Режим HTTPS

Начиная с прошивки 2.2.1 в «Панели управления» появился переключатель режима HTTPS. Он включает шифрование соединений между вашими устройствами (ноутбуками, планшетами, экраном панели) и контроллером: пароли, ключи доступа и команды управления передаются по зашифрованному соединению.

Режим нужен тем, кто работает в сетях с требованиями информационной безопасности. Если таких требований нет, контроллер можно использовать так же, как раньше, ничего не включая.

Как это работает

  • По умолчанию режим выключен. После обновления прошивки существующие проекты продолжают работать по тем же адресам и протоколам, что и раньше: интерфейсы, потоки U-Logic и внешние системы ничего не заметят.

  • Когда режим включён, UI-Panel (страница, на которой оператор работает с интерфейсом), U-Logic (редактор программы управления), видео в интерфейсах и служебный обмен страниц с контроллером (сервисный MQTT) работают только по зашифрованным соединениям. Адреса http:// и ws:// перестают отвечать.

  • Страница настроек «Панель управления» и UI-Designer (редактор интерфейсов) открываются по зашифрованному соединению всегда, независимо от режима.

        flowchart LR
    A["Браузер, планшет,<br/>экран панели"] -- "всегда зашифровано" --> B["Панель управления,<br/>UI-Designer"]
    A -- "режим выключен: HTTP и WS" --> C["UI-Panel, U-Logic, видео,<br/>сервисный MQTT страниц"]
    A -- "режим включён: HTTPS и WSS" --> C

Что меняется при переключении

Что

Режим выключен (по умолчанию)

Режим включён

Страница настроек «Панель управления»

https://<IP>:8443; адрес <IP>:8001 перенаправляет на неё

то же

UI-Designer

https://<IP>:8000

без изменений

UI-Panel

http://<IP>:5001

https://<IP>:5001

U-Logic и связь страниц UI-Panel с U-Logic

http://<IP>:1880, ws://<IP>:1880

https://<IP>:1880, wss://<IP>:1880

Видео в интерфейсах

http и ws

https и wss

Служебный обмен страниц с контроллером (сервисный MQTT)

ws и wss

только wss

Номера портов и их назначение собраны в разделе «Сетевые порты».

Примечание

Ссылки «Открыть U-Logic» и «Открыть UI-Panel» в разделе «Открыть» страницы настроек сами подставляют http или https в соответствии с текущим режимом.

Как включить и выключить режим

  1. Откройте страницу настроек и авторизуйтесь (см. «Начало работы»).

  2. В разделе «Настроить» раскройте пункт «HTTPS».

  3. Нажмите «Включить» (или «Выключить»). Кнопка текущего режима неактивна.

  4. Браузер спросит подтверждение: «Включить HTTPS для панели, UI-Designer, U-Logic и видео? Сервисы перезапустятся.» (при выключении — «Выключить HTTPS…»). Подтвердите.

  5. Страница покажет сообщение «Режим HTTPS включён, сервисы перезапускаются» (при выключении — «выключен») на информационной панели справа (значок ⓘ).

  6. Подождите, пока сервисы перезапустятся, и при необходимости обновите страницу и войдите заново.

Предупреждение

При переключении перезапускаются UI-Panel, UI-Designer, U-Logic, видео, сервисный MQTT и сама страница настроек. На это время интерфейсы управления недоступны, а проект U-Logic перезапускается. Переключайте режим в окно обслуживания и после перезапуска проверьте состояние проекта. Если UI-Designer был выключен, он остаётся выключенным.

В режиме HTTP при включённом ограничении доступа страница настроек предложит включить режим HTTPS (подробнее — «Доступ к интерфейсам»).

Сертификат

Для шифрования контроллеру нужен сертификат. Один и тот же сертификат используется страницей настроек, UI-Designer, UI-Panel, U-Logic и видео.

В разделе «HTTPS» показано, какой сертификат используется сейчас: «Сертификат: имя, из прошивки (или загружен), действует до дата».

Встроенный сертификат и предупреждение браузера

В контроллере уже есть встроенный сертификат, поэтому HTTPS работает сразу. Он свой у каждого устройства: контроллер создаёт его один раз, обновления прошивки его не меняют. Но его не выпускал центр сертификации, которому доверяет ваш браузер, и он не привязан к IP-адресу вашего контроллера. Поэтому при первом открытии страницы настроек (и UI-Panel в режиме HTTPS) браузер показывает предупреждение о сертификате. Это ожидаемо: браузер не знает встроенный сертификат.

