Dispositivo compacto y económico para asegurar la comunicación no segura con dispositivos de campo

Cualquier computadora pequeña y de bajo costo que ejecute Linux y tenga 2 puertos Ethernet le permitirá hacer esto. Use NGINX, HAProxy o similar en la computadora para ejecutar un proxy inverso que termina la conexión HTTPS y pasa el tráfico HTTP sin cifrar. Recuerde que HTTPS es simplemente HTTP con cifrado TLS agregado. El servidor de origen no le importará.

Si no puede obtener una computadora adecuada de bajo costo (intente buscar algunos de los clones de Raspberry Pi, estoy seguro de que uno tendrá 2 puertos Ethernet), su alternativa sería instalar una sola computadora en el segmento de red. nivel - por ejemplo haga que el proxy de terminación HTTPS se ejecute en el borde de la red local de confianza razonable. Este es el mismo principio, pero simplemente reduce los costos mediante la agregación de tráfico a través de una sola PC: por construcción, piso o cualquier límite de seguridad que tenga sentido para su cliente. Mejor aún, use 2 PC para la resistencia si las señales son lo suficientemente importantes.

Esto es realmente lo contrario de lo que podría hacer cuando ejecuta un servicio web de Internet a gran escala. En ese caso, puede terminar las conexiones HTTPS en el borde de su centro de datos utilizando servidores dedicados para reducir la carga en sus servidores web internos. El mismo principio aquí, pero mantienes el tráfico cifrado todo el tiempo que puedas y descifraslo en algún punto conveniente cerca de las señales.

ACTUALIZACIÓN: con respecto al posible hardware, aquí hay algunos consejos.

Podría usar un Pi (o similar) con un adaptador Ethernet USB como el segundo adaptador.

Puede revisar la base de datos de compatibilidad OpenWRT para obtener los dispositivos adecuados. OpenWRT es una versión de Linux de enrutador de código abierto.

También hay algunos dispositivos Linux integrados con 2 puertos Ethernet integrados.

Finalmente, dependiendo de la topología de los edificios que necesite soportar, podría ser factible construir una red separada solo para las pantallas. Esto no es tan difícil como parece, pero la restricción puede ser la cantidad de puertos de repuesto que tienen los edificios. Es concebible que todo lo que se necesita es un nuevo parche de la red. Si el personal de su red está abierto a ello, incluso podría ser suficiente para configurar lógicamente las pantallas a su propia VLAN.

Lo siento, estoy divagando ahora! Lo que estoy tratando de mostrar con este último punto es que es posible que solo necesite el cifrado entre edificios y, dependiendo del hardware y la configuración de la LAN, es posible que pueda usar el firewall de un edificio para terminar el cifrado (por ejemplo, mediante una VPN, no incluso si la WAN es una MPLS moderna ya que ya está cifrada punto a punto). Luego, una vez dentro del edificio, puede segmentar física o lógicamente el tráfico de la pantalla.

Gracias a las sugerencias de Julian, pude encontrar al menos una serie de dispositivos que se parecen bastante a lo que estoy buscando: la serie de enrutadores Nexx WT3020. Estos enrutadores en miniatura tienen dos puertos Ethernet, y el WT3020A, el más barato, tiene Wifi (no es necesario) y no tiene USB. Vi precios entre $ 15-30 en Internet.

La serie WT3020 es compatible con el sistema operativo integrado OpenWRT (basado en Linux), lo que significa que podrían personalizarse con bastante facilidad para admitir lo que estoy buscando. Si solo pudieran ejecutarse con Power-over-Ethernet, sin tener que hacer un trabajo de soldadura personalizado: enlace