Che cos'è la funzione di gestione BACnet/SC?
Con la funzione Gestione BACnet/SC è possibile gestire i certificati BACnet/SC e impostare la modalità di comunicazione dei dispositivi Ethernet. La funzione di gestione BACnet/SC è disponibile sia in Metasys UI che in JCT. Per ulteriori informazioni sul flussi di lavoro di BACnet/SC, le FAQ e le informazioni sulla risoluzione dei problemi, fare riferimento a BACnet/SC Workflow Technical Bulletin (LIT-12013959) .
Chi può accedere alla funzione Gestione BACnet/SC?
Solo gli amministratori possono accedere alla funzione Gestione BACnet/SC. Per utilizzare questa funzione è necessaria la licenza Metasys BACnet/SC per server.
Come si accede alla funzione Gestione BACnet/SC?
- Aprire il menu Utente.
- Fare clic su Sicurezza di rete.
- Fare clic su Gestione BACnet/SC.
Qual è il layout della funzione di gestione BACnet/SC?
La figura e la tabella seguenti illustrano il layout della funzione Gestione BACnet/SC.
Figura 1. Gestione BACnet/SC
| Numero | Nome | Descrizione |
|---|---|---|
| 1 | Dispositivi | Da questa scheda è possibile gestire tutti i dispositivi Ethernet e i rispettivi certificati. Questa è la scheda predefinita. |
| 2 | Azioni | Consente di richiedere i certificati, importare i certificati di firma, eliminare i certificati di firma inutilizzati e impostare la modalità di comunicazione BACnet/IP nel menu Azioni. |
| 3 | Impostazioni | Contiene informazioni di base sul sito, tra cui il Numero porta sicura, l'SC Primary Hub URI e l'SC Failover Hub URI. |
| 4 | Filtro | Permette di filtrare l'elenco dei dispositivi per dispositivo di rete, modello, modalità o data di scadenza. |
| 5 | Colonne di dati | Mostra i dispositivi elencati per:
È possibile ridimensionare le colonne nell'intestazione della colonna. |
| 6 | Importa certificati operativi | Fare clic su questo pulsante per importare i certificati operativi. Nota: Prima di poter importare i certificati operativi, è necessario richiedere almeno un certificato nel menu Azioni. Per ulteriori informazioni sulla richiesta di un certificato, vedere Come si richiede un certificato?.
|
| 7 | Icona Aggiorna | Fare clic su questa icona per aggiornare il contenuto e vedere le modifiche derivanti dalle azioni eseguite nel dashboard. Il riepilogo non aggiorna dinamicamente informazioni quali lo stato online o offline dei dispositivi. |
| 8 | Impaginazione | Fare clic sulle frecce per passare a un'altra pagina, se applicabile. |
Cosa rappresentano le icone della funzione Gestione BACnet/SC?
Le icone sono una rappresentazione visiva dello stato di scadenza di un certificato. La tabella seguente illustra le diverse icone.
| Icona | Descrizione icona |
|---|---|
|
Il certificato operativo del dispositivo scade a breve. |
|
Il dispositivo ha solo un certificato di firma e nessun certificato operativo. La data di scadenza indicata è per il certificato di firma, se è presente un solo certificato di firma. Se sono presenti più certificati di firma, il valore della colonna Data di scadenza è Multiplo. |
|
Il certificato di funzionamento del dispositivo è presente. |
|
Il certificato operativo del dispositivo scade a breve, ma è in corso la richiesta di un nuovo certificato. |
|
Un certificato operativo non è disponibile, ma il dispositivo ha una richiesta in sospeso per ottenere un certificato operativo. |
|
Il dispositivo non supporta i certificati operativi. |
|
Il certificato operativo del dispositivo è scaduto. |
| Nessuna icona | Non esiste un certificato operativo. |
Che cosa significa una riga visualizzata in grigio?
I dispositivi sui quali non è possibile eseguire alcuna azione appaiono in grigio e non possono essere selezionati. Per esempio, una riga è visualizzata in grigio se la versione del software non supporta BACnet/SC o se il dispositivo è offline. Spostare il cursore sulla riga per capire perché non è possibile selezionare il dispositivo.
