Accesso remoto

La pagina Accesso remoto: aprire le dashboard di questa stazione agli altri dispositivi della rete, in HTTPS se lo si desidera, chi può usarle, i browser collegati in questo momento e i tablet e i computer configurati per aprirsi a modo loro, e il riavvio che costa ogni modifica.

Accesso remoto è una pagina a sé, la voce del gruppo in basso della barra di navigazione subito dopo Agente, disegnata solo per un ruolo che ha Visualizzare l'accesso remoto; la rotta /remote-access è protetta dallo stesso permesso. Disattivo, l'host web della stazione risponde soltanto alla macchina propria sull'indirizzo di loopback, che è il modo in cui la finestra del desktop disegna l'interfaccia, e in rete non è in ascolto nulla. Attivo, viene occupato anche ogni indirizzo di rete della stazione, e un tablet o un altro PC sulla stessa LAN possono aprire la stessa interfaccia in un browser. La pagina dice che cos'è sotto il titolo: "Apre le dashboard di questa stazione nel browser dei computer e dei tablet della rete. Riceve le connessioni e non ne apre mai." Ha tre schede, Stato, Configurazione e Accesso dei client: Visualizzare l'accesso remoto le legge, e Configurare l'accesso remoto accende e spegne l'accesso remoto e ne cambia le impostazioni. Ogni modifica riavvia il server web che disegna la schermata stessa su cui ci si trova, quindi ciascuna chiede prima.

Acceso e spento

La barra in cima alla pagina mostra il suo stato accanto all'icona: "Spento", "In ascolto sulla porta 18760", "In avvio…" mentre il server web torna dopo una modifica, "Nessun indirizzo di rete" oppure "Impossibile avviare". Il suo punto è grigio mentre l'accesso remoto è spento, verde mentre altri dispositivi raggiungono la stazione, ambra mentre si avvia o non ha un indirizzo da dare, e rosso quando la rete è stata rifiutata.

Abilita e Disabilita nella barra dei comandi lo accendono e lo spengono. Su una stazione nuova è spento. Acceso: l'host web occupa ogni indirizzo LAN della stazione accanto a quello di loopback, l'applicazione aggiunge una regola del Firewall di Windows chiamata "Ganter Lab Dashboard" (TCP in ingresso sulla porta, profili Privato e Dominio, solo la sottorete locale) e installa un elenco consentiti che rifiuta qualsiasi origine fuori dagli intervalli di indirizzi privati. Spento: è occupato soltanto il loopback e la regola viene rimossa. A un ruolo senza Configurare l'accesso remoto i due comandi non vengono disegnati, e legge le schede senza cambiarle. Ogni comando resta disegnato e in grigio con il motivo mentre l'accesso remoto è già nel suo stato. Entrambi i comandi e le impostazioni vanno in grigio allo stesso modo mentre un'unità è in esecuzione o il runtime è fermo, come nel Connector, e nella dimostrazione pubblicata, il cui indirizzo è fissato all'avvio: "L'indirizzo di questa dimostrazione è fissato all'avvio, quindi l'accesso remoto non si può cambiare qui."

Le impostazioni

La scheda Stato mostra dove si raggiunge la stazione. Mentre l'accesso remoto è spento riporta "L'accesso remoto è spento: solo questo computer apre le dashboard della stazione e nulla resta in ascolto sulla rete." Su una stazione con un indirizzo di rete seguono, attenuati, il codice QR e l'indirizzo che darà, sotto Apri su un altro dispositivo, una volta acceso l'accesso remoto: "Questo codice e questo indirizzo non aprono nulla finché l'accesso remoto non è acceso. Dopo, un browser sulla stessa rete apre la stazione scansionando il codice o digitando questo indirizzo:". Quell'indirizzo è il primo indirizzo di rete di questo computer, letto come l'host li legge quando l'accesso remoto si accende, quindi è quello che l'host occupa per primo; su una stazione senza indirizzo di rete la scheda mostra solo la frase. Mentre è acceso, mostra una di tre cose.

