İnternet ve Ağ Erişimi

Yaklaşık 9 dk okuma

2WinScada web arayüzü gerçek ekipmanı yönetir. Bu sayfa, sunucuya tesis ağının dışından erişilmeden önce entegratörün yapması gerekenleri ve HTTPS sertifikalarının yönetimini anlatır. Setup ve ana API bir sıkılaştırma tabanı sağlar; ancak ağ tasarımı ve hesap disiplini daha önemlidir.

Sunucuyu doğrudan yayınlamayın

En güvenli yöntem sunucuyu internete hiç açmamaktır. Sunucuyu bir VPN (WireGuard, IPsec veya güvenlik duvarının VPN'i) ya da sıfır güven tüneli arkasına koyun; giriş sayfasına yalnız kimliği doğrulanmış kişiler ulaşsın.

Önerilen sıra

1. Sunucuyu VPN veya sıfır güven tüneli arkasına koyun.
2. Doğrudan yayın zorunluysa sunucuya yalnız TCP 443 portunu yönlendirin. Bkz. Portlar.
3. Genel DNS adı için güvenilir bir sertifika kullanın. Bkz. Sertifika ve HTTPS.
4. Setup'ı İnternet profili ile ve mümkünse SystemAdmin ağ kısıtlamasıyla çalıştırın. Bkz. Setup ayarları.
5. Hesap, yedek ve güncelleme kurallarını uygulayın.
6. Erişim denetimini çalıştırın ve canlıya almadan önce bütün uyarıları giderin. Bkz. Erişim denetimi.

Portlar

Port	Amaç	Yönlendirilsin mi?
TCP 443	Web arayüzü, API ve canlı veri bağlantısı (HTTPS)	Evet
TCP 80	İnternet profilinde yalnız HTTPS'e yönlendirme yapar	İsteğe bağlı

Aşağıdaki portları internete asla yönlendirmeyin. Bunlar yalnız sunucu içinde veya güvenilen ağda kullanılmak üzere tasarlanmış iç portlardır:

Port	Servis
TCP 7100	Ana API servisi (IIS üzerinden kullanılır)
TCP 7101 / 7105	İç servis portları
TCP 7102 / 7103	Notification / RecordDevice servisleri
TCP 7106 / 7107	MQTT Publisher / MCP Server
TCP 9000, 9003, 8812, 9009	Arşiv veritabanı (QuestDB)
TCP 1433, UDP/TCP 1434	SQL Server ve SQL Server Browser
TCP 3389	Uzak Masaüstü (yalnız VPN üzerinden kullanın)
TCP 1883 / 8883	MQTT broker (kendi TLS ve kimlik doğrulamasıyla bilinçli olarak yayınlanmıyorsa)

Setup sırasında değiştirilen portlar bu varsayılanların yerine geçer. Modemle birlikte Windows Güvenlik Duvarı'nı da kontrol edin: Ortak (Public) profilde bütün portlara izin veren bir gelen kuralı modemdeki kısıtlamayı boşa çıkarır.

Giden bağlantılar

WhatsApp alarm bildirimi kullanılacaksa bildirim servisinin (NotificationService) çalıştığı sunucudan graph.facebook.com adresine HTTPS (TCP 443) çıkışına izin verin. Bunun için gelen bağlantı veya port yönlendirmesi gerekmez. Tesis ağında doğrudan internet yoksa çıkışı DMZ veya kurumsal proxy üzerinden sağlayın. Bkz. WhatsApp Ayarları.

Sertifika ve HTTPS

Güvenilir sertifika

• Genel DNS adı (örneğin scada.example.com) için ticari bir sertifika sağlayıcısından sertifika alın veya win-acme ile Let's Encrypt kullanın. Sertifikayı özel anahtarıyla birlikte PFX olarak dışa aktarın.
• İlk kurulumda PFX dosyasını sihirbazın IIS ve SSL sayfasında Mevcut PFX sertifikasını kullan seçeneğiyle verin.
• Sertifika birincil adresi ve yayınlanan bütün ek DNS adlarını kapsamalıdır. Birincil adres bir IP adresiyse bu IP de sertifikada bulunmalıdır.
• İnternete açık bir sunucuyu kendinden imzalı sertifikayla yayınlamayın.

