4. PLC远程连接建立

当PLC位于客户现场、而你身处办公室或异地时，要让TIA Portal像在本地一样“在线访问”到PLC，本质上要解决三件事：网络可达（能路由到现场公网出口）、端口可通（现场出口把访问请求转发到PLC或现场网关）、身份可信（只有授权人员能进入现场网络）。围绕这三点，工程上常见两条路线：一条是路由器端口映射，把PLC的ISO-on-TCP端口直接暴露到公网；另一条是VPN，先建立加密隧道，再在隧道内访问PLC。前者配置简单但风险高，后者更安全、更适合长期运维。

一、先明确要“通”的是什么端口

S7-1200/1500与TIA Portal在线访问，主要依赖以下通信关系：

因此，无论走哪条路线，最终都要保证TCP 102能从远程客户端到达PLC的IP地址。若现场有多台PLC，还需要区分各自IP，避免端口映射冲突。

二、方案A：路由器端口映射（仅建议临时、受控使用）

假设现场路由器WAN口为公网IP 203.0.113.25，PLC为192.168.0.10，端口102。配置思路如下：

1. 在路由器“端口转发/虚拟服务器”中新增规则：外部端口1102（建议非102，降低被扫描概率），内部IP192.168.0.10，内部端口102，协议TCP。
2. 保存后，在远程电脑上用telnet 203.0.113.25 1102或Test-NetConnection验证端口是否开放。
3. 在TIA Portal中，项目树选中PLC → 在线访问 → 选择本机网卡 → “添加设备/编辑地址”，输入203.0.113.25，端口填1102，然后“在线”连接。

三、方案B：VPN隧道（推荐用于长期运维）

VPN的核心是让远程电脑获得一个现场内网地址，例如现场内网为192.168.0.0/24，VPN服务器给远程客户端分配192.168.0.200。这样TIA Portal只需把目标地址写成PLC真实IP192.168.0.10，无需端口映射。

以常见的IPsec/IKEv2或SSL VPN为例，配置要点：

• 现场路由器/防火墙启用VPN服务，创建用户账号与预共享密钥或证书。
• 远程客户端安装VPN客户端，导入配置，连接后确认获得192.168.0.x地址。
• 在远程电脑执行ping 192.168.0.10，确认能到达PLC。
• TIA Portal在线访问选择本机VPN虚拟网卡，目标地址填192.168.0.10，端口保持默认102。

VPN方案下，PLC的IP对远程端“看起来”就是内网地址，TIA Portal的在线访问、下载、监控、诊断缓冲区读取等操作与本地一致，且流量经过加密，安全性明显优于端口映射。

四、TIA Portal在线访问的关键设置

无论哪种方案，TIA Portal侧都要注意：

1. 网卡选择：在线访问接口必须选对——端口映射时选本机物理网卡，VPN时选VPN虚拟网卡。选错网卡会导致“无法到达设备”。
2. 目标地址与端口：端口映射时填公网IP+外部端口；VPN时填PLC内网IP+102。
3. PG/PC接口：在控制面板“设置PG/PC接口”中，确认S7ONLINE指向正确的网卡和协议（如“TCP/IP → 本机网卡”）。
4. 防火墙：远程电脑和现场路由器都要放行对应端口，Windows防火墙不要拦截TIA Portal进程。

五、验证与排障

连接建立后，按以下顺序验证：

1. 网络层：ping目标IP是否通。
2. 端口层：Test-NetConnection 目标IP -Port 102（或映射后的外部端口）是否成功。
3. TIA Portal层：点击“在线”，能否看到PLC型号、机架、槽号，能否打开“在线和诊断”查看诊断缓冲区。
4. 功能层：尝试一次“下载到设备”或“监控表”在线监控，确认读写正常。

若第1步不通，检查VPN是否连接、路由是否指向隧道；若第2步不通，检查端口映射规则、防火墙、运营商是否封禁端口；若第3步不通但前两步正常，检查TIA Portal网卡选择、PG/PC接口设置以及PLC是否允许远程访问（如“允许来自远程对象的PUT/GET通信访问”）。

六、一份可执行的远程连接检查清单

把上述配置和验证流程固化下来，远程连接就不再是“碰运气”。现场路由器、VPN账号、PLC IP、端口号这些信息应记录在运维档案中，下次排障时可直接对照检查，快速定位是网络、端口还是TIA Portal设置的问题。