Qual è la differenza tra un certificato operativo e un certificato di firma?
BACnet/SC richiede che a tutti i dispositivi dell'infrastruttura BACnet/SC sia assegnato un certificato operativo per garantire una comunicazione sicura. Per utilizzare la modalità di comunicazione BACnet/SC, è necessario richiedere un certificato operativo per tutti i dispositivi. Vedere Come si richiede un certificato? per i passaggi dettagliati. Una volta completata la richiesta, importare i certificati operativi. Vedere Come si importano i certificati operativi? per i passaggi dettagliati. I certificati operativi hanno un periodo di scadenza. È necessario rinnovare i certificati operativi prima della loro scadenza richiedendoli e importandoli nuovamente.
BACnet/SC richiede inoltre che a tutti i dispositivi sia associato almeno un certificato di firma. Normalmente, un sito utilizza un solo certificato di firma, ma BACnet/SC supporta un secondo certificato di firma per ogni dispositivo per facilitare il passaggio a un certificato diverso. I certificati di firma vengono utilizzati da un dispositivo per determinare se deve ritenere affidabile il certificato operativo che gli viene presentato da altri dispositivi che vogliono connettersi ad esso. Tutti i dispositivi presenti sul sito hanno una copia dello stesso o degli stessi certificati di firma, in modo da potersi fidare reciprocamente. La richiesta di certificati operativi include automaticamente la richiesta di un certificato di firma. Vedere Come si richiede un certificato? per i passaggi dettagliati. Una volta completata la richiesta, importare il certificato di firma. Vedere Come si importa un certificato di firma? per i passaggi dettagliati.
Nota: È consigliabile importare il certificato di firma prima dei certificati operativi.
Come si abilita BACnet/SC per i dispositivi in un sito che supporta BACnet/SC?
Il flusso generale di eventi per abilitare BACnet/SC è il seguente:
Per maggiori dettagli sul flusso di lavoro e sui diversi casi d'uso, consultare
BACnet/SC Workflow Technical Bulletin (LIT-12013959)
.- Aprire la funzione Gestione BACnet/SC in Metasys UI o JCT.
- Aprire la scheda Impostazioni e fornire i dati del sito comune. Per maggiori dettagli, vedere Come si specifica il Numero porta sicura?, Come si specifica l'hub primario SC? e Come si specifica l'SC Failover Hub?.
- Ottenere le richieste di firma dei certificati da ciascun dispositivo, come descritto in Come si richiede un certificato? e ottenere i certificati firmati dalla CA locale.
- Importare il certificato di firma utilizzato per il sito, come descritto in Come si importa un certificato di firma?
- Importare i certificati operativi, come descritto in Come si importano i certificati operativi?
- Impostare la modalità di comunicazione su BACnet/SC, come descritto in Come si imposta la modalità di comunicazione BACnet/IP?
Come si richiede un certificato?
- Se non è già aperta, fare clic sulla scheda Dispositivi.
- Selezionare uno o più dispositivi per i quali si desidera richiedere un certificato. Per visualizzare l'elenco completo dei dispositivi fare clic su .Nota: È possibile selezionare un massimo di 50 dispositivi alla volta.
- Fare clic su .
- Se si selezionano dispositivi che hanno già una Certificate Signing Request (CSR) in sospeso, scegliere se sovrascrivere o mantenere la CSR esistente. Nota: Se si seleziona Sovrascrivi e si procede, si genera una nuova CSR, che sostituisce la CSR in sospeso e invalida qualsiasi certificato operativo basato sulla CSR in sospeso. Se si seleziona Mantieni gli esistenti, tutti i dispositivi che hanno una CSR in sospeso vengono esclusi, come se non fossero mai stati selezionati. Questi dispositivi vengono conteggiati nei risultati di Nessuna azione eseguita nella fase di conferma del processo di richiesta.
