Der Fernzugriff auf SPS, HMIs und Feldgeräte ist in der industriellen Automatisierung für Inbetriebnahme, Wartung und Diagnostik erforderlich. Zwei beliebte Architekturen sind industrielle Gateways mit VPN-Unterstützung und cloudbasierte Fernzugriffslösungen.
Beide bieten sichere Verbindungen zwischen Feldnetzwerken und externen Nutzern, unterscheiden sich jedoch erheblich in Netzwerktopologie, Datenrouting, Bereitstellungskomplexität und operativer Steuerung.
Dieser Artikel bietet einen strukturierten Vergleich beider Ansätze und verwendet ein reales industrielles Gateway (Tespro TG-325) als Referenzimplementierung der VPN-basierten Edge-Architektur.
1. Industrielles Gateway mit VPN-Unterstützung
Ein Industrial Gateway mit VPN-Unterstützung dient als Edge-Knoten, der einen sicheren VPN-Tunnel zu einem vertrauenswürdigen entfernten Standort innerhalb eines Anlagennetzwerks von einem Firmen-VPN oder einer Ingenieurarbeitsstation aus erstellt.
Das Gateway befindet sich neben den Feldgeräten. Es führt in der Regel Protokollkonvertierungen durch, ist in der Lage, grundlegende Datenfilterung und -verarbeitung durchzuführen, und überträgt die Daten dann über ein VPN, um den Kanal zu sichern.
Eigenschaften der Kernarchitektur
• Verschlüsseltes Punkt-zu-Punkt-Tunneln
VPN-Sitzungen werden am Gateway beendet. Das Gateway ist das einzige exponierte Gerät für ein externes Netzwerk.
• Vor-Ort-Protokollaggregation und -umstellung
Unterstützt industrielle Protokolle wie Modbus RTU/TCP, OPC UA, DL/T 645 usw., um eine einheitliche Datenübertragung zu erleichtern und sicherzustellen.
• Edge-Computing-Funktionalität
Vor-Ort-Verarbeitung, Filterung und Logikausführung können die Datenübertragung minimieren und möglicherweise sogar die Telemetrielatenz verbessern.
• Betriebskontinuierlichkeit während eines Netzausfalls
Datenübertragung und Geräteüberwachung können weiterhin mit derselben Logik arbeiten, auch wenn das externe WAN getrennt ist.
2. Cloudbasierte Fernzugriffssysteme
Cloudbasierte Remote Access Systeme verwenden Feldgeräte, um sich mit einem zentralisierten Cloud-Dienst zu verbinden und so eine Fernzugriffssitzung zu erzeugen, die die Nutzer mit dem Anlagennetzwerk verbinden können.
Diese Architektur eliminiert direkte Anlagennetzwerkverbindungen und vereinfacht die Firewall-Politik.
Eigenschaften der Kernarchitektur
• Cloudbasierter Fernzugriff
Alle Sitzungen werden über Cloud-Dienste verwaltet und vermittelt.
• Keine eingehende Port-Exposition
Feldgeräte schaffen über HTTPS ausgehende Verbindungen zu Cloud-Diensten, was die Richtlinie für die Firewall vereinfacht.
• Zentralisierte Geräte- und Benutzerverwaltung
Benutzerverwaltung, Geräteverwaltung, Berechtigungsverwaltung und Logging werden über Weboberflächen in der Cloud bereitgestellt.
• Variabler Latenzpfad
Datapaths sind üblich: Nutzer → Cloud → Plant. Jede Phase kann je nach Cloud-Region und Routing Latenzen hinzufügen.
3. Technischer Vergleich
| Dimension | Industrielles Gateway mit VPN-Unterstützung | Cloudbasierter Fernzugriff |
| Konnektivitätsmodell | Direktverschlüsselter Tunnel zum VPN-Endpunkt | Cloudbasierter Session-Broker |
| Datenpfad | Anlagen-Remote-Endpunkt ↔ | Plant ↔ Cloud ↔ Client |
| Bereitstellungskomplexität | Mittel bis hoch (VPN-Konfiguration, Routing, Zertifikate) | Low (Agent, Cloud-Registrierung) |
| Firewall-Anforderungen | Kontrollierte VPN-Konfiguration | Keine eingehenden Ports erforderlich |
| Kantenverarbeitung | Unterstützt | Agentenabhängig |
| Offline-Betrieb | Hohe lokale Autonomie | Variable, plattformabhängig |
| Sicherheitsmodell | Anlagenperimeter-Kontrolle | Cloud-Anbieter gemeinsam genutzt |
| Protokollhandhabung | Unterstützt Multiprotokolle am Edge | Benötigt cloudkompatible Agenten |
| Kostenstruktur | Hardwareabhängig, niedrige wiederkehrende Kosten | Hohe wiederkehrende Kosten, pro Nutzer/Gerät/Lizenz |
4. Typische Anwendungsszenarien
Industrial Gateway mit VPN-Unterstützung erfüllt am besten die Bedürfnisse von:
• Industriestandorte mit stabilem Internetzugang, die eine Datenkontrolle vor Ort erfordern
• Seiten mit instabilem oder intermittierendem Internetzugang
• Altindustrielle Systeme, die eine Protokollkonvertierung vor Ort erfordern
• Echtzeit-Steuerungsanwendungen, die geringe Latenz und hohe Determinismus erfordern
Cloudbasierter Remote Access erfüllt am besten die Bedürfnisse von:
• Industriestandorte mit verteilten Ressourcen und minimaler IT-Präsenz
• Standortsteuerungsanwendungen, die Steuerung und Datenaggregation erfordern und
• Niedrige Einstiegshürde und schnelles Einführungsmodell.
