🛠 Configurer un routeur industriel avec EdgeComp MS-U320

Objectifs

Ce tutoriel vise à transformer le BIOSTAR EdgeComp MS-U320 en un routeur ou passerelle réseau industrielle robuste. Grâce à ses deux contrôleurs Ethernet Intel I226-V et I226-LM, nous allons configurer une séparation de réseau entre un segment de terrain (OT) et un segment d'entreprise (IT). L'objectif est de sécuriser les données des automates programmables (PLC) tout en permettant la remontée d'informations vers le cloud ou un serveur central. Nous utiliserons Ubuntu 24.04 LTS pour sa stabilité et ses outils réseau natifs.

Matériel nécessaire

• Mini PC BIOSTAR EdgeComp MS-U320 (version Core 5 320 recommandée pour le routage)
• Alimentation DC 12V-24V stable
• Deux câbles Ethernet Cat6
• Un écran et clavier pour la configuration initiale
• Clé USB bootable avec Ubuntu Server 24.04

Étapes

1. Installation du système : Insérez la clé USB et démarrez le MS-U320. Accédez au BIOS (touche Suppr) pour définir le démarrage sur USB. Installez Ubuntu Server en sélectionnant le disque NVMe M.2. Lors du partitionnement, créez une partition LVM pour faciliter la gestion future des logs.
2. Identification des interfaces : Une fois connecté, identifiez les interfaces réseau. Les ports Ethernet sont gérés par les pilotes Intel. Utilisez la commande ip link show pour lister les interfaces. Notez les noms (ex: eno1, eno2). Le contrôleur I226-V est souvent priorisé pour la gestion.
3. Configuration Netplan : Le fichier de configuration réseau se trouve dans /etc/netplan/. Éditez-le avec sudo nano /etc/netplan/01-netcfg.yaml. Définissez eno1 comme interface WAN (IT) avec DHCP, et eno2 comme interface LAN (OT) avec une IP statique (ex: 192.168.10.1/24). Assurez-vous que le routage IPv4 est activé.
4. Activation du routage : Pour que le MS-U320 transmette les paquets entre les deux réseaux, activez le forwarding. Créez un fichier /etc/sysctl.d/99-forward.conf avec la ligne net.ipv4.ip_forward=1. Appliquez avec sudo sysctl -p.
5. Sécurisation avec UFW : Installez le pare-feu sudo apt install ufw. Autorisez le trafic SSH depuis le réseau IT uniquement : sudo ufw allow from 192.168.1.0/24 to any port 22. Refusez tout trafic entrant depuis le LAN OT vers le WAN par défaut pour isoler les machines industrielles.
6. Persistance des logs : Configurez rsyslog pour envoyer les logs réseau vers un serveur distant si nécessaire, ou activez journald avec une taille limitée pour ne pas saturer le stockage NVMe.

Vérification

Testez la connectivité depuis un PC du réseau OT (LAN) vers une adresse IP du réseau IT (WAN) via la commande ping. Vérifiez que les tables de routage sont correctes avec ip route. Assurez-vous que le pare-feu bloque bien les accès non autorisés en tentant une connexion SSH depuis le LAN OT vers le WAN.

Pour aller plus loin

Intégrez le MS-U320 dans une architecture MQTT pour la collecte de données capteurs. Exploitez les ports série RS232/485 pour connecter des équipements legacy via des protocoles comme Modbus, en utilisant des passerelles logicielles comme Node-RED préinstallé.