Anybus Defender 6004 - License type: NAT/FW

Anybus Defender 6004

Anybus Defender 6004 es un firewall industrial para separar y proteger máquinas, líneas de producción y otras partes de la red OT. Ayuda a limitar la comunicación no deseada, resolver conflictos de direcciones IP y proteger los dispositivos conectados durante la comunicación con la red de producción o la red corporativa. Según la variante elegida, también ofrece inspección de protocolos industriales, protección de dispositivos vulnerables sin necesidad de actualizarlos, VPN y funciones de red avanzadas.

¿Por qué elegir Anybus Defender 6004?

• Conecta hasta cuatro segmentos de red físicos – 1× WAN y 3× puertos LAN configurables de forma independiente permiten separar varias partes de la instalación con un solo dispositivo.
• Reduce el riesgo de propagación de problemas por la red – las máquinas, líneas o áreas de producción pueden separarse entre sí y permitir únicamente la comunicación necesaria entre ellas.
• Facilita la conexión de máquinas idénticas – mediante NAT se pueden conectar sistemas con las mismas direcciones IP internas sin cambiar su configuración.
• Puede integrarse en una red existente – en una configuración bridge controla la comunicación sin cambiar las direcciones IP de PLC, HMI y otros dispositivos.
• Proporciona visibilidad de los dispositivos conectados – la función Asset Discovery & Inventory ayuda a identificar dispositivos en la red OT.
• Simplifica la configuración del firewall – la configuración se realiza mediante una interfaz web con asistentes y las reglas pueden crearse directamente a partir de la comunicación registrada.
• Puede adaptarse al nivel de protección requerido – están disponibles las variantes NAT/FW, DPI/FW y PRO/FW con el mismo hardware, pero con distinto alcance de funciones.

Variantes de Anybus Defender 6004

Anybus Defender 6004 está disponible en tres variantes con el mismo hardware, pero con distinto alcance de funciones de seguridad y red:

• NAT/FW – protección básica para separar redes, controlar la comunicación y traducir direcciones IP,
• DPI/FW – todas las funciones de NAT/FW + inspección de la comunicación industrial, IPS, protección de dispositivos vulnerables sin necesidad de actualizarlos y VPN,
• PRO/FW – todas las funciones de DPI/FW + enrutamiento avanzado, gestión del tráfico de red y alta disponibilidad.

Comparación de variantes de Anybus Defender

Anybus Defender 6004 NAT/FW

La variante NAT/FW está diseñada para separar máquinas y redes de producción, controlar la comunicación permitida y resolver conflictos de direcciones IP. Gracias a los tres puertos LAN configurables de forma independiente, un solo Defender puede separar varios segmentos de red físicos.

Incluye firewall con inspección de estado, NAT, funcionamiento bridge transparente, gestión de certificados, Asset Discovery & Inventory y compatibilidad con administración centralizada.

Las aplicaciones típicas incluyen la separación de varias máquinas o células de producción de la red de nivel superior, la creación de una conexión controlada entre OT e IT o la conexión de varios sistemas con direcciones IP iguales o solapadas.

Anybus Defender 6004 DPI/FW

La variante DPI/FW incluye todas las funciones de NAT/FW y las amplía con inspección detallada de los protocolos industriales EtherNet/IP CIP, Siemens TCP/IP y Modbus. De este modo, el firewall no solo evalúa las direcciones IP y los puertos, sino que también puede inspeccionar la propia comunicación industrial.

El analizador de tráfico integrado con función de aprendizaje automático ayuda a identificar la comunicación industrial utilizada y simplifica la creación de las reglas correspondientes. Los sistemas IPS Snort y Suricata permiten detectar amenazas conocidas y proteger, por ejemplo, PLC y HMI antiguos y otros dispositivos vulnerables sin necesidad de instalar directamente una corrección en el dispositivo (Virtual Patching).

DPI/FW también admite acceso VPN remoto, túneles VPN seguros mediante WireGuard, OpenSSL e IPsec, autenticación de usuarios mediante RADIUS y LDAP / Active Directory, servidor DHCP y reenvío de solicitudes DHCP, así como programación horaria de reglas.

La variante DPI/FW es adecuada cuando la separación de redes y el filtrado estándar de la comunicación no son suficientes y también se necesita una inspección más detallada del tráfico industrial, protección de dispositivos vulnerables o acceso remoto seguro.

Anybus Defender 6004 PRO/FW

La variante PRO/FW incluye todas las funciones de DPI/FW y las amplía con enrutamiento avanzado, gestión del tráfico de red y alta disponibilidad.

Admite los protocolos de enrutamiento RIPv1, RIPv2 y BGPv4, Load Balancing, Multi-WAN y Traffic Shaping. De este modo, permite gestionar las rutas de datos, el uso de varias conexiones de red, el ancho de banda y la prioridad del tráfico de red.

La variante PRO/FW también incluye Captive Portal, que permite exigir el inicio de sesión del usuario antes de autorizar el acceso a la red protegida.

