Passo a passo · Rede industrial
Como funciona segregação entre rede de TI e rede de automação: etapas
Como funciona segregação entre rede de TI e rede de automação: primeiro se descobre quem conversa com quem na planta, depois cada equipamento vai para uma zona e um firewall passa a permitir só as conversas anotadas numa matriz. A mudança acontece aos poucos, com o firewall registrando o tráfego antes de bloquear qualquer coisa.
Resumo
- O dado da produção chega ao escritório por uma zona intermediária, e nenhuma conversa atravessa direto do computador ao CLP.
- A matriz de comunicação lista cada conversa permitida, com origem, destino, porta, sentido e dono.
- A etapa mais demorada costuma ser a observação do tráfego, porque conversas raras só aparecem no fechamento do mês ou na troca de produto.
- A fábrica recebe diagrama, inventário, matriz aprovada e tabela de regras, além de um roteiro para pedir regra nova.
Como funciona segregação entre rede de TI e rede de automação por dentro
A rede é dividida em zonas, e toda conversa entre zonas passa por um firewall que segue uma lista de permissões. O que não está na lista não passa, mesmo que venha de um computador da própria empresa.
A rede de TI é a do escritório: computadores, e-mail, sistema de gestão e internet. A rede de automação é a das máquinas, com os controladores que comandam a linha, as telas de operação e o supervisório, o programa que mostra a fábrica inteira para os operadores.
Na segregação entre TI e automação, essas duas redes deixam de dividir switch e faixa de endereços. Dentro de cada switch gerenciável, a separação é feita por VLAN, uma rede virtual que isola o tráfego sem trocar cabo; entre as VLANs, quem decide o que passa é o firewall.
O firewall usado nessa fronteira guarda o estado de cada conexão: ele sabe que uma resposta pertence a um pedido autorizado e descarta o que chega sem ter sido pedido. A regra de fundo é negar tudo, e cada permissão é uma exceção escrita.
Zona de controle
CLP da máquina
Guarda contagem, estado e alarmes e só conversa com o supervisório da própria linha.
Zona de supervisão
Supervisório
Lê os CLPs, mostra a linha aos operadores e envia o histórico para cima pelo firewall.
Fronteira
Firewall
Deixa passar só a cópia do histórico, na porta e no sentido anotados na matriz.
Zona intermediária
Servidor de histórico
Recebe os dados da produção e é o único ponto que o escritório consegue consultar.
Zona de TI
Relatório e ERP
O escritório lê o histórico na zona intermediária e nunca abre conexão direta com a linha.
O acesso remoto de fabricantes segue o mesmo princípio: entra pela zona intermediária, com usuário próprio, e só dali alcança a máquina autorizada.
O que é a matriz de comunicação e por que ela vem antes das regras?
A matriz de comunicação é a tabela de todas as conversas que a planta precisa para funcionar. Cada linha responde a seis perguntas, e só depois de aprovada ela vira regra no firewall.
- Origem e destino: qual equipamento inicia a conversa e com qual ele fala.
- Porta e protocolo: o canal usado, como o Modbus TCP de um CLP ou o compartilhamento de arquivos de um servidor.
- Sentido: se a conversa pode começar só de um lado, o que impede o escritório de abrir conexão com a máquina.
- Motivo e dono: para que serve a conversa e quem responde por ela quando alguém pedir para mudar.
Sem a matriz, o firewall é configurado por tentativa: bloqueia-se algo, a linha reclama, libera-se mais do que devia. Com ela, cada regra tem justificativa antes de existir.
As etapas da segregação na ordem em que acontecem
São sete etapas, e as máquinas só trocam de rede depois da quinta. As quatro primeiras não desligam nada e acontecem com a produção rodando.
| Etapa | O que acontece | A linha para? | Peso no calendário |
|---|---|---|---|
| 1. Inventário | Lista de máquinas, CLPs, telas, switches e endereços, com visita aos painéis | Não | Curto a médio |
| 2. Escuta do tráfego | Uma porta espelhada no switch copia o tráfego para análise, sem interferir nele | Não | Longo |
| 3. Matriz e zonas | As conversas observadas viram matriz, e cada equipamento ganha uma zona | Não | Médio |
| 4. Aprovação | Manutenção, integrador, TI e gestão aprovam a matriz e as datas | Não | Depende das pessoas |
| 5. Preparo em paralelo | VLANs, firewall e zona intermediária montados ao lado da rede atual | Não | Médio |
| 6. Mudança em grupos | Cada grupo de máquinas passa para a zona nova numa parada combinada | Sim, por grupo | Segue as paradas |
| 7. Bloqueio e entrega | O firewall sai do modo de registro, passa a negar o resto e a documentação é entregue | Não | Curto |
Os prazos em dias variam com o tamanho da planta e o calendário de paradas: [PREENCHER prazos típicos por etapa]. A Táquion Tech não muda nenhuma máquina de rede antes de a matriz e as datas estarem aprovadas por escrito.