• Apri su un altro dispositivo: un codice QR e l'indirizzo da digitare, http://<indirizzo>:<porta>/ (oppure https://), dove l'indirizzo è il primo indirizzo LAN che l'host ha occupato all'avvio. Scansionarlo oppure digitarlo in un browser sulla stessa rete.
• "Questa stazione non è ancora in rete. Collegarla alla rete di stabilimento per ottenere un indirizzo da condividere.": l'accesso remoto è acceso, ma la stazione non aveva nessun indirizzo LAN quando l'host è partito, quindi è occupato soltanto il loopback e non è stata creata nessuna regola del firewall. L'impostazione resta attiva, e l'host viene rilegato quando un indirizzo compare.
• L'accesso remoto non è disponibile, un avviso di attenzione: è stato chiesto l'HTTPS e il certificato non è stato caricato né creato. L'avviso porta il motivo: "L'accesso remoto non è partito perché il suo certificato HTTPS non è stato caricato né creato. L'accesso in loopback resta disponibile; guardare Eventi e cambiare l'impostazione dell'accesso remoto per riprovare." La stazione non ripiega mai da sola sull'HTTP semplice, e una notifica "Dashboard remota non disponibile" dice la stessa cosa quando l'host parte.

Ovunque la scheda mostri il codice, spento o acceso, una riga sotto dà l'indirizzo che apre la stazione sul suo stesso computer, http://localhost:<porta> sulla porta su cui la stazione è in ascolto. Risponde qualunque sia lo stato dell'accesso remoto, perché è l'indirizzo di loopback da cui è disegnata la finestra stessa della stazione; un browser lì entra con il ruolo Non connesso.

Nella dimostrazione pubblicata riporta "Questa è la dimostrazione pubblicata: i visitatori la raggiungono all'indirizzo con cui l'hanno aperta."

La scheda Accesso dei client dice chi può entrare: un browser su un altro dispositivo entra con il proprio accesso, e solo mentre il suo ruolo ha Accesso remoto (LAN) (vedere Chi può aprire una dashboard). Mentre l'accesso remoto è acceso, mostra anche lo stato della regola "Ganter Lab Dashboard" sotto Firewall di Windows, e offre Consenti la rete locale finché quella regola manca; solo la finestra della stazione stessa lo può premere (vedere La regola del firewall e la sorveglianza degli indirizzi).

Applicare una modifica: il riavvio

Abilita, Disabilita, l'interruttore HTTPS, una nuova porta oppure un nuovo elenco di nomi aprono la finestra Riavviare il server web?. Il suo paragrafo dichiara il costo e finisce con "Questa schermata è disegnata da quel server, quindi si ferma per qualche secondo e torna da sola.":

• Abilita: "Aprire le dashboard su altri dispositivi riavvia il server web.";
• Disabilita: "Chiudere le dashboard su altri dispositivi riavvia il server web, e un dispositivo che legge questa stazione in rete smette di raggiungerla.";
• HTTPS attivo: "Pubblicare tramite HTTPS riavvia il server web, e ogni dispositivo chiede di accettare il certificato di questa stazione la prima volta."; HTTPS disattivo: "Tornare a pubblicare in HTTP semplice riavvia il server web.";
• una nuova porta: "Spostare questa stazione sulla porta N riavvia il server web.";
• nomi dichiarati: "Rispondere con questi nomi riavvia il server web."; il campo svuotato: "Tornare a rispondere solo agli indirizzi propri di questa stazione riavvia il server web."

