Удалённый доступ к ПЛК, HMI и полевых устройствам необходим в промышленной автоматизации для запуска, обслуживания и диагностики. Две популярные архитектуры включают промышленные шлюзы с поддержкой VPN и облачные решения для удалённого доступа.
Оба обеспечивают безопасную связь между полевой сетью и внешними пользователями, но существенно различаются по топологии сети, маршрутизации данных, сложности развертывания и операционному управлению.
В этой статье представлено структурированное сравнение обоих подходов и используется реальный промышленный шлюз (Tespro TG-325) как эталонную реализацию edge-архитектуры на базе VPN.
1. Промышленный шлюз с поддержкой VPN
Промышленный шлюз с поддержкой VPN служит edge-узлом, который создаёт защищённый VPN-туннель в доверенное удалённое место в сети завода с корпоративного VPN или инженерной рабочей станции.
Шлюз расположен рядом с полевой установкой. Обычно он выполняет преобразования протоколов, способен базовой фильтрации и обработки данных, а затем передаёт данные через VPN для защиты канала.
Характеристики основной архитектуры
• Зашифрованное точечное туннелирование
VPN-сессии завершаются через Gateway. Шлюз — единственное устройство, доступное к внешней сети.
• Агрегация и преобразование протоколов на месте
Поддерживает промышленные протоколы, такие как Modbus RTU/TCP, OPC UA, DL/T 645 и др., для облегчения и обеспечения единой передачи данных.
• Возможности периферийных вычислений
Обработка, фильтрация и логическое выполнение на месте могут минимизировать передачу данных и, возможно, даже улучшить задержку телеметрии.
• Непрерывность работы при сбоях сети
Передача данных и мониторинг устройств могут продолжать работать по той же логике, даже если внешний WAN отключён.
2. Облачные системы удалённого доступа
Облачные системы удалённого доступа используют полевые устройства для подключения к централизованному облачному сервису с целью генерации сессии удалённого доступа, чтобы пользователи могли подключиться к сети завода.
Эта архитектура устраняет прямые подключения к сети заводов и упрощает политику межсетевого экрана.
Характеристики основной архитектуры
• Облачный удалённый доступ
Все сессии управляются и оформляются через облачные сервисы.
• Отсутствие контакта на входящем порте
Полевые устройства создают исходящие соединения с сервисами в облаке через HTTPS, упрощая политику на межсетевом экране.
• Централизованное управление устройствами и пользователями
Управление пользователями, устройствами, правами и логирование осуществляются через веб-интерфейсы в облаке.
• Путь переменной задержки
Пути данных обычно бывают: пользователь → облако → растение. Каждая часть может добавлять задержки в зависимости от облачного региона и маршрута.
3. Техническое сравнение
| Размерность | Промышленный шлюз с поддержкой VPN | Удалённый доступ в облаке |
| Модель связности | Прямой зашифрованный туннель к VPN-конечной точке | Облачный сессионный брокер |
| Путь данных | Удалённая конечная точка Plant ↔ Remote | Клиент Plant ↔ Cloud ↔ |
| Сложность развертывания | Средний и высокий уровень (VPN-конфигурация, маршрутизация, сертификаты) | Низкий (агент, облачная регистрация) |
| Требования к межсетевому экрану | Конфиг управляемого VPN | Входные порты не требуются |
| Обработка на краях | Поддерживается | Зависимый от агента |
| Офлайн-работа | Высокая местная автономия | Переменный, зависящий от платформы |
| Модель безопасности | Контроль периметра завода | Облачный провайдер совместно использует |
| Обработка протоколов | Поддерживает мультипротокол на краю | Требуются агенты, совместимые с облаком |
| Структура затрат | Аппаратная зависимость, низкие повторяющиеся расходы | Высокие регулярные расходы на пользователя/устройство/лицензию |
4. Типичные сценарии применения
Промышленный шлюз с поддержкой VPN лучше всего удовлетворяет требования:
• Промышленные объекты с стабильным доступом в интернет, требующие локального контроля данных
• Сайты с нестабильным или прерывистым доступом к интернету
• Устаревшие промышленные системы, требующие конвертации протоколов на месте
• Приложения управления в реальном времени, требующие низкой задержки и высокой детерминированности
Облачный удалённый доступ лучше всего удовлетворяет требования:
• Промышленные объекты с распределёнными активами и минимальным ИТ-присутствием
• Приложения управления объектами, требующие управления и агрегации данных и
• Низкий барьер входа и бизнес-модель быстрого внедрения.