Kendinden imzalı sertifika

Tesis ağı içinde Kendinden imzalı sertifika oluştur seçeneği kullanılabilir. Tarayıcılar bu sertifikaya güvenmez ve uyarı gösterir. Setup istemcilerin veya sunucunun güvenilen kök sertifika deposuna sertifika eklemez. Uyarıyı kaldırmak için:

1. Kurulum günlüğünde (%ProgramData%\2WinScada\Logs\setup.log) sertifikanın parmak izini (thumbprint) bulun.
2. Sunucuda certlm.msc açın, Kişisel > Sertifikalar altında bu parmak izine sahip sertifikayı özel anahtar olmadan .cer dosyası olarak dışa aktarın.
3. Kurum politikasına uygun olarak bu dosyayı yalnız sunucuya erişecek istemcilerde Güvenilen Kök Sertifika Yetkilileri deposuna alın.

Özel anahtarı veya PFX dosyasını istemcilere dağıtmayın. Sertifika yenilenirse istemcilerdeki güveni de güncelleyin.

Sertifikayı yenileme ve değiştirme

Setup, siteye bağlı bir sertifikayı hiçbir zaman değiştirmez; onarımda yeni bir PFX verilse bile mevcut sertifika korunur. Yenilenen sertifikayı eskisinin süresi dolmadan kendiniz bağlayın:

1. IIS Yöneticisi'nde 2WinScada sitesini seçin.
2. Bağlamalar (Bindings) penceresinde https kaydını seçin ve yeni sertifikayı seçin.

win-acme kullanılıyorsa sertifikayı otomatik yenileyip bağlayabilir. Kendinden imzalı sertifikadan güvenilir sertifikaya geçişte de aynı yol izlenir; ardından HSTS'nin açılması için Setup ile Onarım çalıştırın.

Bağlı sertifikanın süresi dolmuşsa onarım ön kontrolde durur; önce geçerli bir sertifika bağlayın.

HSTS

Tarayıcıya yalnız HTTPS kullanmasını bildiren HSTS başlığı, yalnız internet profili açıkken ve bütün genel adlar güvenilir bir sertifika sağlayıcısının verdiği sertifikayı sunarken gönderilir. Setup her kurulum, onarım ve güncellemede IIS'e bağlı sertifikayı kontrol eder. Kendinden imzalı sertifikada internet profili kurulumu engellemez, ancak HSTS kapalı kalır ve Setup günlüğe uyarı yazar.

WARNING

HSTS açıkken tarayıcılar sertifika uyarısının geçilmesine izin vermez. Sertifikanın süresi dolarsa site açılmaz. Sertifikayı zamanında yenileyin.

Setup ayarları

İnternet erişimi ayarları sihirbazın Gelişmiş ayarlar sayfasındadır. MCP ve düz HTTP seçenekleri yalnız internet profili işaretliyken etkindir. Onarım ve güncellemede bu seçenekler önceki değerlerini korur.

Sihirbazdaki seçenek	Sessiz kurulum ayarı	Etkisi
İnternet profili: bu sunucuyu doğrudan internet erişimi için sıkılaştır	INTERNET_PROFILE=1	HTTP isteklerini HTTPS'e yönlendirir, sitenin başka sitelerde çerçeve (iframe) içinde gösterilmesini engeller, ana API'yi yalnız bu bilgisayardan (127.0.0.1) erişilecek şekilde dinletir, güvenilir sertifika bağlıysa HSTS gönderir.
MCP'yi (/mcp) internette yayınla	MCP_PUBLIC_ROUTE=1	MCP uç noktasını internet sitesinde yayınlar. Ağ dışından bir yapay zekâ istemcisi gerçekten gerekmiyorsa kapalı bırakın.
HTTP'ye izin ver (yönlendirme yok)	Kurulumla gelen yardımda	Düz HTTP erişimini açık tutar; HTTPS yönlendirmesi ve HSTS uygulanmaz. Önerilmez: giriş bilgileri şifrelenmeden iletilir. Açma kararı kurulumu yapanın ve müşterinin sorumluluğundadır.
SystemAdmin girişi yalnız bu ağlardan (isteğe bağlı, CIDR)	ADMIN_ALLOWED_NETWORKS	SystemAdmin girişi yalnız listelenen ağlardan ve sunucunun kendisinden kabul edilir.

SystemAdmin ağ listesi için:

• Ağları ; veya , ile ayırın; örneğin 192.168.1.0/24;10.8.0.0/16. Tek bir bilgisayar için /32 kullanın.
• Boş bırakılırsa kurulu değer korunur.
• Liste doluyken SystemAdmin hesaplarına ait MCP anahtarları her adresten reddedilir.
• Setup günlüğünde bu listeyle ilgili bir uyarı görülürse 2WinScada destek ekibine başvurun ve erişimi ayrıca VPN veya güvenlik duvarıyla sınırlayın.

