RSG · Diepgaande analyse

Wat RSG is en waarom u het nodig heeft.

Revit Server Guard is een softwaregateway die op dezelfde host als Autodesk Revit Server wordt geïnstalleerd. Het onderschept TCP- en HTTP-verkeer naar de RS-poorten, leest zijn metadata (welke gebruiker, welk project, welke sectie, welke actie) en past toegangsregels toe die in Revit Server zelf niet bestaan.

OverzichtDit scherm beheert Overzicht: gegevens, filters, acties en export staan in het RSG-beheerpaneel. ProjectenDit scherm beheert Projecten: gegevens, filters, acties en export staan in het RSG-beheerpaneel. RollenDit scherm beheert Rollen: gegevens, filters, acties en export staan in het RSG-beheerpaneel. AuditlogDit scherm beheert Auditlog: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

01 — Overzicht

Wat RSG is en waarom u het nodig heeft.

Revit Server Guard is een softwaregateway die op dezelfde host als Autodesk Revit Server wordt geïnstalleerd. Het onderschept TCP- en HTTP-verkeer naar de RS-poorten, leest zijn metadata (welke gebruiker, welk project, welke sectie, welke actie) en past toegangsregels toe die in Revit Server zelf niet bestaan.

Standaard biedt Revit Server geen transparante toegangsrechten per gebruiker, project, sectie en actie. Als een deelnemer toegang heeft tot de server, heeft RS geen ingebouwd model dat die deelnemer betrouwbaar beperkt tot alleen zijn verantwoordelijkheidsgebied. In een klein team kan dit acceptabel zijn. In projecten met veel bedrijven, tijdelijke deelnemers en verschillende verantwoordelijkheidsniveaus zijn training en interne regelgeving niet voldoende: RSG elimineert deze technische beperking.

Voor wie het bedoeld is

• Ontwerpbureaus die meerdere opdrachtgevers parallel bedienen en niet willen dat het team van opdrachtgever A ziet wat er voor opdrachtgever B wordt gedaan.
• BIM-coördinatoren die rechten op sectieniveau moeten scheiden — constructeurs zien en bewerken constructies, MEP-engineers hun eigen discipline, enzovoort.
• Onderaannemers en freelancers die tijdelijke toegang krijgen tot een specifiek project en sectie, en die met één klik geblokkeerd moeten worden bij contracteinde.
• Teams met regelgevingsvereisten (overheidscontracten, locaties met beperkte toegang) waar een wie-opende-wat-en-wanneer-logboek verplicht is.

01 OverzichtDit scherm beheert Overzicht: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

02 — Architectuur

Vier componenten, één Windows-host.

RSG is één monoliet, maar met vier afzonderlijke modules die samen worden geïnstalleerd. Dit is bewust zo ontworpen: elke component is verantwoordelijk voor zijn eigen domein en kan indien nodig onafhankelijk opnieuw worden gestart.

Wat elk component doet

1. RSG.Proxy — een TCP/HTTP-proxy die luistert op poort 8086 in plaats van de standaard RS-poort. Pakt Revit Server SOAP-envelopes uit, extraheert metadata van de aanvraag, vraagt RSG.Server «is dit toegestaan?» — en laat het door of geeft 403 terug aan de client.
2. RSG.Server — een Windows-service op.NET 8 die toegangsregels beheert in lokale SQLite/SQL Server, het auditlogboek bijhoudt, de licentie valideert en met de License API communiceert. Het «brein» van de oplossing.
3. RSG.AdminPanel — een React-SPA beschikbaar op localhost:5080 (of in het bedrijfsnetwerk via HTTPS). De admin gebruikt het om gebruikers, projecten en regels aan te maken en het auditlogboek te bekijken.
4. RSG.LicenseTool — een aparte CLI-tool voor offline-activering. Alleen gebruikt in air-gapped netwerken; in een normale online installatie niet nodig.

Belangrijk

Revit Server blijft precies zoals hij was. RSG wijzigt zijn binaries niet, herschrijft de database niet, vervangt geen configuraties. Het staat ernaast en werkt via standaard netwerkinterfaces. Als u RSG uitschakelt, blijft Revit Server precies zo werken als vóór de installatie van RSG.

02 RS-gatewaysDit scherm beheert RS-gateways: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

03 — Toegangscontrole

Drie niveaus van rechten: project, sectie, actie.

RSG verleent rechten niet «alles of niets» maar granulair. U geeft geen «server-toegang» — u geeft «toegang tot project X, sectie Architectuur, alleen-lezen». Onder de motorkap gebeurt dit op SOAP-aanvraagniveau van Revit Server, waar RSG het type bewerking inspecteert en een beslissing neemt.