5. Гибридная модель развертывания (наиболее распространённая)
Многие современные промышленные конструкции используют гибридную модель. Вот несколько примеров:
• Встроенные IPsec шлюзы обеспечивают безопасную, низкозадержную удалёную инженерию и обслуживание по требованию. Облако предоставляет сервис на уровне флота с мониторингом, телеметрией и аналитикой.
Некоторые из преимуществ этой модели включают:
• Детерминированные пути управления, предоставляемые VPN
• Облачная архитектура обеспечивает масштабируемую видимость информации.
6. Эталонная реализация: Tespro TG-325
TheTespro TG-325 это промышленный шлюз VPN с современным дизайном, включающим edge-вычисления, мультипротокольную интеграцию и промышленную связь.
VPN и опции подключения
• 5G/4G сотовые 4 порта Gigabit Ethernet LAN
• Архитектура Linux на базе OpenWrt/LEDE
• Поддерживает туннелирование со стандартными VPN-протоколами (OpenVPN, WireGuard) для корпоративных VPN
Интеграция промышленных протоколов
• Интерфейсы: 2 × RS485, 1 × RS232, GPIO
• Поддерживает протоколы, такие как Modbus RTU/TCP, DL/T 645, MQTT, OPC UA и др.
Поддержка edge-вычислений
• Поддерживает выполнение Python, C и Lua
• Позволяет предварительную обработку данных по краям и выполнить логику управления
• Уменьшает пропускную способность VPN, отправляя обработанные данные вместо необработанных данных
Проектирование для промышленной надёжности
• Температурный диапазон: –40°C до 75°C
• Защита от обратной полярности и защита от перенапряжения
• Разработан для экстремальных промышленных условий
Пример полевого развертывания
Более 1000 установок TG-325 были развернуты на удалённых площадках для мониторинга солнечной энергии и сети в рамках распределительного энергетического проекта в Латинской Америке.
Опубликованные результаты включали:
• 99,5% надёжности передачи данных
• Время реагирования мониторинга улучшилось почти на 35%
• Устойчивость за счёт многосетевого резервирования, включая сотовые соединения
Дизайн интегрировал облачную систему мониторинга с защитой краёв на базе VPN. Это позволило шлюз стать основным объектом агрегации данных и защищённой связи.
Заключительные слова
При выборе промышленного шлюза с поддержкой VPN или облачного решения с удалённым доступом выбор в основном зависит от дизайна, а не от доступной функциональности.
Предпочитают шлюзы, ориентированные на VPN:
• Локальный контроль
• Детерминированная производительность
• Автономия краёв
Предпочитают облачные технологии, ориентированные:
• Централизованное управление
• Простота развертывания
Во многих современных промышленных системах вышеупомянутые системы интегрируются, обеспечивая шлюзовую защищённую промышленную связь, а облачные сервисы обеспечивают видимость и аналитику промышленных систем.
TG-325 — хороший пример того, как промышленные шлюзы вышли за рамки простого коммуникационного моста к многофункциональному периферийному вычислению и защищённому шлюзу подключения.
Часто задаваемые вопросы
Вопрос 1: Как работает удалённый доступ через облачный сервис?
Связь между пользователями и устройством устанавливается через облачную платформу для посредования коммуникаций.
Вопрос 2: Что более безопасное — VPN-шлюз или облачный доступ?
Обе системы могут быть защищены при таковой конфигурации, но управление инфраструктурными VPN-шлюзами повышает уровень безопасности.
Вопрос 3: Требуют ли VPN-шлюзам подключение к интернету?
Да, хотя они могут работать локально во время простоя интернета.
Вопрос 4: В чём основное преимущество удалённого доступа через облачные сервисы?
Это обеспечивает лёгкий доступ и управление с ограниченными требованиями к инфраструктуре.
Вопрос 5: Могут ли промышленные шлюзы поддерживать ряд протоколов?
Да, большинство поддерживают ряд протоколов для интеграции устройств, таких как Modbus, OPC UA и MQTT.