- Completare i parametri di richiesta dei certificati e fare clic su RICHIESTA.Nota: IlNome Dominio è un campo opzionale. È possibile aggiungere un nome di dominio al nome comune generato automaticamente. La presenza del Nome Dominio nel nome comune del dispositivo può essere richiesta da un'infrastruttura a chiave pubblica (PKI) affinché la PKI firmi la CSR. Ad esempio, se il nome del dispositivo è MAC00108D0B94AE e il campo Nome dominio è vuoto, il nome comune generato automaticamente nella CSR è "MAC00108D0B94AE". Se si inserisce jci.com nel campo Nome Dominio, il nome comune nella CSR è "MAC00108D0B94AE.jci.com".
- Fare clic sul pulsante DOWNLOAD CSR(S ) per scaricare un file .zip contenente le CSR. Le CSR sono in formato PEM (Privacy Enhanced Mail), ognuna viene inserita in un proprio file e tutti i file vengono compressi in un unico file .zip. Il file .zip viene memorizzato nel percorso predefinito del browser, in genere la cartella Scaricamenti nella cartella del profilo dell'utente sul computer. Il nome del file segue questo formato: Richieste di firma dei certificati_mm_gg_anno_hh_mm_ss.zip.
- Inviare il file .zip all'Autorità di certificazione (CA) responsabile della firma dei certificati. Nota: Potrebbero essere presenti più file .zip, poiché una CSR copre solo 50 dispositivi.
Come si importa un certificato di firma?
- Se non è già aperta, fare clic sulla scheda Dispositivi.
- Selezionare uno o più dispositivi per i quali importare un certificato. Nota: È possibile selezionare un massimo di 50 dispositivi alla volta.
- Fare clic su .
- Fare clic su Seleziona file e selezionare il file .pem che si desidera importare.
- Confermare che il file proviene da una fonte affidabile e fare clic su IMPORTA E APPLICA.
Come si importano i certificati operativi?
Nota: Normalmente, quando si importa un certificato in un dispositivo che ne possiede già uno, il nuovo certificato viene firmato dalla stessa CA del vecchio certificato e non sono necessari passaggi particolari. Questo perché il periodo di scadenza di un certificato CA è di 20 o più anni. Tuttavia, se il certificato da importare è stato firmato da una nuova CA, la nuova CA deve essere distribuita a tutti i dispositivi che utilizzano BACnet/SC nel sito prima di importare qualsiasi certificato firmato da essa. Questo per evitare interruzioni della comunicazione tra dispositivi che non si fidano della nuova CA. Se si desidera importare un certificato in un dispositivo che comunica con BACnet/IP, è possibile inserire prima la CA importando il certificato di firma oppure eseguire semplicemente l'importazione dei certificati operativi, in quanto ciò aggiunge automaticamente la CA se non esiste ancora sul dispositivo.
Per importare i certificati operativi, eseguire i seguenti passaggi:- Fare clic sul pulsante IMPORTA CERTIFICATI OPERATIVI in alto a destra del widget Gestione BACnet/SC.
- Fare clic su Seleziona file e selezionare il file .zip da importare. Nota: Il file .zip può contenere un massimo di 50 certificati operativi. L'importazione fallisce se il numero di certificati operativi nel file .zip è superiore a 50.
- Confermare che il file proviene da una fonte affidabile e fare clic su IMPORTA E APPLICA. I certificati che superano i controlli di convalida vengono assegnati automaticamente al dispositivo specificato.
- Attendere circa 30 secondi prima di impostare la modalità di comunicazione su Modalità solo connessione sicura.
Come si eliminano i certificati di firma inutilizzati?
Importante: L'eliminazione del secondo certificato di firma opzionale su un dispositivo può causare la perdita di comunicazione con altri dispositivi che hanno certificati operativi firmati da esso.
- Se non è già aperta, fare clic sulla scheda Dispositivi.
- Selezionare uno o più dispositivi da cui si desidera eliminare un certificato di firma inutilizzato.
- Fare clic su .
- Fare clic su ELIMINA.
Come si visualizzano i dettagli del certificato?
