Adressage
- Un équipement a une adresse IP, un masque (ex. 255.255.255.0 = /24) et une passerelle pour sortir de son sous-réseau.
- Deux équipements ne communiquent directement que s'ils sont dans le même sous-réseau ; sinon le trafic passe par un routeur.
- Pour les contrôleurs : adresses fixes (ou réservations DHCP), consignées dans un plan d'adressage.
Ports usuels du bâtiment
| Service | Port |
|---|---|
| BACnet/IP | UDP 47808 |
| Modbus TCP | TCP 502 |
| KNXnet/IP | UDP 3671 |
| Niagara Fox / Fox sécurisé | TCP 1911 / 4911 |
| Web (HTTP / HTTPS) | 80 / 443 |
BACnet/IP et routeurs
Les découvertes BACnet sont des diffusions : elles s'arrêtent au routeur IP. Entre plusieurs sous-réseaux, il faut un BBMD par sous-réseau (ou l'enregistrement Foreign Device), avec une table de diffusion cohérente.
Bonnes pratiques de cybersécurité
- Segmenter : réseau GTB séparé (VLAN dédié), filtré par pare-feu, jamais directement exposé sur Internet.
- Accès distant uniquement par VPN ou solution sécurisée validée par le client.
- Changer tous les mots de passe par défaut, comptes nominatifs, droits minimaux.
- Désactiver les services inutiles (Telnet, FTP, HTTP non chiffré), préférer les protocoles chiffrés (HTTPS, Fox sécurisé, BACnet/SC quand disponible).
- Tenir à jour firmwares et logiciels, sauvegarder les configurations.
- Référentiel utile : la série IEC 62443 (sécurité des systèmes d'automatisation).
Fiche de synthèse : pour les valeurs propres à un produit, référez-vous toujours à sa documentation officielle et aux textes en vigueur.