İnternet profili açıldıktan sonra istemciler API'ye yalnız https://<genel ad>/api adresi üzerinden bağlanabilir; API'yi doğrudan iç portundan kullanan entegrasyonları bu adrese geçirin. Başka bir portal SCADA ekranlarını iframe içinde gösteriyorsa o sunucuda internet profilini kullanmayın veya erişimi VPN üzerinden verin.

Mevcut bir kurulumda internet profilini açmak için aynı sürümün paketiyle Onarım, daha yeni sürümün paketiyle Güncelleme çalıştırın. Sessiz onarım örneği:

2WinScada.Setup.2.10.0.x64.exe /S /MODE=Repair /INTERNET_PROFILE=1 /MCP_PUBLIC_ROUTE=0 /ADMIN_ALLOWED_NETWORKS="10.8.0.0/16"

Komut satırında ağ listesini tırnak içinde verin.

Her kurulumda uygulanan korumalar

İnternet profili açık olsun ya da olmasın:

• Dış sistemler Notification ve RecordDevice servislerine ana API üzerinden erişir.
• Web sitesi güvenlik başlıkları gönderir ve sunucu sürüm bilgisini gizler.
• Kullanıcıların yüklediği dosyalar kısıtlı bir güvenlik ilkesiyle sunulur.
• QuestDB'nin sağlık uç noktası yalnız bu bilgisayardan erişilebilir.

Hesaplar, roller ve anahtarlar

• Her kişiye kendi hesabını verin. Operatörlere Monitor veya Operate rolü verin. Editor rolünü yalnız sayfa tasarlayan mühendislere verin; bu rol web sitesine dosya yükleyebilir. UserAdministrator rolünü yalnız hesapları yöneten kişilere verin.
• Kurulumda oluşturulan ilk yönetici hesabı SystemAdmin'dir. Bu hesabı yalnız yönetim için, uzun ve benzersiz bir şifreyle kullanın (en az 16 karakter önerilir) ve şifreyi bir parola yöneticisinde saklayın. Müşterinin yöneticileri için ayrı Administrators hesapları oluşturun.
• SCADA şifrelerini başka sistemlerde kullanmayın. Ayrılan kişilerin hesaplarını ve API anahtarlarını kaldırın.
• API ve MCP anahtarlarında her istemci için en küçük rolle ayrı bir anahtar oluşturun. Kullanılmayan anahtarları silin. Anahtarları e-postayla göndermeyin, ekran görüntüsüne veya destek kaydına koymayın.
• Salt okunur izleme yayınlansa bile dışarıdan yazma ve kumanda işlemleri için yalnız VPN kullanıcılarını tercih edin.

Hesap yönetimi: Kullanıcı ve Grup Yönetimi.

Tarayıcı oturumu

2.11'den itibaren web arayüzü oturum yenileme anahtarını tarayıcı deposunda tutmaz. Anahtar, sayfadaki betiklerin (olay kodu dahil) okuyamadığı bir çerezde (HttpOnly) kalır. Erişim anahtarı her tarayıcı sekmesine ayrıdır; yeni sekme veya yeniden başlatılan tarayıcı oturumu çerezden kendiliğinden açar. Yükseltmeden önce açılmış oturumlar bir sonraki girişe kadar eski şekilde çalışır (bkz. Sürüm Yükseltme).

Bu değişiklik uzun ömürlü yenileme anahtarının kopyalanmasını önler. Sayfa açıkken sayfadaki betikler (olay kodu dahil) sekmenin erişim anahtarını süresi dolana kadar (varsayılan 4 saat) okuyabilir ve oturum adına istek gönderebilir. Olay kodunu 2.11'de yalnız SystemAdmin hesapları ekleyip değiştirebilir; bkz. Olay Kodu.