Per visualizzare i dettagli del certificato, fare clic sulla data di scadenza del dispositivo nella colonna Data di scadenza della scheda Dispositivi della funzione Gestione BACnet/SC. La finestra Dettagli del certificato contiene dettagli su tutti i certificati presenti nel dispositivo, compreso il certificato operativo e la sua CA di firma immediata e, se applicabile, un'altra CA di firma in uso nel sito. Il certificato operativo di un dispositivo è annidato sotto il suo certificato di firma immediata.
Nota: Lo SKID è l'ID univoco di un certificato.
Come si imposta la modalità di comunicazione BACnet/IP?
- Attendere circa 30 secondi dopo l'importazione del certificato prima di impostare la modalità di comunicazione.
- Se non è già aperta, fare clic sulla scheda Dispositivi.
- Selezionare uno o più dispositivi per i quali si desidera impostare la modalità di comunicazione BACnet/IP.
- Fare clic su .
- Scegliere una modalità per i dispositivi selezionati e fare clic su APPLICA.
Nota: L'impostazione della modalità di comunicazione BACnet/IP può interrompere la comunicazione sul sito e i dispositivi possono andare brevementeoffline. Quando si imposta la modalità di comunicazione BACnet/IP per i dispositivi, è necessario prevedere alcuni tempi di inattività.
Nota: È consigliabile attivare prima la Modalità Dual SC e IP sui dispositivi di supervisione mirati, quindi attivare la Modalità solo connessione sicura sui regolatori di apparati. È quindi possibile cambiare facoltativamente i dispositivi di supervisione in Modalità solo connessione sicura se tutti i dispositivi con cui interagiscono comunicano anche con Solo connessione sicura.
È necessario seguire un ordine particolare quando si imposta la modalità di comunicazione BACnet/IP su BACnet/SC per diversi dispositivi?
- Se non è già aperta, fare clic sulla scheda Dispositivi.
- Selezionare i controllori.
- Fare clic su .
- Impostare i regolatori in Modalità Dual SC e IP, in modo che possano comunicare in entrambe le modalità, e fare clic su APPLICA.
- Ripetere il passo 1 e selezionare i regolatori di apparati.
- Fare clic su .
- Impostare i regolatori di apparati sulla Modalità solo connessione sicura e fare clic su APPLICA.
- Ripetere il passo 1 e selezionare i controllori da impostare su BACnet/SC.
- Fare clic su .
- Impostare i controllori in Modalità solo connessione sicura e fare clic su APPLICA.Importante: Per attivare la Modalità solo connessione sicura su un controllore, è necessario assicurarsi che tutti i regolatori di apparati mappati su quel controllore comunichino in Modalità solo connessione sicura e che tutti gli altri controllori che comunicano con quello da modificare siano in Modalità solo connessione sicura o in Modalità Dual SC e IP.
Cosa significano le diverse modalità di comunicazione BACnet/IP?
È possibile scegliere tra tre diverse modalità di comunicazione BACnet/IP per i dispositivi. La tabella seguente illustra le modalità disponibili:
| Modalità | Definizione | Dispositivi supportati |
|---|---|---|
| Modalità solo connessione sicura | BACnet Secure Connect (BACnet/SC) è un'aggiunta al protocollo BACnet. BACnet/SC è un livello di collegamento dati sicuro e criptato per le infrastrutture IP. |
ADS, ADX, OAS, NAE85, LCS85, M4-CGE04060-0, M4-CGE09090-0, M4-CGE09090-0H, M4-CVE03050-0P, MS-FAC4911-0, MS-VMA1930-0, SNE, SNC e NAE55xx-3x |
| Modalità solo IP Ethernet | BACnet/IP è un protocollo BACnet utilizzato per le installazioni in cui è richiesto un cablaggio Ethernet con un protocollo di comunicazione aperto ad alta velocità e standard industriale e in cui BACnet/SC non è ancora supportato. |
OAS, NAE85, LCS85, M4-CGE04060-0, M4-CGE09090-0, M4-CGE09090-0H, M4-CVE03050-0P, MS-FAC4911-0, MS-VMA1930-0, SNE, SNC e NAE55xx-3x |
| Modalità Dual SC e IP | I dispositivi impostati su questa modalità possono comunicare attraverso BACnet/SC a dispositivi che supportano BACnet/SC e possono comunicare attraverso BACnet/IP a dispositivi che supportano solo BACnet/IP. | OAS, NAE85, LCS85, SNE, SNC e NAE55xx-3x |
Come si configurano le impostazioni BACnet/SC con la funzione Gestione BACnet/SC?
