El acceso remoto a PLC, HMI y dispositivos de campo es necesario en la automatización industrial para puesta en marcha, mantenimiento y diagnóstico. Dos arquitecturas populares incluyen pasarelas industriales con acceso compatible con VPN y soluciones de acceso remoto basadas en la nube.
Ambos proporcionan conectividad segura entre redes de campo y usuarios externos, pero difieren significativamente en topología de red, enrutamiento de datos, complejidad de despliegue y control operativo.
Este artículo ofrece una comparación estructurada de ambos enfoques y utiliza una puerta de entrada industrial real (Tespro TG-325) como implementación de referencia de la arquitectura de borde basada en VPN.
1. Pasarela industrial con soporte de VPN
Una Pasarela Industrial con soporte VPN actúa como un nodo borde que crea un túnel VPN seguro hacia una ubicación remota de confianza dentro de una red de planta desde una estación de trabajo corporativa o de ingeniería.
La Puerta de Entrada está situada junto a los dispositivos de campo. Normalmente realiza conversiones de protocolo, es capaz de filtrar y procesar datos básicos, y luego transmite los datos a través de una VPN para asegurar el canal.
Características principales de la arquitectura
• Tunelamiento punto a punto cifrado
Las sesiones VPN se terminan en la Puerta de Entrada. El Gateway es el único dispositivo expuesto a una red externa.
• Agregación y conversión de protocolos in situ
Soporta protocolos industriales como Modbus RTU/TCP, OPC UA, DL/T 645, etc., para facilitar o asegurar la transmisión unificada de datos.
• Capacidad de computación en el borde
El procesamiento in situ, el filtrado y la ejecución lógica pueden minimizar la transmisión de datos e incluso posiblemente mejorar la latencia de telemetría.
• Continuidad operativa durante fallos de red
La transferencia de datos y la monitorización de dispositivos pueden seguir funcionando con la misma lógica, incluso si la WAN externa está desconectada.
2. Sistemas de acceso remoto basados en la nube
Los sistemas de acceso remoto basados en la nube utilizan dispositivos de campo para conectarse a un servicio centralizado en la nube y así generar una sesión de acceso remoto para que los usuarios se conecten a la red de la planta.
Esta arquitectura elimina las conexiones directas a la red de la planta y simplifica la política de cortafuegos.
Características principales de la arquitectura
• Acceso remoto basado en la nube
Todas las sesiones se gestionan y gestionan mediante servicios en la nube.
• Sin exposición de puerto entrante
Los dispositivos de campo crean conexiones salientes a servicios en la nube mediante HTTPS, simplificando la política del cortafuegos.
• Gestión centralizada de dispositivos y usuarios
La gestión de usuarios, la gestión de dispositivos, la gestión de permisos y el registro se proporcionan a través de interfaces web en la nube.
• Ruta de latencia variable
Las rutas de datos suelen ser: usuario → nube → planta. Cada tramo puede añadir latencias dependiendo de la región de la nube y del enrutamiento.
3. Comparación técnica
| Dimensión | Pasarela industrial con soporte de VPN | Acceso remoto basado en la nube |
| Modelo de conectividad | Túnel cifrado directo al punto final de la VPN | Broker de sesiones basado en la nube |
| Ruta de datos | Punto final remoto de planta ↔ | Cliente Plant ↔ Cloud ↔ |
| Complejidad de despliegue | De media a alta (configuración de VPN, enrutamiento, certificados) | Bajo (Agente, registro en la nube) |
| Requisitos del cortafuegos | Configuración de VPN controlada | No se requieren puertos de entrada |
| Procesamiento de bordes | Apoyado | Dependiente del agente |
| Operación fuera de línea | Alta autonomía local | Variable, dependiente de la plataforma |
| Modelo de Seguridad | Control del perímetro de la planta | Proveedor de nube compartido |
| Manejo de protocolos | Soporta multiprotocolo en edge | Requiere agentes compatibles con la nube |
| Estructura de costes | Dependiente del hardware, bajos costes recurrentes | Altos costes recurrentes, por usuario/dispositivo/licencia |
4. Escenarios típicos de aplicación
Pasarela Industrial con soporte VPN satisface mejor las necesidades de:
• Sitios industriales con acceso estable a internet que requieren control de datos en las instalaciones
• Sitios con acceso a internet inestable o intermitente
• Sistemas industriales heredados que requieren conversión de protocolo in situ
• Aplicaciones de Control en Tiempo Real que requieren baja latencia y alto determinismo
El acceso remoto basado en la nube satisface mejor las necesidades de:
• Sitios industriales con activos distribuidos y presencia mínima en TI
• Aplicaciones de control de sitio que requieren control y agregación de datos y son
• Modelo de negocio de baja barrera de entrada y despliegue rápido.
