Van een modem per machine naar één platform: waarom machinebouwers hun toegang op afstand anders inrichten

Wie bij een machinebouwer van twintig jaar geleden in de servicekast keek, vond een la vol simkaarten, modems en handgeschreven briefjes met IP-adressen. Elke machine had zijn eigen modem of zijn eigen VPN-verbinding, elke klant zijn eigen afspraken met de IT-afdeling, en elke monteur zijn eigen manier om er toch bij te komen. Het werkte, zolang het machinepark klein bleef en de IT van de klant meewerkte. Inmiddels zijn beide voorwaarden weggevallen, en dat verklaart waarom steeds meer OEM’s overstappen naar een cloudplatform voor toegang op afstand.

Hoe de klassieke oplossing in elkaar zat

Het oude model was per machine gebouwd. Een industrieel modem of een VPN-router in de schakelkast, een vaste verbinding naar het kantoor van de machinebouwer, en een monteur die met een VPN-client op zijn laptop inbelde. Voor één machine is dat overzichtelijk. Voor driehonderd machines bij honderd klanten wordt het een beheerprobleem: honderden configuraties, evenzoveel certificaten die ergens verlopen, en bij elke nieuwe klant opnieuw de discussie met de IT-afdeling over welke poorten open mogen.

Daar komt bij dat een klassieke VPN-verbinding meestal de hele machine openzet voor wie eenmaal binnen is. Er is geen onderscheid tussen de monteur die alleen het bedienpaneel wil zien en de engineer die de PLC herprogrammeert. En wat er tijdens een sessie precies gebeurt, wordt zelden vastgelegd.

Wat er verandert met een cloudplatform

Toegang op afstand via de cloud is de aanpak die daarvoor in de plaats komt. De gateway bij de machine bouwt zelf een versleutelde tunnel op naar een centraal platform, en de monteur logt daar in via zijn browser of app. Hij hoeft geen VPN-client meer te configureren en de klant hoeft geen inkomende poort open te zetten, omdat de verbinding van binnen naar buiten wordt opgezet. Remote access cloud van IXON geeft de monteur bijvoorbeeld de keuze tussen een directe VPN-verbinding voor engineeringtools en een klik naar het bedienpaneel of de webinterface van de machine.

Het grootste verschil zit niet in de techniek van de tunnel, maar in het beheer. Alle machines staan in één overzicht. Gebruikers, groepen en rechten worden op één plek geregeld. Een nieuwe machine wordt geregistreerd door de gateway aan te sluiten, en een vertrekkende medewerker wordt met één handeling uit alle machines gehaald in plaats van uit driehonderd losse configuraties.

Waarom OEM’s de stap zetten

De aanleiding is zelden een technisch inzicht. Meestal is het een concreet moment: een monteur die drie uur bezig is om een verbinding te krijgen met een machine die stilstaat, of een klant die weigert nog langer een onbekende VPN-router in zijn netwerk te dulden. Op zulke momenten wordt duidelijk dat de kosten van de oude aanpak niet in de hardware zitten, maar in de tijd van mensen en in gemiste service.

Een centraal platform maakt van toegang op afstand een dienst in plaats van een noodoplossing. Servicecontracten met reactietijden worden haalbaar, omdat de verbinding er altijd al is. Software-updates kunnen planmatig worden uitgerold. En de data die dezelfde gateway uit de PLC leest, geeft de machinebouwer voor het eerst zicht op hoe zijn machines in het veld draaien. ## Waar de eindklant op let

De fabriek waar de machine staat, heeft een andere blik. Zij ziet een leverancier die een permanente weg naar haar productienetwerk wil. Terecht stelt zij daar voorwaarden aan, en een goed platform maakt het mogelijk om daaraan te voldoen.

De eerste voorwaarde is zeggenschap. De klant wil zelf bepalen wanneer een monteur mag verbinden, bijvoorbeeld door elke aanvraag goed te keuren of door toegang alleen binnen een afgesproken venster toe te staan, met een einde dat automatisch ingaat. Sinds NIS2 is dat voor veel bedrijven geen wens meer maar een verplichting. De tweede voorwaarde is inzicht: een logboek waarin staat wie wanneer op welke machine heeft ingelogd en wat er is gedaan. De derde is begrenzing. Tweefactorauthenticatie, rolgebaseerde rechten en toegang tot alleen het relevante netwerksegment zorgen dat een servicemonteur niet per ongeluk in het kantoornetwerk belandt.

Eigenaarschap als sluitstuk

Het gevoeligste punt is vaak wie eigenaar is van de gateway in de kast. Bij de oude modemoplossing was dat de machinebouwer, en de klant had er weinig over te zeggen. Bij moderne platforms verschuift dat. IXON Nederland beschrijft bijvoorbeeld een model waarin de eindklant eigenaar blijft van de gateway en zelf toegang, configuratie en updates goedkeurt, terwijl de machinebouwer de service levert. Die verdeling neemt het wantrouwen weg dat vroeger elk gesprek over toegang op afstand kleurde. De machinebouwer krijgt zijn verbinding, de klant houdt de sleutel, en beide partijen kunnen achteraf nalezen wat er is gebeurd.