L’accès à distance aux API API, HMI et dispositifs de terrain est nécessaire en automatisation industrielle pour la mise en service, la maintenance et le diagnostic. Deux architectures populaires incluent les passerelles industrielles avec prise en charge de l’accès VPN et les solutions d’accès à distance basées sur le cloud.
Les deux offrent une connectivité sécurisée entre les réseaux de terrain et les utilisateurs externes, mais diffèrent significativement par la topologie du réseau, le routage des données, la complexité du déploiement et le contrôle opérationnel.
Cet article propose une comparaison structurée des deux approches et utilise une passerelle industrielle réelle (Tespro TG-325) comme implémentation de référence de l’architecture de périphérie basée sur VPN.
1. Passerelle industrielle avec support VPN
Une passerelle industrielle avec support VPN sert de nœud périphérique qui crée un tunnel VPN sécurisé vers un emplacement distant de confiance au sein d’un réseau d’usine depuis un VPN d’entreprise ou une station de travail d’ingénierie.
La passerelle est située à côté des dispositifs de terrain. Il effectue généralement des conversions de protocoles, est capable de filtrer et traiter les données de base, puis transmet les données via un VPN pour sécuriser le canal.
Caractéristiques architecturales principales
• Tunneling point à point chiffré
Les sessions VPN sont terminées à la passerelle. La passerelle est le seul appareil exposé à un réseau externe.
• Agrégation et conversion de protocoles sur site
Prend en œuvre des protocoles industriels tels que Modbus RTU/TCP, OPC UA, DL/T 645, etc. pour faciliter et garantir la transmission unifiée des données.
• Capacité de calcul en périphérie
Le traitement sur site, le filtrage et l’exécution logique peuvent minimiser la transmission des données, et même potentiellement améliorer la latence de la télémétrie.
• Continuité opérationnelle lors d’une défaillance réseau
Le transfert de données et la surveillance des appareils peuvent continuer à fonctionner avec la même logique, même si le WAN externe est déconnecté.
2. Systèmes d’accès à distance basés sur le cloud
Les systèmes d’accès à distance basés sur le cloud utilisent des dispositifs de terrain pour se connecter à un service cloud centralisé afin de générer une session d’accès à distance permettant aux utilisateurs de se connecter au réseau de l’usine.
Cette architecture élimine les connexions directes au réseau de l’usine et simplifie la politique de pare-feu.
Caractéristiques architecturales principales
• Accès à distance basé sur le cloud
Toutes les sessions sont gérées et négociées via des services sur le cloud.
• Aucune exposition au port entrant
Les dispositifs de terrain créent des connexions sortantes vers des services sur le cloud via HTTPS, simplifiant ainsi la politique du pare-feu.
• Gestion centralisée des appareils et des utilisateurs
La gestion des utilisateurs, la gestion des appareils, la gestion des permissions et la journalisation sont assurées via des interfaces web sur le cloud.
• Chemin à latence variable
Les datapaths sont généralement : utilisateur → cloud → plante. Chaque branche peut ajouter des latences selon la région du nuage et le routage.
3. Comparaison technique
| Dimension | Passerelle industrielle avec support VPN | Accès à distance basé sur le cloud |
| Modèle de connectivité | Tunnel chiffré direct vers le point de terminaison VPN | Courtier de session basé sur le cloud |
| Chemin des données | Terminaison à distance d’usine ↔ | Plant ↔ Cloud ↔ Client |
| Complexité de déploiement | Moyen à élevé (configuration VPN, routage, certificats) | Faible (Agent, enregistrement cloud) |
| Exigences du pare-feu | Configuration VPN contrôlée | Aucun port entrant n’est nécessaire |
| Traitement des périphériques | Soutenu | Dépendant de l’agent |
| Fonctionnement hors ligne | Forte autonomie locale | Variable, dépendant de la plateforme |
| Modèle de sécurité | Contrôle du périmètre de l’usine | Le fournisseur cloud co-partageait |
| Gestion des protocoles | Prend en charge le multi-protocole en périphérie | Nécessite des agents compatibles cloud |
| Structure des coûts | Dépend du matériel, faibles coûts récurrents | Coûts récurrents élevés, par utilisateur/appareil/licence |
4. Scénarios d’application typiques
La passerelle industrielle avec support VPN répond le mieux aux besoins de :
• Sites industriels avec un accès Internet stable nécessitant un contrôle des données sur site
• Sites avec un accès internet instable ou intermittent
• Systèmes industriels hérités nécessitant une conversion de protocole sur site
• Applications de contrôle en temps réel nécessitant une faible latence et un déterminisme élevé
L’accès à distance basé sur le cloud répond le mieux aux besoins de :
• Sites industriels avec des actifs distribués et une présence informatique minimale
• Applications de contrôle de site qui nécessitent un contrôle et une agrégation de données et sont
• Modèle économique à faible barrière d’entrée et déploiement rapide.
