Télémaintenance des machines : accès à distance sécurisé sans ports ouverts

Une machine est à l’arrêt, le client appelle — et le technicien de service le plus proche est à des centaines de kilomètres. Pour les constructeurs de machines et les équipes de maintenance, la télémaintenance n’est plus une option depuis longtemps, mais la condition d’un service rentable. La question n’est pas de savoir si, mais comment : comment atteindre une machine dans le réseau de votre client sans compromettre la sécurité de son système informatique — et sans lancer un projet VPN dédié pour chaque installation ?

Ce guide montre comment fonctionne la télémaintenance avec IronFlock : par des connexions sortantes et chiffrées, sans un seul port ouvert sur la machine.

Pourquoi la télémaintenance classique atteint ses limites

Les approches établies s’accompagnent de problèmes récurrents :

• Les VPN site-to-site sont des projets, pas des solutions. Chaque raccordement client exige une coordination entre deux services informatiques, des règles de pare-feu, des plans d’adressage IP et une maintenance continue. Cela ne passe pas à l’échelle sur des centaines de sites.
• Les ports entrants ouverts sont une surface d’attaque. Chaque service accessible de l’extérieur sur une machine — SSH, HTTP, VNC — est une porte d’entrée potentielle et, dans de nombreux réseaux OT, tout simplement impossible à faire approuver.
• Les routeurs de télémaintenance créent des solutions isolées. Un module de maintenance par machine signifie : du matériel dédié, une gestion dédiée, des accès dédiés — et aucune vue commune sur la flotte.
• La traçabilité fait défaut. Qui a eu accès à quelle installation, et quand ? Sans journalisation exhaustive, il est presque impossible de répondre à cette question face aux clients et aux auditeurs.

Le principe : des connexions de l’intérieur vers l’extérieur

IronFlock inverse la direction. Sur la machine — ou sur un appareil edge à côté d’elle — s’exécute l’agent de l’appareil IronFlock. Il initie toutes les connexions en sortie vers la plateforme, chiffrées en TLS. Les conséquences sont immédiates :

• Aucun port ouvert sur l’appareil. La machine n’est ni découvrable ni directement adressable depuis internet. Il n’existe aucun service qu’un attaquant pourrait scanner.
• Aucune règle de pare-feu entrante chez le client. Une connexion HTTPS/WSS sortante suffit — le même type de connexion que celui qu’utilise n’importe quel navigateur. Le fonctionnement derrière un proxy d’entreprise est également pris en charge.
• Accès à distance par tunnels inversés. Lorsque vous accédez à une interface web locale ou à un service, la plateforme établit la connexion via une architecture de proxy inversé géré à travers le canal existant — la direction de la connexion d’origine reste sortante.

Cette architecture zero-trust est décrite en détail dans la documentation de sécurité.

Ce que vous atteignez à distance

L’accès à distance n’est pas limité à un seul protocole. Des tunnels peuvent être activés par application et par appareil pour différents services :

S’y ajoutent deux voies d’accès au niveau système :

• Accès hôte — un terminal dans le navigateur, sur le système d’exploitation hôte de l’appareil, pour le diagnostic système, le débogage réseau et la gestion de Docker. Sans intervention locale, sans déplacement sur site.
• Accès SSH — pour le débogage avancé avec authentification par clé ; la connexion par mot de passe est désactivée par défaut.

Les tunnels peuvent en outre être intégrés directement dans un board via le widget d’intégration : votre équipe de service surveille les données de la flotte et interagit avec l’interface web d’une machine donnée — dans le même tableau de bord.

Comment ça fonctionne en pratique

La télémaintenance avec IronFlock se met en place en trois étapes :

1. Déclarer les ports. Le développeur de l’application décrit dans le fichier port-template.yml les ports et protocoles que l’application expose — par exemple l’IHM sur le port 8080. Cela se fait une seule fois, dans l’application, pas machine par machine.
2. Activer le tunnel. Un utilisateur autorisé active le tunnel dans les paramètres de l’application sur l’appareil — d’un simple interrupteur, sans configuration réseau.
3. Utiliser l’URL sécurisée. La plateforme génère une URL protégée derrière laquelle le service local devient accessible — uniquement pour les utilisateurs authentifiés et autorisés.

Si la connexion réseau est interrompue, l’agent et les tunnels se reconnectent automatiquement — l’agent est conçu pour la connectivité et la résilience et retente la reconnexion indéfiniment.