5. Hybrides Bereitstellungsmodell (am häufigsten)
Viele zeitgenössische Industriedesigns verwenden ein Hybridmodell. Hier sind einige Beispiele:
• Eingebettete IPsec-Gateways bieten sichere, latencyarme Fernentwicklung und Wartung auf Abruf. Die Cloud bietet einen Service auf Flottenebene mit Überwachung, Telemetrie und Analysen.
Einige der Vorteile dieses Modells sind:
• Deterministische Steuerpfade, die vom VPN bereitgestellt werden
• Die Cloud-Architektur bietet skalierbare Informationstransparenz.
6. Referenzimplementierung: Tespro TG-325
DieTespro TG-325 ist ein VPN-Industrie-Gateway mit zeitgemäßem Design, das sich durch Edge Computing, Multiprotokollintegration und industrielle Konnektivität auszeichnet.
VPN und Konnektivitätsoptionen
• 5G/4G-Mobilfunkanschlüsse mit 4 Gigabit-Ethernet-LANs
• OpenWrt/LEDE-basierte Linux-Architektur
• Unterstützt Tunneling mit Standard-VPN-Protokollen (OpenVPN, WireGuard) zu Unternehmens-VPNs
Integration industrieller Protokolle
• Schnittstellen: 2 × RS485, 1 × RS232, GPIO
• Unterstützt Protokolle wie Modbus RTU/TCP, DL/T 645, MQTT, OPC UA usw.
Edge-Computing-Unterstützung
• Unterstützt die Ausführung von Python, C und Lua
• Ermöglicht die Edge-Preprocessing von Daten und die Ausführung der Steuerlogik
• Verringert die VPN-Bandbreite durch das Senden der verarbeiteten Daten statt der Rohdaten
Entwurf für industrielle Zuverlässigkeit
• Temperaturbereich: –40°C bis 75°C
• Umkehrpolaritätsschutz und Überspannungsschutz
• Für extreme industrielle Umgebungen konzipiert
Beispiel für eine Feldeinsetzung
Über 1.000 TG-325-Einheiten wurden an abgelegenen Standorten für Solarenergie und Netzüberwachung in einem Verteilungsprojekt in Lateinamerika eingesetzt.
Die berichteten Ergebnisse umfassten:
• 99,5 % Zuverlässigkeit der Datenübertragung
• Die Überwachung der Reaktionszeit verbesserte sich um fast 35 %
• Widerstandsfähigkeit durch Multi-Netzwerk-Redundanz, einschließlich Mobilfunkverbindungen,
Das Design integrierte ein cloudbasiertes Überwachungssystem mit VPN-basiertem Edge-Schutz. Dadurch wurde das Gateway zur Haupteinheit zur Datenaggregation vor Ort und zur sicheren Kommunikation eingesetzt.
Abschließende Worte
Bei der Wahl eines industriellen Gateways mit VPN-Funktionalität oder einer cloud-gehosteten Fernzugriffslösung hängt die Wahl weitgehend vom Design und nicht von der verfügbaren Funktionalität ab.
VPN-fokussierte Gateways bevorzugen:
• Lokale Kontrolle
• Deterministische Leistung
• Kantenautonomie
Cloud-orientierte Technologien bevorzugen:
• Zentralisierte Kontrolle
• Einfache Einsetzung
In vielen zeitgenössischen Industriesystemen integrieren sich die genannten Systeme, um dem Gateway eine sichere industrielle Konnektivität zu bieten, während der Cloud-Systemdienst industrielle Systemtransparenz und -analyse bereitstellt.
Der TG-325 ist ein gutes Beispiel dafür, wie industrielle Gateways von der Fähigkeit einer einfachen Kommunikationsbrücke zu einem multifunktionalen Edge Computing und sicheren Konnektivitätsgateway übergegangen sind.
FAQS
F1: Wie funktioniert der Fernzugriff über einen Cloud-Dienst?
Benutzer-Geräte-Verbindungen werden über eine Kommunikationsvermittlungs-Cloud-Plattform hergestellt.
F2: Was ist sicherer, VPN-Gateway oder Cloud-Zugang?
Beide Systeme können gesichert werden, wenn sie so konfiguriert sind, aber die Kontrolle über infrastrukturgebundene VPN-Gateways erhöht die Sicherheitsniveaus.
F3: Benötigen VPN-Gateways eine Internetverbindung?
Ja, obwohl sie lokal bei Internetausfalls funktionieren können.
F4: Was ist der Hauptvorteil des Fernzugriffs über Cloud-Dienste?
Dies ermöglicht einen einfachen Zugang und Verwaltung mit begrenzten Anforderungen an die infrastrukturelle Einrichtung.
F5: Können eine Reihe von Protokollen von industriellen Gateways unterstützt werden?
Ja, die Mehrheit unterstützt eine Reihe von Protokollen für die Geräteintegration, wie Modbus, OPC UA und MQTT.
