机器交付到了客户厂区。柜子里一台 PLC、一块触摸屏，几百米外立着两台网络摄像机，还有一台只留 RS485 口的温控表。工艺参数要调整，录像要核对，最省事的结果是工程师在办公室把事办完。客户 IT 给出的边界也很清楚：这几样都不许直接出现在 Internet 上。
满足这条边界的办法不是把设备藏起来，而是把入口搬到路由器上。被访问的一侧保持私网地址，公网能看到的东西从头到尾只有那一台路由器。工业 VPN 路由器（industrial VPN router）承担的就是这个位置：外面的人进门先过隧道，隧道之外没有任何端口是开着的。
不是把设备藏起来就够了
最常见的远程访问做法是做一条端口映射，或者把设备直接放进 DMZ：外面敲一个地址加一个端口，就能进到 PLC 或摄像机的页面。这条路走得通，代价同样清楚。公网地址段天天有人在扫，那个端口一旦开着，PLC 的工程口、摄像机的默认口令、上位机上没打补丁的漏洞，都会跟着摆到外面。
消费设备的控制粒度在这类场景里也不够用。面向家用设备的选购讨论中，有人想要按设备逐台限制访问范围，能拿到的管理手段集中在手机应用里的家长控制：按时段断网可以，规定某一台设备能联系谁、不能联系谁做不到。到了工业现场，这个差别直接决定了有没有条件把"能进隧道的人"和"能碰到 PLC 的人"分成两件事来处理。
PLC：给隧道的是地址，不是端口
访问 PLC 通常有三种形态。第一种是上位机和编程软件：通过网络去找 PLC 的网口，隧道建好之后 PLC 的私网地址对远端可见就够了，PLC 本身既没有公网地址也没有对外端口。
第二种是只有串口的老设备。RS485 或 RS232 接到路由器的串行端子上，串口波特率、数据位、校验位、停止位四项按现场手册配齐，由路由侧完成 Modbus RTU 转 TCP，远端上位机按 Modbus TCP 读寄存器。数据在隧道里进出，设备侧始终是柜子里的一根线。
第三种才需要多想一步：有些老工程软件靠广播去发现设备，跨路由的隧道默认不带这类报文。这种情况不必急着改协议，选支持二层组网的方案更直接，官方方案口径里提到，二层组网能让远程编程软件直接看见远端 PLC，不必做协议转换。
IPC：先看上行，再谈画面
摄像机和 PLC 的差别在码流。读 PLC 是零星小包，取视频是持续流量，而蜂窝链路的上行远低于下行，4G LTE Cat4 上行理论值只有几十兆，落到现场还要再打折扣。远程取流前先把两个数算清楚：同时在传几路、每路要多少上行。
带宽不够可以从两处省：主码流留给本地录像，远端只取子码流；批量回放和录像下载排到夜间窗口，不要和产线的实时数据抢同一条上行。多路同时往回传时，还得知道这条隧道的上限在哪，配套平台的口径是每台网关 50M VPN 带宽。
验收：能连上和没暴露，是两件独立的事
隧道建完之后要验三件事，顺序别省。第一件，从公网方向扫一遍这处的地址，目标端口应当全部是关闭的，这是"没暴露"唯一的凭据。第二件，在隧道里 ping 一次 PLC 的地址，用编程软件在线一次，再取一段实时画面，看首帧要等多久、画面有没有持续丢帧。第三件，拔一次上行链路掐表，记录恢复时长，同时确认这段等待里采集和录像是在继续还是停住了。
日常那部分不必每次都惊动隧道。改参数、重启、升固件走远程管理平台处理即可，在线状态与信号质量在平台上直接看得到；设备离线、信号弱、流量超限三类告警支持邮件与短信推送。
两台设备怎么对上
USR-G809s：一个站点同时要挂 PLC、HMI 和多台摄像机时，先看口数够不够。2×WAN/LAN + 6×LAN + 2×SFP（其中一个 SFP 与电口二选一），电口与光口混装时柜内不必再加交换机；官方口径是无需公网或专网 IP、分钟级构建组网，实现终端跨区域内网穿透互通；DC9-60V 宽压供电带反极性保护，铝合金外壳、导轨安装，USB 与 SD 卡可扩展存储，本地录像有地方落。
USR-G816：现场拉不到宽带，或者设备跟着车走，蜂窝就是主链路而不是备份。5G SA/NSA，双 SIM（SIM2 可选内置 eSIM）可跨运营商避盲区；五种 VPN 协议含增强型 OpenVPN，另有隧道检测维持链路；RS232/RS485 端子支持 Modbus RTU 转 TCP 与 UDP 透传，波特率 1200460800，只有串口的老设备不必再挂一台转换器；DC9-36V 带反极性保护，-3575℃、IP30、125×103×45mm，导轨或壁挂。
一句话概括这套做法：入口收在路由器身上，被访问的设备留在私网里，先从公网侧证明它不可见，再从隧道那一侧证明它可用。挑一台能把入口管住的工业 VPN 路由器（industrial VPN router），远程维护就不再是一次性的现场工程。
FAQ
1. 远程访问 PLC 一定要做端口映射吗？不必。让现场那一端主动发起隧道，沿途只放行出站流量，客户侧不用开任何入站端口。蜂窝给的是运营商内网地址时这条路同样成立。
2. 只有串口的设备怎么参与远程访问？把 RS485 或 RS232 接到路由器的串行端子上，由路由侧做 Modbus RTU 转 TCP，远端上位机按 Modbus TCP 读寄存器。设备自身不需要 IP 地址。
3. 远程取摄像机画面要预留多少带宽？先数同时在传的路数与每路的码流，再看所选链路的实际上行。办法是本地留主码流录像、远端只取子码流，回放与下载排到夜间窗口执行。
4. 什么情况下需要二层组网？当上位软件靠广播去发现设备时，普通跨路由隧道默认转发不了这类报文。官方方案口径提到二层组网可让远程编程软件直接看见远端 PLC，不必做协议转换。
5. 没有公网地址的多个站点怎么互通？官方口径里有无需公网或专网 IP 的组网方案，分钟级建立跨区域内网穿透，终端之间直接互通。选型时确认目标型号是否在覆盖范围内。
6. 怎么证明设备没有被暴露到公网？从公网方向对站点地址做一次端口扫描，目标端口应当全部关闭；这份扫描结果可以直接作为交付时的验收记录。
7. 隧道断开期间的数据怎么办？调试时把主链路拔掉掐表验证一次，确认这段等待里采集与录像是否继续、多久恢复。不同型号的缓存与补传行为不一样，事先问清楚再定验收标准。