• HTTPS önerilir. HTTPS ile açılan sayfada çerez yalnız şifreli bağlantıda gönderilir. Düz HTTP'de çerez ve giriş bilgileri ağda şifresiz taşınır.
• Web arayüzü ve API aynı sitede olmalıdır: aynı şema (http veya https) ve aynı alan adı; port farklı olabilir. Setup'ın kurduğu yapıda API web sitesiyle aynı adreste yayınlanır ve ek ayar gerekmez. Web arayüzünün API'yi başka bir portta çağırdığı eski kurulumlarda arayüzü API adresindeki ad ve şemayla açın; örneğin API bir sunucu adıyla çağrılıyorsa arayüzü IP adresiyle açmayın. Aksi halde tarayıcı çerezi göndermez ve oturum ilk yenilemede sona erer. Çerez porta göre ayrılmaz: aynı sunucu adında farklı portlarda çalışan iki kurulum (ör. canlı ve test) aynı tarayıcı profilinde aynı anda açılırsa birbirinin çerezinin üzerine yazar ve oturumlar beklenmedik şekilde sona erer. Bu kurulumları farklı sunucu adlarıyla veya ayrı tarayıcı profillerinde açın.
• Hesap başına tek yenileme anahtarı vardır. Bir hesapla yapılan her giriş yeni bir anahtar üretir; aynı hesapla daha önce giriş yapılmış cihazların oturumu bir sonraki yenilemede, en geç erişim süresi dolduğunda (varsayılan 4 saat) sona erer. Çıkış yalnız o tarayıcının anahtarını sunucuda geçersiz kılar; hesaba daha önce giriş yapmış bir cihazda yapılan çıkış sunucuda bir şey değiştirmez. Ortak kullanılan kiosk hesapları için bkz. Oturum yenileme ve paylaşılan hesaplar.
• MCP ve API istemcileri etkilenmez. Giriş ve token yenileme çağrıları gövdedeki token'larla önceki gibi çalışır (bkz. REST API).

Yedekler ve güncellemeler

• Zamanlanmış yapılandırma yedeğini açık tutun; SQL Server veritabanını ve QuestDB veri klasörünü yedekleyin. En az bir kopyayı sunucu dışında saklayın ve bir kez geri yüklemeyi deneyin. Bkz. Yedekleme ve Geri Yükleme.
• Windows güncellemelerini her ay, 2WinScada güncellemelerini yayımlandığında kurun. Güncellemede internet ayarları korunur. Bkz. Sürüm Yükseltme.
• Windows Defender veya antivirüs açık kalsın. Sunucuyu e-posta veya web gezintisi için kullanmayın.
• Uzak Masaüstü'nü yalnız VPN üzerinden ve Ağ Düzeyinde Kimlik Doğrulama (NLA) ile kullanın.

Giriş kayıtlarını izleme

Ana API giriş olaylarını (başarılı ve başarısız girişler, kilitlenmeler, geçersiz API anahtarları) günlük dosyalarına yazar. Şifre, kod, token ve anahtar günlüğe yazılmaz. Her kayıtta kullanıcı adı ve istemci adresi bulunur. Olay adları ve ayrıntıları kurulumla gelen yardımda anlatılır.

Günlükleri her hafta kontrol edin. Aynı adresten çok sayıda başarısız giriş, adres kilitlenmeleri veya olağandışı saatlerde girişler saldırı belirtisidir; bu adresleri güvenlik duvarında engelleyin veya yalnız VPN erişimine geçin.

Erişim denetimi

Kurulum paketi, sunucunun dışarıya açık yüzeyini denetleyen salt okunur bir betik içerir. Betik hiçbir ayarı değiştirmez; açık iç portları, güvenlik duvarı kurallarını, Uzak Masaüstü ayarını, sertifikayı ve web sitesi yayınını kontrol eder. Canlıya almadan önce denetimi çalıştırın, bütün uyarıları giderin ve raporu devreye alma kayıtlarıyla saklayın. Betiğin kullanımı kurulumla gelen yardımda anlatılır.

Canlıya alma kontrol listesi

• [ ] VPN veya sıfır güven tüneli kuruldu ya da yalnız 443 (isteğe bağlı 80) yönlendirildi.
• [ ] Güvenilir sertifika bağlandı; site genel adla uyarısız açılıyor.
• [ ] Setup internet profiliyle çalıştırıldı; MCP yayını için karar verildi; sabit ağlar varsa SystemAdmin ağ listesi tanımlandı ve Setup günlüğünde bu listeyle ilgili uyarı yok.
• [ ] http://<genel ad>/ adresi HTTPS'e yönleniyor (veya düz HTTP bilinçli olarak açık bırakıldı ve müşteriyle kayıt altına alındı).
• [ ] Giriş yaptıktan sonra yeni bir tarayıcı sekmesinde oturum giriş istemeden açılıyor (web arayüzü ve API aynı sitede).
• [ ] Hesaplar kişisel ve en küçük rollerle; SystemAdmin yalnız yönetim için; kullanılmayan hesap ve anahtarlar kaldırıldı.
• [ ] Yedekler zamanlandı ve bir geri yükleme denendi.
• [ ] Deneme girişi günlükte gerçek istemci adresiyle başarılı giriş olarak görünüyor.
• [ ] Erişim denetimi uyarı göstermiyor.