3. 远程接入方式与网络规划
远程运维的第一道门槛不是软件功能，而是"能不能安全地到达设备"。ctrlX CORE 通常位于客户现场的内网，运维工程师在办公室或家中，两者之间隔着运营商网络、企业防火墙和 NAT。本节围绕 VPN、防火墙、端口映射、4G/5G 路由四条主线，说明各自的适用场景与风险，并给出一个可落地的远程接入拓扑设计方法。
一、四种接入方式的定位
端口映射（DNAT）是最直接的方式：在出口路由器上把公网 IP 的某个端口转发到 ctrlX CORE 的 443 或 22 端口。它的优点是零客户端配置，浏览器直接访问；缺点是设备一旦暴露在公网，就会持续承受扫描与暴力破解。若必须使用，应同时限制源 IP、改用非默认端口、启用强口令与密钥认证，并关闭不必要的服务。
VPN 是工业远程运维的主流方案。它先在公网之上建立一条加密隧道，让远端主机获得一个内网地址，再像在本地一样访问设备。常见两类：IPsec/L2TP 类站点到站点或拨号 VPN，适合路由器对路由器；SSL VPN（OpenVPN、WireGuard）适合单台工程师电脑接入。WireGuard 配置简洁、握手快，适合中小规模；OpenVPN 兼容性好，适合需要 TCP 443 穿透严格防火墙的场景。
防火墙策略决定"隧道通了之后能做什么"。即使 VPN 建立成功，也应遵循最小权限：只放行运维网段到 ctrlX CORE 的 443（Web/API）、22（SSH）和必要的 OPC UA 4840 端口，禁止该网段访问产线 PLC 的其他端口。建议把远程运维流量单独划入一个 VLAN 或安全域，与生产控制网做策略隔离。
4G/5G 路由解决"现场没有可用有线网络"的问题。在设备侧加装工业 4G/5G 路由器，通过 SIM 卡拨号上网，再在其上建立 VPN 隧道回连总部。这种方式部署快，但要注意流量资费、信号覆盖、公网 IP 是否可获取（多数运营商分配的是内网地址，需要借助 VPN 服务端或中继）。
二、方案对比与选型依据
| 方式 | 典型时延 | 安全性 | 部署成本 | 适用场景 |
|---|---|---|---|---|
| 端口映射 | 低 | 低 | 最低 | 临时调试、有固定公网 IP |
| SSL VPN | 中 | 高 | 中 | 工程师单点接入、多客户现场 |
| IPsec 站点 VPN | 中 | 高 | 中高 | 总部与现场路由器长期互联 |
| 4G/5G + VPN | 较高 | 高 | 中 | 无有线网络、移动设备 |
选型时先问三个问题：现场是否有稳定有线网络？是否已有可管理的出口路由器？运维是长期常态还是偶发？若三者答案分别是"有、有、长期"，优先站点 VPN；若现场无网且设备分散，选 4G/5G 路由加 VPN；若只是偶尔看一眼，可考虑带访问控制的临时端口映射，但必须限时启用。
三、一个可落地的远程接入拓扑
下面给出一个典型设计：总部运维网段 10.10.0.0/24，VPN 服务端地址 10.10.0.1；现场 ctrlX CORE 内网地址 192.168.10.20，现场 4G 路由器 LAN 口 192.168.10.1，通过 WireGuard 与总部建立隧道，隧道地址分别为 10.10.0.2（现场路由器）与 10.10.0.100（工程师电脑）。
该拓扑的关键点有三处。第一，隧道两端使用独立的 10.10.0.0/24 网段，避免与现场 192.168.10.0/24 冲突；若冲突，需在路由器上做 NAT 或改用其他网段。第二，防火墙策略只放行必要端口，且源地址限定为运维网段，而不是 any。第三，现场路由器承担"拨号 + 隧道 + 转发"三重角色，需确认其支持 WireGuard 或 OpenVPN，并具备断线重连能力。
四、配置要点与验证方法
以 WireGuard 为例，现场路由器生成密钥对，公钥登记到总部服务端；总部服务端配置对端 AllowedIPs 为 10.10.0.2/32 与 192.168.10.0/24，现场侧 AllowedIPs 为 10.10.0.0/24。启用后，在工程师电脑上执行：
# 查看隧道握手状态
wg show
# 测试到现场路由器的连通性
ping 10.10.0.2
# 测试到 ctrlX CORE 的 Web 端口
curl -k -I https://192.168.10.20
判断依据：wg show 中 latest handshake 在 2 分钟内、transfer 有收发字节，说明隧道正常；ping 通 10.10.0.2 说明隧道层可达；curl 返回 200 或 401 说明应用层可达。若 ping 通但 curl 超时，通常是防火墙未放行 443，或 ctrlX CORE 的 Web 服务未启用。
五、网络规划检查清单
- 网段规划：总部、隧道、现场三者地址不重叠，预留扩展空间。
- 地址分配：现场设备建议 DHCP 保留或静态绑定，避免 IP 漂移导致运维脚本失效。
- 带宽与流量：4G/5G 方案需估算月流量，远程桌面或大文件传输会显著增加消耗。
- 冗余：关键现场可配置双 SIM 或有线备份，隧道启用 keepalive 自动重连。
- 安全：启用密钥认证、禁用口令登录、限制源地址、开启日志审计。
- 可维护性：记录隧道参数、公钥、端口、策略编号，形成现场接入档案。