Bij netwerkbeveiliging met Unitree-robots is het vertrekpunt de gedocumenteerde architectuur van de fabrikant, niet de afdeling waar de robot straks loopt. Een G1 of een Go2 is geen geïsoleerd huishoudapparaat: hij heeft een besturingssysteem, een account, een updatekanaal en, op de G1 EDU, SSH-toegang voor ontwikkeling. De IT-verantwoordelijke moet beslissen welke van die kanalen open blijven, op welk segment en met welke inloggegevens.
Algemene informatie, geen juridisch of cyberbeveiligingsadvies. Configuraties moeten worden afgestemd op netwerk, contract en robotversie; voor een specifiek geval zijn de leverancier en, waar nodig, een consultant nodig.
Netwerkbeveiliging in het bedrijf: de drie lagen die u apart houdt
De eerste laag is het netwerk: wie met de robot mag praten en naar welke bestemmingen. De tweede is het endpoint: inloggegevens, openstaande diensten, Bluetooth, USB-poorten en accounts. De derde zijn de gegevens: video, audio, kaarten, telemetrie en back-ups. Grijpt u maar op één van de drie in, dan blijven de andere twee onbeschermd.
De nuttige vraag is welke kanalen echt nodig zijn. Een Go2 met afstandsbediening heeft geen teleoperatie op afstand nodig; een G1 EDU voor ROS 2 heeft toegang tot het robotnetwerk en SSH nodig, niet per se de app via internet.
Welke apps en clouddiensten een Unitree-robot gebruikt
De ontwikkelaarsdocumentatie beschrijft een architectuur die Go2 en G1 gemeen hebben. De robot maakt pas verbinding met de clouddiensten na toestemming van de gebruiker. De cloud dient drie doelen: telemetrie en diagnostiek, systeemupdates en teleoperatie via WebRTC. De vermelde kanalen zijn MQTT voor IoT-communicatie en updates, HTTP voor account en koppeling, TURN/STUN om video te routeren wanneer de directe verbinding niet werkt. Bluetooth LE dient voor netwerkconfiguratie en beveiligingscontrole; binnen de robot loopt de communicatie tussen modules via DDS.
| Kanaal | Waarvoor | Advies voor IT |
|---|---|---|
| Ethernet en DDS | Lokale aansturing en ontwikkeling, ROS 2-topics | Apart robotnetwerk, zonder routing naar gebruikers |
| Wi-Fi in infrastructuurmodus | App, telemetrie en clouddiensten | Eigen SSID en robot-VLAN |
| Wi-Fi in AP-modus | Eerste configuratie: de robot maakt een hotspot | Alleen bij onboarding, in een gecontroleerde ruimte |
| Bluetooth LE | Netwerkconfiguratie en beveiligingscontrole | Beperkte fysieke toegang, vastgelegde onboarding |
| MQTT en HTTP naar de cloud | OTA, diagnostiek, account en koppeling | Uitgaand alleen toestaan indien nodig, met logboek |
| WebRTC, TURN en STUN | Video en opdrachten op afstand | Blokkeren als u geen teleoperatie gebruikt |
Het lokale netwerk: Ethernet, DDS en 192.168.123.x
Twee details bepalen het ontwerp. Ten eerste gebruikt het interne netwerk van de robot de subnet 192.168.123.x; de ontwikkel-pc van de G1 antwoordt op 192.168.123.164, de boordcomputer van de Go2 op 192.168.123.161. Die mag niet aan het bedrijfsnetwerk worden blootgesteld. Ten tweede zijn op de Go2 Air en Pro de Ethernet- en SBUS-interfaces niet beschikbaar; die zijn voorbehouden aan de EDU. Vraagt het project een kabel, kies de versie dan vóór de bestelling, niet erna.
Een geïsoleerde VLAN configureren, stap voor stap
Er bestaat geen configuratie die voor elke locatie werkt, maar de volgorde van de stappen is altijd dezelfde. Voorbeeld met fictieve nummers: VLAN 210 voor de robots, subnet 192.168.210.0/24, gateway 192.168.210.1, gereserveerde adressen van .10 tot .30; VLAN 200 voor beheer, met een jump host.
- Scheid het verkeer. Maak een eigen VLAN en SSID. Hergebruik niet het VLAN van de pc's of het beheernetwerk.
- Blokkeer laterale routing. Het robot-VLAN mag het gebruikersnetwerk niet bereiken. De enige beheerderstoegang verloopt via een jump host op VLAN 200, met regels per gebruiker en logboek.
- Geef stabiele adressen. DHCP-reserveringen of statische IP's per robot, met MAC-adres en serienummer in de inventaris.
- Begin met default deny op uitgaand verkeer. Open alleen de bestemmingen die nodig zijn voor OTA, app en teleoperatie, en alleen in de tijdvensters waarin ze nodig zijn.
- Houd DDS binnen het VLAN. De lokale communicatie tussen ontwikkel-pc en robot gebruikt DDS; multicast voor discovery mag niet door routers of firewalls gaan zonder aparte configuratie. Volg voor de eerste tests de gids ROS 2 op Unitree-robots.