5. Modelo de despliegue híbrido (el más común)
Muchos diseños industriales contemporáneos utilizan un modelo híbrido. Aquí tienes algunos ejemplos:
• Las pasarelas IPsec integradas proporcionan ingeniería y mantenimiento remoto seguros y de baja latencia bajo demanda. La nube ofrece un servicio a nivel de flota con monitorización, telemetría y análisis.
Algunas de las ventajas de este modelo son:
• Rutas de control deterministas proporcionadas por la VPN
• La arquitectura en la nube proporciona visibilidad escalable de la información.
6. Implementación de referencia: Tespro TG-325
ElTespro TG-325 es una pasarela industrial VPN con un diseño contemporáneo que incluye computación en el borde, integración multiprotocolo y conectividad industrial.
VPN y opciones de conectividad
• 5G/4G de 4 puertos celulares de la red LAN Ethernet Gigabit
• Arquitectura Linux basada en OpenWrt/LEDE
• Soporta tunelización con protocolos estándar de VPN (OpenVPN, WireGuard) a VPNs empresariales
Integración de protocolos industriales
• Interfaces: 2 × RS485, 1 × RS232, GPIO
• Soporta protocolos como Modbus RTU/TCP, DL/T 645, MQTT, OPC UA, etc.
Soporte para la computación en el borde
• Soporta la ejecución de Python, C y Lua
• Permite el preprocesamiento de datos en el borde y la ejecución de lógica de control
• Disminuye el ancho de banda de la VPN enviando los datos procesados en lugar de datos en bruto
Diseño para la Fiabilidad Industrial
• Rango de temperatura: –40°C a 75°C
• Protección contra polaridad inversa y protección contra sobretensiones
• Diseñado para entornos industriales extremos
Ejemplo de despliegue en el campo
Más de 1.000 unidades TG-325 fueron desplegadas en sitios remotos para la monitorización de energía solar y redes en un proyecto de distribución de energía en América Latina.
Los resultados reportados incluyeron:
• 99,5% de fiabilidad en la transmisión de datos
• El tiempo de respuesta de monitorización mejoró casi un 35%
• Resiliencia mediante redundancia multi-red, incluyendo conexiones móviles
El diseño integraba un sistema de monitorización en la nube con protección de bordes basada en VPN. Esto situó la pasarela como la principal unidad de agregación de datos y comunicación segura en el sitio.
Palabras finales
Al elegir un gateway industrial con capacidad VPN o una solución de acceso remoto alojada en la nube, la elección se basa en gran medida en el diseño más que en la funcionalidad disponible.
Los gateways centrados en VPN prefieren:
• Control local
• Rendimiento determinista
• Autonomía de los bordes
Las tecnologías centradas en la nube prefieren:
• Control centralizado
• Facilidad de despliegue
En muchos sistemas industriales contemporáneos, los sistemas mencionados se integran para proporcionar conectividad industrial segura al gateway y el servicio de sistemas en la nube proporciona visibilidad y análisis del sistema industrial.
El TG-325 es un buen ejemplo de cómo las pasarelas industriales han superado la capacidad de un simple puente de comunicación para adoptar una pasarela multifuncional de computación en el borde y conectividad segura.
Preguntas frecuentes
P1: ¿Cómo funciona el acceso remoto a través de servicios en la nube?
Las conexiones usuario-dispositivo se establecen a través de una plataforma en la nube de intermediario de comunicaciones.
P2: ¿Qué es más seguro, el acceso a la puerta de enlace VPN o a la nube?
Ambos sistemas pueden asegurarse si se configuran así, pero controlar las pasarelas VPN vinculadas a la infraestructura aumenta los niveles de seguridad.
P3: ¿Necesitan las pasarelas VPN conectividad a internet?
Sí, aunque pueden funcionar localmente en tiempos de inactividad en internet.
P4: ¿Cuál es el principal beneficio del acceso remoto a través de servicios en la nube?
Esto permite un acceso y gestión fáciles con requisitos limitados de infraestructura para la instalación.
P5: ¿Se pueden soportar varios protocolos mediante pasarelas industriales?
Sí, la mayoría soporta varios protocolos para la integración de dispositivos, como Modbus, OPC UA y MQTT.