Utilizzare la scheda Impostazioni della funzione Gestione BACnet/SC per configurare le impostazioni chiave di BACnet/SC che vengono utilizzate automaticamente da tutti i dispositivi Metasys, entro cinque minuti dal salvataggio delle impostazioni o quando i dispositivi sono online.
Come si specifica il Numero porta sicura?
- Aprire la scheda Impostazioni.
- Nel campo Numero porta sicura inserire il numero della porta sicura predefinito. Nota: Normalmente, il numero della porta sicura è quello predefinito (1443), ma se la porta deve essere diversa, inserire il numero della porta che si desidera utilizzare per la comunicazione web socket sicura per BACnet/SC. Questa porta è utilizzata da tutti i dispositivi Johnson Controls che non fungono da hub per accettare una connessione diretta da un altro dispositivo. Normalmente, lo stesso numero di porta viene utilizzato dall'Hub primario e dal Failover Hub, ma non è obbligatorio.Nota: Per tutti i dispositivi Metasys basati su Windows, ad esempio ADX, ADS, NAE85 o LCS85, assicurarsi che il firewall del dispositivo non blocchi la comunicazione per la porta selezionata.
- Fare clic su SALVA per distribuire le impostazioni a tutti i dispositivi del sito che non sovrascrivono le impostazioni globali. Nota: La distribuzione delle impostazioni può richiedere fino a cinque minuti dopo aver fatto clic su Salva. Controllare l'oggetto Porta di rete SC su qualsiasi dispositivo per verificare se le impostazioni sono state distribuite. Gli attributi dell'oggetto Porta di rete SC da controllare sono URI hub primario JCI SC, JCI SC Failover Hub URI e Numero porta sicura. Se i valori non sono stati inviati dopo cinque minuti di attesa, è possibile modificare un'altra impostazione globale per forzare l'invio dei valori. Ad esempio, la modifica del Periodo rinnovo certificato nell'oggetto Sito obbliga a riemettere i Dati globali.
Come si applica una forzatura alle impostazioni globali?
È possibile applicare una forzatura alle impostazioni globali per i singoli dispositivi.
- Aprire l'oggetto Porta di rete per il NAE o l'oggetto Mappatore dell'oggetto Porta di rete sotto un Mappatore di dispositivi sul campo.
- Nel widget Dettaglio, andare all'attributo Usa le impostazioni del sito e impostarlo su FALSO.
Come si specifica l'hub primario SC?
È possibile specificare l'Hub primario SC in due modi dalla finestra Gestione BACnet/SC.
Se l'Hub primario SC è un dispositivo Metasys, procedere come segue:
- Aprire la scheda Impostazioni.
- Nel campo SC Primary Hub URI, selezionare il dispositivo richiesto dall'elenco. Nota: Per ottenere prestazioni ottimali, utilizzare il Site Director preselezionato come Hub primario SC in un sito Metasys.
- Fare clic su SALVA. Il numero di porta del campo Numero porta sicura viene aggiunto automaticamente al nome dell'host o all'indirizzo IP, insieme a un / alla fine.
Se l'Hub primario SC è un dispositivo di terze parti, procedere come segue:
- Aprire la scheda Impostazioni.
- Inserire il nome host o l'indirizzo IP di un dispositivo che può fungere da Hub primario SC nel sito. Nota: Se si inseriscono i dettagli manualmente, la voce deve essere conforme alla sintassi URI: wss://[indirizzo IP o nome host]:, seguito facoltativamente dal numero della porta sicura e da /. Ad esempio: wss://10.x.xx.xxx:1443/. Per i dispositivi di terze parti, la voce può anche essere seguita da un percorso. Se si include un percorso, è necessario includere anche un numero di porta. Per esempio: wss://xxx.xxx.xxx.xxx/443/hub
Come si specifica l'SC Failover Hub?