Gebruikers en AD-groepen worden aan rollen gekoppeld. Een rol is een set machtigingen voor een specifiek project en zijn secties. Eén gebruiker kan verschillende rollen in verschillende projecten hebben: «coördinator» in één, «waarnemer» in een andere, «geen toegang» in een derde.

Niveaus

• Project. De basiseenheid is de hoofdmap van het project op de server. De gebruiker ziet het project in de lijst, maar kan het niet openen.
• Modelsectie. Architectuur, constructies, engineering, coördinatie — elke sectie kan eigen rechten hebben. De onderaannemer-engineer opent alleen zijn eigen sectie; de rest wordt niet eens in de Revit-client geladen.
• Actie. read, edit. Bekijken zonder bewerken is een apart recht van bewerken zonder publiceren.

03 ProjectenDit scherm beheert Projecten: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

Rollen en groepen

Hieronder — hoe dat eruitziet in het beheerpaneel. De matrix: projecten in rijen, rollen in kolommen, machtigingsstatus in de cellen.

Legenda: volledige toegang · alleen-lezen · gemengd per sectie · geen

Voorbeeldconfiguratie van een regel

Elke regel wordt uitgedrukt als een JSON-document, te bewerken via de UI of in batch te importeren vanuit CSV/JSON bij migratie vanuit eigen tools.

04 RollenDit scherm beheert Rollen: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

04 — Beheerpaneel

Een web-beheerpaneel in plaats van CLI en register.

Alle beheer — via een React-SPA die lokaal beschikbaar is op de RSG-host. Geen regedit, geen gpedit, geen handmatige XML-bewerkingen. De admin opent een pagina in de browser en ziet het dashboard, de licentie, de audit en de machtigingsmatrix. Als externe toegang nodig is, gaat dat via een reverse-proxy met TLS.

De startpagina is het dashboard. Vier getallen bovenaan voor de dag, een eventfeed eronder, en een licentiepaneel.

05 GebruikersDit scherm beheert Gebruikers: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

06 SectiesDit scherm beheert Secties: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

05 — Auditlog

Elke actie — in het logboek.

Audit is geen optionele functie, het is onderdeel van de hoofdflow. Elke aanvraag die door RSG.Proxy gaat, laat een record na: wie, wat, tegen welk project/welke sectie, welke actie, welk resultaat, vanaf welk IP, vanaf welke Revit-versie. Logs worden lokaal opgeslagen en geëxporteerd naar CSV/JSON/SIEM.

Het beheerpaneel heeft een tabel met filters op elk veld. Klikken op een rij opent het volledige event-JSON.

Wat wordt vastgelegd

• Identity: AD-login, IP, versie van de Revit-client, machinenaam van de gebruiker.
• Target: project-ID, bestandsnaam, sectie/workset, element-ID (waar van toepassing).
• Action: open, sync_to_central, reload_latest, create_local, publish, delete_local, borrow_workset, enz.
• Result: allow / deny / warn (warn — niet geblokkeerd, maar gemarkeerd voor beoordeling).
• Context: welke regel de beslissing nam, tijdstempel met TZ, duur van de bewerking.

Bewaartermijn

Standaard wordt het logboek 18 maanden bewaard. Dit is configureerbaar. Logs kunnen via webhook (JSON-payload) naar een SIEM-systeem worden gestreamd, naar de SQL Server van uw bedrijf worden geschreven, of in batch worden geëxporteerd via CLI.

07 AuditlogDit scherm beheert Auditlog: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

08 Back-upsDit scherm beheert Back-ups: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

06 — Licenties

Een ondertekende licentie, gekoppeld aan de machine.

Een RSG-licentie is een ondertekende envelope (LicenseEnvelope) die een payload met rechten en een handtekening bevat. De handtekening wordt aan onze kant geproduceerd met een ECDSA P-256 privésleutel en aan de clientzijde geverifieerd met een publieke sleutel die in het RSG-binary is ingebed.

Dat betekent: een licentie vervalsen of een «eigen License API» op dezelfde URL draaien is onmogelijk zonder de privésleutel. Een keygen kan fysiek niet bestaan — men zou ofwel ECDSA P-256 moeten breken (theoretisch onrealistisch), ofwel de privésleutel uit onze HSM moeten stelen.

Machine-fingerprint

De licentie wordt aan een machine gekoppeld via een fingerprint — SHA-256 van een deterministische tekenreeks samengesteld uit de machinenaam en de MAC-adressen van de netwerkinterfaces.