- Stel de subnet 192.168.123.x niet bloot. Vraagt een leverancier toegang op afstand, voorzie dan een tijdelijke, gelogde sessie.
- Meet voordat u sluit. Laat het verkeer een paar dagen doorlopen, noteer bestemmingen en volumes en bouw daarna de regel. Zonder baseline wordt de allowlist een lijst met uitzonderingen.
Wat u kunt uitschakelen of beperken als u het niet nodig hebt
| Onderdeel | Wanneer nodig | Wat te doen als het niet nodig is |
|---|---|---|
| Wi-Fi-hotspot van de robot | Eerste configuratie of omgevingen zonder Wi-Fi | Gebruik Ethernet of Wi-Fi via de infrastructuur; vermijd de AP in productie |
| App en cloudaccount | Koppeling, OTA, teleoperatie | Blokkeer uitgaand verkeer; lokale aansturing en DDS blijven werken |
| 4G-module met eSIM (ingebouwde sim) | Gebruik buiten de locatie of mobiel gebruik | Kies een versie zonder module of beperk de connectiviteit bij de provider |
| Bluetooth LE | Configuratie en eerste controle | Geen operationeel kanaal: houd onboarding in een gecontroleerde ruimte |
| SSH op de EDU-versies | Ontwikkeling en onderhoud | Gewijzigd wachtwoord, sleutels, toegang alleen vanaf de jump host |
| WebRTC en TURN | Teleoperatie op afstand | Blokkeer uitgaand als de robot alleen op locatie werkt |
| USB-poorten en dockingstation | Updates en ontwikkeling | Gecontroleerde fysieke toegang en registratie van ingrepen |
De ontwikkelaarsdocumentatie vermeldt voor de G1 EDU de gebruiker unitree en een bekend initieel wachtwoord; hetzelfde geldt voor het dockingstation van de Go2. Dat zijn laboratoriumgegevens: wijzig ze voordat u de robot op het netwerk aansluit, samen met de inloggegevens van de hotspot. Met een gedeeld account kunt u een toegang niet aan één persoon toewijzen.
De app gebruikt Bluetooth om het netwerk te configureren en de beveiliging van de verbinding te controleren. De nuttige maatregel is fysiek: configuratie in een afgesloten ruimte, een bedrijfstelefoon en een geregistreerde handeling. Daarna blijven de toegang tot de ruimte en tot de poorten beperkt.
Updates: beheren zonder alles open te zetten
Unitree vermeldt OTA via de cloud voor de G1 en voor de Go2; de Go2-pagina preciseert dat de robot pas verbinding maakt na toestemming van de gebruiker en de architectuur noemt MQTT voor updates. Een VLAN zonder internet ontvangt geen OTA: dat moet vóór de installatie in het ontwerp staan.
Een werkbare procedure in een bedrijf heeft zes stappen:
- Inventaris van versies. Noteer de firmware van de robot, de appversie en, indien aanwezig, de versie van het dock of de rekenmodule.
- Tijdvenster voor updates. Open uitgaand verkeer naar de diensten van de fabrikant alleen in het afgesproken venster, met één robot tegelijk.
- Test op één exemplaar. Update eerst een laboratoriumrobot en controleer beweging, sensoren, netwerk en uw toepassing.
- Controle na de update. Controleer de geïnstalleerde versie en herhaal de netwerktest. Verandert de update het gedrag, stop dan en open een ticket.
- Registratie. Bewaar versie, datum, resultaat en operator.
- Plan B voor volledige isolatie. Heeft het netwerk geen uitgang, vraag de leverancier dan de offlineprocedure en de officiële pakketten. Geen firmware van derden.
Voor de G1 staan de procedure in de app, de controles vooraf en de fouten om te vermijden in de gids firmware-update van de G1. In het algemeen: accu vol, stabiel netwerk, geen onderbreking en een rollback-procedure die met de leverancier is afgesproken.
Gegevens: video, audio en telemetrie
Een G1 heeft een dieptecamera, LiDAR, vier microfoons en een luidspreker; een Go2 heeft een camera, LiDAR en op sommige versies spraak en intercom. Het zijn nuttige sensoren voor de toepassing, maar ze leggen ook vast wat zich rond de robot bevindt. Neemt de robot herkenbare personen op of registreert hij ze, dan valt de verwerking onder de AVG (GDPR) en de richtsnoeren van privacytoezichthouders, zoals de Italiaanse Garante over cameratoezicht: doelen, dataminimalisatie, informatieplicht, bewaartermijnen en, waar de voorwaarden gelden, een gegevensbeschermingseffectbeoordeling (DPIA).
Unitree stelt dat de operationele gegevens die de cloud verzamelt geen betrekking hebben op privacy en dat WebRTC-verkeer niet door de server wordt verzameld of geanalyseerd. Dat zijn nuttige verklaringen voor het contract, maar ze vervangen de beoordeling door de verwerkingsverantwoordelijke niet. Bepaal vóór de teleoperatie waar de opnames terechtkomen en wie ze mag bekijken.
