2. 工业网关远程访问架构解析
要治理工业网关的远程访问安全，第一步不是选加密算法，而是把“网关站在哪里、谁能从哪条路进来、进来之后能碰到什么”这三件事画清楚。工业网关（Industrial Gateway）本质上是OT网络与外部世界之间的协议翻译与数据汇聚节点：向下通过Modbus TCP、Profinet、EtherNet/IP、OPC UA等协议采集PLC、DCS、变频器、仪表的数据，向上以MQTT、HTTPS、OPC UA或私有协议把数据送到SCADA、MES、云平台或远程运维中心。它的位置决定了它天然是一个“被信任的中间人”，也决定了它一旦被攻破，攻击者可以借它横向进入控制层。
一、网关在OT网络中的位置
典型的工业网络按Purdue模型分层：Level 0现场设备（传感器、执行器）、Level 1控制器（PLC、RTU）、Level 2监控层（HMI、SCADA）、Level 3.5 DMZ、Level 4/5企业网与云。工业网关通常部署在Level 2与Level 3之间，或直接作为Level 3.5 DMZ中的边界设备。它一侧连接控制层交换机，另一侧连接企业网或4G/5G路由器，因此它同时拥有两个网段的接口，是名副其实的“双宿主机”。
这个位置带来两个关键事实：第一，网关的OT侧接口通常能直接访问PLC的502/102/44818端口，攻击者若控制网关，就等于拿到了控制层的“内线”；第二，网关的IT侧接口往往暴露在可被互联网扫描的地址上，是外部攻击的第一入口。因此，网关的安全属性不是“一个普通设备”，而是“信任边界的守门人”。
二、远程访问通道类型
远程访问通道按“谁主动发起连接”可分为三类，安全含义完全不同。
- 入站直连型：外部通过端口映射（NAT）或公网IP直接访问网关的Web管理页、SSH或Modbus端口。典型如“把网关502端口映射到公网”。这类通道攻击面最大，扫描器可直接发现，应尽量避免。
- 出站隧道型：网关主动向远程运维平台发起VPN或反向隧道（如WireGuard、OpenVPN、frp、MQTT over TLS）。外部无法直接扫描到网关，连接由内向外建立，攻击面显著缩小，是当前主流推荐方式。
- 跳板/代理型：运维人员先登录企业VPN，再经堡垒机跳转到网关。通道本身不直接暴露，但依赖企业身份体系，一旦VPN账号泄露，风险会传导到OT侧。
三类通道的核心差异在于“连接发起方向”和“暴露面”。出站隧道型之所以更安全，是因为它把网关从“被动等待连接”变成“主动注册上线”，外部扫描不到监听端口，且平台侧可统一做身份认证、会话录制和权限收敛。
三、常见部署模式
实际项目中常见四种部署模式，安全能力依次增强：
- 透明桥接模式：网关串接在PLC与SCADA之间，二层透传，不改变IP规划。优点是改造小，缺点是网关本身若被攻破，流量可被任意篡改，且难以做访问控制。
- 路由/NAT模式：网关作为三层边界，OT侧与IT侧不同网段，通过NAT隐藏PLC真实地址。这是最常见的模式，可在网关上配置ACL，只允许特定源IP访问特定PLC端口。
- DMZ双网关模式：OT侧网关与IT侧网关分置于DMZ两侧，中间通过数据代理或单向网关（数据二极管）连接。即使IT侧网关被攻破，也无法直接下发控制指令到OT侧，适合高安全等级场景。
- 零信任代理模式：网关不开放任何入站端口，仅通过出站mTLS与零信任控制面保持长连接，所有访问请求由控制面鉴权后经隧道转发。这是当前远程运维安全治理的目标形态。
四、信任边界与信任流
信任边界不是一条线，而是一组“跨越点”。在工业网关场景中，至少存在四个信任跨越点：互联网到企业网、企业网到DMZ、DMZ到OT控制层、OT控制层到现场设备。每跨越一次，都应有独立的身份认证、访问控制和审计。很多事故的根因，是把“企业网内网”默认为可信，于是网关的IT侧接口不做认证，攻击者一旦进入办公网即可直达PLC。
下面这张图把网关位置、三类通道、四种部署模式和四个信任跨越点整合在一张拓扑中，便于对照理解。
五、从架构到治理的落点
把上述架构落到治理动作上，可以形成三条判断依据。第一，看网关是否具备“出站优先”能力：如果它只能被动监听，就应通过前置代理或反向隧道改造，而不是简单加防火墙规则。第二，看信任边界是否“逐跳收敛”：企业网到DMZ、DMZ到OT应分别做认证，不能因为同属内网就放行。第三，看部署模式是否与数据流向匹配：只读采集场景可用单向网关，需要远程下发参数的场景则必须保留双向通道，但双向通道要叠加命令白名单和操作审计。
理解网关的位置、通道与边界，是后续做访问控制、身份认证和审计策略的前提。架构不清，任何加密和防火墙配置都可能只是把风险从一个跨越点挪到另一个跨越点。