Чтобы продолжить, нажмите «Дополнительные» (название зависит от браузера) и выберите «Перейти на сайт» (или аналогичную кнопку продолжения). Обычно браузер запоминает выбор для этого адреса.

Чтобы браузеры не показывали предупреждение, загрузите сертификат организации.

Загрузка собственного сертификата

Свой сертификат убирает предупреждение браузера на тех устройствах, которые доверяют выпустившему его центру сертификации (обычно это внутренний центр сертификации организации). Чтобы это работало, в сертификате должен быть указан адрес или имя, по которому вы открываете контроллер.

Требования к файлам:

  • сертификат и закрытый ключ в формате PEM (допустимы расширения .pem, .crt, .cer для сертификата и .pem, .key для ключа);

  • ключ без пароля;

  • общий размер файлов не более 1 МБ.

Если сертификат выпустил промежуточный центр сертификации организации, положите в файл сертификата всю цепочку сертификатов по порядку: сначала сертификат контроллера, за ним сертификаты промежуточных центров. Корневой можно не добавлять: он и так есть на устройствах организации. Без промежуточных сертификатов браузер может не подтвердить подлинность контроллера.

Если отдел ИТ выдал один файл .pfx или .p12 с паролем, получите из него файлы PEM программой OpenSSL 3 (пароль файла она запросит). Если OpenSSL 3 нет на вашем компьютере, установите её или попросите отдел ИТ:

openssl pkcs12 -in controller.pfx -clcerts -nokeys -out cert.pem
openssl pkcs12 -in controller.pfx -cacerts -nokeys >> cert.pem
openssl pkcs12 -in controller.pfx -nocerts -noenc -out key.pem

Первые две команды записывают в cert.pem сертификат контроллера и за ним сертификаты центров, третья — ключ без пароля в key.pem. Если OpenSSL сообщает об ошибке разбора старого файла, добавьте к командам ключ -legacy. Храните key.pem так же бережно, как файл .pfx.

Порядок действий:

  1. Откройте «Настроить» → «HTTPS».

  2. В поле «Сертификат (PEM)» выберите файл сертификата, в поле «Ключ (PEM, без пароля)» — файл ключа.

  3. Нажмите «Загрузить».

Что проверяет контроллер: файлы читаются как сертификат и ключ, ключ подходит к сертификату и не защищён паролем. Пока пара не прошла проверку, действующий сертификат не меняется. До загрузки убедитесь, что срок действия не истёк, в сертификате указан адрес или имя контроллера и есть цепочка до корневого центра. Если загрузка не удалась, страница покажет сообщение об ошибке, а прежний сертификат продолжит работать.

После успешной загрузки страница сообщит: «Сертификат заменён, сервисы перезапускаются — обновите страницу». Сервисы перезапускаются так же, как при переключении режима (см. предупреждение выше). Новый сертификат используется и в режиме HTTP, потому что страница настроек и UI-Designer шифруются всегда. Состояние строки «Сертификат» изменится на «загружен».

Следите за строкой «действует до»: после окончания срока браузеры перестанут принимать сертификат. Для замены загрузите новую пару тем же способом.

Сертификат организации: открывайте контроллер по имени

Сертификат организации убирает предупреждения на всех устройствах, которые доверяют центру сертификации организации. Браузер принимает сертификат, только если адрес в адресной строке указан в самом сертификате. Внутренние центры сертификации обычно выпускают сертификаты на имя, а не на IP-адрес. Поэтому контроллер с сертификатом организации открывают по имени. Это правило браузеров, а не прошивки.

Схема для сети организации:

  1. Отдел ИТ выпускает контроллеру сертификат на имя, например ctl1.corp.local.

  2. Загрузите сертификат и ключ в контроллер (раздел выше) и включите режим HTTPS.

  3. В DNS организации заведите запись типа A: ctl1.corp.local → IP-адрес контроллера.

  4. Откройте https://ctl1.corp.local:5001 на компьютере сотрудника: предупреждения не будет. Компьютер должен доверять центру сертификации организации, обычно его устанавливают централизованно.