Vraag op de robot of de schijf versleuteld is en hoe gegevens worden gewist vóór inruil of reparatie. Is dat niet gedocumenteerd, behandel de robot dan als een laptop.
Cyber Resilience Act: de feiten die u moet kennen
De Verordening (EU) 2024/2847, de Cyber Resilience Act, is van kracht sinds 10 december 2024. De meldplicht geldt vanaf 11 september 2026; de belangrijkste verplichtingen vanaf 11 december 2027. De wet geldt voor producten met digitale elementen die op de EU-markt worden gebracht, dus ook voor een verbonden robot.
Volgens het infoblad van de Europese Commissie moet de fabrikant veiligheid standaard garanderen, kwetsbaarheden beheren gedurende de ondersteuningsperiode, het einde daarvan melden, gebruiksaanwijzingen leveren en de CE-markering aanbrengen. Het is geen automatische verplichting voor de koper.
Voor de koper is de CRA een vragenlijst vóór de bestelling: einde van de ondersteuning, kanaal voor kwetsbaarheden, updates, instructies voor een veilige installatie. Die informatie hoort de fabrikant te leveren en hoort bij de aankoop te worden gecontroleerd. Wie het product onder een eigen merk op de markt brengt, kan verplichtingen als fabrikant krijgen.
De CRA vervangt de Machinesverordening (EU) 2023/1230 niet: machineveiligheid blijft onder die verordening vallen. De gids over de Machinesverordening 2027 legt het machinegedeelte uit.
Checklist voordat de robot de afdeling in gaat
- Eigen VLAN en SSID, zonder routing naar het gebruikersnetwerk.
- Stabiele adressen en een inventaris met MAC-adres, serienummer en firmwareversie.
- Wachtwoorden van robot, hotspot en account gewijzigd; geen persoonlijk account.
- Internettoegang standaard dicht, alleen open voor OTA en teleoperatie.
- Een vastgelegde updateprocedure, met test op één exemplaar en registratie.
- Privacybeoordeling als de robot personen opneemt of registreert.
- Contract met ondersteuningsperiode en kanaal voor het melden van kwetsbaarheden.
- Uitfaseringsplan: gegevens wissen, accounts intrekken, uit het VLAN verwijderen.
Veelgestelde vragen
Kan een Unitree-robot op dezelfde VLAN staan als de bedrijfs-pc's?
Nee. Hij hoort op een eigen VLAN, zonder routing naar het gebruikersnetwerk; beheerderstoegang loopt via een jump host. Zo legt een probleem met de robot de rest van het netwerk niet bloot.
Welke poorten moet ik voor een Unitree openzetten?
Zet geen inkomende poorten open. De robot opent zelf uitgaande verbindingen naar de clouddiensten voor OTA, app en teleoperatie; sta alleen die bestemmingen toe en alleen wanneer ze nodig zijn. Voor lokaal gebruik volstaat het robotnetwerk.
Kan ik een Unitree gebruiken zonder cloudverbinding?
Ja, voor lokale aansturing via Ethernet en DDS, op de EDU-versies. U verliest OTA en teleoperatie via de app; vraag de leverancier naar de offline-updateprocedure.
Hoe werk ik de firmware bij in een geïsoleerd netwerk?
Met een update-VLAN dat alleen tijdens het venster uitgaand toegang heeft, één robot tegelijk en een versieregistratie. Is de isolatie volledig, dan is een procedure van de leverancier nodig.
Geldt de Cyber Resilience Act ook voor het bedrijf dat de robot gebruikt?
De belangrijkste verplichtingen liggen bij de fabrikant. De koper moet vragen naar de ondersteuningsperiode, het kanaal voor kwetsbaarheden en updates. Wie het product onder een eigen merk op de markt brengt, kan verplichtingen als fabrikant krijgen.
Bronnen
- Unitree, systeemarchitectuur Go2 (cloud na toestemming, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, systeemarchitectuur G1 (cloud na toestemming, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, officiële Go2-pagina (Wi-Fi 6, Bluetooth, 4G-module, OTA via cloud met toestemming): unitree.com/go2
- Unitree, officiële G1-pagina (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, elektrische interfaces en Go2-versies (Ethernet en SBUS alleen op EDU): support.unitree.com
- Unitree, FAQ voor G1-ontwikkelaars (initiële gebruiker en wachtwoord, IP van PC1 en PC2): support.unitree.com
- Unitree, snelstartgids Go2 (netwerk 192.168.123.x en IP van de boordcomputer): support.unitree.com
- Unitree, dockingstation van de Go2 (initiële gebruiker en wachtwoord): support.unitree.com
- Europese Commissie, samenvatting van de Cyber Resilience Act: digital-strategy.ec.europa.eu
- Europese Commissie, verplichtingen van fabrikanten volgens de CRA: digital-strategy.ec.europa.eu
- Verordening (EU) 2024/2847 (Cyber Resilience Act), officiële tekst: EUR-Lex
- Garante per la protezione dei dati personali (Italiaanse privacytoezichthouder), FAQ over cameratoezicht: garanteprivacy.it