📚 课程目录第3章远程接入通道与网络架构

3. 远程接入通道与网络架构

车间监控系统要支持远程运维，核心不是“能不能连上”，而是“连得稳、连得安全、连得可管”。远程接入通道的选择与网络架构设计，直接决定了后续诊断效率、故障恢复速度以及生产网的安全边界。本节从通道类型、安全隔离区、NAT穿透和端到端链路搭建四个层面展开，帮助读者建立可落地的远程接入方案。

一、四种主流远程接入通道的定位与取舍

远程接入通道没有绝对优劣，只有场景匹配。车间现场常见的四种方式如下：

VPN（IPsec/SSL VPN）：适合已有互联网出口、需要低成本快速接入的场景。IPsec 常用于站点到站点（Site-to-Site）隧道，SSL VPN 更适合运维人员单点接入。优点是部署灵活、成本低；缺点是依赖公网质量，延迟和抖动不可控。
专线（MPLS/SD-WAN）：适合对稳定性、时延和安全性要求高的多车间场景。专线提供固定带宽和 SLA 保障，但月租高、开通周期长。SD-WAN 可在专线基础上叠加智能选路，兼顾成本与质量。
5G/4G 无线接入：适合布线困难、设备分散或临时应急的场景。5G 理论下行可达数百 Mbps、时延约 10～20 ms，但实际受基站负载和信号覆盖影响较大。建议作为主通道的备份或临时通道，不建议单独承载关键控制流量。
工业防火墙 + NAT 穿透：不是独立通道，而是通道上的安全与可达性增强手段。工业防火墙负责区域隔离与协议过滤，NAT 穿透解决内网设备无公网地址时的可达问题。

二、安全隔离区（DMZ）设计：让远程流量“有去无回”

远程运维最忌讳的是把公网流量直接放进生产网。正确做法是在生产网与公网之间设置安全隔离区（DMZ），所有远程接入先落到 DMZ，再由 DMZ 内的跳板机或运维代理按需访问生产设备。DMZ 的核心原则是：生产网不主动访问公网，公网不能直接访问生产网。

典型 DMZ 部署包含三部分：外侧防火墙（连接公网/运营商）、DMZ 区（部署 VPN 网关、跳板机、日志审计）、内侧防火墙（连接生产网）。内侧防火墙只放行跳板机到指定设备、指定端口的流量，例如只允许 10.10.20.15 访问 PLC 的 502 端口和 HMI 的 3389 端口，其余一律拒绝。这样即使 VPN 账号泄露，攻击者也只能到达 DMZ，无法直接横向进入生产网。

建议在 DMZ 跳板机上开启会话录制与命令审计，所有远程操作可追溯。对于关键 PLC，可进一步采用“只读镜像”方式，远程只能看不能改，修改操作必须走现场授权。

三、NAT 穿透：内网设备没有公网地址怎么办

车间内大量 PLC、HMI、摄像头使用 192.168.x.x 或 10.x.x.x 私网地址，公网无法直接访问。常见穿透方式有三种：

端口映射（DNAT）：在出口路由器上把公网 IP 的某端口映射到内网设备。配置简单，但暴露面大，不建议直接映射 PLC 的 502 或 102 端口。
反向隧道：由现场侧主动向云端运维服务器建立长连接，远程侧通过云端转发访问。现场无需公网 IP，适合 4G/5G 场景。常用工具包括 frp、WireGuard 配合中继。
VPN 内网直达：先建立 VPN 隧道，远程终端获得虚拟内网地址后直接访问设备私网地址。这是最推荐的方式，因为流量全程加密且不暴露单个设备端口。

以 WireGuard 为例，现场网关配置如下（示例参数，需按实际网络替换）：

[Interface]
Address = 10.8.0.2/24
PrivateKey = <现场网关私钥>
ListenPort = 51820

[Peer]
PublicKey = <云端服务器公钥>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.8.0.0/24, 192.168.10.0/24
PersistentKeepalive = 25

其中 AllowedIPs 决定了哪些目标网段走隧道。现场网关把 192.168.10.0/24（车间设备网段）加入隧道后，远程运维终端即可通过 10.8.0.1 访问 192.168.10.50 的 PLC。配置完成后，用 ping 192.168.10.50 和 telnet 192.168.10.50 502 验证连通性，若 ping 通但端口不通，通常是内侧防火墙未放行或 PLC 未开启对应服务。

四、端到端链路搭建实战

下面以“车间现场 → 运营商 → 云端运维中心 → 运维终端”为例，说明一条完整链路的搭建过程。假设现场出口为 4G 路由器，云端有一台具备公网 IP 的运维服务器。

第一步：现场侧组网。 4G 路由器 LAN 口连接工业交换机，PLC、HMI 接入交换机，网段规划为 192.168.10.0/24。路由器开启 DHCP，但 PLC 建议使用静态 IP，例如 PLC1 为 192.168.10.50，HMI1 为 192.168.10.60。

第二步：建立反向隧道。 在现场网关（可用树莓派或工业边缘网关）上运行 WireGuard，主动连接云端服务器。由于 4G 网络通常没有公网 IP，必须由现场主动发起连接，云端保持监听。

第三步：云端配置转发与访问控制。 云端服务器开启 IP 转发，并配置防火墙只允许授权运维终端访问 10.8.0.2 后的 192.168.10.0/24。示例规则：

iptables -A FORWARD -i wg0 -o wg0 -s 10.8.0.0/24 -d 192.168.10.0/24 -j ACCEPT
iptables -A FORWARD -i wg0 -o wg0 -s 192.168.10.0/24 -d 10.8.0.0/24 -j ACCEPT

第四步：验证与观察。 运维终端连接 VPN 后，先 ping 10.8.0.2 确认隧道通，再 ping 192.168.10.50 确认路由通，最后用监控软件连接 PLC 读取一个寄存器值。若读取成功，说明端到端链路可用；若超时，按“隧道→路由→防火墙→设备服务”顺序逐段排查。

整条链路的关键判断点有三个：一是隧道是否建立成功（现场网关日志出现 handshake 成功）；二是路由是否可达（云端能 ping 通 10.8.0.2）；三是安全策略是否放行（内侧防火墙命中允许规则）。任何一段不通，都会表现为“远程连不上 PLC”，因此建议在运维平台上把这三段状态分别可视化，缩短排障时间。

不要把 PLC 的编程端口直接映射到公网，也不要在 DMZ 跳板机上保存生产网设备的明文密码。远程接入方案应遵循最小权限原则：能只读就不给写，能单设备就不给整网段，能临时开通就不长期放行。

总结来看，远程接入通道的选择应结合现场网络条件、安全等级和运维频率综合决定。对于大多数车间监控系统，推荐“VPN/反向隧道 + DMZ 跳板机 + 工业防火墙端口白名单”的组合架构，既控制了成本，又守住了生产网的安全边界。5G/4G 可作为备份通道，专线适合多车间集中运维场景。链路搭建完成后，务必用分段验证法确认隧道、路由、策略、设备服务四层均正常，才能交付使用。