È possibile specificare l'SC Failover Hub in due modi dalla finestra Gestione BACnet/SC.
Se l'SC Failover Hub è un dispositivo Metasys, completare i passaggi seguenti:
- Aprire la scheda Impostazioni.
- Nel campo SC Failover Hub URI, selezionare il dispositivo richiesto dall'elenco. Nota: Il proprio SC Failover Hub non può coincidere con l'Hub primario SC.
- Fare clic su SALVA. Il numero di porta del campo Numero porta sicura viene aggiunto automaticamente al nome dell'host o all'indirizzo IP, insieme a un / alla fine.
Se l'SC Failover Hub è un dispositivo di terze parti, procedere come segue:
- Aprire la scheda Impostazioni.
- Inserire il nome host o l'indirizzo IP di un dispositivo che può fungere da SC Failover Hub nel sito. Nota: Se si inseriscono i dettagli manualmente, la voce deve essere conforme alla sintassi URI: wss://[indirizzo IP o nome host]:, seguito facoltativamente dal numero della porta sicura e da /. Ad esempio: wss://10.x.xx.xxx:1443/. Per i dispositivi di terze parti, la voce può anche essere seguita da un percorso. Se si include un percorso, è necessario includere anche un numero di porta. Per esempio: wss://xxx.xxx.xxx.xxx/443/hub
Come si può determinare lo stato di scadenza dei certificati?
Sia i certificati operativi che i certificati di firma di più lunga durata possono scadere. È possibile utilizzare le informazioni visualizzate nella scheda Dispositivi della funzione Gestione BACnet/SC per determinare lo stato dei certificati.
Per i controllori e i regolatori di campo è anche possibile aprire l'oggetto Dispositivo o l'oggetto Dispositivo mappatore e accedere al widget Dettaglio per visualizzare le informazioni sullo stato del certificato operativo.
Si riceve un promemoria prima della scadenza dei certificati?
Sì, si riceveranno promemoria per la scadenza del certificato a partire da x giorni prima della scadenza del certificato per un dispositivo e poi ogni giorno fino al rinnovo del certificato. Il promemoria assume la forma di un allarme in Attività di sistema, Gestore allarmi e Monitoraggio allarmi. Utilizzare la proprietà Periodo rinnovo certificato del widget Dettagli dell'oggetto Sito per configurare l'avvio dei promemoria.
Nota: La modifica dell'impostazione viene distribuita automaticamente a tutti i dispositivi del sito.
Come si rinnovano i certificati operativi?
Tutti i certificati operativi possono scadere. Per evitare interruzioni della comunicazione, è necessario rinnovare i certificati operativi prima della loro scadenza. Se la CA rimane la stessa, si rinnovano i certificati nello stesso modo in cui si creano i certificati iniziali, ma non è necessario configurare nuovamente i dati del sito comune nelle Impostazioni. Se la CA è cambiata, è necessario aggiornare i certificati di firma prima di rinnovare i certificati operativi per evitare la perdita di comunicazione tra i dispositivi.
Come si rinnova un certificato di firma?
Importante: Per evitare interruzioni nella comunicazione, tutti i dispositivi del sito dovrebbero ricevere il nuovo certificato di firma prima che i loro certificati operativi vengano aggiornati e firmati dal nuovo certificato di firma.
- Completare una richiesta di certificato, come descritto in Come si richiede un certificato?
- Se il sito dispone già di due diversi certificati di firma distribuiti ai dispositivi, è necessario eliminare il certificato di firma inutilizzato dai dispositivi, come descritto in Come si eliminano i certificati di firma inutilizzati?, poiché un sito può avere al massimo due certificati di firma.
- Dopo che la CA locale ha firmato i certificati, importare il certificato di firma, come descritto in Come si importa un certificato di firma?
La funzione Gestione BACnet/SC è supportata su tutti i dispositivi?
La funzione di gestione BACnet/SC è supportata solo su desktop.