工厂设备怎么远程访问？
VPN vs 内网穿透 vs 云平台
💡 frp 安全吗？VPN 要买硬件吗？设备上云要不要绑厂家？一次说清。
做数字化绕不开的一道题：客户说"工程师出差成本太高，能不能远程看"。这篇把VPN、frp 内网穿透、云平台三种方案放在 10 个维度上比，告诉你什么场景用什么，以及怎么配才安全。
单设备偶尔远程调试——frp 内网穿透最快最省，一台云服务器几十块/月；多工厂长期运维、要安全合规——上 VPN（WireGuard/OpenVPN 软方案即可，不用买硬件）；设备上云、给客户远程看——自己用 EMQX+TDengine 搭，不要绑厂家云。正经项目是组合：工程师走 VPN，客户看数据走云，临时救急用 frp。
01 先搞清楚：三种方案的本质区别
三种方案解决的是同一个问题，但数据流方向完全不同：
- VPN：工程师电脑拨进工厂内网，像在车间插网线一样，直接访问内网设备。数据不离开工厂。
- frp 内网穿透：工厂网关主动连公网服务器，把内部端口映射出去，工程师通过服务器访问。数据过公网但加密。
- 云平台：工厂设备主动把数据上报到云端，工程师和客户通过云平台看数据。数据在云端，不直接连工厂内网。
三种方案不是谁替代谁，而是对应不同的远程需求。下面 10 个维度对比。
02 10 个维度逐项对比
| 对比维度 | VPN | frp 内网穿透 | 云平台 |
|---|---|---|---|
| 原理 | 在工厂网络和工程师电脑之间建加密隧道，像在同一个局域网 | 工厂网关主动连公网服务器，把内部端口映射出去 | 设备主动连厂家云平台，数据上报到云端，通过云访问 |
| 安全性 | 最高，加密隧道+权限控制，适合正规企业 | 中等，要自己配好认证和防火墙，裸奔容易被扫 | 中等，依赖云平台安全模型，数据过第三方 |
| 配置难度 | 要配 VPN 服务器、证书、路由，有一定门槛 | 最快，一台云服务器+配置文件，半小时打通 | 注册账号配好设备连接即可，最省心 |
| 带宽/延迟 | 直连工厂内网，延迟低，带宽取决于工厂上行 | 过公网服务器中转，延迟略高，带宽受服务器限制 | 数据上行到云端，实时远程控制延迟较高，适合监控不适合操作 |
| 并发规模 | 支持多用户同时连，适合多工程师协作 | 单服务器支持几十到几百条隧道，看配置 | 平台支持海量设备接入，适合规模化 |
| 成本 | 硬件 VPN 设备几千到几万，软 VPN 开源免费 | 一台云服务器几十块/月，最省钱 | 按设备数/流量收费，规模化后成本高 |
| 维护 | 要管服务器、证书、账号，IT 维护量中等 | 要盯云服务器稳定性、带宽、安全更新 | 平台托管，维护最少，但依赖服务商 |
| 数据流向 | 数据不离开工厂，工程师直接访问内网设备 | 数据过公网服务器（加密隧道） | 数据上报到第三方云，企业要评估合规 |
| 合规/等保 | 容易过等保，企业 IT 认可 | 临时方案，正规企业审计可能不通过 | 要看云平台资质，涉及数据出工厂要评估 |
| 典型用途 | 多工厂长期运维、正规企业、IT 认可的方案 | 单设备偶尔远程调试、小项目、快速上线 | 设备上云、SaaS 化、多客户远程监控、厂家运维 |
03 按项目场景对号入座
| 远程需求 | 规模 | 关键诉求 | 方案 | 成本 | 建议路线 |
|---|---|---|---|---|---|
| 单设备偶尔调试 | 几台机器 | 偶尔远程 | frp 半小时 | 云服务器几十/月 | 内网穿透 |
| 多工厂长期运维 | 工程师长期用 | 要安全合规 | VPN 建隧道 | VPN 设备/软路由 | VPN |
| 设备要上云 | SaaS 化监控 | 多客户远程看 | 云平台接入 | 按设备数付费 | 云平台 |
| 正经数字化项目 | 混合需求 | 现场+远程都要 | VPN 给工程师 + 云给客户看 | 组合 | 组合使用 |
04 frp 安全配置三条铁律
frp 被骂"不安全"，90% 是配置错了。记住三条：
- ① 必须配 token 认证：frps 和 frpc 都设同一个 token，没有 token 连不上。不要把端口裸奔在公网上。
