Un router industrial con VPN para acceso remoto PLC crea un canal de comunicación seguro entre ingenieros y equipos PLC en sitios remotos y/o no supervisados. Permite trabajos diagnósticos remotos, así como programación y ajustes de parámetros, el acceso a HMIs y la puesta en marcha de equipos, todo ello sin necesidad de conectar el PLC a internet público.
En Tespro, consideramos el acceso remoto con PLC como una tarea de ingeniería de redes de OT, no simplemente como instalar una tarjeta SIM y habilitar la VPN. Una solución fiable debe abordar la disponibilidad celular, la topología de VPN, los protocolos PLC, el enrutamiento IP, la ciberseguridad, la conmutación por error y la gestión a largo plazo de dispositivos.
Cómo se conecta un router VPN industrial a un PLC
Un camino de conexión típico es:
Ingeniería de pasarela o plataforma VPN → PC → red celular → router industrial → PLC → LAN Ethernet
El PLC permanece en una LAN privada detrás del router. Una vez autenticado el ingeniero, el router solo permite tráfico a la dirección aprobada del PLC y a los puertos de servicio.
Un router industrial con VPN para acceso remoto con PLC puede soportar:
• Diagnóstico de código de fallo del PLC y estado operativo
• Monitorización en línea de variables y E/S
• Ajuste autorizado de parámetros
•Carga y descarga de programas PLC
• Acceso remoto a HMIs y ordenadores industriales
• Soporte para la puesta en servicio y actualizaciones de software
• Acceso centralizado a múltiples estaciones remotas
Los cambios en el programa pueden afectar al funcionamiento de la maquinaria. Por tanto, los procedimientos de mantenimiento remoto deberían incluir autorización, respaldo del programa PLC, control de versiones, confirmación de seguridad in situ y un plan de retroceso definido.
Acceso VPN comparado con otros métodos
La VPN debe seleccionarse comparando seguridad, gestionabilidad y coste operativo.
| Método de acceso | Control de seguridad | Limitación práctica |
| Túnel VPN | Políticas de cifrado, autenticación, enrutamiento y cortafuegos | Requiere una configuración correcta de certificados y red |
| Reenvío de puertos | Control limitado | Expone puertos relacionados con PLC a escaneos externos |
| Acceso a la nube por parte de proveedores | Acceso centralizado y gestión de dispositivos | Depende de la compatibilidad entre plataforma y mando |
| APN privado | Aislamiento de red a nivel de operador | Puede ser necesario un servicio y configuración adicional para operadores |
| Mantenimiento in situ | Sin exposición remota a la red | Tiempo de respuesta más largo y mayor coste de servicio |
El reenvío de puertos es fácil de configurar pero inadecuado como estrategia de acceso a PLCs a largo plazo. Una VPN reduce la exposición, pero aún debe combinarse con segmentación, acceso con privilegios mínimos, registro de eventos y credenciales controladas.
Selección de la arquitectura VPN correcta
Un router industrial con VPN para acceso remoto con PLC puede utilizar una de tres arquitecturas:
VPN cliente-a-sitio
El ordenador de ingeniería de un técnico se conecta al sitio remoto. Esto es adecuado para diagnósticos ocasionales y mantenimiento de máquinas individuales.
VPN de sitio a sitio
Un túnel permanente conecta un centro de control con una o más plantas. Es más adecuado para la comunicación SCADA continua o para sitios de producción gestionados centralmente.
VPN gestionada por plataforma
El router crea una conexión saliente a una plataforma de gestión. Esta arquitectura es útil para grandes flotas de dispositivos y SIM móviles que operan detrás de NAT de grado operador.
Antes de seleccionar un modelo, confirma:
• Protocolo VPN requerido y método de cifrado
• Si el router debe operar como cliente, servidor o ambos
• Número de ingenieros concurrentes y sitios conectados
• Flujo de trabajo de gestión de certificados, claves y cuentas
• Condiciones de IP pública, APN privado, IP dinámica o CGNAT
• Requisitos de registro de acceso y gestión remota
Los protocolos VPN específicos deben confirmarse en la hoja de datos del router seleccionado en lugar de asumir a lo largo de toda una familia de productos.
Protocolo PLC y compatibilidad de red
La conectividad VPN no garantiza automáticamente que el software de programación de PLC funcione. El router debe reenviar el tráfico requerido, y el PLC debe tener una ruta de retorno válida.
El tráfico transportado por Industrial Ethernet abarca Modbus TCP, EtherNet/IP, PROFINET y otros tráfico específicos del fabricante, así como tráfico de ingeniería y desarrollo de protocolos. Cada uno de estos puede tener requisitos específicos para puertos TCP/UDP y descubrimiento de dispositivos.
Antes del despliegue, deben verificarse los siguientes:
•Tipo y versión del firmware PLC
• Software de interfaz y programación para el PLC
• Puertos TCP/UDP
• Presencia de conflictos en subredes remotas y locales
• Requisito de NAT de origen y enrutamiento estático
• Direcciones IP para HMI, cámaras, IPC y PLCs adicionales
El descubrimiento de direcciones de PLC basado en broadcast no cruzará una VPN enrutada. Si se establece un túnel pero el software no puede descubrir el PLC, puede ser necesario que el ingeniero especifique la dirección IP. También es necesario corregir cualquier subred superpuesta (es decir, 192.168.1.0/24 en ambos extremos).