Annulla non salva nulla: l'accesso remoto e l'interruttore HTTPS restano su ciò su cui la stazione è in ascolto, come durante la domanda, e il campo della porta e il campo dei nomi tornano a ciò su cui la stazione è in ascolto e a ciò con cui risponde. Applica e ricarica salva l'impostazione; l'applicazione rimuove poi la vecchia regola del firewall, ferma l'host, lo avvia con le nuove opzioni e ricrea la regola. Mentre questo avviene una copertura intitolata Riavvio del server web in corso sta sopra l'applicazione: "La schermata torna da sola non appena la stazione risponde di nuovo." sulla finestra del desktop, "La schermata torna da sola non appena il nuovo indirizzo risponde." in un browser, lì seguita da "Quando la schermata torna, occorre accedere di nuovo: la sessione di un browser finisce con il riavvio.", e in entrambi "L'acquisizione, la registrazione e il server OPC UA continuano a funzionare per tutto il tempo." Un browser sonda il nuovo indirizzo ogni mezzo secondo per un massimo di trenta secondi e vi si porta quando risponde; se nulla risponde in tempo la copertura si fa da parte e subentra la consueta schermata di riconnessione, con Riprova e Ricarica questa schermata. La finestra del desktop ripunta la propria vista. Chi ha chiesto la modifica è chi aspetta; ogni altro dispositivo perde semplicemente la connessione e si riconnette. Un browser che ha disattivato l'accesso remoto non ha più nulla a cui tornare, per sua stessa scelta.

L'HTTPS e il suo certificato

Il certificato è autofirmato, emesso a "Ganter Lab Dashboard", valido per cinque anni, ed elenca localhost, 127.0.0.1 e ogni indirizzo LAN che la stazione aveva quando è stato fatto. È conservato come dashboard-cert.pfx sotto la radice dei dati della stazione ed è rifatto quando manca, quando è illeggibile, quando manca meno di un giorno alla sua scadenza oppure quando non copre più uno degli indirizzi della stazione. I browser non lo considerano attendibile da soli: ogni dispositivo mostra il proprio avviso una volta e lì si accetta il certificato della stazione. Senza HTTPS i PIN di accesso attraversano la rete in chiaro, e lo stesso vale per tutto il resto che la stazione mostra in rete, compreso il nome utente del server OPC UA in Configurazione; una password digitata lì attraversa allo stesso modo all'andata, mentre quella salvata non viene mai inviata al browser.

La regola del firewall e la sorveglianza degli indirizzi

La regola "Ganter Lab Dashboard" viene creata e rimossa con netsh mentre l'applicazione applica l'impostazione. Creare una regola richiede l'elevazione dei privilegi, e l'applicazione non la dà per scontata: un fallimento viene annotato nel diario tecnico e ingoiato, perché l'occupazione degli indirizzi e l'elenco degli intervalli privati consentiti confinano comunque l'host, e Windows mostra allora la propria richiesta di "consentire l'accesso". La regola viene tolta e ricreata a ogni modifica, così non resta indietro nessuna regola vecchia per una porta vecchia. Un avvio di dimostrazione o di prova, la cui cartella dei dati è stata spostata in una cartella propria, non crea né rimuove la regola: il nome della regola appartiene all'intera macchina, e rimuoverla toglierebbe l'accesso remoto al programma installato. Per lo stesso motivo non la tocca nemmeno una copia del programma che non è stata installata, come una versione di sviluppo.

Gli indirizzi della stazione si possono spostare sotto un host in funzione (una nuova concessione DHCP, un passaggio dal Wi-Fi al cavo, una base di aggancio). L'applicazione li sorveglia e, mentre l'accesso remoto è attivo, rilega l'host sugli indirizzi attuali, il che rinnova anche il certificato quando non li copre più; la scheda dell'indirizzo segue.