- ② 只映射需要的端口：要远程看上位机画面，只映射 80/443 端口；不要把整个内网网段暴露。SSH/数据库端口不要随便映射。
- ③ 云服务器开防火墙：frps 端口只允许你的固定 IP 连，不要对全网开放。安全组规则收紧。
配好这三点，frp 比花生壳这种商用穿透还安全——因为你完全掌控服务器。但如果是有等保要求的正规企业，frp 只是临时方案，正式还是要上 VPN。
05 丁丁的实战建议
第一，小项目别花钱买穿透服务。一台 2核2G 云服务器几十块/月，跑 frp 或 WireGuard，比花生壳按设备数收费划算得多。我做小项目远程调试，基本都是 frp 一把梭，配好后几乎零维护。
第二，设备上云不要绑厂家云。厂家云按设备数收费、数据在别人手里、想换平台要重新开发。自己用 EMQX 做消息接入、TDengine 存数据、Grafana 做展示，整套开源栈搭起来，数据在自己服务器上，还能做自己的 SaaS。
第三，客户不让连外网就按规矩来。很多制造企业 IT 要求物理隔离，这种场景不要硬连。要么工程师现场出差，要么通过单向网闸把数据传到 DMZ 区再上云。项目做下来比技术方案更重要的是尊重客户的安全要求。
常见问题 FAQ（选型时最常被问）
Q：工厂设备远程访问，到底用 VPN 还是内网穿透？
A：看规模和合规要求。单设备偶尔远程调试，frp 内网穿透最快最省，半小时打通；多工厂长期运维、正规企业 IT 审计要求、要多工程师同时连，上 VPN；要把数据汇总到云端给客户看、做 SaaS，走云平台。三者不是二选一，正经项目通常是：工程师运维走 VPN，客户远程看数据走云平台，临时救急用 frp。
Q：frp/内网穿透安全吗？会不会被攻击？
A：配好了是安全的，但很多人用错导致裸奔。三条铁律：①一定要配 token 认证，不要把端口直接暴露公网；②只映射需要的端口，不要把整个内网暴露；③云服务器开防火墙，只允许特定 IP 连。配好这三点，frp 比很多人想象的安全。但如果是正规企业、有等保要求，frp 只是临时方案，正式还是要上 VPN。
Q：花生壳/蒲公英这种现成穿透工具能用吗？
A：能，而且更省事。不想自己搭 frp，直接买花生壳、蒲公英、贝锐路由器，插上网线配一下就能远程。优点是零维护，缺点是带宽和连接数受套餐限制、要持续付费、数据过第三方。小项目偶尔远程，买个最便宜的套餐就行；长期大量设备自己搭 frp 或上 VPN 更划算。
Q：VPN 一定要买硬件设备吗？
A：不一定。OpenVPN/WireGuard 开源免费，跑在软路由或云服务器上就行，一台普通工控机或树莓派就能做 VPN 网关。硬件 VPN（华为/深信服/锐捷）适合有 IT 部门、要过等保的大企业。小项目用 WireGuard 跑在现有网关上，免费且性能好，比买硬件划算。
Q：设备上云是不是必须走厂家云？
A：不是，而且强烈建议不要绑定单一厂家云。自己用 EMQX/TDengine 搭一套云平台，设备数据上报到自己的服务器，数据在自己手里。厂家云的问题是：按设备数收费、数据在别人那、想换平台要重新开发。开源栈自己搭一套，成本更低、数据可控、还能做自己的 SaaS。
Q：远程控制 PLC 安全吗？会不会被外面黑？
A：做好防护是安全的，不做防护谁都不安全。核心原则：①PLC 网段和办公网段隔离；②远程只暴露需要的端口，不要全开；③用加密隧道（VPN/frp token），不要裸连；④改 PLC 程序要走工程师授权，不要开放远程编程给所有人。正规工厂的远程访问都是这么做的，风险可控。
Q：客户不让工厂内网连外网怎么办？
A：这是很多制造企业的真实要求。解决方案：①物理隔离，数据通过单向网闸从 OT 传到 DMZ 区，再从 DMZ 上云；②远程访问只在工程师需要时临时拨 VPN，平时断开；③数据上报走专用网闸，不允许反向控制。这种场景不要硬连，按客户 IT 要求来，不然项目做不下去。
Q：小项目最省的远程方案是什么？
A：frp + 一台最便宜的云服务器。云服务器 2核2G 一个月几十块，frp 配置文件写好，工厂网关主动连出去，工程师在自己电脑上通过 frp 访问设备。整个方案一次性配置，后续几乎零维护，比花生壳按设备收费划算得多。这是我做小项目最常用的方案。