Wer eine Maschine oder Anlage aus der Ferne warten möchte, kommt an einem Thema kaum vorbei: dem VPN-Fernzugriff. Ein Virtual Private Network schafft einen verschlüsselten Tunnel zwischen Ihrem Endgerät und dem Netzwerk vor Ort, sodass Sie auf SPS, HMI oder andere Steuerungskomponenten zugreifen können, als säßen Sie direkt davor. Gerade im industriellen Umfeld ist das kein Komfortmerkmal mehr, sondern eine operative Notwendigkeit.
Diese Anleitung führt Sie Schritt für Schritt durch den Aufbau eines funktionsfähigen VPN-Fernzugriffs für Ihre Anlage. Von den Voraussetzungen über die Router- und Client-Konfiguration bis hin zur Absicherung und möglichen Alternativen erhalten Sie konkrete Handlungsanweisungen, die Sie direkt umsetzen können.
Voraussetzungen für den industriellen VPN-Fernzugriff
Bevor Sie mit der Konfiguration beginnen, sollten Sie sicherstellen, dass alle notwendigen Komponenten vorhanden und kompatibel sind. Ein fehlerhafter Start kostet deutlich mehr Zeit als eine sorgfältige Vorbereitung.
Prüfen Sie folgende Punkte, bevor Sie weitermachen:
- Internetanschluss an der Anlage: Der Standort benötigt eine stabile Internetverbindung, idealerweise mit fester öffentlicher IP-Adresse oder alternativ einem dynamischen DNS-Dienst (DDNS).
- VPN-fähiger Router oder Firewall: Viele industrielle Router wie Siemens SCALANCE, Moxa, Peplink oder Teltonika unterstützen gängige VPN-Protokolle wie OpenVPN, IPsec oder WireGuard direkt ab Werk.
- Zugriff auf die Firewall-Einstellungen: Sie benötigen administrative Rechte, um eingehende Verbindungen oder spezifische Ports freizuschalten.
- VPN-Protokoll festlegen: OpenVPN ist weit verbreitet und gut dokumentiert. WireGuard bietet modernere Kryptografie und geringeren Overhead. IPsec eignet sich besonders für Site-to-Site-Verbindungen.
- Zertifikate oder Pre-Shared Keys: Entscheiden Sie sich frühzeitig für eine Authentifizierungsmethode. Zertifikatsbasierte Authentifizierung ist sicherer als einfache Passwörter.
- Netzwerkplan: Notieren Sie die IP-Adressbereiche des Anlagennetzzwerks und des Zugriffs-Endgeräts, um Adresskonflikte zu vermeiden.
Sobald Sie alle Punkte abgehakt haben, können Sie mit der eigentlichen Konfiguration beginnen.
VPN-Router an der Anlage konfigurieren
Der Router am Anlagenstandort übernimmt die Rolle des VPN-Servers. Er nimmt eingehende Verbindungen entgegen, authentifiziert den Client und leitet den Datenverkehr ins lokale Netzwerk weiter. Die genaue Benutzeroberfläche variiert je nach Hersteller, die grundlegenden Schritte sind jedoch bei den meisten Geräten identisch.
- Melden Sie sich über die Weboberfläche oder SSH am Router an und navigieren Sie zum VPN-Bereich der Einstellungen.
- Wählen Sie das gewünschte VPN-Protokoll aus, zum Beispiel OpenVPN im Server-Modus.
- Legen Sie den VPN-Port fest. OpenVPN verwendet standardmäßig UDP 1194, WireGuard UDP 51820. Notieren Sie den gewählten Port für die spätere Firewall-Freigabe.
- Erstellen Sie eine Zertifizierungsstelle (CA) sowie ein Server-Zertifikat und einen privaten Schlüssel. Viele Router bieten dafür einen integrierten Assistenten.
- Definieren Sie den IP-Adressbereich für VPN-Clients, zum Beispiel 10.8.0.0/24, und stellen Sie sicher, dass dieser Bereich nicht mit dem Anlagennetzwerk kollidiert.
- Aktivieren Sie die Option, dass VPN-Clients auf das lokale LAN zugreifen dürfen, und tragen Sie die entsprechenden Routen ein.
- Speichern Sie die Konfiguration und starten Sie den VPN-Dienst.
Richten Sie anschließend in der Firewall des Routers eine Regel ein, die eingehende Verbindungen auf dem gewählten VPN-Port erlaubt. Falls der Router hinter einer weiteren Firewall oder einem Modem mit NAT betrieben wird, müssen Sie dort zusätzlich eine Port-Weiterleitung auf die interne IP-Adresse des Routers einrichten. Exportieren Sie abschließend das Client-Zertifikat und die Konfigurationsdatei, die Sie im nächsten Schritt benötigen.
