BBMD, VPN e integração entre redes remotas
Em uma rede BACnet/IP local, muitos serviços de descoberta utilizam broadcasts. Quando o BMS e os dispositivos BACnet estão distribuídos entre diferentes sub-redes ou sites remotos, esses broadcasts deixam de atravessar a infraestrutura IP de forma transparente e a arquitetura de comunicação precisa ser planejada.
Este artigo apresenta as principais estratégias para esse cenário: BBMD e BDT, Foreign Device Registration, VPN roteada, VPN em bridge e BACnet Secure Connect.
1. Por que o BACnet/IP precisa de tratamento especial entre sub-redes?
Dentro da mesma sub-rede IP, um dispositivo BACnet pode enviar uma mensagem de descoberta como Who-Is em broadcast. Os dispositivos que atendem aos critérios da consulta podem responder com I-Am.
O problema aparece quando a instalação possui mais de uma sub-rede IP. Roteadores de camada 3 normalmente não encaminham broadcasts IP de uma sub-rede para outra. Isso significa que um dispositivo remoto pode até possuir conectividade IP com o BMS, mas a descoberta BACnet baseada em broadcast pode não alcançar a outra rede.
Conseguir executar um ping ou acessar um equipamento por IP não garante que broadcasts BACnet/IP, como os utilizados em discovery, atravessem as fronteiras entre sub-redes.
2. O que é um BBMD?
BBMD significa BACnet Broadcast Management Device. Sua função é permitir a distribuição controlada de broadcasts BACnet/IP entre redes IP que estão separadas por roteadores.
Em uma arquitetura BBMD clássica, um BBMD em uma sub-rede recebe o broadcast BACnet/IP, encaminha essa mensagem aos BBMDs configurados nas demais redes e o BBMD remoto redistribui a mensagem localmente.
3. Como funciona a BDT?
A Broadcast Distribution Table — BDT define para quais BBMDs ou redes os broadcasts BACnet/IP devem ser encaminhados.
Em uma instalação com vários prédios ou VLANs, cada BBMD precisa possuir a configuração coerente com a topologia definida para a internetwork BACnet.
| Local | Sub-rede IP | Exemplo de BBMD |
|---|---|---|
| Prédio A | 192.168.10.0/24 | 192.168.10.10 |
| Prédio B | 192.168.20.0/24 | 192.168.20.10 |
| Prédio C | 192.168.30.0/24 | 192.168.30.10 |
Não trate a BDT apenas como uma lista genérica de IPs. A forma de distribuição deve ser definida de acordo com a topologia, os BBMDs participantes e a política de rede do projeto.
4. O que é Foreign Device Registration?
Um Foreign Device é um dispositivo BACnet/IP que se registra em um BBMD para participar da comunicação BACnet de uma rede à qual não está conectado localmente.
O BBMD mantém os registros desses dispositivos em uma Foreign Device Table — FDT e encaminha a eles os broadcasts BACnet/IP relevantes durante o período em que o registro está válido.
| BBMD | Foreign Device |
|---|---|
| Distribui broadcasts entre redes BACnet/IP. | Registra-se em um BBMD para receber e transmitir mensagens BACnet remotamente. |
| Pode utilizar uma BDT para conhecer outros BBMDs. | É mantido temporariamente na FDT do BBMD. |
| Normalmente faz parte da infraestrutura BACnet. | É comum em ferramentas de serviço, estações ou aplicações remotas. |
5. Evite expor BACnet/IP diretamente à internet
Tecnicamente é possível construir cenários com NAT, endereços públicos e regras de encaminhamento de porta. Isso, porém, não deve ser tratado como a arquitetura padrão para integração remota.
O BACnet/IP clássico não foi concebido para depender da internet pública como camada de segurança. Integrações entre sites devem considerar segmentação, autenticação, criptografia e as políticas de segurança da infraestrutura de TI.
Para multisites, normalmente é mais apropriado estabelecer primeiro uma conectividade privada entre as redes ou utilizar tecnologias BACnet desenvolvidas para comunicação segura.
6. VPN Layer 3 + BBMD
Em uma VPN roteada, ou Layer 3, cada site mantém sua própria sub-rede IP. A VPN cria conectividade privada entre elas, mas não transforma as duas LANs em um único domínio de broadcast Ethernet.
Nesse cenário, a VPN protege e transporta o tráfego entre os sites, enquanto o BBMD continua responsável pela distribuição dos broadcasts BACnet/IP entre as redes.
VPN Layer 3 + sub-redes distintas + BBMD em cada domínio BACnet/IP que precisa participar da distribuição de broadcasts.
Vantagens
- Mantém as sub-redes dos sites separadas.
- Facilita segmentação, roteamento e aplicação de regras de firewall.
- Evita estender desnecessariamente o domínio Ethernet entre prédios.
- Permite tratar o transporte seguro e a distribuição BACnet como funções distintas.
7. VPN Layer 2 / bridge
Algumas tecnologias de VPN permitem criar uma bridge Layer 2, estendendo o domínio Ethernet entre os locais.
Como os broadcasts de camada 2 podem atravessar a bridge, uma fronteira que antes exigia BBMD pode deixar de exigir esse mecanismo específico de distribuição.