Por que a escuta do tráfego é a etapa mais longa
Porque algumas conversas acontecem raramente, e uma regra que esquece uma delas para um processo semanas depois da entrega.
- Rotina diária: supervisório lendo CLPs e histórico subindo para o servidor aparecem nas primeiras horas.
- Rotina semanal: cópia de segurança das receitas e relatório de manutenção só aparecem se a escuta cobrir a semana.
- Eventos raros: fechamento do mês no sistema de gestão, troca de produto na linha ou visita remota de um fabricante.
Para os eventos raros, a escuta é completada com entrevista: a manutenção e o integrador dizem o que acontece em datas específicas, e essas conversas entram na matriz mesmo sem terem sido vistas.
O que a fábrica prepara para cada etapa?
A fábrica prepara acessos, pessoas que conhecem a rotina e a lista de quem usa dados da produção fora da linha. A tabela mostra o que serve a cada etapa.
| O que separar | Para qual etapa | Por que importa |
|---|---|---|
| Senhas dos switches e roteadores atuais | Inventário e escuta | Sem elas, não dá para espelhar porta nem ler a tabela de endereços |
| Acompanhamento da manutenção nos painéis | Inventário | Painel elétrico só é aberto com quem responde por ele |
| Lista de sistemas do escritório que leem a produção | Matriz | Relatórios, planilhas e ERP que dependem da linha precisam de caminho permitido |
| Calendário de eventos raros | Escuta e matriz | Fechamento do mês, inventário de estoque e troca de produto mostram conversas escondidas |
| Um dono para aprovar regras | Aprovação e entrega | Cada regra nova depois da entrega precisa de alguém que diga sim ou não |
| Datas de parada confirmadas | Mudança em grupos | Cada grupo de máquinas muda numa janela própria |
Se a rede do escritório também precisa ser dividida por setor, visitantes e câmeras, isso é outra frente, e o guia sobre rede da empresa lenta mostra o efeito de tudo dividir o mesmo segmento.
Quer separar a produção sem tirar a linha do ar?
Na segregação entre TI e automação, um Especialista levanta as conversas da planta, monta a matriz com a sua equipe e muda as máquinas nas paradas combinadas.
O que o integrador sabe e a escuta não mostra
O integrador conhece o que nenhuma escuta mostra por inteiro: os endereços fixos gravados nos CLPs e as conversas entre máquinas que só ocorrem numa condição de alarme.
Ele revisa a matriz antes da aprovação e acompanha as paradas em que um CLP muda de endereço. A Táquion Tech cuida da rede e do firewall, e não altera a programação de CLPs, telas ou supervisório.
Erros de segregação e o sintoma que cada um provoca
Erros de segregação quase sempre aparecem como um sistema que para de enxergar outro. O sintoma indica em qual etapa o erro nasceu.
- Inventário incompleto: depois da mudança, uma máquina some do supervisório porque ninguém sabia que ela estava ligada naquele switch.
- Escuta curta: a linha funciona por semanas e, no fechamento do mês, o relatório de produção chega vazio ao sistema de gestão.
- Matriz sem sentido definido: a regra libera a conversa nos dois sentidos, e o escritório continua conseguindo abrir conexão com o CLP.
- Mudança em grupo grande demais: várias máquinas falham juntas e não dá para saber qual regra ou cabo causou a falha.
- Bloqueio antes da hora: o firewall nega tudo no primeiro dia e o registro mostra dezenas de conversas negadas que estavam fora da matriz.
- Acesso remoto antigo esquecido: o programa instalado na tela da máquina continua saindo para a internet por um caminho paralelo.
O registro do firewall é a primeira pista do diagnóstico
Toda conversa negada fica anotada com origem, destino e porta. Quando algo para de funcionar, a primeira consulta é a esse registro, e não ao cabo.
Quando o problema não é regra, e sim a rede
Lentidão geral e máquinas caindo juntas, sem conversa negada no registro, apontam para a camada de baixo, como um laço de cabo ou um switch sobrecarregado.
Uma tempestade de broadcast, o excesso de mensagens que um laço gera, é o caso clássico. O guia de configuração de storm control explica como os switches contêm esse efeito antes que ele chegue às máquinas.