Un cas de service typique

Pour sentir ce que cela change, voici un déroulé tel qu’il se produit chaque jour dans l’équipe de service d’un constructeur de machines :

1. Signalement. Une alarme ou un appel du client signale un dysfonctionnement sur une installation en France. Dans le projet, le technicien voit immédiatement : l’appareil est en ligne, l’application tourne.
2. Premier diagnostic sur le board. Sur le board de la machine, les données en direct et les courbes historiques montrent quand le comportement a commencé — souvent, la cause est déjà cernée à ce stade.
3. Accès à l’IHM. Le technicien active le tunnel HTTPS et ouvre l’interface de la machine dans son navigateur — la même vue que celle de l’opérateur sur site.
4. Aller plus loin si nécessaire. Si cela ne suffit pas, place au tunnel TCP vers l’automate pour l’environnement de programmation — ou à l’accès hôte pour un coup d’œil aux conteneurs, au réseau et à la charge système.
5. Clôturer en toute traçabilité. Chaque étape figure dans le journal d’audit. Le client peut vérifier à tout moment qui a accédé à son installation et quand.

Pas de client VPN, pas d’astreinte pour le service informatique du client, pas de déplacement — et dans le meilleur des cas, l’installation est de nouveau productive avant même qu’une intervention sur site n’ait pu être planifiée.

Sécurité et contrôle : qui peut faire quoi — et qui a fait quoi ?

L’accès à distance est une affaire de confiance. IronFlock le rend contrôlable et traçable :

• Autorisations à granularité fine. Seul un utilisateur disposant au minimum du privilège de mise à jour sur l’appareil peut activer un tunnel. Le modèle de privilèges fonctionne par autorisations ciblées, ressource par ressource, plutôt que par rôles d’administrateur globaux.
• Piste d’audit exhaustive. Chaque activation et chaque utilisation de tunnel est consignée dans le journal d’audit de l’appareil — qui, quand, quel port, y compris les connexions proxy effectives.
• Chiffré de bout en bout. Du navigateur à l’appareil, tous les composants communiquent par des canaux sécurisés TLS ; la connexion s’effectue via OpenID Connect, avec authentification à deux facteurs optionnelle.
• Accès révocable à tout moment. Les autorisations des partenaires de service externes s’attribuent de manière granulaire et se retirent à tout moment — le propriétaire du projet conserve la souveraineté sur ses données.

Pour les constructeurs de machines : la télémaintenance comme partie du produit

Qui livre des machines ne veut pas réinventer le service pour chaque site. Avec IronFlock, la télémaintenance devient partie intégrante de la machine elle-même :

• Une application, toute la flotte. L’application de service est installée au niveau du projet et affectée aux appareils — dix ou mille machines, la voie d’accès reste la même.
• Déploiement flexible. Qu’il s’agisse d’IronFlock Cloud, d’une appliance dans le réseau local du client ou d’un cloud privé — le périmètre fonctionnel, y compris pour l’accès à distance, est identique.
• Vous livrez du savoir-faire machine, pas de l’infrastructure. La gestion des tunnels, le chiffrement, la gestion des utilisateurs et la journalisation d’audit sont fournis par la plateforme.

Questions fréquentes

Le service informatique de mon client doit-il ouvrir des ports dans le pare-feu ?

Non. L’agent de l’appareil n’établit que des connexions sortantes, chiffrées en TLS — comparables à un navigateur qui consulte un site web. Règles de pare-feu entrantes, redirections de ports ou adresses IP fixes ne sont pas nécessaires. Les environnements avec proxy d’entreprise sont également pris en charge.

Puis-je programmer mon automate à distance ?

Oui. Via des tunnels TCP, vous atteignez votre automate avec vos outils d’ingénierie habituels — par exemple Siemens TIA Portal, CODESYS ou TwinCAT — comme si vous étiez sur le réseau local. Les ports sont déclarés une seule fois dans l’application et activés de manière ciblée, appareil par appareil.

Comment l’accès à distance est-il journalisé et contrôlé ?

Seul un utilisateur disposant de l’autorisation correspondante sur l’appareil peut activer un tunnel. Chaque activation et chaque utilisation est consignée dans le journal d’audit immuable de l’appareil — utilisateur, horodatage et port compris. Vous pouvez ainsi prouver à tout moment à vos clients et auditeurs qui a eu accès et quand.

Que se passe-t-il si la machine est hors ligne ou si la connexion est interrompue ?

L’agent de l’appareil retente la reconnexion indéfiniment et rétablit automatiquement les tunnels d’accès à distance après une coupure réseau. Même sous pression mémoire ou disque, l’agent maintient l’accessibilité à distance comme priorité absolue — l’appareil reste administrable à distance.

Et ensuite ?

Le chemin le plus rapide vers votre premier accès à distance : créez un projet avec le guide de prise en main, connectez un appareil et activez un tunnel — cela prend quelques minutes et c’est gratuit dans le cloud. Les détails techniques se trouvent dans la documentation sur l’accès à distance et la sécurité.