Documentation

Accès distant à un automate (PLC) sans ouvrir de port

Reprendre la main sur un automate installé à l’autre bout du pays, sans ouvrir le moindre port : c’est ce que permet l’accès distant à un automate (PLC) par VIGIL-MESH. Votre PC d’ingénierie se comporte comme s’il était branché sur le switch de l’atelier : TIA Portal, EcoStruxure Control Expert ou Studio 5000 dialoguent avec l’adresse overlay de la passerelle qui dessert l’automate — pendant que les ports de l’automate restent fermés à Internet.

Un automate programmable à distance, comme en local

Un chargement de programme, un diagnostic en ligne, une variable à forcer : la plupart des interventions sur automate n’exigent pas d’être au pied de l’armoire — elles exigent d’être sur le même réseau que lui. C’est exactement ce que fait le mesh : il étend le réseau machine jusqu’à votre poste d’ingénierie, sous contrôle strict.

Vos outils, sans changement

TIA Portal, Control Expert ou Studio 5000 se connectent en saisissant une adresse, exactement comme pour un automate du réseau local.

Prise en main sans VPN de site

Pas de VPN à faire installer chez le client, pas de compte sur son pare-feu : la passerelle n’établit que des connexions sortantes.

Cloisonné par ACL

Chaque accès est nominatif : tel technicien, telle passerelle, tel port. Le reste du réseau n’existe pas pour lui.

Cette page se concentre sur la prise en main d’automates. Le tableau d’ensemble — boîtiers du marché, vrai LAN, scénarios — est sur Télémaintenance industrielle.

L’agent vit sur une passerelle du site, jamais dans l’automate

Soyons précis, parce que c’est le point clé : l’agent VIGIL-MESH ne s’installe pas dans l’automate. Il tourne sur un système d’exploitation — un PC industriel Windows ou Linux, un NVIDIA Jetson, une box Linux — posé sur le même réseau machine que l’automate. Et souvent, cette machine existe déjà : c’est le PC d’IHM ou de supervision de la ligne.

L’automate ne change pas : ni firmware, ni programme, ni configuration réseau. Il reste dans son périmètre, tel que validé par le constructeur.
Les ports automates restent fermés à Internet : S7 (102/TCP), EtherNet/IP (44818), Modbus (502) ne sont joignables qu’à travers le mesh, par les pairs que l’ACL autorise, via la passerelle.
L’accès est machine par machine : pas de « routeur de sous-réseau » qui ouvrirait tout un /24 — chaque équipement joignable l’est parce qu’une passerelle le dessert et qu’une règle l’autorise.

Inventaire de la console : la passerelle de l’atelier est active, avec son adresse overlay stable et son menu d’actions. — La passerelle enrôlée, avec l’adresse overlay que vos outils d’ingénierie utiliseront.

Siemens, Schneider, Rockwell : la prise en main pas à pas

1
Enrôlez la passerelle du réseau machineUn PC industriel ou une passerelle Linux de l’atelier reçoit l’agent, une adresse overlay stable et un nom MagicDNS.
2
Autorisez le flux S7Écrivez l’ACL : votre poste d’ingénierie (ou le groupe automaticiens) vers la passerelle, port 102/TCP (ISO-on-TCP). Tout le reste demeure refusé par défaut.
3
Ciblez l’adresse dans TIA PortalDans la connexion en ligne, saisissez l’adresse overlay de la passerelle (ou son nom MagicDNS) plutôt que de passer par « Abonnés accessibles », qui repose sur une diffusion locale.
4
Chargez, diagnostiquez, forcezVue en ligne, diagnostic matériel, chargement du projet : la session se comporte comme au pied de l’armoire, dans un tunnel chiffré de bout en bout.

Sécurité : ACL au moindre privilège, audit, chiffrement de bout en bout

Refus par défaut : sans règle explicite, aucun flux ne passe. Les règles désignent des identités (machine, groupe, étiquette), jamais des adresses publiques — voir politiques et ACL.
Moindre privilège : le groupe automaticiens joint la passerelle de l’atelier sur le port 102 — pas le site entier, pas les autres clients.
Chiffrement de bout en bout : chaque session voyage en QUIC/TLS 1.3 sur des clés Ed25519, avec un établissement de clés hybride post-quantique ; les relais (vigies) sont structurellement aveugles.
Audit et révocation : les accès sont journalisés ; révoquer un technicien ou une passerelle coupe l’accès immédiatement, en fin de contrat comme en cas d’incident.

Questions fréquentes

Faut-il installer quelque chose dans l’automate ?

Non, rien. L’automate garde son firmware, son programme et sa configuration réseau. C’est une passerelle du même réseau machine — PC industriel, Jetson, box Linux — qui porte l’agent et relaie les flux autorisés.

TIA Portal peut-il trouver l’automate avec « Abonnés accessibles » ?

En général, non : cette recherche repose sur une diffusion locale de niveau 2 (PROFINET DCP) qui ne traverse pas l’overlay. Saisissez directement l’adresse overlay ou le nom MagicDNS de la passerelle — la connexion, elle, fonctionne normalement.

Les ports 102, 44818 et 502 sont-ils visibles depuis Internet ?

Non. Aucun port entrant n’est ouvert, ni sur l’automate ni sur la passerelle : celle-ci n’établit que des connexions sortantes. Ces ports ne sont joignables qu’à travers le mesh, pour les identités que l’ACL autorise explicitement.

Et si le site n’a qu’une connexion 4G ou un accès CGNAT ?

Ça fonctionne : les connexions sortantes de la passerelle traversent NAT, CGNAT et liens mobiles. Si aucun chemin direct n’aboutit, un relais structurellement aveugle transporte la session — chiffrée de bout en bout, sans détenir les clés.

Quelle latence pour une prise en main à distance ?

Elle dépend du chemin et du lien du site (fibre, 4G) : le mesh privilégie la connexion directe dès que la traversée NAT aboutit, et passe par un relais sinon. Nous ne publions pas de chiffre unique : mesurez sur votre site, un ping vers la passerelle suffit.

Lire ensuiteAccès distant Modbus et SCADA →