listas con remote_access_devices y cambia los ajustes de un dispositivo, nunca su usuario fijo, con remote_access_device_update. La demostración publicada no muestra ninguna de las dos: "La demostración no muestra los navegadores conectados a ella ni ningún dispositivo: sus visitantes son otras personas."

Lo que un navegador remoto no puede hacer

Unas cuantas acciones existen solo en el escritorio de la propia estación y se quedan atenuadas en un navegador con "Solo disponible en el escritorio local de la estación.": abrir la carpeta de copias de seguridad, reiniciar para tomar una actualización, y abrir la ventana desprendida de Eventos desde el medidor de Advertencias. La fila del zoom del Desktop no se dibuja siquiera. Confiar, bloquear, revocar e importar certificados en Acceso de clientes y en Acceso a los equipos, y el botón de firewall de OPC UA, se rechazan en un navegador: "El acceso de clientes solo se puede cambiar en la aplicación de escritorio de la estación." Todo lo demás, estos ajustes de acceso remoto incluidos, sigue al rol con la sesión iniciada.

Lo que esta sección no hace

La estación nunca queda expuesta a internet y no arma ningún túnel: el atado es un atado de LAN, la regla de firewall tiene el alcance de la subred local, y la lista de permitidos rechaza direcciones públicas aunque las dos estuvieran mal configuradas. No hay lista de dispositivos admitidos o rechazados (todo navegador que inicia sesión como un usuario con Acceso remoto (LAN) sigue entrando), ni forma de desconectar un navegador desde aquí, ni una contraseña aparte para mirar (la identidad es el usuario local), ni idioma o tema por dispositivo: el idioma es el de la estación y el tema el de cada navegador. El puerto del endpoint de agente se establece en la página Agente, no aquí.