De netwerkinterfaces worden gesorteerd — dat is belangrijk. Als het systeem meerdere MAC's heeft, kan het OS ze in een andere volgorde opsommen; sortering elimineert die instabiliteit. De machinenaam wordt om dezelfde reden in hoofdletters omgezet.

Online en offline activering

Wanneer de host uitgaande HTTPS naar ons domein heeft, is activering één klik in het beheerpaneel. RSG.Server stuurt een JSON met fingerprint en metadata, de License API geeft een ondertekende envelope terug, die direct wordt toegepast.

Wanneer er geen netwerk is (gesloten perimeter, overheidsegment, geïsoleerd testbed), verloopt activering via bestanden:

1. In het beheerpaneel → «Licentieaanvraag genereren» → request.rsgreq opslaan op een USB-stick.
2. In het klantportaal op de site → «Offline activeren» → .rsgreq uploaden → license.rsglic ontvangen.
3. De .rsglic terug uploaden in het beheerpaneel. Klaar.

Wat gebeurt er bij verloop

Na verloop van de proefperiode of een tijdelijke licentie schakelt RSG over naar bypass-modus — de bescherming wordt uitgeschakeld, Revit Server werkt zoals vóór de installatie van RSG. Dit is opzettelijk: we willen niet dat een klant op vrijdagavond om 23:50 in een kapotte productie loopt. Zodra de licentie hersteld is, keert RSG automatisch terug naar full-modus.

09 ConfiguratieDit scherm beheert Configuratie: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

07 — Installatie

In één avond: van installer tot eerste rol.

RSG installeert via een Windows-installer (MSI of EXE). Geen docker, geen kubernetes, geen externe afhankelijkheden behalve de.NET 8 LTS Runtime — die ofwel al op Windows Server 2022/2025 is geïnstalleerd, ofwel door de installer wordt opgehaald.

Wat u nodig heeft vóór installatie

• Windows Server 2019 / 2022 / 2025 op dezelfde host als Revit Server.
• Een account met admin-rechten op die host.
• Alleen-lezen-toegang tot de RS-database (RSG schrijft er niet in, leest alleen project-metadata).
• Eén vrije TCP-poort (8086 standaard) — RSG.Proxy bindt zich daaraan.
• ~250 MB schijfruimte voor de installatie, ~5 GB voor het auditlogboek over zes maanden.

Stappen

1. RSG-Setup-1.0.0.exe downloaden vanuit uw klantportaal.
2. De installer als administrator starten. Proxypoort en pad naar de RS-database opgeven.
3. http://localhost:5080 openen — de eerste-start-wizard vraagt om een superuser voor het beheerpaneel aan te maken.
4. Gebruikers importeren vanuit AD (één klik) of handmatig toevoegen.
5. Een eerste toegangsregel aanmaken op een testproject.
6. Revit-clients omleiden naar de nieuwe proxypoort (via DNS of Group Policy).

Configuratie

De meeste instellingen staan in appsettings.json van RSG.Server. De meeste admins komen er nooit aan — alles is configureerbaar via de UI — maar soms is het nodig.

08 — Compatibiliteit

Werkt met wat u al heeft.

RSG is ontworpen voor bestaande installaties, niet voor groene weiden. Geen vereiste van een nieuwe Windows-versie, een nieuwe Revit Server-versie of een schone infrastructuur. Het werkt met wat er al staat.

Prestaties

De proxy voegt onder typische belasting ~3–8 ms latency per aanvraag toe (gemeten op Xeon E-2336, Windows Server 2022, 100 gelijktijdige Revit-clients). Voor de gebruiker niet merkbaar — Revit staat sowieso niet bekend om bliksemsnelle netwerkbewerkingen.

• RAM: 200–400 MB resident bij 100 actieve gebruikers.
• CPU: <5 % van één core onder piekbelasting.
• Disk I/O: ~15 MB/uur auditlogboek bij 100 gebruikers.
• Network: bijna nul overhead — RSG buffert niet, het stuurt het verkeer door.

10 StatistiekDit scherm beheert Statistiek: gegevens, filters, acties en export staan in het RSG-beheerpaneel.

09 — Beveiliging

Wat RSG beschermt — en wat het niet doet.

Eerlijk: RSG is geen wondermiddel. Het pakt één specifieke klasse van problemen aan — autorisatie van toegang tot Revit Server. Hieronder — wat in het bedreigingsmodel zit, en wat erbuiten valt.

