Proxy (Accesso web ai dispositivi dell'impianto)

Il Proxy della piattaforma Mirox consente l'accesso diretto alle interfacce web dei dispositivi nella rete dell'impianto — senza client VPN, senza installazione locale, puramente attraverso il browser. Le UI di configurazione degli inverter, le dashboard dei data-logger, le UI delle telecamere, le pagine web dei quadri elettrici o gli strumenti di servizio self-hosted diventano raggiungibili tramite un URL Mirox univoco — autenticati dall'account Mirox dell'utente e completamente tracciati.

Concetto

Il Proxy colma il divario tra la VPN e una classica dashboard cloud:

Nessuna VPN necessaria: Non è richiesta l'installazione di un profilo VPN. Qualsiasi utente con il ruolo appropriato e un normale browser può aprire le interfacce dei dispositivi.
UI autentica del dispositivo: L'utente vede e opera sull'UI originale non modificata del dispositivo, non su una versione semplificata renderizzata da Mirox.
URL univoco per dispositivo: Ogni destinazione raggiungibile ha il proprio URL nella forma <id>.proxy.mirox.io. Questo URL può essere salvato o condiviso (il destinatario deve a sua volta essere autorizzato).
Completamente tracciato: Ogni chiamata, ogni transazione HTTP e ogni connessione WebSocket alimenta un registro di audit conforme a KRITIS / NIS2.

Il Proxy è l'alternativa deliberatamente più limitata, più isolata e più strettamente controllata rispetto alla VPN. Opera rigorosamente a livello applicativo — solo HTTP, HTTPS, WebSocket e Server-Sent Events — e non concede alcun accesso a livello di rete all'impianto: non esiste una route IP nella LAN dell'impianto, nessuna porta raggiungibile oltre le interfacce web e nessun modo di eseguire strumenti arbitrari contro la rete. Sono raggiungibili solo le destinazioni web che un operatore dell'impianto ha esplicitamente configurato, e ciascuna dispone del proprio interruttore di abilitazione/disabilitazione, così che la portata sia delimitata destinazione per destinazione anziché estesa all'intera rete. Scegli il Proxy quando l'attività si svolge in un browser (apertura della UI di un inverter o di un data-logger); scegli la VPN quando hai bisogno di una vera connessione di rete per SSH, Modbus o per i tuoi script su più impianti.

Cosa offre il Proxy

Accesso diretto alle UI web dei dispositivi

Quando un operatore dell'impianto configura una destinazione web per un dispositivo di rete, tale destinazione diventa raggiungibile tramite un sottodominio Mirox univoco. Il browser vede:

Una normale connessione HTTPS al dominio Mirox con un certificato wildcard valido
Il contenuto non modificato del dispositivo (HTML, CSS, JavaScript, immagini, stream, upload di file, …)
Funzionalità interattiva completa, inclusi form, download di file e stream WebSocket (es. console live, stream video, grafici in tempo reale)

L'utente si autentica una sola volta con Mirox; la sessione rimane valida per tutte le UI dei dispositivi autorizzate su tutti gli impianti.

Due livelli di autenticazione

Importante: il Proxy gestisce solo il trasporto e il controllo degli accessi lato Mirox al dispositivo — il dispositivo stesso può richiedere ulteriormente il proprio login (tipicamente username/password, talvolta API key o token specifici del dispositivo). Esistono quindi due livelli di autenticazione indipendenti:

Autenticazione Mirox (applicata dal Proxy): Chi è autorizzato anche solo ad aprire il dispositivo? Verificata rispetto al login Mirox e ai permessi dell'impianto.
Autenticazione del dispositivo (applicata dal dispositivo stesso): Chi è autorizzato a compiere quali azioni sul dispositivo? Il form di login del dispositivo appare semplicemente nel browser; l'utente si autentica con le credenziali fornite dal produttore o dall'operatore dell'impianto.

Mirox registra (consulta Registro di audit) chi ha effettuato l'accesso a quale dispositivo e a quali pagine — ma l'autorità sui permessi interni del dispositivo (es. "modalità manutenzione", "modifica configurazione") rimane al login del dispositivo stesso.