VPN-Client auf dem Zugriffs-Endgerät einrichten
Mit der fertigen Server-Konfiguration und den exportierten Zertifikaten richten Sie nun den VPN-Client auf Ihrem Laptop, Tablet oder PC ein. Dieser Schritt ist in der Regel schneller abgeschlossen als die Server-Seite.
- Installieren Sie den passenden VPN-Client. Für OpenVPN empfiehlt sich der offizielle OpenVPN Connect Client oder die Open-Source-Variante OpenVPN GUI. Für WireGuard steht ein schlanker nativer Client für Windows, macOS, Linux, iOS und Android zur Verfügung.
- Importieren Sie die vom Router exportierte Konfigurationsdatei (bei OpenVPN eine .ovpn-Datei). Diese enthält bereits alle Verbindungsparameter sowie die eingebetteten Zertifikate.
- Tragen Sie bei Bedarf Benutzername und Passwort ein, falls der Server zusätzlich zur Zertifikatsauthentifizierung eine Passwortabfrage verlangt.
- Speichern Sie das Profil und starten Sie die Verbindung.
Nach dem Verbindungsaufbau weist der VPN-Server Ihrem Client eine IP-Adresse aus dem definierten VPN-Adressbereich zu, zum Beispiel 10.8.0.2. Überprüfen Sie im Client, ob die Verbindung als aktiv angezeigt wird und ob eine IP-Adresse zugewiesen wurde. Damit ist die grundlegende Verbindung hergestellt.
Verbindung testen und Netzwerkreichweite prüfen
Eine angezeigte VPN-Verbindung bedeutet noch nicht zwingend, dass Sie alle Geräte im Anlagennetzwerk erreichen. Testen Sie die Verbindung systematisch, bevor Sie produktiv damit arbeiten.
- Öffnen Sie eine Eingabeaufforderung oder ein Terminal und senden Sie einen Ping an die interne IP-Adresse des Routers im Anlagennetzwerk, zum Beispiel ping 192.168.1.1. Erhalten Sie eine Antwort, ist der Tunnel grundsätzlich funktionsfähig.
- Pingen Sie anschließend die IP-Adresse einer SPS oder eines anderen Geräts im Anlagennetzwerk an. Bleibt die Antwort aus, prüfen Sie die Routing-Einstellungen auf dem VPN-Server und ob das Gerät selbst auf Ping-Anfragen antwortet.
- Öffnen Sie Ihre SPS-Programmierumgebung, zum Beispiel TIA Portal, CODESYS oder Studio 5000, und versuchen Sie, eine Verbindung zur SPS über deren IP-Adresse herzustellen.
- Testen Sie den Zugriff auf eine Webvisualisierung oder ein HMI-Panel, indem Sie die lokale IP-Adresse des Geräts direkt im Browser eingeben.
Schlägt der Ping zur SPS fehl, obwohl der Router erreichbar ist, liegt das Problem häufig an fehlenden Routen auf dem VPN-Server oder an einer lokalen Firewall auf dem Zielgerät. Prüfen Sie in diesem Fall die Routing-Tabelle des Routers und stellen Sie sicher, dass der VPN-Adressbereich als vertrauenswürdiges Netzwerk eingetragen ist. Sobald alle Zielgeräte erreichbar sind, können Sie den Fernzugriff produktiv nutzen.
Sicherheit und Zugriffsrechte absichern
Ein funktionierender VPN-Tunnel ist nur so sicher wie seine Konfiguration. Gerade im industriellen Umfeld, wo Steuerungen kritische Prozesse verantworten, darf die Absicherung nicht vernachlässigt werden.
Setzen Sie folgende Maßnahmen konsequent um:
- Starke Authentifizierung: Verwenden Sie ausschließlich zertifikatsbasierte Authentifizierung. Vermeiden Sie Pre-Shared Keys für Produktivumgebungen, da diese bei Kompromittierung eines Geräts das gesamte Netzwerk gefährden.
- Individuelle Client-Zertifikate: Stellen Sie für jeden Techniker und jedes Gerät ein eigenes Zertifikat aus. So können Sie einzelne Zugänge gezielt sperren, ohne alle anderen zu beeinträchtigen.
- Minimale Netzwerkreichweite: Beschränken Sie den VPN-Zugriff auf die Netzwerksegmente, die ein Nutzer tatsächlich benötigt. Ein Servicetechniker braucht in der Regel keinen Zugriff auf das gesamte Büronetzwerk.
- Protokollierung aktivieren: Aktivivieren Sie Verbindungslogs auf dem VPN-Server. So können Sie nachvollziehen, wer wann auf die Anlage zugegriffen hat.