5. Modèle de déploiement hybride (le plus courant)
De nombreux modèles industriels contemporains utilisent un modèle hybride. Voici quelques exemples :
• Les passerelles IPsec embarquées assurent une ingénierie et une maintenance à distance sécurisées et à faible latence à la demande. Le cloud offre un service au niveau de la flotte avec surveillance, télémétrie et analyses.
Voici quelques-uns des avantages de ce modèle :
• Chemins de contrôle déterministes fournis par le VPN
• L’architecture cloud offre une visibilité de l’information évolutive.
6. Mise en œuvre de référence : Tespro TG-325
LeTespro TG-325 est une passerelle industrielle VPN au design contemporain comprenant l’informatique en périphérie, l’intégration multi-protocoles et la connectivité industrielle.
VPN et options de connectivité
• 5G/4G cellulaire 4 ports du réseau local Gigabit Ethernet
• Architecture Linux basée sur OpenWrt/LEDE
• Prend en charge le tunneling avec des protocoles VPN standards (OpenVPN, WireGuard) vers les VPN d’entreprise
Intégration des protocoles industriels
• Interfaces : 2 × RS485, 1 × RS232, GPIO
• Prend en charge des protocoles tels que Modbus RTU/TCP, DL/T 645, MQTT, OPC UA, etc.
Support de l’informatique en périphérie
• Prend en compte l’exécution de Python, C et Lua
• Permet le prétraitement des données en périphérie et l’exécution de la logique de contrôle
• Diminue la bande passante VPN en envoyant les données traitées au lieu des données brutes
Conception pour la fiabilité industrielle
• Plage de température : –40°C à 75°C
• Protection contre la polarité inverse et protection contre les surtensions
• Conçu pour des environnements industriels extrêmes
Exemple de déploiement sur le terrain
Plus de 1 000 unités TG-325 ont été déployées sur des sites isolés pour l’énergie solaire et la surveillance du réseau dans le cadre d’un projet de distribution énergétique en Amérique latine.
Les résultats rapportés comprenaient :
• Fiabilité de la transmission des données à 99,5 %
• Le temps de réponse de surveillance s’est amélioré de près de 35 %
• Résilience grâce à la redondance multi-réseau, y compris les connexions cellulaires
La conception intégrait un système de surveillance basé sur le cloud avec une protection de périphérie basée sur un VPN. Cela a permis de localiser la passerelle comme principale unité d’agrégation de données et de communication sécurisée sur site.
Derniers mots
Lors du choix d’une passerelle industrielle avec capacité VPN ou d’une solution d’accès à distance hébergée dans le cloud, le choix repose principalement sur la conception plutôt que sur la fonctionnalité disponible.
Les passerelles axées sur les VPN préfèrent:
• Contrôle local
• Performance déterministe
• Autonomie des contours
Les technologies axées sur le cloud préfèrent:
• Contrôle centralisé
• Facilité de déploiement
Dans de nombreux systèmes industriels contemporains, les systèmes mentionnés précédemment s’intègrent pour fournir la passerelle une connectivité industrielle sécurisée et le service de système cloud fournit la visibilité et l’analyse des systèmes industriels.
Le TG-325 est un bon exemple de la manière dont les passerelles industrielles ont dépassé la capacité d’un simple pont de communication pour devenir une passerelle multifonctionnelle de calcul en périphérie et une connectivité sécurisée.
FAQ
Q1 : Comment fonctionne l’accès à distance via un service cloud ?
Les connexions utilisateur-appareil sont établies via une plateforme cloud de courtage de communication.
Q2 : Qu’est-ce qui est le plus sûr, la passerelle VPN ou l’accès au cloud ?
Les deux systèmes peuvent être sécurisés s’ils sont configurés comme tels, mais contrôler les passerelles VPN liées à l’infrastructure augmente les niveaux de sécurité.
Q3 : Les passerelles VPN nécessitent-elles une connectivité internet ?
Oui, même s’ils peuvent fonctionner localement en cas d’interruption internet.
Q4 : Quel est le principal avantage de l’accès à distance via les services cloud ?
Cela permet un accès et une gestion faciles avec des exigences limitées en matière d’infrastructure.
Q5 : Un certain nombre de protocoles peuvent-ils être pris en charge par les passerelles industrielles ?
Oui, la majorité prend en charge plusieurs protocoles d’intégration des appareils, tels que Modbus, OPC UA et MQTT.
