Ein Industrierouter mit VPN für SPS-Fernzugriff schafft einen sicheren Kommunikationskanal zwischen Ingenieuren und SPS-Geräten an entfernten und/oder unbeaufsichtigten Standorten. Er ermöglicht Ferndiagnosearbeiten sowie Programmierung und Parameteranpassungen, den Zugriff auf HMIs und die Inbetriebnahme von Geräten – alles ohne dass die SPS mit dem öffentlichen Internet verbunden sein muss.
Bei Tespro betrachten wir den SPS-Fernzugriff als Aufgabe der OT-Netzwerkentwicklung – nicht einfach als eine Frage der Installation einer SIM-Karte und der Aktivierung von VPN. Eine zuverlässige Lösung muss die Mobilfunkverfügbarkeit, VPN-Topologie, SPS-Protokolle, IP-Routing, Cybersicherheit, Failover und langfristiges Gerätemanagement berücksichtigen.
Wie ein industrieller VPN-Router mit einer SPS verbunden ist
Ein typischer Verbindungspfad ist:
Engineering PC → VPN-Gateway oder Plattform → Mobilfunknetz → Industrierouter → Ethernet-LAN → SPS
Die SPS bleibt auf einem privaten LAN hinter dem Router. Nachdem der Ingenieur authentifiziert wurde, erlaubt der Router nur noch den Datenverkehr zu den genehmigten SPS-Adresse und Service-Ports.
Ein Industrierouter mit VPN für SPS-Fernzugriff kann Folgendes unterstützen:
•SPS-Fehlercode und Betriebszustandsdiagnose
•Online-Variablen- und I/O-Überwachung
•Autorisierte Parameteranpassung
•SPS-Programm hoch- und herunterladen
• Fernzugriff auf HMIs und Industriecomputer
• Unterstützung für Inbetriebnahme und Softwareupdates
• Zentralisierter Zugriff auf mehrere entfernte Stationen
Programmänderungen können den Betrieb der Maschinen beeinflussen. Fernwartungsverfahren sollten daher Autorisierung, SPS-Programm-Backup, Versionskontrolle, Sicherheitsbestätigung vor Ort und einen definierten Rückrollplan umfassen.
VPN-Zugang im Vergleich zu anderen Methoden
Ein VPN sollte unter Berücksichtigung von Sicherheit, Verwaltung und Betriebskosten ausgewählt werden.
| Zugriffsmethode | Sicherheitskontrolle | Praktische Einschränkungen |
| VPN-Tunnel | Verschlüsselungs-, Authentifizierungs-, Routing- und Firewall-Richtlinien | Erfordert korrekte Zertifikats- und Netzwerkkonfiguration |
| Portweiterleitung | Begrenzte Kontrolle | Setzt SPS-bezogene Ports externem Scannen frei |
| Cloud-Zugriff des Anbieters | Zentralisierter Zugriff und Geräteverwaltung | Das hängt von der Plattform- und Controller-Kompatibilität ab |
| Private APN | Netzisolierung auf Trägerebene | Zusätzlicher Bedienerservice und Konfiguration können erforderlich sein |
| Vor-Ort-Wartung | Keine Fernnetzwerk-Exposition | Längere Reaktionszeit und höhere Servicekosten |
Port Forwarding ist einfach zu konfigurieren, aber als langfristige PLC-Zugriffsstrategie ungeeignet. Ein VPN verringert die Exposition, muss aber dennoch mit Segmentierung, Least-Privileg-Zugriff, Ereignisprotokollierung und kontrollierten Zugangsdaten kombiniert werden.
Auswahl der richtigen VPN-Architektur
Ein industrieller Router mit VPN für SPS-Fernzugriff kann eine von drei Architekturen verwenden:
Client-to-Site-VPN
Der technische Computer eines Technikers ist mit dem entfernten Standort verbunden. Dieser eignet sich für gelegentliche Diagnostik und Wartung einzelner Maschinen.
Site-to-Site-VPN
Ein permanenter Tunnel verbindet ein Kontrollzentrum mit einer oder mehreren Anlagen. Er eignet sich besser für kontinuierliche SCADA-Kommunikation oder zentral verwaltete Produktionsstätten.
Plattformverwaltetes VPN
Der Router erstellt eine ausgehende Verbindung zu einer Management-Plattform. Diese Architektur ist nützlich für große Geräteflotten und Mobilfunk-SIM-Karten, die hinter carrier-NAT betrieben werden.