Dos dispositivos pueden configurarse en modo de alta disponibilidad active-standby. Si falla la unidad activa, el Defender de respaldo puede asumir su función, reduciendo así el riesgo de interrupción de comunicaciones de red importantes.

La variante PRO/FW es adecuada para redes de producción más amplias, aplicaciones con varias conexiones de red y entornos con mayores requisitos de disponibilidad, enrutamiento y gestión del tráfico de red.

¿No sabe qué Defender elegir?

Descríbanos su red y qué necesita proteger. Le recomendaremos el modelo y la variante adecuados.

Consultar la selección de Defender

Separación de varias redes físicas y lógicas

Anybus Defender 6004 está equipado con un puerto WAN Gigabit y tres puertos LAN Gigabit. Los tres puertos LAN configurables de forma independiente permiten conectar y separar varias máquinas, células de producción u otros segmentos de red sin necesidad de utilizar otro router o firewall.

Cada interfaz puede tener sus propias reglas de comunicación. De este modo, las distintas partes de la instalación pueden comunicarse con la red de nivel superior o entre sí únicamente dentro del alcance permitido. La compatibilidad con VLAN permite crear redes adicionales separadas lógicamente sobre las interfaces físicas.

Por ello, Defender 6004 es adecuado, por ejemplo, para separar varias células de producción, redes de servicio, sistemas de adquisición de datos u otras partes de la infraestructura OT. Para aplicaciones adecuadas, uno de los puertos LAN también puede configurarse como segundo puerto WAN.

Firewall que permite únicamente la comunicación necesaria

Toda la comunicación entre las redes conectadas pasa a través del firewall con inspección de estado. Defender utiliza el principio «lo que no está permitido está bloqueado», por lo que la comunicación de red se bloquea si no está permitida explícitamente por las reglas configuradas.

Por ejemplo, se puede permitir que un PLC se comunique únicamente con un ordenador de servicio concreto, poner los datos de producción a disposición de un sistema SCADA o MES y, al mismo tiempo, impedir el acceso a otras partes de la red de producción. Las reglas pueden configurarse para interfaces individuales o como reglas comunes aplicables a varias interfaces.

Dos modos de conexión

Bridge – sin cambiar las direcciones IP

En una configuración bridge, Defender puede integrarse en una conexión de red existente sin cambiar las direcciones IP de los dispositivos conectados. Los PLC, HMI, robots, variadores y otros dispositivos mantienen su configuración original, mientras que su comunicación pasa a través del firewall.

Este modo es especialmente adecuado para añadir protección a una máquina o línea de producción ya en funcionamiento cuando cambiar la configuración de red supondría una intervención compleja o una parada de producción.

Gateway – separación de redes y uso de NAT

En una configuración gateway, Defender funciona como router entre redes separadas. Los distintos segmentos pueden utilizar rangos de direcciones IP diferentes y su comunicación se controla mediante enrutamiento, NAT y reglas de firewall.

NAT, o traducción de direcciones de red, permite mantener las direcciones IP originales dentro de la máquina y comunicarse con los dispositivos desde la red de nivel superior mediante direcciones traducidas. Esto resulta especialmente útil al conectar varias máquinas idénticas con el mismo direccionamiento IP interno.

Visibilidad de los dispositivos en la red OT

La función Asset Discovery & Inventory detecta dispositivos en las redes conectadas y, según los datos disponibles, puede identificar, por ejemplo, el fabricante, el tipo, la versión de software, el nivel de actualización o el número de serie.

De este modo, ayuda a obtener una visión general de los dispositivos realmente conectados y a detectar elementos desconocidos o inesperados en la red. El resultado también incluye una valoración de la precisión de la identificación. Esta función está disponible en todas las variantes de Defender 6004.

Interfaz web y diagnóstico

La configuración se realiza mediante la interfaz web integrada directamente desde un navegador. Están disponibles asistentes para los modos de conexión habituales y para configurar las funciones de red y seguridad.

Las reglas también pueden crearse directamente a partir de la comunicación registrada en los logs del firewall. La función One-Click Easy Rule facilita así la creación de las reglas necesarias para el funcionamiento de la instalación. También están disponibles reglas comunes que pueden aplicarse en varias interfaces.

Se incluyen herramientas de diagnóstico y herramientas para analizar el tráfico de red. Para la integración con sistemas de nivel superior está disponible una REST API y, para el mantenimiento, también se puede acceder a la CLI mediante SSH o consola local. Varios dispositivos pueden administrarse opcionalmente mediante la plataforma central Anybus Cybersecurity Console.

Documentación online

Para configurar y utilizar las funciones de Anybus Defender está disponible la documentación online del fabricante. Incluye información sobre instalación, configuración del firewall, NAT, DPI, VPN, enrutamiento y otras funciones según el modelo y la variante concretos.

Abrir la documentación online de Anybus Defender →