- Regelmäßige Zertifikatserneuerung: Legen Sie eine Laufzeit für Zertifikate fest und erneuern Sie diese planmäßig, bevor sie ablaufen.
- Firmware aktuell halten: Halten Sie den VPN-Router stets auf dem aktuellen Firmware-Stand, um bekannte Sicherheitslücken zu schließen.
Dokumentieren Sie alle Zugänge und Zertifikate zentral, damit bei Personalwechsel oder Geräteverlust sofort gehandelt werden kann. Sicherheit im industriellen Fernzugriff ist kein einmaliger Aufwand, sondern ein kontinuierlicher Prozess.
Alternativen zum klassischen VPN für die Fernwartung
Der klassische VPN-Fernzugriff ist bewährt, bringt aber auch Aufwand mit sich: feste IP-Adressen oder DDNS-Dienste, Port-Weiterleitungen durch Firewalls, individuelle Zertifikatsverwaltung und ein gewisses Maß an Netzwerk-Know-how. Für viele Szenarien in der industriellen Fernwartung gibt es inzwischen Alternativen, die einen vergleichbaren Sicherheitsstandard mit deutlich weniger Konfigurationsaufwand verbinden.
Folgende Ansätze sind in der Praxis verbreitet:
- Cloud-basierte Fernzugriffslösungen: Plattformen, die einen verschlüsselten Tunnel über die Cloud vermitteln, benötigen keine eingehenden Verbindungen durch die Firewall. Der Cloud-Adapter baut selbst eine ausgehende Verbindung auf, was die Netzwerkkonfiguration erheblich vereinfacht. Einen Überblick über verschiedene Möglichkeiten für sicheren Fernzugriff finden Sie in einem weiterführenden Vergleich.
- VNC-basierter Fernzugriff: Viele Panels und HMIs unterstützen VNC direkt ab Werk. Über einen sicheren Tunnel lässt sich der Bildschirminhalt spiegeln und das Panel fernbedienen, ohne in die SPS-Programmierumgebung eingreifen zu müssen.
- Web-Visualisierungen remote zugänglich machen: Moderne Steuerungen bieten häufig eine HTML-basierte Visualisierung. Diese lässt sich über eine gesicherte Plattform remote erreichbar machen, ohne den Port direkt ins Internet zu öffnen.
- Integrierte VPN-Funktionen in IoT-Plattformen: Einige Fernüberwachungsplattformen bieten VPN als integrierte Funktion an, die sich mit wenigen Klicks aktivieren lässt, ohne separate Router-Konfiguration oder Zertifikatsverwaltung.
Welcher Ansatz am besten passt, hängt von der vorhandenen Infrastruktur, den Sicherheitsanforderungen und dem verfügbaren Know-how ab. Für Umgebungen, in denen klassische IT-Ressourcen begrenzt sind, können Cloud-vermittelte Lösungen den Einstieg in den industriellen Fernzugriff erheblich erleichtern.
VPN-Fernzugriff mit AnyViz: einfacher einrichten, sicher nutzen
Wir bei AnyViz wissen, dass der Aufwand für klassische VPN-Lösungen im Alltag oft zu hoch ist, besonders wenn mehrere Anlagen an verschiedenen Standorten betreut werden müssen. Deshalb haben wir den VPN-Fernzugriff direkt in unsere Plattform integriert, sodass Sie ohne feste IP-Adresse, ohne Port-Weiterleitung und ohne aufwendige Zertifikatsverwaltung auf entfernte Netzwerke zugreifen können.
Was uns dabei konkret von einer klassischen VPN-Einrichtung unterscheidet:
- Zwei Klicks genügen, um eine verschlüsselte 1-zu-1-Netzwerkverbindung zur entfernten Anlage herzustellen
- Keine Konfiguration der Firewall für eingehende Verbindungen notwendig
- Kein DNS, keine feste IP-Adresse, keine zusätzlichen Kosten für den VPN-Dienst
- Zugriff auf die SPS-Programmierumgebung, Dateiübertragung und andere Dienste, als wären Sie vor Ort
- Auswahl einzelner Netzwerksegmente, die über die VPN-Verbindung erreichbar sein sollen
- Integrierte Benutzerverwaltung und Multifaktorauthentifizierung für sicheren Zugriff
- Ergänzend zum VPN: VNC-Zugriff auf Panels und Einbindung lokaler Webvisualisierungen in einer einzigen Oberfläche
Entwickelt und betrieben wird AnyViz von der Mirasoft GmbH & Co. KG. Wenn Sie die Plattform und ihre Fernzugriffsfunktionen selbst ausprobieren möchten, können Sie sich kostenlos registrieren und alle Funktionen testen.