A seguir indicamos, passo a passo, a configuração para deixar um PLC Siemens acessível remotamente via TIA Portal através de um router com IP público fixo.
1. Configuração de rede no PLC
- Atribuir um IP fixo ao PLC dentro do intervalo da LAN interna (ex.
192.168.1.10), com máscara e gateway apontando para o router (isto é crítico: se não definir o gateway na configuração de rede do PLC no TIA Portal, o PLC não saberá roteiar o tráfego que vem de fora da sua sub-rede). - Em “Propriedades do dispositivo” → “Interface PROFINET” → “Endereços Ethernet”, marcar a opção de router/gateway e colocar o IP do router como gateway.
- Se a CPU tiver firewall integrado (S7-1500 com CP de segurança, ou os 1500 com firewall nativo a partir de certa versão de firmware), configurar ali as regras de acesso permitidas.
2. Porta necessária
O TIA Portal comunica-se com o PLC através do protocolo S7 sobre ISO-on-TCP, que usa:
- Porta 102/TCP — indispensável para online/diagnóstico, download de programa, PUT/GET.
- Opcionalmente 443/TCP se você quiser também acessar o servidor web integrado do PLC.
3. Configuração do router
Aqui você tem duas abordagens, e eu recomendo a segunda:
Opção A — DMZ pura (o que você propõe): Apontar todo o IP público para o IP do PLC. Funciona, mas expõe todas as portas do PLC para a Internet, não apenas a 102. É a opção menos segura e a que a Siemens menos recomenda.
Opção B — Encaminhamento de portas seletivo (recomendado): Ao invés de DMZ completa, criar uma regra de NAT/port forwarding que redirecione somente a porta 102/TCP (e 443 se precisar) do IP público para o IP interno do PLC. Isso reduz drasticamente a superfície de ataque mantendo as outras portas fechadas.
Se o router permitir (a maioria dos industriais tipo Teltonika RUT9xx/RUTX ou Robustel R30xx sim), adicione também:
- Whitelist de IPs de origem: restringir o acesso à porta 102 somente ao IP público fixo do escritório/engenheiro que faz a manutenção remota.
- Firewall stateful ativo nas demais portas.
4. Configuração do TIA Portal para acesso remoto
- Em “Online & Diagnostics”, selecionar como interface “TCP/IP” (não PN/IE direta) na PG/PC interface.
- Ao invés de usar “buscar dispositivos acessíveis” (que depende de broadcast, e broadcast não atravessa a Internet), inserir manualmente o IP público fixo do router como endereço de destino.
- Ir para “Extended download to device” → “Target” e inserir o IP público no campo de endereço IP do PLC.
- Tenha em mente: o protocolo S7 embute endereços dentro do payload em alguns casos (rotas S7 com vários racks/CPU), então se atrás do router houver apenas um PLC, funciona sem problemas; se houver vários PLCs e você quiser diferenciá-los via NAT 1:1, deve tomar cuidado com o roteamento S7.
5. Alternativa mais segura (dado o contexto do que vocês trabalham na Davantel)
Ao invés de expor a porta 102 diretamente na Internet — mesmo que de forma seletiva —, a prática recomendada em ambientes industriais é estabelecer uma VPN entre o router e o PC de engenharia, deixando o PLC completamente invisível do exterior:
- WireGuard ou ZeroTier sobre o router Teltonika/Robustel, criando uma rede sobreposta onde o PC do TIA Portal “vê” o PLC como se estivesse na mesma LAN, sem abrir nenhuma porta para a WAN.
- Com RMS da Teltonika ou RCMS da Robustel é possível automatizar esse acesso remoto de forma centralizada, sem gerenciar regras de NAT manualmente em cada local.
- Isso evita o problema de expor o protocolo S7 (que não tem autenticação forte nativa em CPUs antigas) diretamente na Internet, algo que Siemens e ICS-CERT têm apontado repetidamente como vetor de ataque.
Resumo de segurança
| Método | Exposição | Recomendação |
|---|---|---|
| DMZ completa | Todas as portas | Evitar |
| Port forwarding só 102/TCP + whitelist IP | Mínima | Aceitável se não houver alternativa |
| VPN (WireGuard/ZeroTier) sobre o router | Nenhuma para o exterior | Recomendado |