3. 远程连接方式总览
远程诊断与运维的第一步，是让工程师的电脑能够“到达”现场 PLC。这个“到达”的方式决定了后续所有操作的安全边界、稳定性和可维护性。本节把常见方案放在同一张图上对比，重点不是记住名词，而是理解每种方案在什么条件下成立、代价是什么、风险在哪里。
四种主流接入路径
VPN（虚拟专用网络）：在工程师侧设备与现场网络之间建立加密隧道，使远程终端像接入现场局域网一样访问 PLC。典型实现包括 IPSec VPN、OpenVPN、WireGuard，以及设备厂商自带的 VPN 功能（如 GX Works3 配合远程维护模块）。适用条件是现场有可用的互联网出口、有一台能作为 VPN 服务端或客户端的设备（路由器、工控机或专用模块），并且现场网络允许建立隧道。优点是加密、可访问整个网段、支持广播/组播类协议；缺点是配置相对复杂，需要管理密钥和账号，一旦 VPN 网关被攻破，攻击面会扩展到整个现场网络。
端口映射（NAT 端口转发）：在边界路由器上把公网 IP 的某个端口直接映射到 PLC 的以太网端口（如 MELSEC iQ-R 的 CPU 内置以太网口或以太网模块）。适用条件是现场有固定公网 IP、路由器可控、且只暴露少量端口。优点是配置简单、无需额外软件；缺点是 PLC 协议（如 SLMP、MC 协议）本身没有强认证和加密，暴露在公网等于把控制端口直接开放，极易被扫描和攻击。因此端口映射只适合临时、短时、配合白名单和强口令的场景，不建议长期使用。
蜂窝路由（4G/5G 工业路由器）：现场没有有线宽带时，用工业蜂窝路由器提供互联网出口，再在其上叠加 VPN 或端口映射。适用条件是现场布线困难、设备分散、需要快速上线。优点是部署快、不依赖现场 IT；缺点是受运营商网络质量影响，延迟和抖动较大，流量费用和公网 IP 策略（多数为 NAT 后的私网地址）会限制端口映射，通常需要配合 VPN 或云平台中转。
云网关（远程维护平台/边缘网关）：现场部署一台边缘网关，主动向云平台建立出站连接，工程师通过云平台访问设备。适用条件是设备数量多、需要统一管理、现场 IT 不愿开放入站端口。优点是无需公网 IP、无需入站端口、支持多站点集中运维；缺点是依赖云服务可用性，数据经过第三方，需评估合规与数据主权，且部分平台对底层协议支持有限。
风险对比与选型逻辑
把四种方案放在一起看，核心差异在于“谁主动发起连接”和“暴露了什么”。端口映射是现场被动等待公网连接，暴露的是 PLC 端口本身；VPN 是工程师主动拨入，暴露的是 VPN 网关；云网关是现场设备主动出站，公网侧几乎不暴露入站端口。从攻击面看，云网关和 VPN 明显优于端口映射。
从稳定性看，有线 VPN 最稳，蜂窝路由受信号和基站切换影响，云网关则取决于平台和现场上行带宽。从运维成本看，端口映射最省事但最危险，VPN 需要维护密钥和账号，云网关需要平台订阅和边缘设备管理。
| 方案 | 适用条件 | 主要风险 | 推荐场景 |
|---|---|---|---|
| VPN | 有互联网出口、可管理密钥 | 网关被攻破后全网暴露 | 长期、需访问整个网段 |
| 端口映射 | 固定公网 IP、临时使用 | 协议无加密、易被扫描 | 仅限短时应急 |
| 蜂窝路由 | 无有线、需快速上线 | 延迟抖动、流量费用 | 分散站点、移动设备 |
| 云网关 | 多站点、IT 不允许入站 | 依赖云服务、数据经第三方 | 集中运维、规模化 |
实操建议：以 iQ-R 为例的接入检查
无论选哪种方式，在真正连接 iQ-R 之前，建议先确认以下参数与状态，避免“连上了但通不了”：
- PLC 侧 IP 与端口：确认 CPU 内置以太网口或以太网模块的 IP 地址、子网掩码、默认网关；SLMP/MC 协议默认端口通常为 5000（TCP/UDP），需与远程侧映射或路由一致。
- 路由可达性：从工程师终端 ping 现场网关，再 ping PLC IP，确认逐跳可达；若使用 VPN，检查隧道建立后路由表是否包含现场网段。
- 防火墙策略：现场边界设备需放行对应端口；云网关方案则确认出站 443/8883 等端口未被封禁。
- 认证与权限：VPN 使用证书或强口令，云平台启用双因素；PLC 侧如支持，启用访问权限设置，限制可写操作。