Matriz de selección de routers industriales
| Factor de decisión | Requisitos de ingeniería |
| Conexión celular | Cobertura local de operador y bandas 4G/5G compatibles |
| Configuración SIM | Conmutación por error, CGNAT y APN |
| Ethernet | Velocidad y cantidad de puertos LAN/WAN |
| VPN | Capacidad del túnel y reconexión, sobrecarga de cifrado |
| NAT, enrutamiento, filtrado de direcciones y cortafuegos | Control de la red |
| Fiabilidad | Reinicio de energía, detección de enlace y recuperación automática |
| Gestión | Control remoto del router, registros, estado y firmware |
| Instalación | Montaje, antena y entorno operativo |
¿4G vs. 5G para acceso remoto con PLC?
Solo se requiere un ancho de banda moderado para diagnósticos de PLC y transferencias de programas. Para la mayoría de los sitios, una mejor cobertura con 4G es más útil que las velocidades más rápidas del 5G.
El 5G es más apropiado cuando la misma conexión transporta:
• Múltiples sesiones de PLC y HMI
• Vídeo de vigilancia de alta resolución
• Transferencias de software o datos de gran tamaño
• Tráfico de computación en borde
• Datos operativos de alta frecuencia
Los ingenieros deberían comparar la latencia, la jitter, la pérdida de paquetes, la calidad de la señal y el tiempo de recuperación, no solo el ancho de banda.
Despliegue seguro y puesta en servicio
El proceso de Tespro para poner en marcha un router industrial con VPN para acceso remoto con PLC es el siguiente:
- Todos los PLC, HMIs e IPCs deben listarse junto con sus direcciones, protocolos y puertos de servicio.
- Asegúrate de que tu SIM tenga una IP asignada y el APN correcto. Consulta la cobertura de tu operador para esto.
- Asigna diferentes redes LAN y de acceso remoto.
- La red de control debe estar separada de la red de oficina y del Wi-Fi público.
- Solo se deben acceder a las direcciones y puertos del PLC que sean necesarios.
- Configura túneles de keepalive que se reconectan automáticamente y falla el cambio.
- Prueba los túneles de keepalive y comprueba el comportamiento durante el reinicio, el intercambio de SIM y la subida y descarga de datos.
- Haz una copia de seguridad de las configuraciones de los routers, los programas PLC y los certificados.
Investigar el acceso deficiente e inestable. Se debe tener en cuenta la medición de señales, latencia y pérdida de paquetes, MTU, sobrecarga de VPN y el enrutamiento del operador, así como la instalación de las antenas. Un icono de VPN no significa que se haya establecido un enlace listo para producción.
El enfoque de Tespro para la conectividad remota de PLC
Los routers celulares industriales Tespro proporcionanOpciones de conectividad 2G–5G, interfaces Ethernet y Wi-Fi, soporte VPN, capacidad de doble SIM, conmutación por error y gestión remota en la nube. La gama incluye diferentes cantidades de LAN/WAN y configuraciones Fast Ethernet o Gigabit para distintas topologías de automatización.
Desde nuestra perspectiva, el router industrial adecuado con VPN para acceso remoto con PLC debe seleccionarse en función de la red PLC real, no solo de la generación celular preferida. Las capacidades OEM y ODM de hardware y software de Tespro también pueden soportar proyectos que requieran interfaces específicas, bandas celulares, funciones de gestión de dispositivos o configuraciones de despliegue.
Si planeas mantener remoto con PLC seguro, comparte el modelo PLC, la interfaz, la arquitectura VPN, el país de despliegue, el operador, el número de dispositivos conectados y los requisitos de gestión con Tespro. Explora nuestra gama de routers móviles industriales para identificar una plataforma adecuada para tu aplicación.
Preguntas frecuentes
P1. ¿Cómo mejora la conmutación por error dual SIM el acceso remoto de PLC?
La funcionalidad dual-SIM permite al router usar una conexión celular alternativa cuando la SIM principal o la red del operador no estén disponibles. La política de conmutación por error, el comportamiento de reconexión y la compatibilidad con operadores deben probarse durante la puesta en marcha.
P2. ¿Pueden los routers industriales Tespro conectarse a diferentes marcas de PLC?
Los routers Tespro pueden soportar acceso basado en IP a PLCs conectados vía Ethernet, siempre que el enrutamiento de la red, los puertos de programación y los ajustes de VPN estén correctamente configurados. La compatibilidad debe evaluarse según el modelo PLC, software, protocolo y método de descubrimiento requerido.
P3. ¿Debería elegir un router Tespro 4G o 5G para acceso remoto con PLC?
Un 4G estable es suficiente para la mayoría de los diagnósticos de PLC y transferencias de programas. Un router 5G es más adecuado cuando el tráfico PLC comparte la conexión con cámaras, múltiples HMIs, dispositivos de borde o datos industriales de gran volumen.
P4. ¿Qué protocolos VPN soportan los routers industriales Tespro?
Las capacidades de la VPN pueden variar según el modelo del producto y el firmware. Los compradores deben confirmar el protocolo requerido, método de cifrado, modo cliente/servidor, capacidad de túnel y método de autenticación con Tespro antes de seleccionar un router.
P5. ¿Puede funcionar un router Tespro con una SIM móvil detrás de CGNAT?
Sí, pero CGNAT puede impedir conexiones directas entrantes. Dependiendo del proyecto, la solución puede requerir una VPN iniciada por el router, una plataforma de gestión, un APN privado o una tarjeta SIM con una dirección IP pública fija.