In het bedreigingsmodel van RSG

• Een insider met legitieme AD-toegang die andermans projecten probeert te lezen. Afgedekt: project + sectie + actie-controle bij elke aanvraag.
• Een onderaannemer wiens contract afliep maar wiens AD-account nog niet is uitgeschakeld. Afgedekt: regels met validUntil en denyOnExpired: true.
• Een lek via een nepsite of nep License API. Afgedekt: de licentie is ondertekend met ECDSA P-256, de sleutel is in de client ingebed. De site vervangen zonder de privésleutel is onmogelijk.
• Verplaatsing van een licentie naar andermans machine. Afgedekt: machine fingerprint in de payload, gevalideerd bij elke servicestart.

Buiten het bedreigingsmodel van RSG

• Een gecompromitteerde AD-server. Als een aanvaller DA-rechten verkrijgt — krijgt hij ook toegang tot RSG.AdminPanel. Dat is een AD-beveiligingsprobleem, niet van RSG.
• Fysieke toegang tot de RSG-host. Met lokale admin-toegang kan de service worden gestopt. Bescherming op infrastructuurniveau — bitlocker, fysieke controle.
• Schermafbeeldingen en foto's van het scherm. Als een gebruiker legitieme toegang tot een project heeft, kan hij het zien en fotograferen. RSG is geen DLP-oplossing.
• Lekken via lokale Revit-bestanden. Wanneer een Revit-client een lokale kopie van een project downloadt, leeft die fysiek op de schijf van de gebruiker. Dat vereist schijfversleuteling en DLP.

Cryptografie

• Licentie-ondertekening: ECDSA P-256 + SHA-256, formaat IEEE P1363, lengte 64 bytes.
• Communicatie met de License API: TLS 1.2+, certificaatvalidatie.
• Intern verkeer AdminPanel ↔ RSG.Server: HTTPS met zelfondertekend certificaat standaard (vervangbaar door een bedrijfscertificaat).
• Opslag van de privésleutel voor ondertekening aan onze kant: managed key vault met rotatiebeleid.

10 — FAQ

Veelgestelde vragen — specifiek over RSG.

Wat gebeurt er als RSG.Server 's nachts uitvalt?

In dat geval schakelt RSG.Proxy over naar fail_open- of fail_closed-modus — configureerbaar. Standaard fail_open: als het brein onbereikbaar is, laat de proxy verkeer naar Revit Server door zonder controles (alsof RSG er niet was). Dat geeft veilig gedrag bij een RSG-storing: de business blijft werken. Als de eisen van uw bedrijf het tegenovergestelde zijn — liever alles blokkeren dan een lek riskeren — stelt u fail_closed in.

En als de MAC van een netwerkkaart verandert?

De fingerprint verandert, en de licentie wordt afgewezen. Twee oplossingen: ofwel quantity = 2 instellen bij aankoop (dan is de licentie geldig voor twee fingerprints en kunt u één extra activering gebruiken), ofwel een herafgifte aanvragen vanuit uw klantportaal — gratis en direct.

Kan RSG in HA-configuratie draaien (twee nodes)?

Op dit moment (v2.4.x) — nee, alleen single-instance. HA-configuratie staat op de roadmap voor v3.0. Als workaround houden teams meestal een tweede «koude» node met dezelfde configuratie en schakelen ze DNS over bij een storing.

Leest RSG .rvt-bestanden?

Nee. RSG werkt op het netwerkprotocolniveau van Revit Server — het ziet SOAP-aanvragen, projectmetadata, sectienamen. Het parseert of bewaart geen modelinhoud. Voor controle op contentniveau (DLP op basis van wat in modellen staat) heeft u aparte oplossingen nodig.

Hoeveel licenties zijn er nodig voor twee Revit Servers?

Twee — elke licentie is gekoppeld aan één fingerprint, en de fingerprints van twee hosts zijn verschillend. Kortingen voor multi-server-configuraties worden per geval geoffreerd, schrijf naar info@.

Kan ik migreren vanaf een eigen oplossing?

Als u een matrix «gebruiker × project × recht» in Excel/CSV/SQL heeft — import in RSG wordt ondersteund via de CLI rsg-import. Als uw eigen oplossing iets complexers doet (bijv. rechten op basis van geometrische eigenschappen binnen het model) — RSG dekt dat niet, dat deel zult u moeten laten zoals het was.

Klaar om het te proberen?

Installeer RSG vandaag naast Revit Server.90 dagen proefperiode, geen creditcard.

Download de installer vanuit uw klantportaal, zet hem op dezelfde host als RS, geef hem een half uur. Tegen de avond ziet u wat RSG doet wat Revit Server out-of-the-box niet doet.