Bevor Sie ein Modell auswählen, bestätigen Sie:
•Erforderliches VPN-Protokoll und Verschlüsselungsmethode
• Ob der Router als Client, Server oder beides betrieben werden muss
• Anzahl der Nebeningenieure und verbundenen Standorte
•Zertifikats-, Schlüssel- und Kontoverwaltungs-Workflow
• Öffentliche IP, private APN, dynamische IP oder CGNAT-Bedingungen
•Anforderungen an Zugriffsprotokolle und Fernverwaltung
Spezifische VPN-Protokolle sollten anhand des Datenblatts des ausgewählten Routers überprüft werden, anstatt für eine gesamte Produktfamilie angenommen zu werden.
SPS-Protokoll und Netzwerkkompatibilität
Die VPN-Konnektivität garantiert nicht automatisch, dass SPS-Programmiersoftware funktioniert. Der Router muss den erforderlichen Datenverkehr weiterleiten, und die SPS muss eine gültige Rücklaufroute haben.
Der über Industrial Ethernet übertragene Datenverkehr umfasst Modbus TCP, EtherNet/IP, PROFINET und anderen herstellerspezifischen Datenverkehr sowie Ingenieur- und Protokollentwicklungsverkehr. Jeder dieser Stellen kann spezifische Anforderungen an TCP/UDP-Ports und Geräteerkennung haben.
Vor dem Einsatz sollten Folgendes überprüft werden:
• Typ und Version der SPS-Firmware
• Schnittstelle und Programmiersoftware für die SPS
•TCP/UDP-Ports
• Vorkommen von Konflikten auf entfernten und lokalen Subnetzen
•Anforderungen an Quell-NAT und statisches Routing
•IP-Adressen für HMI, Kameras, IPC und zusätzliche SPS
Die Erkennung von SPS-Adressen auf Broadcast-Basis wird kein geroutetes VPN durchqueren. Wenn ein Tunnel eingerichtet wird, die Software die SPS aber nicht entdecken kann, kann es notwendig sein, dass der Ingenieur die IP-Adresse angibt. Es ist auch notwendig, überlappende Subnetze zu korrigieren (z. B. 192.168.1.0/24 an beiden Enden).
Industrie-Router-Auswahlmatrix
| Entscheidungsfaktor | Ingenieursanforderungen |
| Mobilfunkverbindung | Lokale Netzabdeckung und unterstützte 4G/5G-Bänder |
| SIM-Konfiguration | Failover, CGNAT und APN |
| Ethernet | Geschwindigkeit und Anzahl der LAN/WAN-Ports |
| VPN | Tunnelkapazität und Wiederverbindung, Verschlüsselungsüberkopf |
| NAT, Routing, Adressfilterung und Firewall | Steuerung des Netzwerks |
| Zuverlässigkeit | Stromstart, Link-Erkennung und automatische Wiederherstellung |
| Verwaltung | Fernsteuerung des Routers, Protokolls, Status und Firmware |
| Installation | Montage, Antenne und Betriebsumgebung |
4G vs. 5G für SPS-Fernzugriff?
Moderate Bandbreite ist alles, was für SPS-Diagnostik und Programmübertragungen erforderlich ist. Für die meisten Standorte ist eine bessere 4G-Abdeckung nützlicher als die schnelleren Geschwindigkeiten von 5G.
5G ist geeigneter, wenn dieselbe Verbindung Folgendes überträgt:
• Mehrere PLC- und HMI-Sitzungen
•Hochauflösendes Überwachungsvideo
•Große Software- oder Datenübertragungen
•Edge-Computing-Verkehr
•Hochfrequente Betriebsdaten
Ingenieure sollten Latenz, Jitter, Paketverlust, Signalqualität und Wiederherstellungszeit vergleichen – nicht nur Bandbreite.
Sicherer Einsatz und Indienststellung
Tespros Prozess zur Inbetriebnahme eines Industrie-Routers mit VPN für SPS-Fernzugriff ist wie folgt:
- Alle SPS, HMIs und IPCs sollten zusammen mit ihren Adressen, Protokollen und Serviceports aufgeführt werden.
- Stelle sicher, dass deine SIM eine zugewiesene IP und die richtige APN hat. Überprüfe die Netzabdeckung deines Netzanbieters.
- Weisen Sie unterschiedliche LAN- und Remote-Zugriffs-Subnetze zu.
- Das Kontrollnetzwerk muss vom Büronetzwerk und vom öffentlichen WLAN getrennt sein.
