在許多工業自動化應用中移動人機界面（HMI）訪問都是必需的。目前有兩種常用的方法——無需VPN的標準路由器和由云托管的VPN路由器，來實現與路由器和虛擬專用網（VPN）的這種連接。

　　第一個是標準路由器，盡管它安全性不高，但很多現有的移動HMI應用仍在使用，甚至有一些較新的應用也在使用。一個主要的優勢是它的成本低廉，但是并不建議使用此方法，因為在防火墻中啟用端口轉發時，它會將網絡暴露給外部威脅，因此會帶來重大的網絡安全風險。

　　另外一個方法是采用云托管的VPN路由器，通過創建從本地VPN路由器到互聯網的云托管VPN路由器的加密連接，簡化了信息技術（IT）的復雜性。遠程用戶可以通過云托管的VPN路由器安全地訪問本地組件和系統。這不僅降低了網絡安全風險，也簡化了配置和維護。

　　本文中沒有考慮使用傳統VPN路由器實現的第三種類型的路由器連接，是因為它涉及打開入站連接并產生類似于標準路由器所面臨的的復雜性和風險。

　　圖1：AutomationDirect公司的StrideLinx云托管VPN可為筆記本電腦、智能手機和平板電腦上托管的移動HMI應用程序提供安全連接。

　　標準路由器

　　許多工業應用都采用標準路由器和防火墻用于保護公司和工廠網絡，這要求用戶手動配置和管理所有路由和防火墻設置。這種類型的路由器通常沒有VPN來加密數據，但會在防火墻中創建端口用于轉發，以供遠程用戶訪問工廠網絡中的特定應用程序和組件。

　　大多數HMI用戶都希望進行遠程和本地訪問。將便攜式計算機通常連接到HMI網頁服務器，以監視數據并更改設置點和其它參數，或者使用編程軟件連接到HMI進行故障排除或程序變更。

　　要使用標準路由器進行遠程連接，通常將端口轉發配置為允許訪問HMI或運行遠程訪問軟件的本地PC。本地PC為遠程用戶提供了運行HMI編程軟件的能力。

　　HMI移動應用程序還需要端口轉發，以便遠程用戶可以訪問本地HMI來控制或查看數據。這些應用程序通常提供與基于瀏覽器的遠程訪問相同的功能，只是通過應用程序而非瀏覽器進行訪問。

　　這種方法的主要問題是在移動應用以及基于PC的應用程序中的與端口轉發相關的安全風險。黑客很容易確定在防火墻上打開了哪些端口，并可通過路由器訪問公司或工廠網絡。

　　在公司或工廠網絡中，雖然端口轉發非常高效和有用，但在因特網和公司內網接口上使用此功能極其危險。制造企業應避免在新裝置中使用這種路由器方法，而應將現有的標準路由器裝置轉換為更安全的連接，例如云托管的VPN路由器。

　　云托管的VPN路由器

　　云托管的VPN可通過簡單的設置和網絡配置提供安全的連接。典型的云托管VPN選項，包括本地VPN路由器、云托管VPN服務器、VPN客戶端和相互連接的自動化組件（圖1）。

　　在本地路由器（位于工廠/控制網絡）和VPN客戶端（安裝在用戶便攜式電腦或移動設備上的軟件）分別連接到云托管VPN服務器后，將建立安全連接。本地路由器在啟動時立即建立此連接，但VPN客戶端僅在收到遠程用戶的驗證請求時連接。一旦兩個連接都建立起來，通過此VPN通道的所有數據都是安全的。

　　大多數云托管的VPN每月為基本運營提供免費的帶寬分配，如果在此限值之外還需要數據訪問，可以申請額外的高級帶寬計劃。例如，一款產品每月提供5GB的免費VPN數據交換，可能足以滿足大多數故障排除、監控和編程的需求。

　　當本地路由器通過標準開放端口（例如HTTPS）經由出站連接，啟動與服務器的通信時，就會降低安全風險。這通常可以避免對公司IT防火墻的更改，并且可以滿足IT安全性的考慮。為了增強信心，用戶可以尋找具有行業認證的信息安全管理系統（例如ISO/IEC27001：2013）的云托管VPN。這表明供應商已實施了全面的安全計劃和控制措施。

　　云托管VPN的另一個優勢是路由器配置簡單。由于是將安全的本地路由器連接到預定義的云服務器，因此該路由器預先配置了復雜的VPN網絡設置，從而允許非IT人員進行安裝。所需要做的，就是了解連接到局域網的自動化組件的IP地址，以及因特網服務提供商（ISP）或企業范圍的網絡路由器（不是云托管的VPN路由器）是動態還是靜態提供IP地址。

　　其它高級選項可能包括云數據記錄和報警通知，提供HMI功能的子集，并且比自定義編程更易于使用。這些服務允許用戶在其移動設備或便攜式電腦上，記錄系統數據并接收自定義的嚴重警報，從而在需要時提供方便的、基于網頁系統性能的歷史記錄。

　　圖2：與安全的StrideLinxVPN路由器一起使用時，AutomationDirect的C-moreHMI移動應用程序可以安全運行。它還適用于谷歌安卓系統。

　　基于移動應用程序的遠程訪問

　　越來越多地移動應用程序開始支持工業HMI和可編程邏輯控制器（PLC）組件。通過監視和控制功能，用戶可以隨時隨地進行遠程訪問。為了安全地訪問工業設備，移動設備還必須使用VPN技術來加密從移動設備到工廠網絡的數據。如果沒有移動VPN，將需要打開工廠的防火墻端口，從而創建與標準路由器類似的場景，并使工廠網絡容易受到網絡攻擊。

　　使用托管的VPN可為筆記本電腦和移動設備提供安全的VPN連接。后者通過完全支持VPN的移動應用程序完成。通過移動VPN應用安全地連接到工廠網絡后，就可以打開第三方HMI或PLC應用，并將其連接到本地HMI和PLC組件，該移動用戶虛擬出現在現場，就像真的在現場一樣。

　　一些路由器也可以為托管的VPN提供筆記本電腦和移動設備的連接。蘋果iOS和谷歌安卓移動設備應用程序，為用戶提供了安全的工廠網絡連接。一些云托管的VPN供應商還提供對基于云的數據記錄軟件的應用程序的訪問，以及用于配置自定義儀表板以進行遠程查看的小部件（圖2）。

　　這種內置的云日志記錄，對于原始設備制造商（OEM）特別有用，很多OEM廠商在全球數百個地點安裝了數千臺機器，每個機器都有多個用戶。OEM將為每臺機器提供一個VPN路由器，預先配置記錄數據，并包含用于在移動應用程序上進行遠程查看的自定義儀表板。除了在智能手機或平板電腦上安裝應用程序外，OEM客戶無需進行其它配置、安裝或維護遠程訪問軟件。

　　為了更廣泛地訪問儀表板，遠程用戶可以使用托管VPN供應商提供的移動VPN，通過應用程序訪問本地HMI和PLC。與供應商的VPN路由器一起使用時，某些移動HMI軟件可以更安全地工作。PC也可以從本地安全地訪問本地設備，以進行編程、監視或故障排除。