Télémaintenance industrielle : sans boîtier, sans ouvrir de port

Accès distant aux machines industrielles : trois situations

La télémaintenance n’est pas un confort : c’est ce qui sépare une intervention d’une heure d’un déplacement de deux jours. Trois situations reviennent partout où des machines quittent l’atelier de leur constructeur.

Dans les trois cas, la question n’est pas « comment accéder » — le marché sait faire depuis longtemps — mais « avec quoi » : un boîtier matériel de plus dans l’armoire, ou un agent logiciel sur une machine déjà présente.

Boîtiers et passerelles de télémaintenance : l’approche classique

Le standard du marché, ce sont les boîtiers de télémaintenance : Ewon Cosy (HMS Networks), IXON, Tosibox, Secomea, Teltonika. Le principe est éprouvé — un boîtier VPN matériel posé dans l’armoire de la machine, raccordé au cloud du fournisseur par une connexion sortante ; le technicien se connecte à ce cloud via le portail ou le client du fournisseur, et atteint la machine. Ça fonctionne, et ça a rendu service à toute une industrie.

• Un boîtier par machine ou par site : à acheter, câbler, configurer et maintenir — le coût matériel et logistique suit la taille du parc.
• Le cloud du fournisseur est sur le chemin : c’est lui qui met en relation le technicien et le boîtier, selon les conditions et la tarification de l’offre.
• Un accès souvent centré sur la prise en main : selon les offres, on atteint l’écran de l’IHM ou quelques ports définis, plus rarement un réseau complet.
• Un vrai atout côté matériel : certains modèles embarquent un routeur 4G et apportent leur propre connectivité au site.

Télémaintenance sans boîtier : comment ça marche

Un agent logiciel remplace le boîtier. Il s’installe soit directement sur la machine quand elle embarque un PC (Windows ou Linux — poste d’IHM, poste de supervision), soit sur une passerelle du site : PC industriel, NVIDIA Jetson, box Linux. Android est aussi couvert pour les postes mobiles, et le navigateur peut lui-même devenir un nœud du réseau (WASM) pour intervenir sans rien installer.

L’agent n’ouvre aucun port entrant : il n’établit que des connexions sortantes, et traverse NAT, CGNAT et liens 4G/5G. Quand aucun chemin direct n’aboutit entre deux pairs, le trafic passe par des relais — les vigies — structurellement aveugles : ils ne détiennent pas les clés et ne voient jamais le contenu. Chaque session est chiffrée de bout en bout en QUIC/TLS 1.3, sur des clés Ed25519, avec un établissement de clés hybride post-quantique.

Le raccordement d’une machine tient en une clé d’enrôlement à usage unique, générée depuis la console :

1234

1. 1Choisissez la plateforme de la machine ou de la passerelle du site — Windows, Linux, Android, Jetson.
2. 2La clé d’enrôlement est à usage unique et expire d’elle-même : elle n’autorise qu’un seul rattachement.
3. 3La commande à exécuter sur place, clé comprise — une seule ligne, à copier telle quelle.
4. 4L’assistant attend : dès que la machine se connecte, elle apparaît ici, prête à être vérifiée (E2EE).

Une fois vérifiée, la machine reçoit une adresse overlay stable et un nom MagicDNS ; les ACL décident ensuite de qui peut la joindre, service par service.

Un vrai LAN, pas un simple tunnel écran

Un boîtier de télémaintenance donne d’abord un accès à la machine. Un agent VIGIL-MESH met la machine sur votre réseau : tout ce qui parle IP fonctionne, comme si votre poste et la machine étaient branchés sur le même switch.

123

1. 1La machine du site, telle qu’elle apparaît dans l’inventaire du réseau.
2. 2Son adresse overlay : c’est elle que le terminal joint, jamais une adresse publique.
3. 3« Terminal » ouvre une session SSH dans le navigateur, chiffrée de bout en bout jusqu’à la machine.

Machine chez un client, pare-feu verrouillé : le scénario type

Le cas le plus fréquent — et le plus irritant : votre machine est en production chez un client, et tout ce qui vous en sépare appartient à son IT.

Quand un boîtier matériel reste pertinent

L’honnêteté oblige : l’agent est un logiciel, il lui faut un système d’exploitation. VIGIL-MESH s’installe sur Windows, Linux (poste ou serveur), Android et NVIDIA Jetson — pas dans un automate.

• Machine sans OS et aucun PC sur site : si l’armoire ne contient qu’un automate nu et qu’aucune passerelle ne peut être posée, un boîtier matériel reste la voie directe.
• Besoin d’un routeur 4G intégré : certains boîtiers embarquent leur propre modem — utile quand le site n’a aucune connectivité à partager.
• Dans tous les autres cas — un PC d’IHM, un poste de supervision, une passerelle Linux possible — l’agent suffit, et il apporte le réseau complet en plus de l’accès.

Sécurité : chiffrement de bout en bout, ACL et audit

• Zéro port entrant, partout : ni sur le site, ni chez vous. Toute la connectivité est sortante.
• Chiffrement de bout en bout : QUIC/TLS 1.3, clés Ed25519, établissement de clés hybride post-quantique. Les vigies (relais) ne détiennent pas les clés et ne voient que des paquets opaques.
• ACL par identité, refus par défaut : chaque flux est autorisé explicitement — machine, groupe, service. Voir politiques et ACL.
• Console web : inventaire des machines, topologie en temps réel, terminal SSH, journal d’audit, rôles par membre.
• Révocation immédiate : fin de contrat ou poste perdu, l’accès tombe d’un geste — flux directs et diffusions comprises.

Questions fréquentes