Isso não significa, porém, que bridge seja sempre a melhor escolha.
Antes de utilizar uma VPN Layer 2, avalie conflitos de IP, quantidade de broadcasts, dependência entre sites, loops, políticas de TI e o impacto de estender uma LAN através da WAN.
Quando pode fazer sentido
- Ambientes pequenos e controlados.
- Aplicações que realmente precisam transportar Layer 2 entre os locais.
- Projetos em que a equipe de TI aprovou explicitamente a extensão do domínio Ethernet.
8. VPN não significa necessariamente TLS
VPN descreve a criação de uma rede privada sobre outra infraestrutura. Existem diferentes tecnologias de VPN e elas não utilizam obrigatoriamente o mesmo protocolo de segurança.
Exemplos incluem IPsec, WireGuard, OpenVPN e implementações SSL/TLS, entre outras. A criptografia, autenticação, topologia e comportamento Layer 2 ou Layer 3 dependem da solução adotada.
9. Qual arquitetura utilizar?
| Estratégia | Redes permanecem separadas? | Como o broadcast BACnet chega ao outro lado? | Uso típico |
|---|---|---|---|
| BBMD em rede IP roteada | Sim | Distribuído pelos BBMDs. | LAN/WAN corporativa controlada. |
| VPN Layer 3 + BBMD | Sim | Distribuído pelos BBMDs através da conectividade privada. | Multisite com segmentação entre prédios. |
| VPN Layer 2 / bridge | O domínio Layer 2 é estendido. | Broadcast atravessa a bridge. | Casos específicos que exigem extensão Ethernet. |
| Foreign Device + BBMD | Sim | BBMD encaminha broadcasts ao dispositivo registrado. | Ferramenta, workstation ou aplicação BACnet remota. |
| BACnet/SC | Sim | Não depende do modelo clássico de broadcast BBMD da mesma maneira. | Arquiteturas BACnet modernas com requisitos de segurança. |
A escolha depende da infraestrutura de TI, número de sites, política de segurança, necessidade de discovery, equipamentos disponíveis e responsabilidade sobre roteamento e firewall.
10. E o BACnet Secure Connect?
BACnet Secure Connect — BACnet/SC é uma camada de comunicação segura adicionada ao padrão BACnet para operar sobre infraestruturas IP modernas.
O BACnet/SC utiliza Secure WebSockets sobre TLS, com autenticação entre participantes, criptografia e comunicação orientada a conexão. Sua arquitetura utiliza nodes e hubs e não depende do mesmo modelo clássico de distribuição de broadcasts utilizado pelo BBMD no BACnet/IP tradicional.
A disponibilidade depende dos dispositivos, supervisórios e roteadores utilizados. Sistemas existentes podem combinar BACnet/SC com outras redes BACnet através de roteamento apropriado.
11. Aplicação com equipamentos Mercato
No portfólio Mercato, a disponibilidade de funções como BBMD, BDT, Foreign Device e BACnet/SC depende do produto, da plataforma e da versão instalada. Consulte a documentação específica antes de definir a arquitetura.
No ecossistema PowerB/Niagara, há suporte documentado a BACnet/SC em versões compatíveis do PowerB N4, incluindo a possibilidade de hospedar hubs BACnet/SC no PowerB Supervisório e em M-JACE compatíveis.
Não assuma que todo roteador BACnet ou todo controlador com BACnet/IP implementa BBMD, Foreign Device ou BACnet/SC. Esses recursos precisam estar explicitamente disponíveis no produto empregado no projeto.
12. Erros comuns em integrações remotas
| Erro | Consequência | Como tratar |
|---|---|---|
| Assumir que ping entre sites garante discovery BACnet. | Who-Is não alcança os dispositivos remotos. | Planejar BBMD, Foreign Device ou outra arquitetura BACnet adequada. |
| Expor UDP 47808 diretamente à internet como solução padrão. | Aumenta a superfície de exposição da automação. | Utilizar conectividade privada, segmentação e arquitetura de segurança definida com a TI. |
| Estender Layer 2 entre sites sem necessidade. | Aumenta o domínio de broadcast e o acoplamento entre as LANs. | Preferir arquitetura roteada quando a extensão Ethernet não for requisito. |
| Configurar BBMD sem documentar BDT e sub-redes participantes. | Broadcasts podem não chegar aos locais necessários ou circular de forma inadequada. | Documentar topologia, BBMDs, sub-redes e regras de roteamento. |
| Confundir Foreign Device com BBMD. | Arquitetura montada com função diferente da necessária. | Usar BBMD para distribuição entre redes e FDR quando um dispositivo remoto precisa registrar-se em um BBMD. |
| Assumir que qualquer VPN transportará broadcasts Ethernet. | Discovery continua restrito às sub-redes. | Identificar se a VPN é Layer 3 ou Layer 2 e projetar o BACnet de acordo. |
13. Artigos relacionados
Ainda precisa de ajuda?
Entre em contato com o suporte técnico da Mercato. Para agilizar o atendimento, informe o equipamento, produto ou sistema relacionado e descreva brevemente a dúvida ou o problema encontrado.
Falar com o suporte no WhatsApp →