Accéder à distance à un automate et à une IHM via un routeur cellulaire industriel
Dernière mise à jour : il y a 6 jours
Un technicien peut devoir consulter une IHM ou transférer un programme d'automate sur un site qui ne dispose que d'une liaison cellulaire. Une carte SIM opérationnelle ne suffit pas : le chemin doit atteindre le bon équipement, être réservé aux personnes autorisées et distinguer l'observation des actions qui modifient le procédé.
Un routeur cellulaire industriel peut relier le réseau machine à un point de terminaison VPN ou à un service d'accès distant. Les modes VPN, interfaces, journaux et mécanismes de reprise dépendent du modèle et de sa version logicielle. Vérifiez ces fonctions dans la documentation à jour avant de choisir l'architecture.
Définir la limite d'accès avant d'ouvrir un port
Commencez par un VPN authentifié ou un accès distant administré, avec des identités individuelles et des règles limitées aux destinations utiles. Les recommandations de la CISA sur l'accès distant et le NIST SP 800-82 Rev. 3 traitent du contrôle et de la surveillance des accès aux systèmes OT. Un VPN transporte le trafic : il n'autorise pas à lui seul la conduite d'une machine et ne limite pas automatiquement un utilisateur à un automate.
Le NAT répond d'abord à un besoin de traduction d'adresses. Dans un VPN contrôlé, il peut distinguer des machines de clients utilisant le même sous-réseau privé ; le guide sur les automates ayant la même adresse IP détaille ce cas.
La redirection d'un port vers Internet est différente : elle rend un service accessible de l'extérieur et ne remplace ni l'authentification, ni la segmentation, ni une passerelle d'accès. Évitez d'exposer directement un automate ou une IHM sur Internet.
Si une exception temporaire est indispensable, définissez au préalable son responsable, les sources permises, sa date de fin, sa surveillance et son retrait.
Décision | À noter avant la configuration |
|---|---|
Qui se connecte ? | Utilisateurs nommés ou identités de service ; responsable de l'autorisation et de la révocation |
Quelles cibles ? | Adresses précises des automates/IHM, services et sens du trafic |
Quelles actions ? | Consultation, modification d'ingénierie ou commande IHM, avec autorisations distinctes |
Comment terminer l'accès ? | Expiration de session, suppression des comptes et règles, conservation des journaux |
Tracer les chemins de données et d'adresses
Représentez le poste de l'ingénieur, le point de terminaison VPN joignable, le WAN cellulaire, le LAN du routeur et chaque automate ou IHM visé. L'opérateur peut employer des adresses privées ou le CGNAT ; les connexions entrantes vers la SIM peuvent alors être indisponibles.
RFC 6888 décrit les limites du NAT opérateur pour les applications nécessitant des connexions entrantes. Un tunnel initié par le routeur vers un point joignable peut fonctionner dans ces conditions, selon la conception du VPN et du pare-feu.
Comparez IPsec, OpenVPN et WireGuard avec les capacités réelles du point distant et du micrologiciel dans le comparatif des VPN industriels.
À titre d'exemple, le LAN du routeur peut utiliser 192.168.10.1/24, l'automate 192.168.10.10, l'IHM 192.168.10.20 et les clients VPN 10.8.0.0/24. Ces adresses ne sont pas des valeurs par défaut du routeur. Vérifiez les recouvrements avec le réseau local du technicien et les autres sites.
Si deux sites utilisent 192.168.1.0/24, prévoyez une traduction propre à chaque site ou une nouvelle numérotation. Vérifiez aussi le trajet retour de l'automate et de l'IHM vers le client VPN : une route de retour ou une traduction documentée peut être nécessaire.
Listez les services réellement utilisés. La découverte d'automates par diffusion ne traverse pas toujours un VPN routé ; testez la saisie manuelle de l'adresse si le logiciel du constructeur le permet. Un ping du routeur ne démontre ni l'accès de l'outil de programmation ni la possibilité de piloter l'IHM.
Configurer et mettre en service par étapes
Établir le WAN. Vérifiez l'enregistrement de la SIM, l'APN, la qualité radio, le forfait et le type d'adresse fourni par l'opérateur. Notez le micrologiciel et la méthode de reprise prévue.
