2. 工业远程运维基础
工业远程运维并不是“把现场电脑连上网”这么简单。它建立在工业控制系统（ICS）的分层结构之上，依赖 SCADA、DCS、PLC、RTU 等现场设备与上位系统协同工作，再通过 VPN、跳板机、远程桌面等通道把运维人员的安全操作延伸到生产网络内部。理解这些基本概念，是后续讨论零信任安全策略的前提。
一、核心概念：ICS、SCADA、DCS、PLC、RTU
工业控制系统（ICS）是用于控制工业过程的各类系统总称，涵盖 SCADA、DCS、PLC、RTU、HMI、历史数据库等。它强调实时性、可用性和确定性，与普通 IT 系统最大的区别在于：一次误操作可能直接导致停产、设备损坏甚至人身安全事故。
- SCADA（数据采集与监视控制）：面向广域、分散的现场，典型用于电力、水务、油气管道。它通过 RTU/PLC 采集数据，在调度中心集中监视与控制，强调“遥测、遥信、遥控、遥调”。
- DCS（分布式控制系统）：面向连续生产过程，如化工、炼油、造纸。控制器分散在现场，操作站集中在控制室，强调闭环调节和高可靠性。
- PLC（可编程逻辑控制器）：现场控制核心，执行梯形图、功能块等逻辑，直接驱动阀门、电机、变频器。它是远程运维最常接触的设备之一。
- RTU（远程终端单元）：常用于无人值守站点，把现场信号转换为 SCADA 可识别的数据，具备较强的环境适应性和通信能力。
一句话区分：SCADA 管“面”，DCS 管“线”，PLC 管“点”，RTU 管“远端”。它们共同构成从现场到调度中心的工业控制链路。
二、远程运维的常见模式：VPN、跳板机、远程桌面
工业远程运维的通道设计，核心是“如何让运维人员安全地到达现场设备”。常见模式有三类：
- VPN 模式：在运维终端与现场网络之间建立加密隧道，使运维人员像在本地一样访问 PLC、HMI、工程师站。优点是通用性强，缺点是 VPN 一旦接入，权限边界往往过宽，容易形成“一次接入、全网可达”的风险。
- 跳板机模式：运维人员先登录跳板机，再从跳板机访问目标设备。跳板机可集中做身份认证、命令审计和会话录制，是当前工业远程运维的主流做法。
- 远程桌面模式：通过 RDP、VNC 等协议直接操作现场工程师站或 HMI。它适合图形化组态软件，但需要严格控制剪贴板、文件传输和本地磁盘映射。
实际项目中，这三种模式经常组合使用：先 VPN 接入运维区，再经跳板机登录，最后通过远程桌面操作工程师站。零信任改造的重点，就是在这条链路上逐段收敛权限，而不是只依赖一层 VPN。
三、运维协议与接口：Modbus、OPC UA、MQTT、SSH、RDP
远程运维离不开协议。不同协议的安全能力差异很大，理解它们有助于判断风险点。
| 协议 | 典型用途 | 安全特点 | 远程运维关注点 |
|---|---|---|---|
| Modbus | PLC、RTU、仪表通信 | 无认证、无加密，明文传输 | 禁止直接暴露公网，需网关隔离 |
| OPC UA | 跨平台数据建模与交换 | 支持证书、签名、加密 | 可做细粒度访问控制，适合零信任 |
| MQTT | 物联网、远程遥测 | 轻量，支持 TLS 和账号认证 | 注意主题权限与 Broker 安全 |
| SSH | 设备命令行运维 | 加密、支持密钥认证 | 禁用密码登录，集中管理密钥 |
| RDP | 远程桌面操作 | 加密，但暴露面大 | 限制来源、启用 NLA、审计会话 |
下面是一个典型的远程运维连接示例，运维人员通过跳板机访问现场 PLC：
# 运维终端 -> 跳板机（SSH 密钥认证）
ssh -i ~/.ssh/ops_key ops@jump-gateway.example.com
# 跳板机 -> 现场工程师站（RDP 隧道）
ssh -L 13389:10.10.20.15:3389 ops@jump-gateway.example.com
# 本地 RDP 客户端连接本地映射端口
mstsc /v:127.0.0.1:13389
在零信任架构中，跳板机不应只是“中转站”，而应成为策略执行点：每次连接都要重新验证身份、设备状态和访问上下文，而不是登录一次就长期信任。
四、场景与误区：一次远程调试的复盘
某化工厂需要远程调试 DCS 控制器。最初方案是让厂商工程师通过 VPN 直接接入控制网，结果发现该工程师的笔记本同时连接互联网，存在横向移动风险。复盘后改为：厂商先接入隔离运维区，再通过跳板机登录工程师站，全程录屏，且只开放特定 PLC 的 102 端口。这样既满足调试需求，又把暴露面压缩到最小。
常见误区包括：
- 把 VPN 当成安全边界：VPN 只解决传输加密，不解决权限过大和终端可信问题。
- 忽视协议本身缺陷：Modbus 无认证，直接暴露等于把控制权交给任何人。
- 跳板机只做转发不做审计：没有会话录制和命令审计，事后无法追溯。
- 远程桌面开放剪贴板：可能成为恶意文件进入生产网的通道。
工业远程运维的第一原则是“最小必要”：只开放必须的协议、端口和设备，只允许必须的人员在必须的时间访问。任何“先连上再说”的做法，都会在零信任评估中成为高风险项。
掌握 ICS、SCADA、DCS、PLC、RTU 的定位，理解 VPN、跳板机、远程桌面的组合方式，并看清 Modbus、OPC UA、MQTT、SSH、RDP 的安全特性，才能为后续零信任身份、设备、网络与行为策略打下坚实基础。