Aprire la stazione con un nome proprio

Una stazione conosce da sé due tipi di nome: gli indirizzi che ha occupato e il nome che Windows tiene per la macchina. Due installazioni le danno un terzo nome, che non ha modo di conoscere. La prima è un alias DNS, dove il DNS dello stabilimento punta un nome parlante all'indirizzo della stazione. La seconda è un proxy inverso, dove un server davanti alla stazione prende la connessione e la inoltra. In entrambi i casi il browser scrive quel nome nella richiesta, la stazione lo confronta con ciò che pubblica, e un nome che nessuno ha dichiarato viene respinto con 403 prima che una schermata venga disegnata. Nomi con cui questa stazione risponde è il posto in cui annotarlo: il nome esattamente come il browser lo manda, un nome dopo l'altro con una virgola in mezzo, e nient'altro, perché un protocollo, una porta o un percorso nel campo sarebbero un nome che nessuna richiesta può portare.

L'elenco viene letto a ogni avvio del server web, quindi una modifica entra in vigore con lo stesso riavvio che costano le altre impostazioni di qui. Non segue lo stato dell'accesso remoto. Un proxy sulla macchina stessa della stazione inoltra all'indirizzo di loopback, che la stazione tiene aperto con l'accesso remoto attivo o disattivo, mentre un proxy in qualsiasi altro punto della rete ha bisogno dell'accesso remoto attivo per raggiungere la stazione. Dichiarare soltanto nomi che portano davvero qui: ogni nome aggiunto è un nome in più con cui una pagina in un browser può indirizzare questa stazione.

Chi può aprire una dashboard

La prima domanda non è chi sta chiedendo, ma che cosa ha indirizzato la richiesta. La stazione risponde su 127.0.0.1 sulla propria macchina, con ogni nome dichiarato in Nomi con cui questa stazione risponde e, con l'accesso remoto attivo, su ogni indirizzo LAN che ha associato e sul nome di rete di questa macchina; una richiesta che nomina un altro host, o che porta come origine la pagina di un altro sito, viene rifiutata con 403 e con la riga "Questa stazione risponde solo all'indirizzo che pubblica." prima che vengano serviti una schermata, un file o una connessione. È questo che impedisce a un sito visitato per caso di guidare questa stazione dal browser: una pagina del genere può puntare il proprio dominio a questa macchina, ma non sceglie l'indirizzo che il browser scrive nella richiesta che fa per essa, e il tentativo resta registrato in Events. Il punto di connessione dell'agente rifiuta i propri chiamanti con la stessa regola.

L'host web serve l'intera interfaccia, non soltanto le dashboard, e ogni browser è una connessione a sé con l'utente che vi ha effettuato l'accesso. Se un'identità possa entrare dalla rete è il permesso Accesso remoto (LAN) del suo ruolo, nella pagina Utenti: un browser la cui identità non lo possiede non vede nessuna pagina, soltanto il pannello di accesso, finché non accede qualcuno che ha quel bit. Il ruolo Non connesso lo ha disattivato per impostazione predefinita, quindi attivare l'accesso remoto non condivide nulla finché un utente non accede, a meno che non si conceda deliberatamente quel bit a quel ruolo per un chiosco o per un tablet. Un browser sulla macchina stessa della stazione non ne è mai soggetto. Da lì in poi il ruolo con cui si è effettuato l'accesso decide tutto il resto, esattamente come sulla finestra della stazione; vedere Accedere.

Browser collegati e dispositivi configurati

Un tablet accanto a una macchina o un computer in reparto apre l'indirizzo della stazione ogni giorno. La scheda Accesso dei client elenca sotto Connessi ora ogni browser che ha la stazione aperta dalla rete, e fa di uno qualsiasi di essi un dispositivo configurato: uno che la stazione d'ora in poi riconosce e apre come dice la sua riga, su un sinottico tutto suo, bloccato lì se lo si vuole, con l'accesso fatto da solo, di nuovo all'inizio dopo essere rimasto senza tocchi, o di sola visualizzazione. Il dispositivo apre l'indirizzo della stazione come ha sempre fatto: non c'è nessun codice QR né collegamento di abbinamento per lui.