Fixer la limite. Refusez les accès WAN non sollicités, désactivez les services d'administration inutilisés et n'autorisez que le point VPN et les destinations automate/IHM nécessaires. Utilisez des comptes individuels et les contrôles d'authentification imposés par le site. Conservez une sauvegarde et une méthode de retour arrière.
Établir le tunnel. Vérifiez l'identité du point distant, les identifiants ou certificats, les routes, le DNS si besoin et les sous-réseaux autorisés. Testez depuis un client distant habilité, pas seulement depuis l'outil de diagnostic du routeur.
Tester l'automate. Contrôlez son adresse, le trajet retour, les règles du pare-feu et le service d'ingénierie du constructeur. Confirmez la consultation en ligne avant tout transfert de programme. Une modification exige sauvegarde, autorisation et, si le procédé le demande, une personne qualifiée sur place.
Tester l'IHM séparément. Vérifiez le service web, VNC ou propriétaire prévu, les rôles utilisateurs et l'expiration de session. Un automate joignable ne prouve ni la disponibilité ni la bonne restriction du service IHM.
Consignez source, cible, port, rôle utilisateur et résultat pour chaque essai. Si le tunnel est établi mais que l'application échoue, examinez d'abord routes et règles d'accès. Le guide sur les capteurs, automates et Modbus aide à distinguer les rôles des équipements du transport IP.
Contrôler la consommation de données et la reprise
Une IHM actualisée en continu, un bureau distant ou une caméra peuvent consommer des données sans modification de l'automate.
Mesurez des sessions actives et inactives représentatives et comparez-les au forfait plutôt que de supposer une consommation horaire fixe. Vérifiez les interrogations en arrière-plan, les nouvelles tentatives et les sessions laissées ouvertes.
Activez des alertes si le routeur ou le service le permet et conservez les journaux utiles pour relier une hausse de consommation à une session.
Dans une fenêtre de maintenance autorisée, testez la perte du réseau cellulaire, l'indisponibilité du point VPN, le redémarrage du routeur et la révocation d'un accès. Notez si l'équipement se reconnecte et quels droits une session conserve.
Le basculement double SIM ou WAN n'apporte le résultat attendu que si le matériel, les forfaits et la configuration le permettent réellement. Un ping réussi ou un état « sain » du routeur ne démontre pas que la programmation automate et la consultation IHM fonctionnent après reprise.
Que vérifier avant de choisir un routeur cellulaire industriel
Commencez par les bandes radio et homologations du pays, l'alimentation, le boîtier, la plage de température, l'Ethernet et toute interface série nécessaire. Vérifiez ensuite, pour le micrologiciel exact, les modes VPN, règles de pare-feu, routes et NAT, comptes utilisateurs, journaux et fonctions de reprise distante.
Demandez le manuel du modèle ou une démonstration limitée si une fonction indispensable reste incertaine. La mention « VPN pris en charge » ne prouve ni la gestion des certificats, ni le nombre d'utilisateurs simultanés, ni le fonctionnement de la découverte d'automates, ni la sûreté des mises à jour.
Rassemblez pour la transmission à l'équipe suivante la topologie, le plan d'adressage, les autorisations, les résultats d'essai, la sauvegarde de configuration et le responsable du retour arrière.
FAQ
Faut-il une adresse IP publique pour accéder à un automate via le réseau cellulaire ?
Pas toujours. Un tunnel initié par le routeur vers un point VPN joignable peut fonctionner avec des adresses privées ou le CGNAT. Il faut néanmoins vérifier le point distant, l'authentification, les routes et le pare-feu.
Le VPN suffit-il à sécuriser l'accès à l'automate ?
Non. Limitez chaque utilisateur aux équipements et services nécessaires, conservez les journaux et appliquez les autorisations du site avant toute modification de programme ou de procédé. Séparez consultation et commande.
Pourquoi le VPN est-il connecté alors que l'outil ne trouve pas l'automate ?
Il peut manquer une route ou un trajet retour ; une règle peut bloquer le service d'ingénierie ; le logiciel peut aussi dépendre d'une découverte par diffusion qui ne traverse pas le tunnel routé. Testez explicitement l'adresse et le service du constructeur.
Comment joindre plusieurs sites dont les automates utilisent le même sous-réseau ?
Associez chaque adresse à un site précis et prévoyez un NAT propre au site ou une nouvelle numérotation dans l'architecture d'accès contrôlée. Une seule route vers 192.168.1.0/24 ne peut distinguer deux machines différentes.