Archiviazione sicura delle credenziali dei dispositivi

Affinché non ogni membro autorizzato dello staff debba conoscere le credenziali di ogni dispositivo (e nessuno debba memorizzare personalmente una password o conservarla in uno strumento non sicuro), Mirox offre una cassaforte di credenziali centrale e cifrata. Gli operatori dell'impianto possono memorizzare le credenziali di accesso dei loro dispositivi una sola volta, dopodiché sono disponibili agli utenti autorizzati in forma conveniente quando aprono la destinazione web — senza distribuire le password in chiaro.

Vantaggi:

Nessuna distribuzione di password in chiaro tramite e-mail, chat o post-it.
Utilizzo tracciabile: Chi ha effettuato l'accesso a cosa usando le credenziali memorizzate viene catturato nel registro di audit KRITIS / NIS2.
Rotazione centrale: Quando una password del dispositivo cambia, viene aggiornata una sola volta in Mirox ed è immediatamente efficace per tutto lo staff autorizzato.
Vincolato ai permessi: L'accesso alle credenziali memorizzate segue gli stessi permessi di impianto e di ruolo dell'accesso al dispositivo stesso.

Accesso predefinito e destinazioni web aggiuntive

Per ogni dispositivo di rete che il sistema rileva, la porta web standard viene rilevata automaticamente e resa accessibile senza ulteriore configurazione. I dispositivi appena rilevati possono quindi essere esaminati immediatamente nel browser, senza che l'operatore dell'impianto debba configurare nulla in anticipo.

Se un dispositivo ha più interfacce web rilevanti (es. una UI di servizio, una dashboard di diagnostica separata e una pagina di configurazione), l'operatore dell'impianto può definire destinazioni web aggiuntive. Ogni destinazione web riceve un nome significativo e il proprio URL Mirox, in modo che tutte le interfacce siano disponibili in modo pulito fianco a fianco.

Ogni destinazione web — incluso l'accesso predefinito — può essere abilitata o disabilitata individualmente dall'operatore dell'impianto. Una destinazione web disabilitata non è più raggiungibile attraverso il proxy, mentre tutte le altre destinazioni del dispositivo e dell'impianto continuano a funzionare. Questo rende l'accesso proxy controllabile a granularità fine, senza bloccare l'intero impianto.

Protocolli supportati

HTTP (tutti i metodi, inclusi upload di file di dimensione arbitraria)
Endpoint HTTPS (il TLS termina sull'agente dell'impianto)
WebSocket, completamente bidirezionali
Server-Sent Events (SSE) e altri stream long-running (nessun limite di tempo sulla sessione complessiva)
Download di file (streaming, nessun limite di dimensione)

Messaggi di errore resilienti

Quando qualcosa non funziona, il proxy restituisce un messaggio di errore chiaro con informazioni diagnostiche invece di una pagina 502 anonima. L'utente può vedere, ad esempio, se

il dispositivo di destinazione non è raggiungibile,
l'agente dell'impianto non è ancora pronto,
l'impianto non ha installato un agente data-scraper,
o se una risposta è effettivamente arrivata dal dispositivo stesso.

Queste informazioni sono utili per il troubleshooting senza che l'utente debba consultare i file di log.

Sicurezza e controllo

Autenticazione tramite l'account Mirox

Il Proxy richiede un cookie Mirox valido. I browser non loggati vengono reindirizzati alla regolare pagina di login Mirox e, dopo il login riuscito, inoltrati automaticamente al dispositivo richiesto.

Autenticazione a due fattori richiesta

Aprire un dispositivo attraverso il Proxy richiede una configurazione attiva dell'autenticazione a due fattori (TOTP) sull'account. Il Proxy la verifica a ogni richiesta: a un account senza 2FA abilitato viene rifiutato l'accesso a qualsiasi dispositivo, anche quando i suoi permessi sull'impianto lo consentirebbero altrimenti. Questo rende un percorso di accesso remoto vicino all'hardware condizionato a un secondo fattore di autenticazione, non al solo cookie di sessione.