  5. Сенсорной панели UV4PRO-T10 достаточно сохранённого адреса контроллера. Сертификат центра сертификации (УЦ) организации — по желанию, см. раздел «Платформы» ниже.

Если открыть контроллер по IP-адресу (https://192.168.1.250:5001), браузер покажет предупреждение даже с сертификатом организации, если IP-адреса нет в сертификате.

Возврат ко встроенному сертификату

В разделе «HTTPS» кнопки возврата нет. Встроенный сертификат возвращается вместе с режимом HTTP при сбросе IP-адреса контроллера кнопкой питания и при сбросе до заводских настроек (см. ниже). Либо загрузите другую пару.

Обновление прошивки и сброс

  • Обновление прошивки сохраняет выбранный режим и загруженный сертификат.

  • Сброс IP-адреса кнопкой питания возвращает режим HTTP и встроенный сертификат. Так сделано специально: если загруженный сертификат окажется неудачным и страница настроек перестанет открываться, доступ можно восстановить.

  • Сброс до заводских настроек со страницы настроек возвращает контроллер в заводское состояние целиком, в том числе режим HTTP и встроенный сертификат. Загруженный сертификат удаляется. Что ещё возвращает сброс, описано в разделе «Начало работы».

Что проверить перед включением

Включайте режим вне рабочего времени и заранее пройдите по списку.

  • В интерфейсах UI-Designer и в потоках U-Logic нет адресов вида http://<IP>:… и ws://<IP>:… на контроллер. После включения они не работают: замените их на https:// и wss://.

  • Внешние системы, которые обращаются к UI-Panel, U-Logic или видео контроллера, переведены на новые адреса.

  • Сохранённые ссылки, закладки, ярлыки на планшетах и адреса в приложениях-киосках изменены с http:// на https://.

  • Страницы сторонних устройств и сервисов, встроенные в ваши интерфейсы, открываются по https://. Браузер не показывает страницу http:// внутри страницы https://: это правило браузера, прошивка не может его отключить. Если сторонний сервис работает только по http, включать HTTPS нельзя либо его нужно показывать иначе.

  • Устройства, на которых открывают интерфейсы, доверяют сертификату контроллера: либо вы загрузили сертификат организации, либо пользователи готовы один раз подтвердить предупреждение.

  • Если выбран собственный сертификат: срок его действия достаточен, ключ без пароля.

Платформы

Контроллер UVATRON. Всё перечисленное выше относится к нему без оговорок.

Сенсорная панель UV4PRO-T10. Собственный экран панели — это встроенный браузер, который показывает UI-Panel контроллера.

  • Если экран показывает UI-Panel этой же панели, его адрес сам следует за режимом: http при выключенном и https при включённом HTTPS. При переключении режима браузер на экране панели перезапускается.

  • Сертификату самой панели браузер на экране доверяет всегда, предупреждения на экране не будет. Это относится и к собственному сертификату, загруженному в панель.

UV4PRO-T10: экран показывает другой контроллер

Ниже описано, как настроить экран, который показывает другой контроллер по https://. Панель доверяет контроллеру, адрес которого на ней сохранён. Это работает при любом адресе контроллера, в том числе по IP-адресу.

  1. В разделе «Стартовая страница киоска» введите адрес контроллера и нажмите «Сохранить». Панель сама получит сертификат контроллера и добавит его в доверенные.

  2. Нажмите «Применить сейчас». Экран перезапустится и откроет контроллер.

Доверие привязано к самому сертификату, а не к адресу: смена IP-адреса контроллера не требует повторного получения.

Если при сохранении контроллер не ответил, адрес сохранится, а страница предупредит: «Сертификат контроллера не получен». Кнопка «Сохранить» при этом неактивна, пока вы не измените адрес. Загрузите сертификат контроллера файлом: в поле «Сертификат контроллера или УЦ (PEM)» выберите файл и нажмите «Загрузить». Без доверенного сертификата вместо интерфейса экран покажет страницу об ошибке сертификата.

Если на контроллере заменили сертификат, загрузите новый сертификат файлом. Если панель доверяет сертификату центра сертификации, который выпустил новый сертификат, загружать ничего не нужно (см. ниже).

Доверенные сертификаты перечислены в этом разделе. Кнопка «Удалить сертификаты» убирает их все.