Exemplo: como funciona segregação entre rede de TI e rede de automação numa tecelagem
Uma tecelagem do Vale do Itajaí tem teares com CLP, uma tinturaria com caldeira e supervisório próprio e um escritório que tira relatórios da produção. A situação é hipotética, montada com problemas comuns em plantas têxteis.
Hoje, teares, supervisório da tinturaria e computadores do escritório estão na mesma faixa de endereços, e dois switches simples ficam dentro de painéis da tecelagem.
O que o inventário e a escuta encontraram
O inventário listou os teares, os CLPs da tinturaria, o supervisório e três computadores de escritório que liam dados da linha.
A escuta, feita ao longo de um ciclo de produção completo, revelou duas surpresas: um fabricante de teares entrava por um programa de acesso instalado numa tela, e uma planilha do financeiro buscava dados direto no supervisório todo início de mês.
Como a mudança foi feita
A matriz ficou com quatro zonas: escritório, intermediária, supervisão e controle, com a caldeira isolada numa rede física própria.
Os switches simples foram trocados por gerenciáveis, a planilha passou a ler o servidor de histórico na zona intermediária e o fabricante ganhou usuário próprio na entrada remota. As máquinas mudaram em grupos, nas paradas de fim de semana, com o firewall só registrando.
O dia em que o firewall passou a bloquear
Depois de um ciclo completo sem conversas novas no registro, o firewall passou a negar tudo o que não estava na matriz.
O programa antigo de acesso foi desinstalado da tela, e a gestão recebeu a matriz aprovada como resposta ao questionário de segurança de um cliente [CONFIRMAR exigência do seu setor].
O que a fábrica recebe e como mantém a separação
A fábrica recebe a documentação que explica cada regra e um caminho para pedir regras novas sem desfazer a separação. Sem esse caminho, o firewall acumula exceções até deixar de separar.
Confira na entrega
- Diagrama das zonas com cada switch, o firewall e as ligações entre prédios.
- Inventário atualizado, com endereço e zona de cada máquina.
- Matriz de comunicação aprovada, com motivo e dono de cada conversa.
- Tabela de regras do firewall que corresponde, linha a linha, à matriz.
- Usuário próprio para cada fabricante com acesso remoto, com registro de entradas.
- Cópia das configurações de switches e firewall, guardada fora deles.
Uma regra no firewall que não aparece na matriz é sinal de exceção sem dono. Vale perguntar por ela antes de assinar o recebimento.
Em resumo, como funciona segregação entre rede de TI e rede de automação é uma troca de confiança implícita por permissão escrita. O que pesa no orçamento de cada etapa está no guia de quanto custa segregação entre rede de TI e rede de automação.
Quando vale passar do modo de registro ao bloqueio?
Vale quando o registro passou um ciclo completo de produção sem mostrar conversa fora da matriz e os eventos raros da entrevista já foram testados.
Se ainda aparecem conversas novas, cada uma é investigada e entra na matriz ou é descartada com o dono. O controle de quem acessa os próprios equipamentos de rede segue a mesma lógica descrita em implantação de TACACS.
Perguntas frequentes
A segregação deixa o escritório sem acesso aos dados da produção?
Não. O escritório continua lendo relatórios e indicadores, mas pelo servidor de histórico na zona intermediária. O que deixa de existir é a conexão direta entre um computador e o CLP.
Só criar VLANs já separa a fábrica do escritório?
Separa o tráfego, mas não filtra nada. Se as VLANs forem ligadas por um roteador sem regras, um vírus atravessa do mesmo jeito, e por isso o firewall entre zonas é a peça que faz a separação valer.
O que acontece se uma regra necessária ficar de fora?
O sistema que dependia daquela conversa para de receber dados, e o registro do firewall mostra a tentativa negada. A correção passa pelo dono da regra, que aprova a inclusão na matriz.
Os sensores IoT entram em qual zona?
Em geral numa zona própria ou na intermediária, nunca direto na zona de controle. Assim, um sensor com saída para a nuvem não vira atalho até as máquinas.
Existe norma que descreve zonas para automação industrial?
A série IEC 62443 é a referência mais citada e organiza a planta em zonas e conduítes [CONFIRMAR na norma]. Ela orienta o desenho, mas a matriz de cada fábrica sai da escuta e das entrevistas.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Stateful firewall (Wikipédia em inglês): firewall que acompanha o estado das conexões e só aceita respostas a pedidos autorizados.
- Port mirroring (Wikipédia em inglês): cópia do tráfego de uma porta do switch para análise, sem interferir na comunicação.
- DMZ (Wikipédia em inglês): rede intermediária entre duas zonas de confiança diferente, base da zona intermediária industrial.