- Es sollten nur auf die SPS-Adressen und -Ports zugegriffen werden, die notwendig sind.
- Stelle Keepalive-Tunnel ein, die sich automatisch wieder verbinden und den Wechsel fehlschlagen.
- Teste die Keepalive-Tunnel und überprüfe das Verhalten beim Ein- und Ausschalten, SIM-Wechsel sowie beim Hoch- und Herunterladen von Daten.
- Sichern Sie die Konfigurationen der Router, der SPS-Programme und der Zertifikate.
Untersuchen Sie schlechten und instabilen Zugriff. Die Messung von Signalen, Latenz und Paketverlust, MTU, VPN-Overhead und der Carrier-Routing sollte berücksichtigt werden, ebenso wie die Installation der Antennen. Ein VPN-Icon bedeutet nicht, dass eine produktionsbereite Verbindung hergestellt wurde.
Tespros Ansatz zur SPS-Fernverbindung
Tespro industrielle Mobilfunkrouter bieten2G–5G-Konnektivitätsoptionen, Ethernet- und Wi-Fi-Schnittstellen, VPN-Unterstützung, Dual-SIM-Fähigkeit, Failover und cloudbasierte Fernverwaltung. Das Angebot umfasst verschiedene LAN/WAN-Mengen sowie Fast-Ethernet- oder Gigabit-Konfigurationen für unterschiedliche Automatisierungstopologien.
Aus unserer Sicht sollte der richtige industrielle Router mit VPN für SPS-Fernzugriff um das eigentliche SPS-Netzwerk herum ausgewählt werden – nicht nur um die bevorzugte Mobilfunkgeneration. Tespros Hardware- und Software-OEM/ODM-Fähigkeiten können auch Projekte unterstützen, die spezifische Schnittstellen, Mobilfunkbänder, Gerätemanagementfunktionen oder Bereitstellungskonfigurationen benötigen.
Wenn Sie eine sichere SPS-Fernwartung planen, teilen Sie das SPS-Modell, die Schnittstelle, die VPN-Architektur, das Bereitstellungsland, den Anbieter, die Anzahl der angeschlossenen Geräte und die Managementanforderungen mit Tespro. Entdecken Sie unser Angebot an industriellen Mobilfunkroutern, um eine geeignete Plattform für Ihre Anwendung zu finden.
FAQs
F1. Wie verbessert Dual-SIM-Failover den Remote-Zugriff auf SPS?
Die Dual-SIM-Funktionalität ermöglicht es dem Router, eine alternative Mobilfunkverbindung zu nutzen, wenn das primäre SIM- oder Betreibernetz nicht verfügbar ist. Die Failover-Politik, das Wiederverbindungsverhalten und die Carrier-Kompatibilität sollten während der Inbetriebnahme getestet werden.
F2. Können Tespro-Industrierouter mit verschiedenen SPS-Marken verbunden werden?
Tespro-Router können IP-basierten Zugriff auf über Ethernet verbundene SPSS unterstützen, vorausgesetzt, das Netzwerkrouting, die Programmierports und die VPN-Einstellungen sind korrekt konfiguriert. Die Kompatibilität sollte anhand des SPS-Modells, der Software, des Protokolls und der erforderlichen Erkennungsmethode bewertet werden.
F3. Sollte ich für den PLC-Fernzugriff einen 4G- oder 5G-Tespro-Router wählen?
Stabiles 4G ist für die meisten SPS-Diagnosen und Programmübertragungen ausreichend. Ein 5G-Router ist geeigneter, wenn SPS-Verkehr die Verbindung mit Kameras, mehreren HMIs, Edge-Geräten oder großvolumigen industriellen Daten teilt.
F4. Welche VPN-Protokolle unterstützen Tespro Industrial Router?
VPN-Fähigkeiten können je nach Produktmodell und Firmware variieren. Käufer sollten das erforderliche Protokoll, die Verschlüsselungsmethode, den Client/Server-Modus, die Tunnelkapazität und die Authentifizierungsmethode mit Tespro bestätigen, bevor sie einen Router auswählen.
Frage 5. Kann ein Tespro-Router mit einer Mobilfunk-SIM hinter CGNAT funktionieren?
Ja, aber CGNAT kann direkte eingehende Verbindungen verhindern. Je nach Projekt kann die Lösung ein vom Router initiiertes VPN, eine Managementplattform, eine private APN oder eine SIM-Karte mit fester öffentlicher IP-Adresse erfordern.