Connessi ora

"Ogni browser che apre questa stazione da un altro computer o tablet in questo momento, con l'accesso effettuato o ancora alla schermata di accesso. La finestra di questo computer non è elencata." Neanche un browser sul computer stesso della stazione è elencato. Ogni riga nomina il browser e il suo sistema come il browser li dichiara ("Chrome su Windows", "Safari su iPad"), o il nome del dispositivo se è configurato, e una riga con il suo indirizzo, la pagina che ha aperta (Alla schermata di accesso finché non ha effettuato l'accesso), chi vi ha effettuato l'accesso (Non connesso quando nessuno l'ha fatto) e da quando. Senza nessuno, il gruppo dice "In questo momento non è collegato nessun browser di un altro computer o tablet."

Per un ruolo che ha Configurare l'accesso remoto, ogni riga porta due verbi:

La chiave del dispositivo

Configurare un dispositivo non mostra mai una chiave da nessuna parte. La stazione manda quel browser, attraverso la sua stessa connessione, a un indirizzo monouso che scrive una chiave in un cookie di quel browser che nessuna pagina può leggere, e lo schermo si ricarica una volta. La stazione conserva solo un hash della chiave, non si salva nulla se il browser se ne va prima di ricaricarsi, e ogni pagina che il dispositivo carica rinnova il cookie, così un dispositivo in uso conserva la sua chiave. La chiave appartiene a quel browser e all'indirizzo con cui la stazione è stata aperta: un browser ripulito o reimpostato, un altro browser sullo stesso tablet, o la stazione aperta con un altro dei suoi indirizzi torna a essere un browser sconosciuto, torna sotto Connessi ora e si configura di nuovo. In HTTP semplice la chiave attraversa la rete come la attraversa un PIN di accesso; HTTPS copre entrambi.

Dispositivi configurati

"Ogni dispositivo conserva una chiave che questa stazione ha dato al suo browser, e si apre come dice la sua riga. Un browser che viene ripulito o sostituito perde la chiave e torna in Connessi ora come browser sconosciuto." Ogni riga ha un punto, verde finché il dispositivo è connesso, il suo nome, e una riga che dice come si apre: Connesso in questo momento o Disconnesso; poi "Si apre su Panoramica forno", "Bloccato su Panoramica forno" o Si apre come qualsiasi browser; poi "Accede come Vera" o Chiede l'accesso; Sola visualizzazione quando lo è; e "Torna all'inizio dopo 5 min senza tocchi" quando torna indietro. Quando qualcosa a cui rimanda è cambiato, una nota sotto la riga dice che cosa fa invece il dispositivo:

• "Il suo utente fisso è stato eliminato, quindi chiede l'accesso."
• "Il ruolo di Vera non ha più Accesso remoto (LAN), quindi chiede l'accesso."
• "Il suo sinottico iniziale è stato eliminato, quindi si apre su View con tutto il programma intorno e senza blocco."

Premere una riga apre le sue impostazioni sotto di essa. Ognuna si salva appena si lascia il campo o si sposta l'interruttore, e raggiunge subito lo schermo aperto del dispositivo.

Dimentica su una riga elimina il dispositivo dopo "Dimenticare 'Tablet linea 3'?": "Il suo browser conserva la chiave, ma questa stazione non lo riconosce più: chiede l'accesso come qualsiasi browser finché non viene configurato di nuovo. L'operazione non può essere annullata.", con Dimentica e Mantienilo. Uno schermo aperto di quel dispositivo diventa subito un browser sconosciuto.