Verifica dei permessi per impianto

Su ogni richiesta il sistema verifica se l'utente loggato ha il permesso necessario per questo specifico impianto. La verifica rispetta l'intero sistema di permessi, inclusa l'appartenenza all'organizzazione, le cooperazioni e i ruoli. Senza il permesso richiesto, l'utente riceve una risposta 403.

Chi può usare il Proxy

L'accesso Proxy a un impianto è concesso ai ruoli Operatore e Technical Manager su tale impianto — assegnati direttamente, ereditati dagli Amministratori e dai Moderatori di un'organizzazione attraverso la loro mappatura dei ruoli, oppure detenuti da un membro di una cooperazione che ricopre uno di tali ruoli. Ai Visualizzatori e al ruolo Asset Manager (Commercial) non viene concesso l'accesso Proxy.

Questo è intenzionalmente più ampio rispetto alla VPN, dove la connettività a livello di rete è riservata al solo ruolo Operatore. Il Proxy può essere aperto anche ai Technical Manager proprio perché il suo raggio d'impatto è molto più ridotto: raggiunge solo le specifiche interfacce web, abilitate singolarmente, che un operatore dell'impianto ha configurato, mai la rete dell'impianto stessa. Quanto più ristretta è la portata, tanto più ampia è la cerchia di persone a cui può essere affidata in sicurezza.

Gestione sicura dei redirect

Se il dispositivo di destinazione emette redirect propri (es. dopo un login verso un URL interno diverso), il proxy li normalizza in modo che il browser non veda mai indirizzi Mirox interni o IP dell'impianto. L'URL rimane coerentemente nella forma <id>.proxy.mirox.io.

Endpoint diagnostico per verifiche di connettività

Un endpoint diagnostico riservato consente a un operatore di verificare che l'autenticazione e il routing lato piattaforma funzionino correttamente — senza contattare alcun dispositivo specifico. Questo rende possibile distinguere i problemi della piattaforma dai problemi dell'impianto.

Audit e conformità

Ogni chiamata attraverso il Proxy alimenta un registro di audit conforme a KRITIS / NIS2 al Layer 7 (HTTP). Il registro di audit cattura:

Chi ha eseguito la sessione (snapshot di account ed e-mail all'inizio della sessione)
Quale dispositivo e quale destinazione web sono stati interessati
Quando la sessione è iniziata e finita
Numero di richieste e metodi HTTP usati
Volume di dati trasferito (in entrata / in uscita)
Gli URL effettivamente chiamati (le query string sono oscurate)
Indirizzo IP pubblico, posizione e informazioni del browser dell'utente
Una breve descrizione dell'attività generata dall'AI ("Modifica della configurazione su inverter", "Accesso in lettura alla pagina di diagnostica" …). Se l'AI non è disponibile alla chiusura della sessione, la descrizione viene compilata successivamente — è una parte fissa di ogni sessione, non opzionale.

Una sessione viene chiusa automaticamente quando sono trascorsi 10 minuti di inattività. L'attività successiva avvia una nuova sessione.

Il registro di audit del Proxy è presentato in una panoramica di accesso unificata insieme al registro di audit della VPN per l'operatore dell'impianto ed è conservato per almeno 730 giorni. Per i dettagli consulta Registro di audit.

Distinzione da funzionalità correlate

Funzionalità	Quando è utile	Requisiti per l'utente
Proxy (questa pagina)	"Voglio aprire velocemente una UI di dispositivo nel mio browser, eventualmente da una macchina di terzi."	Solo un browser e il login Mirox. Nessuna installazione.
VPN	"Voglio usare SSH, Modbus, i miei script personali o strumenti arbitrari verso dispositivi su più impianti."	Installazione una tantum di un profilo VPN per dispositivo.
VPN diretta dell'impianto	Accesso classico all'impianto (un profilo per impianto)	Configurazione separata per impianto.

Funzionalità correlate

VPN — tunnel personale per strumenti oltre il browser
Registro di audit degli accessi — panoramica di accesso unificata di tutte le sessioni VPN e Proxy
Sistema di permessi — ruoli, permessi a livello di ruolo e cooperazioni
Ispettore della rete locale — rilevamento automatico di nuovi dispositivi di rete
FAQ sull'accesso remoto — domande frequenti su accesso VPN e Proxy, sicurezza e conformità