Флажок «Игнорировать недоверенные сертификаты (открывать любой адрес https без проверки)» по умолчанию выключен и обычно не нужен: сохранённому контроллеру панель доверяет и так.

Изменения сертификатов и флажка начинают действовать после «Применить сейчас» (экран перезапускается).

UV4PRO-T10: сертификат центра сертификации

Сертификат центра сертификации (УЦ) организации — дополнительный способ для сети, где контроллеры открывают по имени. Если на контроллере заменят сертификат на новый от того же УЦ, на панель ничего загружать не нужно.

  1. Загрузите в панель сертификат УЦ организации: в поле «Сертификат контроллера или УЦ (PEM)» выберите файл и нажмите «Загрузить».

  2. В сетевых настройках панели укажите DNS-сервер организации, чтобы панель нашла имя контроллера.

  3. В поле адреса экрана укажите контроллер по имени из его сертификата, например https://ctl1.corp.local:5001/..., и нажмите «Сохранить».

  4. Нажмите «Применить сейчас».

Экран доверяет всем сертификатам, которые выпустил этот УЦ.

Если экран открывает контроллер по IP-адресу, а сертификат выпущен на имя, сертификат УЦ не поможет: панели достаточно доверия к самому контроллеру (см. «UV4PRO-T10: экран показывает другой контроллер»).

UV4PRO-T10: картинка «нет связи»

Если заданный адрес не отвечает, экран показывает картинку «нет связи». При включении панели это происходит сразу. Во время работы это происходит, когда адрес не отвечает 30 секунд подряд; короткий сбой сети экран не переключает. Как только адрес снова отвечает, экран возвращается на него.

По умолчанию это баннер «Нет связи. Обратитесь в техническую поддержку» с адресом экрана. Свою картинку (PNG или JPEG, до 5 МБ) загрузите в том же разделе в поле «Картинка «нет связи»»: она применяется без перезапуска экрана. Кнопка «Удалить картинку» возвращает баннер. Сброс до заводских удаляет картинку вместе с адресом экрана.

Частые вопросы

Браузер показывает предупреждение о сертификате. Это нормально?

Да, если вы не загружали собственный сертификат: встроенный сертификат браузеру не известен. Подтвердите переход один раз или загрузите сертификат организации — см. раздел «Сертификат».

После включения HTTPS планшет перестал показывать интерфейс. Что делать?

Скорее всего, на планшете сохранён старый адрес http://<IP>:5001, который в режиме HTTPS не отвечает. Откройте https://<IP>:5001, подтвердите предупреждение (или установите на планшет сертификат организации) и сохраните новый адрес. Если приложение-киоск не принимает сертификат контроллера, загрузите сертификат организации, которому доверяет планшет. Если интерфейс нужен срочно, верните режим HTTP (следующий вопрос).

Сертификат организации загружен, а браузер всё равно предупреждает. Почему?

Скорее всего, контроллер открыт по IP-адресу, а сертификат выпущен на имя. Откройте контроллер по имени из сертификата (см. «Сертификат организации: открывайте контроллер по имени»). Если имя не открывается, проверьте запись в DNS организации. Ещё причины: компьютер не доверяет центру сертификации организации или срок сертификата истёк.

Как вернуться к режиму HTTP?

Откройте «Настроить» → «HTTPS» и нажмите «Выключить». Если страница настроек не открывается из-за сертификата, сбросьте IP-адрес контроллера кнопкой питания: режим HTTP и встроенный сертификат вернутся.

Как узнать, какой режим включён?

В разделе «HTTPS» неактивна кнопка текущего режима: если неактивна «Включить», режим включён. Также режим видно по адресам ссылок «Открыть U-Logic» и «Открыть UI-Panel» на странице настроек (http или https).

Интерфейс открылся, но на месте встроенной страницы стороннего устройства пусто. Почему?

Встроенная страница открывается по http://, а сам интерфейс — по https://. Браузер блокирует такие страницы. Откройте сторонний ресурс по https:// или не встраивайте его.

Нужно ли включать HTTPS, чтобы страница настроек и UI-Designer были защищены?

Для них это не требуется: они всегда работают по зашифрованному соединению. Режим HTTPS добавляет шифрование для UI-Panel, U-Logic, видео и служебного обмена страниц с контроллером.