工业网络的互联互通性促进了工程师在任何地点远程管理路由器的能力。然而，利用远程访问可能使工业路由器暴露于凭证采集、恶意软件、未经授权的修改和拒绝服务攻击。
由于工业路由器桥接IT、OT和蜂巢网络，不安全的部署可能使RTU、PLC、SCADA系统及其他资产面临额外风险.
1. 移除默认凭证
各种凭证攻击途径都需要利用默认凭证。默认凭据广为人知，可以作为暴力破解攻击中多种凭证的解决方案。
路由器部署前：
•更换所有默认凭证。
• 为每台工业路由器分配唯一凭证。
•请勿发布或分享凭证。
•禁用出厂默认/临时账户。
• 确保系统调试后清除临时安装账户。
•凭证必须存储在密码管理器中。
必须使用隐私增强和安全的最佳实践密码。使用强密码，并在支持的话为管理员账户启用多因素认证.
2. 基于角色的访问控制
并非每个用户都需要管理员级别的访问权限。
基于角色的访问模型示例包括：
• 管理员：控制防火墙、VPN及类似系统设置的用户。
•工程师：用户，能够看到并修改设定的操作限制。
•操作员：能够查看设备状态和报警的用户。
• 审计用户：能够查看日志和配置，同时进行审计的用户。
•基于角色的访问减少了错误或账户被泄露的影响.
权利应在固定间隔评估，离职员工账目及已完成/结案项目账目应被清除。
3. 加密远程连接
管理流量应通过私有且安全的连接。
一些可用的控制措施包括：
• 访问路由器前使用 VPN
• 优先选择安全HTTP而非普通HTTP
• 优先使用安全壳（SSH）而非Telnet。
• 对旧加密框架的支持被禁用/移除
• 取消名单/数字证书被尊重
•仅允许对指定的VPN网关进行远程访问
常用的VPN协议包括IPsec和OpenVPN，选择应符合组织的安全政策，并由工业路由器和中央管理系统支持。
作为一般安全措施，网页管理页面、SSH及其他管理服务不应暴露在互联网中。
4. 按源地址进行访问控制
工业路由器的远程管理应仅从可信的管理位置启用。
通过以下方式可以最大限度地减少暴露：
•使用管理允许列表
•在适当情况下，应用基于区域的限制作为额外控制措施
• 限制流量至指定管理服务器
•限制连接至私有APN
• 终止所有来自未知WAN接口的连接
• 终止所有未使用的入站连接
使用“默认拒绝”策略的防火墙比使用广泛允许和威胁拦截策略的防火墙更安全。
5. 隔离管理与生产网络
管理流量不应能够穿越与运营控制流量相同的网络。
有效的细分示例包括：
• 使用专属管理VLAN。
• IT分离OT网络.
• 远程访问服务在工业非军事区内的定位。
• 利用防火墙实现网络区域内的分段。
•使用独特的现场和管理界面。
•限制PLC通信暴露于外部网络.
有效的分段减少了攻击对网络的横向传播，并减轻了网络中单个节点（如用户账户、工作站甚至路由器）被攻破可能带来的威胁。
6. 禁用未使用的服务
禁用服务可以减少攻击向量的数量。
评估路由器配置，并根据情况关闭服务。以下服务应考虑用于致残：
•Telnet
•HTTP 和 FTP 服务
• 未使用的云和Wi-Fi管理服务
• 串口网关、发现协议和VPN服务
当远程管理需要通过专用接口或VPN进行时，也应在面向生产环境的LAN端口上禁用管理接口。
7. 确保固件和配置的安全
工业路由器应完全集成到公司管理漏洞和变更的流程中。
最佳实践包括：
• 关注制造商的安全更新。
•保持路由器固件版本的文档。
•仅使用可信网站下载固件。
• 使用签名或哈希验证。
• 更新首先应用于非生产流程中的设备。
• 更新安排在运营团队的意见下。
•保持安全、版本控制的配置备份，并通过加密和访问控制加以保护.
• 建立回滚机制。
测试工业固件通常需要非常谨慎，而且是有充分理由的。工业固件必须兼容PLC、SCADA服务器以及所有用于工业通信的设备，这一点至关重要。
8. 备份配置的安全影响
路由器配置文件可能包含各种敏感数据，包括：
•VPN凭证
•防火墙规则集
•节点间通信地址
•用户账户
• 蜂窝通信设置。
•路由信息。
• 设备证书。
配置备份应加密并控制访问。企业应经常检查备份是否具备恢复能力。
9. 配置日志和安全通知系统
日志记录允许监控远程活动和系统配置的变化。
你可能想记录的活动示例包括：
• 系统访问（包括成功和失败）
•账户锁定
• 建立VPN会话
•防火墙的变更
• 系统固件升级
•配置变更与导出
•系统意外重启
•SIM卡故障切换事件
•局域网或广域网接口配置的变更
在可能的情况下，日志应发送到集中式日志系统，或安全信息与事件管理（SIEM）系统。可以设置通知，帮助运营团队应对持续的登录失败、意外配置变更和异常网络活动。
怎么会这样特斯普罗TR-245支持远程连接
该特斯普罗 TR-245当部署配合适当的安全策略时，可以为工业路由器远程管理提供实用的硬件基础。
功能包括：
• 5G蜂窝连接，支持双SIM备份
• 四个100 Mbps局域网端口
• 一个RS485接口和一个RS232接口
• 双频Wi-Fi和内置GNSS
• 支持 OpenVPN、L2TP 和 PPTP 的 VPN 客户端/服务器
• 12–36伏直流输入
• 工作温度范围为-40°C至75°C
•IP65级防护
• 支持 Modbus RTU/TCP、BACnet、M-Bus、IEC 61850、DLMS 和 OPC UA
对于安全敏感的部署，建议使用 OpenVPN 而非传统 PPTP。Microsoft不推荐PPTP或独立L2TP，因为它们的安全功能有限。
结语
有效的工业路由器远程管理不仅仅依赖于选择具备安全功能的路由器。组织必须控制谁可以连接，加密每个管理会话，分隔网络区域，禁用不必要的服务，维护固件，监控活动，并保护现场安装。
通过结合技术控制、定期审计和严格的运营程序，工业组织能够实现远程管理的优势。同时，他们可以最大限度地减少对关键设备和生产流程的网络安全威胁。
常见问题解答
问题1。什么是工业路由器远程访问的管理？
工业路由器远程访问管理允许授权用户远程监控、配置和排查路由器。
问题2。远程管理路由器安全吗？
如果将路由器的远程管理与VPN、防火墙、强认证和网络分段结合实施，则是安全的。
问题3。将路由器的管理端口暴露给互联网安全吗？
不。路由器的管理端口应仅在安全的VPN或可信的管理网络上使用。
问题4。哪些方案是不理想的？
Telnet、HTTP和FTP是未加密协议的例子，应尽量避免使用。
问题5。使用多因素认证有什么好处？
如果密码被盗或泄露，多因素认证会成为额外的屏障。