Sul dispositivo

Un dispositivo con un sinottico iniziale si apre su di esso. Bloccato, è disegnato come la modalità Espandi di View: niente barra di navigazione, niente barra del titolo e nessun'altra pagina, la barra di stato mostrata solo se il sinottico la mantiene a schermo intero, e qualsiasi altro indirizzo digitato lo riporta al suo sinottico iniziale. I pulsanti impostati su Aprire un'altra dashboard sono l'unica via verso un altro sinottico, e un sinottico che il ruolo in vigore non vede resta fuori portata. La barra di stato continua a dire la salute, gli allarmi e le registrazioni, senza portare da nessuna parte. Un tasto discreto Accedi nell'angolo in alto a destra apre la solita finestra di accesso; mentre qualcuno ha effettuato l'accesso sopra l'utente del dispositivo, porta il nome di quella persona, e la sua finestra la fa uscire di nuovo. Nulla sul dispositivo toglie il blocco: il dispositivo si modifica qui.

Che cosa fanno a chi ha effettuato l'accesso l'utente fisso, l'accesso sopra di esso, il ritorno dopo i minuti senza tocchi e la sola visualizzazione è spiegato in Accedere. Ogni registrazione che il diario tecnico conserva di ciò che si è fatto da un dispositivo configurato porta il suo nome, che si legge come Dispositivo remoto nei dettagli della registrazione in Console e si esporta in una colonna a sé.

Un browser non può mettersi da solo a schermo intero, e una pagina non può tenercelo: quella è la modalità chiosco del dispositivo stesso. Su un iPad è l'Accesso guidato (in Impostazioni, Accessibilità, poi una tripla pressione del tasto laterale o del tasto Home con Safari aperto); su Android, il blocco app su schermo nelle impostazioni di sicurezza, o un browser per chioschi; su un computer Windows, Chrome o Edge avviato con --kiosk seguito dall'indirizzo della stazione, o l'accesso assegnato di Windows.

Chi può modificarli

Visualizzare l'accesso remoto legge i due elenchi. Configurare l'accesso remoto identifica, configura, modifica e dimentica i dispositivi, e scegliere un utente fisso richiede in più Gestire gli utenti locali, così un ruolo che si limita a configurare l'accesso remoto non può mettere un amministratore su un tablet. Un'unità in marcia o un runtime fermo disattivano i verbi e i campi con il motivo, come nel Connector. L'agente legge i due elenchi con remote_access_devices e modifica le impostazioni di un dispositivo, mai il suo utente fisso, con remote_access_device_update. La dimostrazione pubblicata non mostra nessuno dei due: "La dimostrazione non elenca né i browser collegati né alcun dispositivo: i suoi visitatori sono altre persone."

Che cosa non può fare un browser remoto

Alcune azioni esistono soltanto sul desktop proprio della stazione e restano in grigio in un browser con "Disponibile solo sul desktop locale della stazione.": aprire la cartella dei backup, riavviare per prendere un aggiornamento e aprire la finestra staccata di Eventi dal contatore degli Avvisi. La riga dello zoom della finestra non viene disegnata affatto. Considerare attendibili, bloccare, revocare e importare i certificati in Accesso dei client e in Accesso delle apparecchiature, e il pulsante del firewall OPC UA, sono rifiutati in un browser: "L'accesso dei client può essere cambiato solo nell'applicazione desktop della stazione." Tutto il resto, comprese queste impostazioni di accesso remoto, segue il ruolo con cui si è effettuato l'accesso.

Ciò che questa sezione non fa

La stazione non viene mai esposta a Internet e non crea nessun tunnel: l'occupazione degli indirizzi è un'occupazione LAN, la regola del firewall è limitata alla sottorete locale, e l'elenco degli indirizzi consentiti rifiuta gli indirizzi pubblici anche se le due cose fossero configurate male. Non c'è nessun elenco di dispositivi ammessi o rifiutati (ogni browser che accede come un utente con Accesso remoto (LAN) continua a entrare), nessun modo di scollegare un browser da qui, nessuna password separata per la visione (l'identità è l'utente locale), e nessuna lingua o tema per dispositivo: la lingua è quella della stazione e il tema quello di ogni browser. La porta dell'endpoint dell'agente si imposta nella pagina Agente, non qui.